🤯 Привет!

Все мы хоть раз в той или иной степени прикасались к прекрасному к ЦТФам. Лично я, может и не очень часто, но регулярно стараюсь принимать активность в различных ИБ-соревах. Так вот, недавно прошел Cyber Apocalypse CTF 2025 от HTB, и после него у меня в некотором смысле накипело, хочется высказать свое объективно-субъективное мнение по ошибкам в организации CTF-соревнований, попунктно:

1️⃣ Первая проблема, с которой начинает подгорать уже с первых минут игры - это падение доски сразу после начала. Таски недоступны, личка админов и канала засраны, в общем ничего удивительного. Происходит это потому, что после старта все игроки одновременно жмав кнопку обновления страницы с доской, а поняв, что она перестала работать, начинают обновлять в 5 раз чаще, из-за чего производят распределенную DOS-атаку ⌨️ и ложат сервера. Лечится это вроде просто - временно добавить на первые часы игры больше ресурсов, но на практике такого не происходит;

2️⃣ Система оценивания тасков. Тут уже поинтереснее — Идут постоянные споры на счет оценки. Лично я топлю за динамическое распределение очков, в зависимости от количества решений. Однако, если неправильно настроить отношение решений к общему количеству команд, то произойдет следующее — На прошедшей сореве был таск с 30 решениями и таск с 3000 решениями. За первый дали 950 баллов (из 1000), а за второй, внимание, 800 (из 1000). Хочется плакать, но я не буду;

3️⃣ Еще одна проблема, особенно в глобальных соревах, это флаг-шеринг. Откуда только не просят дать подсказку, начиная с реддита и заканчиваю breach forums. Кто-то даже продает решение таска за 💲валюту💲. Да, есть система проверки, которая добавляет в конец влага id, привязанный к конкретной команде, но это сложно в реализации и не ко всем таскам применимо. Да и эффективность своеобразная;

4️⃣ Собственно, сами таски. Когда в сореве (не от HTB, там всё по заданиям нормально), позиционирующей себя, как не для начинающих, ты видишь категории “stega, crypto, web, osint” (Да простят меня осинтеры), при том, что в крипте лежат 2 таска на шифр Цезаря и статистический анализ, плакать хочется еще больше. Лечится это тоже просто — Обходить стороной такие соревы (без негатива), и держаться крутых, у которых таски приближены к реальности.

Ну вроде всё. Всем желаю находить время на CTF, играть в кайф в команде или в соло, и побежать (опционально)🤩

🤥 Привет!

А я тут провел небольшой ресерч по поводу пивотинга и в частности связка proxychains + nmap. Для поста материала оказалось много, поэтому 🔗 написал в Notion.

Приятного просмотра.

Привет, друзья❤️!

Пока мы затаились в преддверии стендофыча, ловите порцию Битрикса

💻 Привет!

А я тут недавно поиграл в standoff 15 и хочу высказать своё объективно-субъективное мнение:

В целом полигон норм, я ранее делал пост про HTB Pro Labs, и в сравнении с ними он очень даже неплохой. Инфра не вайпается глобально каждые 24 часа, можно попрактиковать сканирование и закрепление. Уязвимости и таски тоже в целом неплохие,
Теперь то, что особенно запомнилось:

1️⃣ Инфра (и сайт стендоффа) стабильно уже который год работает нестабильно, особенно в первый день. В прошлом году на второй день под предлогом слива даже выдавали конфиги во внутреннюю сеть, так как гейты были сильно перегружены трафиком.

2️⃣ Про вайпы инфры я немного наврал. В этот раз орги задумали сделать авторестарт нескольких конкретных сервисов (преимущественно во внешнем сегменте) раз в 10 минут. В целом это убирает проблему старта игры, но также это и убирает нервы, потраченные на постоянных запуск чизела после перезапуска сервисов.

3️⃣ Также в этот раз было нововведение: каждая команда могла использовать только 10 белых адресов и с ограничением трафика с выданных vpn. Таким образом орги хотели ограничить количество людей за команду, К счастью, в игре по итогу вайтлистов не было и с трафиком я проблем не заметил.

4️⃣ Сложность заданий не равна их количеству баллов. В моём случае я в первый день пробил сегмент, в котором оказалось с freeipa, из-за чего я следующие 24 часа вкуривал мануалы, затем забил, запрыгнул на другой сегмент и сразу сдал 3 недопустимых события. Потраченного времени жаль.

В целом ощущение от игры 50 на 50. можно было бы принять синюю таблетку, гулять по PHD и быть в неведении внутренней кухни 🤩 Но играть в следующем году я конечно же буду 👍

А вот и пост! 🤗

С сегодняшнего дня мы решили запустить цикл постов и статей, посвященных пентесту внутрянки🕺

Темой первого поста будет атака, связанная с отравлением NBT-NS/LLMNR (или poisoning на родном английском). Расскажем как выполнять данную атаку и как от него защититься.🛡
Всем удачного чтения 📚

🔽 NBT-NS/LLMNR poisoning.
Немного пояснения, что это такое:
🔹 LLMNR — это протокол, позволяющий разрешать имена без использования DNS-сервера, предоставляя имя хоста для IP на основе многоадресного пакета.
🔹 NBT-NS — это достаточно старый протокол Windows, который используется для преобразования имен NetBIOS в IP-адреса в локальной сети.
🪄 И вот тут наступает магия: когда устройство в сети не может достучаться до нужного ресурса по DNS, он использует протоколы LLMNR/NBT-NS, отправляя многоадресный запрос.

Суть атаки заключается в подмене источника для разрешения имени, когда злоумышленник отвечает на многоадресный запрос от жертвы. К примеру, пользователь хочет получить доступ до сетевого ресурса \\bobr, которого не существует. И вот тут, DNS, не поняв, что от него хотят, передает свои полномочия LLMNR/NBT-NS. Злоумышленник в свою очередь только, этого и ждет, и на своей тачке запускает всеми любимый responder для отравления (если вы любитель потрошить с винды, то подойдет инструмент Inveigh).
Запускается простой командой с указанием интерфейса и включив необходимые настройки в Responder.conf.

responder -I eth1

Для запуска Inveigh можно воспользоваться следующей командой:

PS C:\Users\Administrator> Import-Module .\Inveigh.ps1
PS C:\Users\Administrator> Invoke-Inveigh Y -NBNS Y -ConsoleOutput Y -FileOutput Y

Далее остается только подождать, когда пользователь введет свои данные и наш инструмент перехватит их (что с ними делать расскажем в следующий раз).

🔼А теперь как же защититься от подобной наглости.
😉 Самое простое что можно сделать, это отключить протоколы LLMNR и NBT-NS. Для отключения LLMNR можно воспользоваться групповой политикой. Для этого необходимо перейти в следующий раздел : Local Computer Policy > Computer Configuration > Administrative Templates > Network > DNS Client, и далее включить политику Turn off smart multi-homed name resolution.
😝 Отключить NBT-NS можно с помощью настроек сетевого адаптера: необходимо в свойствах сетевого подключения выбрать протокол TCP/IPv4, далее нажать кнопку Advanсed и на вкладке WINS выбрать опцию Disable NetBIOS over TCP.

Подписывайтесь на канал, чтобы быть в курсе интересных тем из мира ИБ! 😳
#redteam

Привет, друзья 💪!

Хорошие ребята из СБПробизнес запускают офлайн-курс «Организация работы службы корпоративной безопасности» — без воды, по делу, с примерами из реальной практики.

📅 Когда: 24–27 июня
📍 Где: Ярославль, ЯГПУ им. К. Д. Ушинского

Что разберут на курсе:

🔹 Как использовать аналитику в СБ
🔹 Чем СБ реально может быть полезна бизнесу
🔹 Особенности работы в ритейле, на производстве, в агро и строительстве
🔹 OSINT и цифровая гигиена
🔹 Кросс-функциональные связи внутри компании
🔹 Немного про GR

По итогу — удостоверение от вуза! А еще курс предполагает компактную группу (до 15 человек), чтобы с каждым поработали лично.

📌 Подробнее — у них на канале:
https://t.me/sbprobiz/1832

🌞 Всем утречка!
Подсвечиваем самые интересные события из мира ИБ за прошедшую неделю 🔐🧠💻


💥 Удалённое выполнение кода через Roundcube: критическая уязвимость CVE‑2025‑49113  (CVSS 9.9)

Злоумышленник может выполнить код на сервере после входа в почтовый веб-интерфейс, передав специально сформированный параметр _from в upload.php. Проблема кроется в опасной PHP-десериализации внутри компонента rcube_washtml

🧠 Уязвимость требует аутентификации, но очень легко эксплуатируется — особенно при использовании фишинга или скомпрометированных учёток. Уже активно обсуждается на даркнет-форумах как часть RCE-цепочек. Под ударом Roundcube до версий 1.6.11 и 1.5.10. Патч вышел 1 июня 2025.

Ссылка на POC: 🔗🔗🔗


🔥 Технические детали по CVE‑2025‑20188 (Cisco WLC)

В скриптах OpenResty (Lua + Nginx) используется жёстко заданный JWT-секрет — строка "notfound", если отсутствует файл /tmp/nginx_jwt_key. Это позволяет злоумышленнику сгенерировать валидный токен и выполнять атаки, включая path traversal, загрузку произвольных файлов и изменение конфигураций.

📥 Например, при модификации скрипта pvp[.]sh, который отслеживает изменения, автоматически перезапускает службы и выполняет команды, можно добиться выполнения кода с правами root, получив полноценный shell-доступ.


📱Три критических 0-day уязвимости в Android/Qualcomm

В июньском бюллетене Google и Qualcomm подтвердили активную эксплуатацию трёх уязвимостей в драйверах GPU Adreno:
• CVE‑2025‑21479 и CVE‑2025‑21480 (CVSS 8.6) — ошибки в микрокоде GPU, приводящие к повреждению памяти и эскалации привилегий.
• CVE‑2025‑27038 (CVSS 7.5) — use-after-free при рендеринге, включая вызовы через Chrome.

Патчи уже доступны в OEM-сборках с мая. Рекомендуется установить как можно скорее.


📧 В России хотят запретить логин с Gmail и других иностранных ящиков

СМИ сообщили, что российские власти рассматривают второй пакет мер — требование: разрешённый вход на отечественные сайты только через почту в доменах .ru, включая Mail и Яндекс. Это означает, что вход с Gmail, Yahoo и других иностранных почтовых сервисов может стать недоступным.

❓Что это значит для пользователей и бизнеса:

     😱 Придётся заводить дополнительный .ru‑email и настроить переадресацию;

    🤪  Крупным компаниям — адаптация форм несложна, у малого бизнеса могут быть временные неудобства.

#news