И, честно, я в небольшом ах*е, что такие форматы набирают на видеохостингах больше чем, то что, обычно, я туда выкладываю.

Хотя такие видео требуют намного меньше усилий. Вместе с написанием сценария и монтажом уходит не больше 1 часа.

Видео, что выходили до этого требовали от 6 часов времени

JWT атаки — как токен "none" открывает все двери

Что-то давно я ничего не выкладывал, поэтому вот пост про JWT.

JWT (JSON Web Token) — способ авторизации в веб-приложениях. Ты логинишься, сервер выдаёт токен, дальше предъявляешь его вместо пароля при каждом запросе.

Токен состоит из трёх частей: header (алгоритм подписи), payload (твои данные вроде user_id и роли), signature (подпись). Выглядит как три блока Base64, разделённые точками:

eyJhbGci0iJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyIjoiam9obiIsInJvbGUiOiJ1c2VyIn0.signature

Расшифруем header:

{"alg":"HS256","typ":"JWT"}

Payload:

{"user":"john","role":"user"}

Сервер проверяет signature алгоритмом HS256. Если подпись валидна, запрос проходит. Казалось бы, всё защищено.

Атака через алгоритм "none"
Спецификация JWT разрешает алгоритм "none" для тестирования. Токен вообще без подписи. Проблема начинается когда сервер принимает такие токены в боевом окружении. Ты можешь подделать любой токен.

Берёшь свой обычный токен, меняешь header на {"alg":"none","typ":"JWT"}, в payload ставишь "role":"admin", кодируешь Base64, убираешь блок signature. Отправляешь серверу. Сервер видит alg:none, пропускает проверку подписи, читает payload, видит admin. Ты внутри.

CVE-2026-29000 в pac4j-jwt показала что эта проблема жива в 2026. Библиотека принимала "none" по дефолту. Атакующие обходили аутентификацию через подделанные токены. Патч вышел только после публикации эксплойта.

Смена алгоритма с RS256 на HS256
Сервер использует RS256. Асимметричное шифрование: приватный ключ подписывает токен, публичный проверяет. Публичный ключ доступен всем через /jwks.json endpoint.

Перехватываешь токен, меняешь header с "alg":"RS256" на "alg":"HS256". Меняешь payload на admin. Подписываешь токен публичным ключом как будто он симметричный. Отправляешь серверу.

Сервер видит alg:HS256, берёт тот же публичный ключ для проверки (потому что разработчик не зафиксировал алгоритм жёстко), проверяет подпись, подпись валидна. Проход открыт.

Уязвимая библиотека jsonwebtoken для Node.js до версии 4.2.2 позволяла такое. CVE-2015-9235. Патч вышел в 2015, но legacy-код до сих пор встречается. PyJWT получила аналогичную уязвимость в 2026: CVE-2026-48526 позволяла использовать публичный JWK как HMAC секрет. Фикс только в версии 2.13.0.

Как защититься
Явно запрети алгоритм "none" в конфигурации библиотеки. Жёстко фиксируй один алгоритм проверки: если используешь RS256, код должен отвергать токены с любым другим алгоритмом в header. Проверяй signature при любом alg, даже если там указано "none". Ставь короткий срок жизни токена: 5-15 минут для access token, час максимум.

Используй проверенные библиотеки последних версий: → jose версии 6.2.10+ для Node.js → PyJWT версии 2.13.0+ → jsonwebtoken версии 9+ (но jose безопаснее)

Инструменты проверки
jwt.io декодирует токен и показывает содержимое header/payload прямо в браузере. JWT_Tool с GitHub автоматизирует атаки: подбор слабых секретов, смену алгоритмов, injection в claims.
Версия 2.2.6 поддерживает все актуальные векторы. Burp Suite перехватывает токены в трафике, позволяет модифицировать на лету через Repeater.

Почему это актуально в 2026
GitHub Advisory Database зафиксировала рост JWT-уязвимостей на 40% в 2025-2026. В мае 2026 опубликовано более 1500 advisory по различным библиотекам. CVE-2026-32597 в PyJWT, CVE-2026-48523, CVE-2026-48526 — всё за последние месяцы.

Разработчики копируют код из Stack Overflow и туториалов. Туториалы показывают упрощённые примеры с "none" для демонстрации. Код попадает в продакшн без изменений. Библиотеки обновляются, но старые версии остаются в проектах годами.

Проверь конфигурацию своих приложений. Если видишь alg:none в production-токенах или можешь сменить алгоритм без отказа сервера, дыра открыта.

Карманный хакер

Мне стало намного лучше, так что вот вам пост, как по мне очень полезный

Дополнил пост, как оказалось дату размещения автарки можно глянуть не только с ПК (добавил, как можно сделать на андроиде). Но нормально описать, как это сделать на айфоне не написал, потому что нет техники эпл, да и не пользуюсь я ей. Спасибо подписчику, что рассказал об этом, ибо я раньше не замечал этого

Сегодня отмечается День программиста!

Так что всех с праздиничком! ❤️❤️❤️

mitmproxy2swagger

Ты когда-нибудь смотрел на чужое мобильное приложение и думал, как оно общается с сервером? Этот инструмент отвечает на вопрос за пару минут.

Работает так. Перехватываешь трафик приложения через mitmproxy (сохраняешь в файл). Скармливаешь этот файл mitmproxy2swagger. На выходе получаешь готовую Swagger-спецификацию — документ, где расписаны все эндпоинты API: какие запросы приложение шлёт, с какими параметрами, что получает обратно.

Установка в одну команду:

pip install mitmproxy2swagger

→ github.com/alufers/mitmproxy2swagger

Карманный хакер

А вот и первое забаненное видео в тт!

Хотя неудивительно, это был лишь вопрос времени, когда тт в каком-либо выдео найдëт нарушение своих правил.

Лучшие анонимные браузеры для тех, кто ценит приватность

Каждый день ты оставляешь цифровые следы: куки, отпечаток браузера, историю запросов. Рекламные сети и трекеры строят профиль по этим данным. Если задача вернуть контроль над своей приватностью, вот три браузера, которые справляются с этим лучше остальных.

Tor Browser
Главный инструмент, когда нужна полная анонимность. Трафик проходит через цепочку из трёх узлов, и на выходе сайт видит IP выходного узла. Шифрование на каждом уровне. За это платишь скоростью: страницы грузятся медленнее, часть сайтов показывает капчу при каждом входе. Релизы выходят каждые две недели, последняя версия 15.0.23 от августа 2026. Работает на Windows, macOS, Linux, Android. Если ты журналист, активист или работаешь с чувствительными данными, альтернативы нет.

Mullvad Browser
Совместный проект команды Tor и Mullvad VPN. Технически это Tor Browser, откуда убрали сеть Tor. Вместо неё ты подключаешь VPN. Сильная сторона: защита от отпечатка браузера. Сайты не смогут опознать тебя по разрешению экрана, шрифтам, canvas fingerprinting и WebGL. Все пользователи Mullvad Browser выглядят одинаково, что делает идентификацию бесполезной. Скорость выше, чем у Tor, потому что трафик идёт напрямую.
Здесь критический момент: Mullvad Browser скрывает отпечаток. Но он не прячет IP-адрес. Твой IP остаётся открытым, если не используешь VPN.

LibreWolf
Форк Firefox, из которого удалили всю телеметрию Mozilla и встроенные сервисы. uBlock Origin предустановлен. Никаких спонсорских материалов, никаких закладок от рекламодателей, никаких "рекомендаций", которые отправляются на сервер. Конфиденциальность настроена жёстко: автоматическая зачистка куки, блокировка трекеров, отключение WebRTC. Работает везде, где работает Firefox, расширения встают без проблем. Обновления выходят вслед за Firefox, последняя версия 156.0-1 от сентября 2026.
Иногда агрессивные настройки ломают сайты. Капча отваливается, видеоплеер перестаёт грузить ролик, авторизация на банковском сайте не проходит. Приходится точечно ослаблять защиту или переключаться на другой браузер для конкретной задачи. Зато если ты готов разбираться с отдельными исключениями, LibreWolf даёт полный контроль над тем, что браузер отдаёт сайтам. Подходит для ежедневного использования, когда ты хочешь минимизировать слежку без перехода на сеть Tor.

Карманный хакер

Вчера опять один видос забанили по этой же причине)

Зато позавчерашний разбанили после подачи аппеляции. Подали аппеляцию и по вчерашнему видосу, может и его разбанят

Nuclei — сканер уязвимостей на шаблонах

Nuclei от ProjectDiscovery запускает готовые шаблоны против цели и проверяет её сразу по тысячам известных проблем: открытые панели управления, устаревшие версии сервисов, неправильно настроенные заголовки, CVE последних лет. Полностью бесплатный, open source.

Главное отличие от обычных сканеров — шаблоны пишутся на YAML и хранятся в публичном репозитории. Сообщество добавляет новые под свежие CVE буквально в день публикации. Сейчас в базе больше 9000 шаблонов.

Несколько сценариев, где это работает.

Быстрая проверка периметра: даёшь список хостов и Nuclei прогоняет их по всей базе шаблонов. За несколько минут получаешь список конкретных проблем с доказательством — запросом и ответом сервера.

Поиск по конкретной CVE: указываешь нужный идентификатор, и инструмент проверяет только его — без лишнего шума.

Проверка конфигурации: отдельные шаблоны ищут торчащие наружу .git-папки, .env-файлы, дефолтные креды в панелях управления.

Интеграция в CI/CD: Nuclei запускается в pipeline и останавливает деплой, если нашёл критическую проблему.

Шаблоны можно писать самому — это YAML с описанием запроса и условий совпадения. Удобно для повторяющихся проверок в рамках пентеста.

Карманный хакер

Вот смотрю я на эту цифру и ох**ваю. Ведь если так смотреть, то 180к это же, действительно много!

Спасибо всем, кто смотрит видео и оставляет комменты!

Так же я нашëл способ, чтобы видео не так часто банили. И надо лишь ставить плашку сгенерировано ИИ, так что на большей части новых видео будет эта плашка

🛡 SOC: Security Operations Center

В последнее время во всех соц.сетях замечаю много вопросов про то, в какое направление ИБ податься, поэтому я открываю цикл постов про направления в ИБ. Первым беру SOC, потому что про него больше всего вопросов и меньше всего конкретики: одни думают, что там круглосуточно читают логи, другие путают его с техподдержкой.

Начну с того, откуда берётся работа. В компании есть серверы, ноутбуки сотрудников, почта, файрвол, антивирус и служба Active Directory (она хранит учётные записи и проверяет пароли при входе). Каждое устройство ведёт журнал: кто вошёл в систему, во сколько, с какого адреса, какая программа запустилась, куда она обратилась по сети. Одна такая запись называется событием, журнал целиком логом. У компании на пару тысяч сотрудников за сутки набираются сотни тысяч событий, и человек, который читал бы их подряд, не успевал бы даже листать.

Поэтому смена работает с алертами. Алерт создаёт программа, когда запись в логе совпала с условием из правила. Правило может звучать так: «на одном хосте за минуту произошло больше двадцати неудачных входов в систему». При совпадении система создаёт алерт и присваивает ему уровень важности. Правила бывают заводские, от вендора, и написанные своими руками под конкретную инфраструктуру.

Теперь про уровни, потому что это деление стоит прямо в названиях вакансий. Tier 1 разбирает входящие алерты: на каком хосте сработало, под какой учёткой, запускался ли этот процесс раньше с такими же аргументами. Больше половины таких алертов он закрывает как ложные срабатывания, потому что их создаёт бэкапный софт, сканер уязвимостей или скрипт администратора по расписанию. В опросе Splunk State of Security 2025 года о перегрузке ложными срабатываниями сообщили 55 процентов опрошенных, и после каждого обновления антивируса доля подрастает. Остаток уходит на Tier 2, где смотрят содержимое памяти процессов, разбирают скрипты PowerShell и VBS, достают хеш файла (строку из букв и цифр, по которой файл можно опознать и сверить с базой антивируса) и проверяют его по VirusTotal. Tier 3 и threat hunter работают по другой схеме: берут матрицу MITRE ATT&CK (справочник техник атакующего с описанием, как каждая выглядит в логах) выбирают технику, которую текущие правила пропускают, и ищут её следы своими запросами.

Про вход в профессию. Опыт пентеста для Tier 1 не нужен, на собеседовании в основном дают логи и просят рассказать, что произошло. Частый вопрос выглядит так: в логе есть событие 4625 (неудачный вход в систему), а через минуту 4624 (удачный вход) с того же адреса. Дальше просят назвать, что проверить после этого. Из номеров событий на входе пригодятся 4688 (создание процесса) и 4104 (блок скрипта PowerShell). Тут есть подвох, на который новички напарываются на первой же смене: командная строка в событии 4688 появляется только после включения аудита командной строки, а событие 4104 требует включённого Script Block Logging в групповых политиках. Пока это не сделано, нужных записей в логах просто нет, и искать их бессмысленно.

Карманный хакер