⚡️ RUSTSCAN — СКАНЕР, КОТОРЫЙ НАХОДИТ ПОРТЫ ЗА СЕКУНДЫ

Сегодня расскажу тебе про инструмент, который реально экономит время на разведке. Пока классический сканер только раскачивается, RustScan уже успевает выдать тебе все открытые порты цели. Если ты хоть раз сидел и тупо смотрел на ползущий прогресс-бар nmap, теряя минуты жизни, — этот пост для тебя. Погнали./

Начнём с главного вопроса — что это вообще за зверь. RustScan — это современный сканер портов, написанный на языке Rust, и именно отсюда его скорость. Задача у него простая: он молниеносно находит открытые порты на цели. Создан он специально для разведки, той самой recon-фазы, с которой начинается любой пентест. Работает предельно быстро и, что важно, умеет передавать найденные данные прямо в Nmap. Философия у него простая и жёсткая: меньше ожидания — больше результата. RustScan заточен именно под скорость, и это его главная фишка.

Чтобы ты почувствовал разницу — представь две картины. Слева обычное сканирование: вбиваешь nmap -sS -p- 192.168.1.10, а он тебе выдаёт «Scanning ports…», прогресс на 10% и радостное «осталось примерно 15+ минут». Справа RustScan: вбиваешь rustscan -a 192.168.1.10 и почти мгновенно получаешь «Открытые порты найдены!» — 22, 80, 443, 8080, все как на ладони. Разница не в пару секунд, разница в разы. И вот тут кроется вся суть: RustScan не заменяет Nmap, а работает с ним в связке. Схема простая — RustScan делает быстрый поиск, находит открытые порты и передаёт их дальше в Nmap для глубокого анализа.

Про связку стоит сказать отдельно, потому что именно в ней вся сила. RustScan находит двери, а Nmap изучает, что за ними скрывается. RustScan — это быстрый поиск портов, а Nmap — это уже глубокий анализ: определение сервисов, их версий, операционной системы и запуск скриптов. Работает это через одну красивую команду: rustscan -a target_ip -- -sV. Разберём её по частям: rustscan -a — это быстрый поиск, target_ip — это IP твоей цели, а всё, что идёт после двойного тире, — это аргументы, которые полетят прямиком в Nmap. Логика простая: сначала скан, где RustScan быстро находит порты, потом вывод, где открытые порты экспортируются, и наконец анализ, где Nmap изучает сервисы и ОС. Один инструмент делает грязную быструю работу, второй — умную и глубокую.

Теперь о том, где это реально применяют. Первое — разведка сети, поиск живых хостов и построение карты цели. Второе — поиск открытых портов, быстро и на любой цели. Третье — аудит безопасности, выявление рисков и запущенных сервисов. Четвёртое — обучение этичному хакингу и понимание того, как работают системы изнутри. И пятое — CTF-соревнования, где нужно быстро провести enum целей и захватить флаги. И вот здесь железное правило, которое ты обязан запомнить: сканируй ТОЛЬКО то, что принадлежит тебе или на что у тебя есть письменное разрешение. Сканирование чужих систем без спроса — это уже не хобби, а статья.

И последнее, самое важное — почему новичку вообще стоит всё это учить, а не просто заучить одну команду. Кибербезопасность — это НЕ про то, чтобы красиво запускать инструменты. Главный навык здесь — ПОНИМАНИЕ. После любого скана ты должен задать себе три вопроса. Первый: что я нашёл — то есть понимать, что вообще означает этот результат. Второй: почему этот порт открыт — определить назначение сервиса, который за ним сидит. Третий: какой в этом риск — оценить реальную угрозу и возможные
последствия. Запомни ключевую мысль: инструменты дают тебе ДАННЫЕ, но именно аналитик придаёт этим данным СМЫСЛ. RustScan выдаст тебе список портов за секунду, но что с ними делать дальше — решаешь только ты.

Так что формула роста в кибербезе всегда одна и та же: учись, практикуйся, думай. Инструмент без головы — просто набор букв в терминале. Сохраняй пост, ставь RustScan и иди тренироваться на своих собственных машинах.

#Инструменты #RustScan #Nmap #pentest
Карманный хакер

Я только что умудрился продать первое место под рекламу!

Она выйдет завтра и сразу хочу сказать, что я абсолютно не хочу захламлять этот канал рекламой и она будет выходить достаточно редко.

И в честь первой рекламы я думаю придумать, какой-то вопрос и разыграть среди вас небольшую сумму денег)

Что думаете насчëт этого, ставьте 🔥

Как я и обещал! ВНИМАНИЕ! РОЗЫГРЫШ! 😁

Кто первый ответит правильно на вопрос, тому я отправлю 500 российских рубликов.
И ничего интересного, к сожалению, я не придумал, так что:

‼️Угадайте сколько я получу с данной интеграции!

Правила:
1. У каждого всего 2 попытки (т.е. можете оставить в комментариях под этой записью только 2 сообщения с предположением, дальнейшие комментарии не будут учитываться)
2. Сообщения с перечислением сумм не учитываются
3. Изменëнные сообщения не учитываются
4. Если никто не угадает точную сумму, то будет выбран человек, назвавший наиболее близкое число

Да, начнуться голодные игры)

🕵️ Наткнулся на GitHub-репозиторий OSINT-BIBLE, который сэкономит вам недели поиска

Автор замахнулся собрать целую библию по разведке в открытых источниках, и замах оправдал. Внутри огромная структурированная подборка инструментов, методик и источников, разложенная по разделам: поиск людей, разбор соцсетей, геолокация по фотографиям, работа с доменами, поиск по утечкам, копание в метаданных.

Открываешь нужный раздел и сразу видишь набор рабочих инструментов под задачу. И, что редкость, репозиторий живой, а не заброшенный архив мёртвых ссылок, как это обычно бывает с подобными подборками.

👉 github.com/frangelbarrera/OSINT-BIBLE

#OSINT #GitHub #Инструменты #утечки #Мануал
Карманный хакер

Результаты розыгрыша!🎉🎉🎉

Да, пишу об этом достаточно поздно, хотя победилям я отправил призы ещë в 7 вечера по МСК.

И меня даже обрадовало, что многие прям так сильно оценили меня и мой канал. Саму сумму, которую я получил с интеграции, вы можете видеть на фото, прикрепленном к посту.

Сам же я хочу выделить трёх людей: 1 победителя и 2 участников, чей ход мыслей мне понравился:
1. @x0tta6bl4_ai победитель, который назвал сумму наиболее близкую к заплаченной (https://t.me/PocketHackerOne/191?comment=319)
2. @G0SL0T0. Он написал код, который вполне решает задачу, но он не является победителем, потому что нарушает второе правило розыгрыша. Но ему за смекалку подарил подарок за 25 звёзд (https://t.me/PocketHackerOne/191?comment=297)
3. @BloopKing. Он правильно предположил, что цена за рекламу в телеграм-каналах зависит от количества просмотров, что набирают посты. И он даже верно угадал, что по рынку сейчас среднее 1.5-2 рубля за 1 просмотр. Но он не учëл, что я мог поставить цену специально чуть выше среднерыночной, чтобы рекламу брали реже. К сожалению, он ничего не получил, потому что у меня закончились звезды, а стоят они через оф.площадку неприлично дорого. (https://t.me/PocketHackerOne/191?comment=322)

Все пруфы о том, что я отправил выигрыш участником оставлю в комментариях под этой записью.

Розыгрыш закрыт и дальнейшие ответы не принимаются. Всем спасибо за участие😎

🛡 Нет опыта в кибербезе? Собери 3 проекта и выделись среди сотен новичков

Никто об этом нормально не говорит, но я скажу. Рынок кибербеза забит людьми, которые собрали пачку сертификатов, повесили их в LinkedIn красивыми бейджиками — и при этом ни разу в жизни не расследовали ни одного реального инцидента. Ноль. И вот сидят такие «специалисты» без работы и удивляются, почему их не берут. А я вам объясню как человек изнутри: компаниям плевать на ваши бумажки в рамочке. Им нужно, чтобы вы умели РАБОТАТЬ руками. Нет опыта? Так не ждите, пока его кто-то подарит — соберите сами. Держите три проекта для Blue Team, которые реально кладутся в портфолио и заставляют рекрутера остановиться на вашем резюме. Погнали.

Проект первый — детект атак на Active Directory. Это не «один из вариантов», это база, без которой дальше делать нечего. Почти вся корпоративная инфраструктура крутится вокруг AD, и именно её атакующие ковыряют первым делом. Что делаете: разворачиваете лабу с Active Directory, сами моделируете реальные атаки — Kerberoasting, Pass-the-Hash, повышение привилегий, — ловите события через Sysmon и расследуете всё это в Splunk. Кайф в том, что вы своими руками видите, как двигается атакующий и как его палит защита. Один раз пройдёте этот путь — и логи перестанут быть для вас нечитаемой кашей из строк.

Проект второй — автоматизация SOC, она же SOAR. Тут вы перестаёте быть человеком-кнопкой, который вручную тыкает каждый алерт, и строите конвейер, который разгребает рутину за вас. Связка простая и на 100% бесплатная: Wazuh ловит событие, Shuffle SOAR запускает сценарий реагирования, TheHive заводит кейс, а VirusTotal проверяет индикаторы. На выходе — автоматическое реагирование на инциденты, а вы занимаетесь тем, что реально требует мозгов. Именно это отличает джуна, который захлёбывается в алертах в три часа ночи, от аналитика, который держит поток под контролем.

Проект третий — Threat Hunting в сетевом трафике. Здесь вы не сидите и не ждёте, пока сработает готовая сигнатура, — вы сами охотитесь на атаки прямо в сети. Инструменты топовые и снова бесплатные: Security Onion как платформа, Suricata и Zeek для анализа, ну и старый добрый Wireshark, чтобы копаться в пакетах руками. Запомните мысль: каждый пакет рассказывает историю, ваша задача — научиться её читать. Именно охота на реальные аномалии превращает вас из «смотрителя красивых дашбордов» в человека, который находит то, что автоматика тупо проспала.

Что вы качаете, собрав это всё? Расследование в SOC, Threat Hunting, реагирование на инциденты, мониторинг SIEM, анализ логов, автоматизацию через SOAR и работу с MITRE ATT&CK. Ровно тот набор, который рекрутер выискивает глазами, пролистывая сотню одинаковых резюме.

И вот что бьёт наповал: стартовать можно вообще без единого рубля. Поднимаете лабу на VirtualBox или Proxmox, ставите уязвимую Windows-среду и Kali для атак, сливаете логи в Wazuh или бесплатный Splunk Free и строите алерты. Дальше атакуете сами, ловите сами себя, записываете все выводы. И финальный шаг, который многие ленятся сделать — оформляете проект на GitHub. Вот это и есть ваше портфолио. Оно показывает навыки, а не обещает их.

Хватит ждать, пока опыт свалится с неба. Соберите его сами. Портфолио всегда бьёт коллекцию сертификатов — и на собесе это видно за первые пять минут.

Но сделаю отступление, сертификаты тоже необходимы, они подтверждают ваш опыт, но их можно получить и не имея опыта, поэтому это всё будет работать только в купе!

#Карьера #Обучение #Инциденты #Сети #GitHub #Windows #Инструменты
Карманный хакер

💰ТОП-3 площадки, где хакеры зарабатывают на багах

Все, наверное, уже слышали о таком явлении, как bug bounty, где крупные компании сами платят исследователям за найденные дыры, потому что заплатить вам за отчёт в разы дешевле, чем разгребать последствия реального взлома. Так что если вы хотите зарабатывать на хакинге, но при этом не иметь проблем с законом — вот три площадки, с которых стоит начинать. Погнали.

🟢Номер один — HackerOne. Это одна из крупнейших и самых известных bug bounty платформ в мире, по сути законодатель мод в этой сфере. Уровень доверия зашкаливает: с ней работают Google, PayPal и даже Министерство обороны США. Если вы только заходите в тему, регистрация здесь — почти обязательный шаг, потому что программ тут больше всего, а значит и целей для практики хватит с головой.
🟢Номер два — Bugcrowd. Эта платформа заточена под краудсорс-тестирование безопасности, то есть объединяет bug bounty и полноценный пентест. Среди клиентов — Atlassian, Mastercard и OpenAI. Отличный вариант, чтобы диверсифицировать охоту и попробовать себя на разных типах программ, а не сидеть на одной площадке.
🟢Номер три — Intigriti. Это глобальный краудсорс-провайдер безопасности с сильным европейским уклоном и строгим соответствием GDPR. Ей доверяют KBC, Volvo и даже Европейская комиссия. Если вам ближе европейский рынок и компании оттуда — вам сюда.

#BugBounty #Pentest #Уязвимости #Карьера #Обучение
Карманный хакер

💀 Как хакеры взламывают ваши соцсети в 2026.

Знаете, что меня бесит? Все думают, что аккаунты угоняют какие-то гении, которые «взламывают систему». А по факту вас уводят обычные схемы, работающие на вашей же невнимательности и спешке. Ваш аккаунт — это ведь не просто лента с мемами, это доступ к личке, деньгам и друзьям. Так что садитесь, я разложу вам 6 главных тактик 2026 года и сразу подскажу, как от них закрыться.

Начну с классики — поддельные страницы входа. Мошенники сейчас через ИИ клепают идеальные копии страниц Instagram, VK или Telegram и загоняют вас туда фейковым письмом в духе «обнаружен подозрительный вход» или слишком уж вкусным предложением. Вы вводите пароль, а он утекает прямо к ним. Мой вам совет: если адрес сайта хоть чуть-чуть отличается от настоящего — бегите. И вообще никогда не входите по ссылке из письма, откройте приложение сами.

Дальше идёт угон номера телефона, он же SIM-swap. Тут злоумышленник уговаривает или попросту подкупает сотрудника оператора и переносит ваш номер на свою SIM. И всё — теперь все SMS с кодами двухфакторки прилетают ему, а не вам. Первый тревожный звонок: телефон ни с того ни с сего теряет сеть и висит с «Нет сети». Чтобы не попасть, откажитесь от кодов по SMS в пользу приложения-аутентификатора и поставьте у оператора PIN на любые действия с номером.

Есть штука пострашнее — кража cookie сессии. Вредонос, спрятанный во взломанной программе, читерском моде или «бесплатной тулзе», ворует из браузера ваши cookie авторизации. Хакер их подгружает и мгновенно становится вами — без пароля, без всякой 2FA. Если вас внезапно разлогинило, а почту кто-то поменял — вот оно. Вывод простой: не тащите на комп пиратский софт и время от времени завершайте все неизвестные активные сессии.

Отдельная беда — вредоносные подключённые приложения. Помните все эти квизы и сайты «накрути подписчиков», которые просят войти через ваш аккаунт? Вы жмёте «Разрешить», и теперь этот сервис постит, пишет в личку и собирает данные от вашего имени, тихо и без всякого пароля. Если видите посты, которые не публиковали, — зайдите в настройки, гляньте список подключённых приложений и отзовите всё, чем не пользуетесь.

Не могу не сказать про дипфейки и фейковые жалобы. Схема наглая: мошенники массово шлют жалобы, чтобы ваш аккаунт заблокировали, а потом пишут «из поддержки» дипфейк-голосом или видео и выманивают код восстановления. Запомните железно: поддержка НИКОГДА не спрашивает у вас коды. Если кто-то давит срочностью и просит код — это развод на сто процентов.

И финал — QR-коды и открытые сети. Вредоносная QR-наклейка в публичном месте или фейковый «Бесплатный Wi-Fi» уводят вас на фишинг или тихо перехватывают трафик. Одно сканирование или беспечное подключение — и сессия у них. Не сканируйте случайные QR, а в публичных сетях сидите через мобильный интернет или нормальный VPN.

Теперь самое важное — что со всем этим делать прямо сейчас. Это буквально 10 минут вашего времени против реально больших проблем. Перейдите на passkey или аутентификатор и уходите от SMS-кодов где можно. Дайте каждому аккаунту уникальный пароль через менеджер паролей. Раз в месяц проверяйте и отзывайте подключённые приложения и активные сессии. Никогда не входите по ссылкам, включите уведомления о входах и защитите почту с телефоном для восстановления. И главное — не спешите, потому что срочность это оружие мошенника номер один.

#Фишинг #SocialEngineering #Взлом #скам #малварь #Обучение #Основы
Карманный хакер

🗺 Собрал для вас универсальную схему работы с фото при гео-OSINT. Сохраняйте, пригодится

Когда перед вами одна-единственная фотография без геотегов, а определить локацию надо, начинается самое интересное. Схема разбита на два больших блока. Сначала визуальный анализ: раскладываем передний и задний план, накладываем сетку, дробим кадр на фрагменты и вытаскиваем ориентиры в отдельную таблицу. Потом манипуляции: убираем фон, чистим мешающие предметы, играем с яркостью и контрастом, гоняем негатив, отражаем, прогоняем через фотофорензику на предмет монтажа.

Красные стрелки на схеме показывают обратные связи, когда результат одного шага заставляет вернуться и пересобрать картинку заново. Иконки с дискетой намекают, что каждый промежуточный результат стоит сохранять и потом прогонять через обратный поиск по изображению.

#OSINT #Мануал #Форензика #Обучение #Инструменты
Карманный хакер

⌨️ Учебный кейлоггер на Python: разбираем на 100 строках, как это работает

Нашёл отличный обучающий репозиторий Stealth-Keylogger от 28Zaaky — компактный проект, на котором удобно изучать механику мониторинга ввода. Скрипт перехватывает нажатия клавиш через pynput, накапливает их в буфере и по таймеру отправляет отчёт через smtplib. Всё лаконично и наглядно.

На этом примере легко понять, как устроены хуки клавиатуры, автозагрузка и SMTP-отправка данных. А главное — почему антивирусы реагируют именно на такие связки. Это бесценно для тех, кто занимается форензикой и вирусным анализом: разобрав механику, вы научитесь её же и детектировать.

Напоминаю: используйте код только в лаборатории и для обучения. Установка на чужое устройство незаконна.

👉 github.com/28Zaaky/Stealth-Keylogger

#малварь #Python #Обучение #Уязвимости #Форензика
Карманный хакер

🌐 Разобрал для вас, что творится внутри WiFi Deauther, того самого брелка, который отправляет чужие устройства в оффлайн

Вся магия держится на копеечном ESP8266. Устройство сканирует эфир, находит нужную точку доступа и начинает рассылать пакеты деаутентификации от её имени. Клиент получает команду «отключись» якобы от роутера, верит на слово и теряет связь, а потом снова цепляется и снова отваливается по кругу.

На плате нет ничего экзотического: Wi-Fi модуль, микроконтроллер, OLED-дисплей для выбора цели, пара кнопок навигации и Li-Po аккумулятор на 1500 mAh. Собирается такое на коленке за вечер, а работает по слабому месту в самом стандарте 802.11, которое живёт в железе годами.

Держите в голове одну вещь: глушить чужие сети ради веселья тянет на реальную статью. Схема выше нужна, чтобы понимать механику атаки и уметь от неё защищаться, а не проверять терпение соседей. Но над кентами поприкалываться никто не запрещает)

#Сети #Гаджеты #Обучение #Уязвимости #Инструменты
Карманный хакер

🔓Как ломают Denuvo

В недавнем видео про взлом игр я упоминал, что разберу, как устроена защита Denuvo и как её вскрывают, так вот: обещел — делаю.
Для тех, кто не видел видео, вот ссылки:
🟢https://vt.tiktok.com/ZS4ahQ889/
🟢https://youtube.com/shorts/lS50eWIt_8s?feature=share
🟢https://www.instagram.com/reel/DbcxbZlsm1z/?igsh=OWM3cmFybnRqZ3g1

Так же сам разбор денуво выйдет и в видео формате, создание видео уже ведётся!

А пока разберу это здесь.

Начнём с базы
Любая защита упирается в один и тот же факт: процессор должен исполнить код. А раз он его исполняет — значит, машинный код можно превратить обратно в ассемблер и прочитать. Это фундамент, который отменить нельзя.

У обычной игры проверка лицензии — это пара понятных инструкций: «есть ключ → запускаем, нет → выходим». Крякер находит эту развилку (условный переход, вроде jz/jnz), меняет несколько байтов — и защита складывается. Классический патчинг из нашего ролика.

Denuvo делает так, чтобы этой «одной развилки» просто не существует.


Обфускация и виртуализация
Главное оружие Denuvo — не шифрование, а запутывание. Работает это на нескольких уровнях:
🟢 Мутация кода — простые инструкции разворачиваются в десятки бессмысленных с виду операций, которые дают тот же результат.
🟢Виртуальная машина — критичные куски кода не исполняются напрямую процессором, а проигрываются внутри собственного интерпретатора Denuvo. То есть перед тобой не x86-ассемблер, а байткод выдуманной архитектуры, логику которой сначала надо реверснуть целиком.
🟢Размазывание проверок — нет одного места «проверить лицензию». Проверки раскиданы по всему бинарнику и переплетены с игровой логикой так, что не понять, где заканчивается игра и начинается защита.

Именно поэтому нельзя просто «найти jnz и поменять байт». Менять нечего — развилка спрятана внутри виртуалки.

Привязка к железу (HWID)
Denuvo генерирует уникальный отпечаток твоей системы: процессор, материнка, диск и т.д. На основе этого создаются токены активации. Код, отвечающий за проверку, завязан на конкретное железо, поэтому «дамп памяти с рабочей машины» не переносится на другую как есть — токены не совпадут.

Отсюда и известный побочный эффект: частые проверки железа нагружают систему, и в некоторых играх Denuvo реально понижала FPS.
Поэтому некоторые пиратки работали шустрее.

Как это всё-таки ломают
Раз статический анализ (просто читать код) не работает — идут в динамику:
🟢 Запускают игру под отладчиком и наблюдают, что процессор реально исполняет в момент проверки лицензии.
🟢 Отслеживают, как виртуальная машина Denuvo обрабатывает свой байткод, и постепенно восстанавливают её устройство — по сути пишут дизассемблер для чужой виртуалки.
🟢 Ищут точку, где результат всех проверок сходится в одно решение — «легитимно / нет». Даже если проверок тысячи, финальный вердикт где-то формируется.
🟢 Аккуратно вмешиваются в этот момент так, чтобы игра всегда считала себя лицензионной, не сломав при этом саму игру.

И занимает этот процесс недели, а иногда и месяцы. Не потому что там какие-то сложные формулы, а потому что нужно вручную распутать гигантский клубок мусорных инструкций и понять чужую виртуальную архитектуру.

Почему важен «первый день»
Ценность Denuvo — во времени. Если игра не взломана в первые недели после релиза (пик продаж), защита уже окупилась. Поэтому битва идёт не за «неломаемость», а за задержку. И Denuvo прекрасно справляется со своей функцией. Игры успевают собрать свой кэш перед тем, как в игру залезут халявщики.

Разумеется есть исключения, вроде, Empress, которая ломала игры очень быстро, но она так же быстро и ушла в закат. Так же были случаи, что игры ломали до релиза. Но это всё лишь ошибка выжившего, ведь до сих пор есть множество игр, которые до сих пор не взломаны, даже спустя годы после релиза

Ставьте 🔥, если зашёл разбор.
Так же ответьте честно, насколько вы часто покупаете игры?😁

#Denuvo #Крякинг #Ассемблер #Реверс #Обучение
Карманный хакер

📸 Собрал для вас карту OSINT по фотографии: семь направлений и с полсотни сервисов на одной схеме

Логика простая: в центре лежит исходный снимок, а от него расходятся ветки под конкретные задачи. Нужно вытащить EXIF и понять, на что и когда снимали, идёте в блок с метаданными. Ищете, где сделано фото, там геолокация с SunCalc и анализом теней, которые выдают время и сторону света. Подозреваете монтаж или нейросеть, открываете раздел проверки подлинности.

Отдельно вынес поиск людей по лицу, обратный поиск изображений через пять разных движков и распознавание объектов вроде растений, машин и зданий. Внизу дал OPSEC-обвязку: VPN, TOR, изолированная среда и чистка метаданных перед публикацией, чтобы во время расследования не спалить самого себя.

#OSINT #Инструменты #Мануал #OPSEC #Форензика
Карманный хакер

CTF-МИНИ — ЛОГИН, КОТОРЫЙ ПРОТЁК

Я тут по пятница решил проводить викторинки небольшие, так что если идея заходит, ставьте 🔥

Погнали.

Тебе в руки попал кусок перехваченного трафика с формы входа на сайт. Разработчик клялся, что «у нас всё безопасно». Смотрим:

POST /login HTTP/1.1
Host: shop-example.ru
Content-Type: application/x-www-form-urlencoded
Cookie: session=eyJ1c2VyIjoiZ3Vlc3QiLCJyb2xlIjoidXNlciJ9

user=admin&pass=cGFzc3dvcmQxMjM%3D

Лови три флага 🚩
🚩 Флаг 1: Какой пароль отправил пользователь на самом деле?
🚩 Флаг 2: Что зашито в куке session и почему это дыра?
🚩 Флаг 3: Какую фундаментальную ошибку допустил разработчик на уровне всего соединения?

Уровень средний. Всё, что нужно — внимательный глаз и понимание, что такое кодирование. Ответы пиши в комментариях под постом!
Ещё раз повторюсь: если идея зашла, покажите это активом, комментами и реакциями

#ПятничныйCTF #Web #Задачка