🔍 Шифровальщик уже в сети. Вы просто ещё не знаете

К моменту алерта о шифровании атакующий провёл в вашей сети от 2 до 14 дней. Финальный запуск шифровальщика — это финальный акт, не начало.

⚙️ Классические IOC протухают за часы: операторы RaaS перекомпилируют билды перед каждой атакой. В 2024 году только в одном регионе зафиксировали 51 вариант ransomware — половина из них вообще не попадёт в ваши фиды.

Поэтому охота строится на TTP, а не на хешах. В статье — рабочие Sigma-правила и SPL-запросы для трёх ключевых фаз:
• LSASS dump через comsvcs.dll
• lateral movement по RDP и PsExec
• уничтожение теневых копий перед шифрованием

🎯 Каждое правило — с объяснением, как отделить атаку от легитимной активности.

Полный разбор с кодом:

https://codeby.net/threads/threat-hunting-ransomware-obnaruzheniye-pre-ransomware-aktivnosti-v-korporativnoi-seti-cherez-siem-pravila-i-ioc.92595/

Permission denied — это ещё не конец

🐚 Ты внутри системы от имени www-data, но /etc/shadow недоступен. Между тобой и root — один правильный вектор.

Повышение привилегий — это 80% разведка и только 20% эксплуатация. Большинство застревает именно здесь: бросаются запускать эксплойты, не понимая поверхность атаки.

🎯 Четыре вектора, которые реально работают:
• SUID-бинари — find с SUID-битом даёт root одной командой
• Cron-задачи — если скрипт от root перезаписываемый, ты контролируешь его код
• Linux capabilities — тихая альтернатива SUID, которую часто забывают проверить
• Kernel exploits — когда остальное закрыто

Каждый вектор — с реальным выводом терминала и объяснением механики на уровне Unix-прав. Не просто «скопируй команду», а почему это работает.

🔗 Полный разбор всех четырёх техник с командами:

https://codeby.net/threads/povysheniye-privilegii-linux-poshagovoye-rukovodstvo-ot-pervogo-shella-do-root.92604/

Первый оффер без опыта в ИБ: это реально

Диплом не по специальности, ноль строк в трудовой. Но именно так автор статьи получил позицию junior-пентестера — через портфолио, а не сертификаты. 🎯

Вот что реально работает:

• GitHub с осмысленными репозиториями — не test1 и lab, а recon-subdomain-scanner с README и выводами

• Home lab на ноутбуке с 8 ГБ RAM — Metasploitable 2 + OWASP Juice Shop в изолированной сети

• Write-ups по CTF с объяснением методологии, а не просто скриншоты флагов

Нанимающий менеджер открывает ваш GitHub и за 30 секунд решает: в шортлист или в корзину. Разница между «я умею» и «вот доказательство» — именно здесь. 🔍

В статье — чеклист с конкретными шагами, шаблон README, команды для разворачивания стенда и структура репозиториев.

Полный разбор:

https://codeby.net/threads/portfolio-po-informatsionnoi-bezopasnosti-bez-opyta-poshagovaya-sborka-s-nulya-do-offera.92614/

Один алерт. Пять артефактов. Ноль контекста — пока не начнёшь коррелировать

EDR сработал, процесс завершился. Что делать L1-аналитику, когда таймлайн пустой, а атакующий уже ушёл латерально?

🔍 Ни один артефакт Windows не даёт полной картины в одиночку:
• Event Log покажет логон — но промолчит про запущенный бинарник
• Prefetch подтвердит запуск — но не скажет, откуда файл взялся
• MFT хранит метки времени — но без реестра они просто цифры

Сила DFIR — в перекрёстной валидации. Prefetch фиксирует mimikatz.exe в 32, Event ID 4624 в 30 с нетипичного хоста, MFT подтверждает создание файла в 31 — вектор атаки как на ладони.

В статье разобраны Event Logs, $MFT, реестр, Prefetch и Amcache: конкретные команды, инструменты Циммермана и корреляция артефактов для единого таймлайна.

https://codeby.net/threads/forenzika-windows-poshagovyi-razbor-artefaktov-pri-rassledovanii-intsidenta.92626/

🚩 Новые задания на платформе HackerLab!

🕵️ Категория Форензика — Таска не будет, я устал
——————————————

🗂 В архив добавлены задания + райтапы:

— Веб - Прыжок
— Веб - GhostRegister

Приятного хакинга!

С парковки — в доменную сеть. Без пароля от Wi-Fi

WPA2-Enterprise выглядит неприступно: RADIUS, индивидуальная аутентификация, EAP-туннели. Но в реальных ассессментах доменные учётные данные перехватываются прямо с улицы — ноутбук, Alpha-адаптер, парковка у офиса.

🎯 Корень проблемы — в цепочке доверия. Если клиент не валидирует сертификат RADIUS-сервера в Phase 1, он установит TLS-туннель с evil twin и отдаст credentials в Phase 2. А не валидируют почти все:

• Android до 11 — не требует CA-сертификата по умолчанию
• Windows без GPO — валидация не настроена
• BYOD без MDM — почти никогда не сконфигурированы правильно

В статье — полный разбор атаки через hostapd-mana: от разведки EAP-типов до перехвата MSCHAPv2-хэндшейков и крека. Плюс — что меняется с WPA3-Enterprise.

https://codeby.net/threads/pentest-korporativnogo-wi-fi-ataki-na-802-1x-cherez-evil-twin-i-perekhvat-eap.92633/

Обновили профили на форуме: теперь видно, кто есть кто

Странная штука: открываешь тред с нетривиальным разбором, отвечают двое. Один с двумя сотнями сообщений, второй с двадцатью тысячами. Оба уверенно, оба по делу. Новичок листает и не понимает, кому верить.

А на форуме годами сидят люди с OSCP, сотнями машин на HTB, реальными пентестами, опытом в BlueTeam крупных контор. И ничего этого рядом с ником не видно. Тот, кто десять лет ковыряет периметр банков, и тот, кто зарегался вчера — в ленте выглядят одинаково.

Дело не в понтах. Один и тот же совет от этих двоих весит по-разному, и важно понимать, от кого он.

Переделали профили. Теперь можно показать специализацию, сертификаты, HTB, TryHackMe, HackerLab, портфолио — всё цепляется к мини-профилю у каждого поста. Плюс верификация, чтобы строчка про OSCP была не просто строчкой. Заполнять никто не гонит, заполнение профиля дело добровольное.

Подробности — в анонсе:
https://codeby.net/threads/obnovili-profili-teper-vidno-kto-yest-kto.92647/

Иранские хакеры уже ломали водоочистные станции США — что дальше?

В 2023-м группировка CyberAv3ngers (аффилят КСИР) скомпрометировала 75 ПЛК через дефолтные пароли. В 2024-м — задеплоила малварь IOControl в системах водоснабжения и топлива. Награда за информацию о группе: $10 млн. Это уже не хактивизм.

🔍 Три тревожных тренда:

• Переход с Unitronics на Rockwell CompactLogix/Micro850 — промышленный уровень
• Использование Studio 5000 Logix Designer как вектора атаки
• Подтверждённый операционный ущерб — реальные сбои процессов

💡 Впервые на русском: полная цепочка TTP кампании по MITRE ATT&CK for ICS, Sigma-правила и Splunk-запросы для обнаружения активности в вашей OT-среде.

Разбор CVE-2021-22681 (CVSS 9.8), техник T0883/T0886 и detection engineering — в полной статье:

https://codeby.net/threads/iranskiye-apt-atakuyut-promyshlennyye-plk-razbor-ttp-i-detection-engineering-dlya-ot-ics-sred.92648/

Azure AD: когда открытых портов нет, а взломать всё равно можно

Классический пентестер приходит в Azure-среду и не находит ничего — ни уязвимых сервисов, ни непропатченных хостов. Здесь атакуют не софт, а конфигурацию identity-слоя.

🔍 Один запрос к login.microsoftonline.com — и у вас Tenant ID, тип аутентификации и понимание, federated домен или managed. Критическая развилка: federated открывает векторы через AD FS и Golden SAML, managed — прямые атаки на облачные учётки.

⚡️ Дальше:
• Публичные blob-контейнеры с бэкапами и credentials — реальная находка
• Password spraying с Winter2024! против учёток без MFA — процент попаданий шокирует
• Device Code phishing даёт access token даже при MFA — жертва сама проходит все проверки

🎯 Полный kill chain: от разведки до эскалации Application Administrator → Service Principal → Global Admin — с командами и механикой каждого шага.

Подробнее: https://codeby.net/threads/pentest-azure-ad-razvedka-obkhod-conditional-access-i-eskalatsiya-privilegii-v-entra-id.92650/

Стал DA — что дальше? Три техники, которые дают бессмертный доступ к домену

Получить Domain Admin — ещё не финал. Пароль сменят, сессию убьют — и ты снова снаружи. Настоящая персистентность строится иначе.

🔑 Цепочка:

• DCSync — прикидываешься контроллером домена и через MS-DRSR вытягиваешь хэши всех учёток, включая krbtgt. Без доступа к NTDS.dit и без шума
• Golden Ticket — имея хэш krbtgt, форжишь TGT с произвольным SID и членством в любых группах. DC проверяет подпись, а не факт выдачи
• Silver Ticket — обходишь KDC полностью, подделывая сервисный тикет для конкретного хоста

Неочевидно: для DCSync не обязательно быть DA. Достаточно прав GetChangesAll — их нередко выдают сервисным учёткам SIEM или бэкап-систем.

Полный разбор с командами и детектом со стороны SOC:

https://codeby.net/threads/ataki-na-kontroller-domena-active-directory-dcsync-golden-ticket-i-silver-ticket-na-praktike.92652/

👆Курс «Основы Linux» доступен по подписке PRO.

В подписку также входят:
— курс «Введение в ИБ» с лабораторией
— курс «SQL Injection Master» с лабораторией + сертификат за сдачу экзамена
— Доступ ко всем CTF-заданиям платформы
— Pro-лаборатории

Это не доступ к одному курсу, а сразу к нескольким направлениям обучения и практики.

❗️Напоминаем: до конца апреля подписку PRO можно оформить со скидкой 20% по промокоду PRO20

47 алертов в 2 ночи — и ты не знаешь, атака это или плановый сканер

Именно так выглядит первая смена в SOC. Не эффектный взлом, а умение отличить шум от реальной угрозы.

🔍 Что проверяют на техническом интервью для junior SOC:

• Сети — объяснить DNS-запрос, прочитать pcap в Wireshark
• Windows — Event ID: 4624, 4625, 4688, базовый PowerShell
• MITRE ATT&CK — маппить активность на техники, а не просто знать аббревиатуру

Диплом не обязателен. По данным ISC2 2024, наниматели смотрят на демонстрируемые навыки. В SOC берут из техподдержки, сетевого администрирования и гуманитарных специальностей.

⚡ Переход L1 → L2 занимает 6–18 месяцев. На L2 пишешь корреляционные правила, автоматизируешь рутину на Python, строишь таймлайн атаки.

Полный разбор с роадмапом и инструментами:

https://codeby.net/threads/kar-yera-soc-analitika-v-2026-real-nyi-put-ot-novichka-do-spetsialista.92664/

Три недели работы — ноль на счету. Знакомо?

Reflected XSS, красивый отчёт с PoC — и ответ: «Duplicate». Кто-то нашёл на шесть часов раньше. Второй — «Out of Scope». Третий — «Informational». Так выглядит старт в bug bounty без методологии.

🎯 Что реально работает в 2026-м:

• 70% времени — разведка, 30% — тестирование
• Первые баунти приходят с IDOR и Information Disclosure, не с RCE на Google
• VDP-программы без выплат — идеальный старт: конкуренция минимальна, баги реальны

⚡ Контринтуитивный момент: опытные охотники игнорируют VDP. Для новичка это окно возможностей и репутация, которая открывает приватные программы.

Автосканеры больше не кормят — компании сами гоняют nuclei-шаблоны и закрывают типовые баги до того, как вы откроете Burp Suite.

Полный план на 90 дней, чеклисты и команды для разведки:

https://codeby.net/threads/bug-bounty-s-nulya-kak-nachat-zarabatyvat-na-poiske-uyazvimostei-v-2026-godu.92672/

4 часа потерял из-за неправильной подсети. Через 3 года — пентесты корпораций

Это реальная история автора roadmap. Не курс, не маркетинг — конкретный путь с чекпоинтами, которые нельзя пропустить.

🗺 Что внутри:

• Фаза 1 (месяцы 1-2): сети на уровне «почему ARP-спуфинг работает», Linux, AD, Python/Bash — без этого дальше нельзя
• Язык индустрии: MITRE ATT&CK с реальными идентификаторами — T1558.003, T1550.002, T1003. На собеседовании это отличает джуна от кандидата
• Честно про отчёты: их ненавидят все, но именно они приносят деньги

🔍 Главный инсайт: 80% отсеиваются на фундаменте — не потому что сложно, а потому что скучно. Автор потерял 6 недель, пропустив сети и сразу запустив Metasploit.

Каждая фаза заканчивается проверяемым результатом — не выполнил чекпоинт, не идёшь дальше. Без исключений.

Полный разбор с командами, инструментами и таймингом:

https://codeby.net/threads/kak-stat-pentesterom-s-nulya-roadmap-ot-cheloveka-kotoryi-proshel-etot-put.92680/

Контейнер — это не тюрьма. Это комната с незапертой дверью

🔓 Между тобой и ядром хоста нет аппаратного гипервизора — только namespaces, cgroups и capabilities. Одна мисконфигурация, и ты уже на хосте с доступом ко всем соседним контейнерам.

Самый частый вектор на пентестах — флаг --privileged. Он отключает seccomp, снимает ограничения capabilities и открывает все блочные устройства через /dev. Дальше три команды:

• fdisk -l → находишь корневой диск
• mount /dev/sda1 /mnt/host → монтируешь ФС хоста
• chroot /mnt/host → и ты уже не в контейнере

🎯 В статье разобраны эксплуатация Docker socket, побег через release_agent в cgroups v1 и уязвимости runc из серии Leaky Vessels — с механикой на уровне syscall'ов и воспроизводимыми командами.

https://codeby.net/threads/pobeg-iz-docker-konteinera-tekhniki-ekspluatatsii-ot-privileged-mode-do-uyazvimostei-runc.92681/

Три уязвимости, которые решают 80% веб-тасков в CTF

🎯 SQL injection, SSRF, десериализация — звучит банально. Но современные CTF строятся не на классических пейлоадах, а на обходах фильтров, где автоматика пасует.

Пример: sqlmap с флагами --level=5 --risk=3 не нашёл blind SQLi в cookie на MireaCTF — уязвимость подтвердилась вручную за минуту.

Рабочие принципы:
• Первые 60 секунд — исходник и заголовки, не фаззинг
• Перед UNION SELECT — всегда information_schema, не угадывай таблицы
• SSRF — трамплин к внутренним сервисам без авторизации

🔍 Разбор реальных тасков с HackTheBox, PicoCTF и Intigriti, включая кейс на CVE-2025-57822 в Next.js Middleware.

Полный разбор с пейлоадами и скриптами:

https://codeby.net/threads/ctf-web-writeup-sql-injection-ssrf-i-deserializatsiya-razbor-real-nykh-zadach.92698/

Первый CTF убивает мотивацию — если выбрать не ту категорию

4 часа смотришь на нечитаемый бинарник в Ghidra, ноль флагов, желание всё бросить. Знакомо? Проблема не в знаниях — проблема в старте с PWN вместо Misc или Crypto.

🎯 Честный рейтинг категорий для новичка:

• Misc + Crypto (easy) — первый флаг за 15 минут. CyberChef, шифр Цезаря, base64. Никакой математики.
• Web — самая полезная для карьеры. SQL-инъекции, XSS, Burp Suite. Реальные навыки пентестера.
• Forensics / OSINT — не нужно писать код. strings файл | grep -i flag — и флаг иногда лежит прямо там.
• PWN / Reversing — без полугода подготовки лучше не трогать.

И ещё одно: на старте — только Jeopardy-формат. Решаешь в своём темпе, ошибки никому не видны, можно участвовать в одиночку.

Полный разбор с инструментами, платформами и планом подготовки на месяц:

https://codeby.net/threads/ctf-dlya-nachinayushchikh-kak-vybrat-kategoriyu-i-ne-ubit-motivatsiyu-na-pervom-sorevnovanii.92697/

LLM в пентесте: где реально помогает, а где кладёт прод

Год экспериментов с AI в bug bounty и корпоративных аудитах — честный итог: часть сэкономила часы рутины, часть галлюцинировала несуществующими CVE и роняла терминал.

🎯 Три зоны, где LLM ускоряет работу:
• Разведка — парсинг вывода nmap, корреляция портов с уязвимостями
• Приоритизация — ранжирование находок сканера по реальной эксплуатируемости
• Отчёты — из сырых логов в читаемый документ. Экономия 2-3 часа на проект

⚠️ На этапе эксплуатации — осторожно. Сгенерированный скрипт едва не положил прод-базу заказчика.

Отдельно — про METATRON: локальный CLI-ассистент без облака, не сливает данные на серверы Anthropic или OpenAI. Для NDA-проектов незаменим. И про Claude MCP на Kali Linux — прямой доступ к sqlmap и Metasploit через естественный язык.

Полный разбор с кодом и конфигами:

https://codeby.net/threads/ai-instrumenty-dlya-pentesta-metatron-claude-mcp-i-llm-assistenty-na-praktike.92716/