🔗Ссылка:
https://github.com/abhigyanpatwari/GitNexus

5 типовых ошибок пентестера. Две из них наши

Пентест принято мерить по количеству найденных дыр. По‑хорошему мерить надо бы по другому: что осталось после команды. Работает ли инфраструктура, не разошлись ли данные, не прилетело ли тем, кого в проекте вообще не было.

Я работаю в Singleton Security. Ниже 5 ошибок, после которых проект превращается в проблему. Часть я видел со стороны, часть слышал в кулуарах на конференциях, где такое рассказывают охотно, а в отчётах не пишут никогда. Два случая наши собственные: упавший сервер и домен, который не надо было регистрировать. Свои разбирать проще, про них хотя бы точно знаешь, как всё было.

🔗Ссылка:
https://habr.com/ru/articles/1080358/

🚨 CVE-2026-18963 - Keycloak < 26.7.2 - Unauthenticated Account Takeover via Reset-Credentials Bypass

Nuclei Template - https://github.com/projectdiscovery/nuclei-templates/pull/16995/changes

Reference: https://github.com/keycloak/keycloak/issues/51833

#hackwithautomation #bugbounty #keycloak

Всем хак! 👾

Недавно проходил собеседование, и в качестве материалов мне выдали целую пачку. Решил не оставлять это пылиться в личке и выложить в паблик — думаю, кому-то из вас зайдёт как готовая дорожная карта для прокачки.

Внутри подборка по ключевым темам:
🔹 TCP/IP — лекция ШКИБ (Сетевая безопасность)

🔹 Шифрование данных — лекция ШКИБ (Криптография)

🔹 Веб — лекция ШКИБ (Безопасность веб-приложений)

🔹 Kill Chain — лекция ШКИБ (Расследование инцидентов. Форензика)

🔹 2FA — статья на Habr

🔹 Фишинг — презентация

🔹 Базовые артефакты Windows — HackTricks

🔹 Как обезопасить себя — Kaspersky (базовые принципы безопасности)

🔹 Антивирусы — Anti-Malware.ru

🔹 Базовые инструменты и их детектирование — Habr

Материал отдаю как есть. Если кому-то пригодится для подготовки к собесу, стажировке или просто для расширения кругозора — значит, пост написан не зря 😉

💼 Блок для связи:

Я по-прежнему открыт к интересным предложениям по работе.
Мой стек и ачивки: GitHub / HackTheBox / Standoff365 / HackerLab / Сертификат CPTS.

Также, если вам нужен пентест вашего веб-приложения или сервера, а ещё если вас интересует бадди (напарник) — пишите, договоримся на берегу.

По всем вопросам пишите на рабочий аккаунт:
👉 @OxHaskar

⬆️ [Прошлый пост]
🍩 [Поддержать]

Нечеткая логика в ИБ: сокращаю очередь уязвимостей в 7,5 раза, сравниваю с CVSS, EPSS и методикой ФСТЭК

🔗Ссылка:
https://habr.com/ru/articles/1081470/

Смартфон-шпион: почему даже отключение интернета не мешает смартфону отправлять хакерам данные

Есть такое уютное заблуждение: выключил Wi-Fi и мобильные данные – и все, ты невидимка. Спокойно можно строить теории заговора. На деле все немного иначе. Даже в полном офлайне встроенные датчики смартфона продолжают исправно работать и копить информацию о том, чем вы занимались. Разбираемся, как смартфоны на самом деле следят за нами без сети, чего стоит опасаться по-настоящему, а что — просто повод для паранойи.

🔗Ссылка:
https://habr.com/ru/companies/solarsecurity/articles/1080794/

BlackHat USA 2026 Slides

🔗Ссылка:
https://github.com/onhexgroup/Conferences/tree/main/BlackHat_USA_2026_Slides

Discord сервер
👆🏻Тут можно пообщаться и найти много полезной информации 🦈

CVE: история о том, как два инженера устали от хаоса и создали идентификатор, связавший все уязвимости мира

Одна уязвимость, дюжина названий, 321 запись и стенд, за которым конкуренты договорились “дружить”. История создания самого известного идентификатора в кибербезопасности по первоисточникам 1999 года.

🔗Ссылка:
https://habr.com/ru/companies/codescoring/articles/1080866/

Кажется новый сезон хтб будет интересным 🤔

🔗Ссылка:
https://youtube.com/watch?v=SwwuUFIOk-A

🔗Ссылка:
https://github.com/Zierax/Grafana-Final-Scanner

🔗 Ссылка:
https://github.com/deathshotxd/0xm0ncrush

Prompt injection — лучше один раз увидеть

В новостях часто появляются рассказы о том, что какие‑то злодеи уговорили чью‑то ИИшку на то, чтобы она потратила деньги, удалила файлы или поставила более высокую оценку. При этом используются слова «prompt injection», “атака” и пр., создающие впечатление, что это какое‑то сложное искусство, требующее особых знаний. В реальности же prompt injection это не то что не сложно, но и вообще не атака. Да, везде в интернете пишут, что это атака, но… Короче, проще один раз показать, чем рассказ на десять тысяч символов набивать.

🔗 Ссылка:
https://habr.com/ru/articles/1064220/

🔗Ссылка:
https://www.rapid7.com/blog/post/ve-cve-2026-86206-cve-2026-86207-n-able-n-central-authentication-bypass-fixed/

Актуалочка

https://www.esentire.com/blog/ghostcode-dissecting-a-novel-device-code-phishing-kit

🔗 Ссылка:
https://expatch.com/writeups/telegram-html-export-xss.html

WAF подключен — что дальше? Как настроить решение, чтобы оно защищало, а не мешало

Вы прошли долгий путь от выбора WAF (Web Application Firewall) и согласования бюджета до финальной интеграции решения в инфраструктуру. Казалось бы, можно выдохнуть. Но именно здесь начинается самая важная часть работы — и именно на этом этапе спотыкается большинство команд. Даже если был проведен успешный пилот, боевая эксплуатация все равно преподносит сюрпризы. В этом посте разберём, почему «поставил и забыл» — это не лучший подход для WAF (да и для большинства ИБ‑решений), как правильно подключать приложения к защите после интеграции и как в итоге понять, что всё работает как надо?

🔗 Ссылка:
https://habr.com/ru/companies/webmonitorx/articles/1076708/