Один алерт. Пять артефактов. Ноль контекста — пока не начнёшь коррелировать

EDR сработал, процесс завершился. Что делать L1-аналитику, когда таймлайн пустой, а атакующий уже ушёл латерально?

🔍 Ни один артефакт Windows не даёт полной картины в одиночку:
• Event Log покажет логон — но промолчит про запущенный бинарник
• Prefetch подтвердит запуск — но не скажет, откуда файл взялся
• MFT хранит метки времени — но без реестра они просто цифры

Сила DFIR — в перекрёстной валидации. Prefetch фиксирует mimikatz.exe в 32, Event ID 4624 в 30 с нетипичного хоста, MFT подтверждает создание файла в 31 — вектор атаки как на ладони.

В статье разобраны Event Logs, $MFT, реестр, Prefetch и Amcache: конкретные команды, инструменты Циммермана и корреляция артефактов для единого таймлайна.

https://codeby.net/threads/forenzika-windows-poshagovyi-razbor-artefaktov-pri-rassledovanii-intsidenta.92626/

🚩 Новые задания на платформе HackerLab!

🕵️ Категория Форензика — Таска не будет, я устал
——————————————

🗂 В архив добавлены задания + райтапы:

— Веб - Прыжок
— Веб - GhostRegister

Приятного хакинга!

С парковки — в доменную сеть. Без пароля от Wi-Fi

WPA2-Enterprise выглядит неприступно: RADIUS, индивидуальная аутентификация, EAP-туннели. Но в реальных ассессментах доменные учётные данные перехватываются прямо с улицы — ноутбук, Alpha-адаптер, парковка у офиса.

🎯 Корень проблемы — в цепочке доверия. Если клиент не валидирует сертификат RADIUS-сервера в Phase 1, он установит TLS-туннель с evil twin и отдаст credentials в Phase 2. А не валидируют почти все:

• Android до 11 — не требует CA-сертификата по умолчанию
• Windows без GPO — валидация не настроена
• BYOD без MDM — почти никогда не сконфигурированы правильно

В статье — полный разбор атаки через hostapd-mana: от разведки EAP-типов до перехвата MSCHAPv2-хэндшейков и крека. Плюс — что меняется с WPA3-Enterprise.

https://codeby.net/threads/pentest-korporativnogo-wi-fi-ataki-na-802-1x-cherez-evil-twin-i-perekhvat-eap.92633/

Обновили профили на форуме: теперь видно, кто есть кто

Странная штука: открываешь тред с нетривиальным разбором, отвечают двое. Один с двумя сотнями сообщений, второй с двадцатью тысячами. Оба уверенно, оба по делу. Новичок листает и не понимает, кому верить.

А на форуме годами сидят люди с OSCP, сотнями машин на HTB, реальными пентестами, опытом в BlueTeam крупных контор. И ничего этого рядом с ником не видно. Тот, кто десять лет ковыряет периметр банков, и тот, кто зарегался вчера — в ленте выглядят одинаково.

Дело не в понтах. Один и тот же совет от этих двоих весит по-разному, и важно понимать, от кого он.

Переделали профили. Теперь можно показать специализацию, сертификаты, HTB, TryHackMe, HackerLab, портфолио — всё цепляется к мини-профилю у каждого поста. Плюс верификация, чтобы строчка про OSCP была не просто строчкой. Заполнять никто не гонит, заполнение профиля дело добровольное.

Подробности — в анонсе:
https://codeby.net/threads/obnovili-profili-teper-vidno-kto-yest-kto.92647/

Иранские хакеры уже ломали водоочистные станции США — что дальше?

В 2023-м группировка CyberAv3ngers (аффилят КСИР) скомпрометировала 75 ПЛК через дефолтные пароли. В 2024-м — задеплоила малварь IOControl в системах водоснабжения и топлива. Награда за информацию о группе: $10 млн. Это уже не хактивизм.

🔍 Три тревожных тренда:

• Переход с Unitronics на Rockwell CompactLogix/Micro850 — промышленный уровень
• Использование Studio 5000 Logix Designer как вектора атаки
• Подтверждённый операционный ущерб — реальные сбои процессов

💡 Впервые на русском: полная цепочка TTP кампании по MITRE ATT&CK for ICS, Sigma-правила и Splunk-запросы для обнаружения активности в вашей OT-среде.

Разбор CVE-2021-22681 (CVSS 9.8), техник T0883/T0886 и detection engineering — в полной статье:

https://codeby.net/threads/iranskiye-apt-atakuyut-promyshlennyye-plk-razbor-ttp-i-detection-engineering-dlya-ot-ics-sred.92648/

Azure AD: когда открытых портов нет, а взломать всё равно можно

Классический пентестер приходит в Azure-среду и не находит ничего — ни уязвимых сервисов, ни непропатченных хостов. Здесь атакуют не софт, а конфигурацию identity-слоя.

🔍 Один запрос к login.microsoftonline.com — и у вас Tenant ID, тип аутентификации и понимание, federated домен или managed. Критическая развилка: federated открывает векторы через AD FS и Golden SAML, managed — прямые атаки на облачные учётки.

⚡️ Дальше:
• Публичные blob-контейнеры с бэкапами и credentials — реальная находка
• Password spraying с Winter2024! против учёток без MFA — процент попаданий шокирует
• Device Code phishing даёт access token даже при MFA — жертва сама проходит все проверки

🎯 Полный kill chain: от разведки до эскалации Application Administrator → Service Principal → Global Admin — с командами и механикой каждого шага.

Подробнее: https://codeby.net/threads/pentest-azure-ad-razvedka-obkhod-conditional-access-i-eskalatsiya-privilegii-v-entra-id.92650/

Стал DA — что дальше? Три техники, которые дают бессмертный доступ к домену

Получить Domain Admin — ещё не финал. Пароль сменят, сессию убьют — и ты снова снаружи. Настоящая персистентность строится иначе.

🔑 Цепочка:

• DCSync — прикидываешься контроллером домена и через MS-DRSR вытягиваешь хэши всех учёток, включая krbtgt. Без доступа к NTDS.dit и без шума
• Golden Ticket — имея хэш krbtgt, форжишь TGT с произвольным SID и членством в любых группах. DC проверяет подпись, а не факт выдачи
• Silver Ticket — обходишь KDC полностью, подделывая сервисный тикет для конкретного хоста

Неочевидно: для DCSync не обязательно быть DA. Достаточно прав GetChangesAll — их нередко выдают сервисным учёткам SIEM или бэкап-систем.

Полный разбор с командами и детектом со стороны SOC:

https://codeby.net/threads/ataki-na-kontroller-domena-active-directory-dcsync-golden-ticket-i-silver-ticket-na-praktike.92652/

👆Курс «Основы Linux» доступен по подписке PRO.

В подписку также входят:
— курс «Введение в ИБ» с лабораторией
— курс «SQL Injection Master» с лабораторией + сертификат за сдачу экзамена
— Доступ ко всем CTF-заданиям платформы
— Pro-лаборатории

Это не доступ к одному курсу, а сразу к нескольким направлениям обучения и практики.

❗️Напоминаем: до конца апреля подписку PRO можно оформить со скидкой 20% по промокоду PRO20

47 алертов в 2 ночи — и ты не знаешь, атака это или плановый сканер

Именно так выглядит первая смена в SOC. Не эффектный взлом, а умение отличить шум от реальной угрозы.

🔍 Что проверяют на техническом интервью для junior SOC:

• Сети — объяснить DNS-запрос, прочитать pcap в Wireshark
• Windows — Event ID: 4624, 4625, 4688, базовый PowerShell
• MITRE ATT&CK — маппить активность на техники, а не просто знать аббревиатуру

Диплом не обязателен. По данным ISC2 2024, наниматели смотрят на демонстрируемые навыки. В SOC берут из техподдержки, сетевого администрирования и гуманитарных специальностей.

⚡ Переход L1 → L2 занимает 6–18 месяцев. На L2 пишешь корреляционные правила, автоматизируешь рутину на Python, строишь таймлайн атаки.

Полный разбор с роадмапом и инструментами:

https://codeby.net/threads/kar-yera-soc-analitika-v-2026-real-nyi-put-ot-novichka-do-spetsialista.92664/

Три недели работы — ноль на счету. Знакомо?

Reflected XSS, красивый отчёт с PoC — и ответ: «Duplicate». Кто-то нашёл на шесть часов раньше. Второй — «Out of Scope». Третий — «Informational». Так выглядит старт в bug bounty без методологии.

🎯 Что реально работает в 2026-м:

• 70% времени — разведка, 30% — тестирование
• Первые баунти приходят с IDOR и Information Disclosure, не с RCE на Google
• VDP-программы без выплат — идеальный старт: конкуренция минимальна, баги реальны

⚡ Контринтуитивный момент: опытные охотники игнорируют VDP. Для новичка это окно возможностей и репутация, которая открывает приватные программы.

Автосканеры больше не кормят — компании сами гоняют nuclei-шаблоны и закрывают типовые баги до того, как вы откроете Burp Suite.

Полный план на 90 дней, чеклисты и команды для разведки:

https://codeby.net/threads/bug-bounty-s-nulya-kak-nachat-zarabatyvat-na-poiske-uyazvimostei-v-2026-godu.92672/

4 часа потерял из-за неправильной подсети. Через 3 года — пентесты корпораций

Это реальная история автора roadmap. Не курс, не маркетинг — конкретный путь с чекпоинтами, которые нельзя пропустить.

🗺 Что внутри:

• Фаза 1 (месяцы 1-2): сети на уровне «почему ARP-спуфинг работает», Linux, AD, Python/Bash — без этого дальше нельзя
• Язык индустрии: MITRE ATT&CK с реальными идентификаторами — T1558.003, T1550.002, T1003. На собеседовании это отличает джуна от кандидата
• Честно про отчёты: их ненавидят все, но именно они приносят деньги

🔍 Главный инсайт: 80% отсеиваются на фундаменте — не потому что сложно, а потому что скучно. Автор потерял 6 недель, пропустив сети и сразу запустив Metasploit.

Каждая фаза заканчивается проверяемым результатом — не выполнил чекпоинт, не идёшь дальше. Без исключений.

Полный разбор с командами, инструментами и таймингом:

https://codeby.net/threads/kak-stat-pentesterom-s-nulya-roadmap-ot-cheloveka-kotoryi-proshel-etot-put.92680/

Контейнер — это не тюрьма. Это комната с незапертой дверью

🔓 Между тобой и ядром хоста нет аппаратного гипервизора — только namespaces, cgroups и capabilities. Одна мисконфигурация, и ты уже на хосте с доступом ко всем соседним контейнерам.

Самый частый вектор на пентестах — флаг --privileged. Он отключает seccomp, снимает ограничения capabilities и открывает все блочные устройства через /dev. Дальше три команды:

• fdisk -l → находишь корневой диск
• mount /dev/sda1 /mnt/host → монтируешь ФС хоста
• chroot /mnt/host → и ты уже не в контейнере

🎯 В статье разобраны эксплуатация Docker socket, побег через release_agent в cgroups v1 и уязвимости runc из серии Leaky Vessels — с механикой на уровне syscall'ов и воспроизводимыми командами.

https://codeby.net/threads/pobeg-iz-docker-konteinera-tekhniki-ekspluatatsii-ot-privileged-mode-do-uyazvimostei-runc.92681/

Три уязвимости, которые решают 80% веб-тасков в CTF

🎯 SQL injection, SSRF, десериализация — звучит банально. Но современные CTF строятся не на классических пейлоадах, а на обходах фильтров, где автоматика пасует.

Пример: sqlmap с флагами --level=5 --risk=3 не нашёл blind SQLi в cookie на MireaCTF — уязвимость подтвердилась вручную за минуту.

Рабочие принципы:
• Первые 60 секунд — исходник и заголовки, не фаззинг
• Перед UNION SELECT — всегда information_schema, не угадывай таблицы
• SSRF — трамплин к внутренним сервисам без авторизации

🔍 Разбор реальных тасков с HackTheBox, PicoCTF и Intigriti, включая кейс на CVE-2025-57822 в Next.js Middleware.

Полный разбор с пейлоадами и скриптами:

https://codeby.net/threads/ctf-web-writeup-sql-injection-ssrf-i-deserializatsiya-razbor-real-nykh-zadach.92698/

Первый CTF убивает мотивацию — если выбрать не ту категорию

4 часа смотришь на нечитаемый бинарник в Ghidra, ноль флагов, желание всё бросить. Знакомо? Проблема не в знаниях — проблема в старте с PWN вместо Misc или Crypto.

🎯 Честный рейтинг категорий для новичка:

• Misc + Crypto (easy) — первый флаг за 15 минут. CyberChef, шифр Цезаря, base64. Никакой математики.
• Web — самая полезная для карьеры. SQL-инъекции, XSS, Burp Suite. Реальные навыки пентестера.
• Forensics / OSINT — не нужно писать код. strings файл | grep -i flag — и флаг иногда лежит прямо там.
• PWN / Reversing — без полугода подготовки лучше не трогать.

И ещё одно: на старте — только Jeopardy-формат. Решаешь в своём темпе, ошибки никому не видны, можно участвовать в одиночку.

Полный разбор с инструментами, платформами и планом подготовки на месяц:

https://codeby.net/threads/ctf-dlya-nachinayushchikh-kak-vybrat-kategoriyu-i-ne-ubit-motivatsiyu-na-pervom-sorevnovanii.92697/

LLM в пентесте: где реально помогает, а где кладёт прод

Год экспериментов с AI в bug bounty и корпоративных аудитах — честный итог: часть сэкономила часы рутины, часть галлюцинировала несуществующими CVE и роняла терминал.

🎯 Три зоны, где LLM ускоряет работу:
• Разведка — парсинг вывода nmap, корреляция портов с уязвимостями
• Приоритизация — ранжирование находок сканера по реальной эксплуатируемости
• Отчёты — из сырых логов в читаемый документ. Экономия 2-3 часа на проект

⚠️ На этапе эксплуатации — осторожно. Сгенерированный скрипт едва не положил прод-базу заказчика.

Отдельно — про METATRON: локальный CLI-ассистент без облака, не сливает данные на серверы Anthropic или OpenAI. Для NDA-проектов незаменим. И про Claude MCP на Kali Linux — прямой доступ к sqlmap и Metasploit через естественный язык.

Полный разбор с кодом и конфигами:

https://codeby.net/threads/ai-instrumenty-dlya-pentesta-metatron-claude-mcp-i-llm-assistenty-na-praktike.92716/

Два CVE, два языка, одна дыра в архитектуре AI-агентов

Апрель 2026-го сломал иллюзию «безопасной песочницы» для мультиагентных фреймворков. Два критических бага — оба эксплуатируются по сети с низкой сложностью.

🔴 CVE-2026-39888 (CVSS 9.9) — PraisonAI. Блоклист содержит 11 атрибутов вместо 30+. Четыре пропущенных имени (__traceback__, tb_frame, f_back, f_builtins) образуют цепочку frame traversal: поднимаешься по стеку до __builtins__, достаёшь exec — полный RCE на хосте.

🔴 CVE-2026-34208 (CVSS 10.0) — SandboxJS. Prototype mutation через this.constructor.call() обходит защиту глобальных объектов. Мутации живут между сессиями: один запрос отравляет shared state для всех пользователей.

Оба бага — следствие AST-блоклистов вместо изоляции через gVisor или Kata Containers.

https://codeby.net/threads/sandbox-escape-v-ai-agentakh-2026-razbirayem-cve-2026-39888-i-cve-2026-34208.92719/

ИИ не взламывает за вас — но экономит часы рутины

За 8 месяцев на реальных engagement'ах выяснилось: LLM не заменяет пентестера, зато разгребает 3000 строк nmap-вывода за минуты и пишет черновик отчёта, пока ты пьёшь кофе.

🔍 Главная проблема обзоров «AI для пентеста» — в одну кучу валят разные вещи. Рынок делится на 7 сегментов: от AI-ассистентов внутри Burp до автономных black-box движков. Сравнивать PentestGPT с Pentera — всё равно что Burp Repeater с Nessus.

⚡ Где LLM реально ускоряет:
• Анализ разведки — промпт к выводу subfinder/amass находит «забытые» Jenkins с дефолтными кредами
• Генерация payload'ов — Unicode normalization abuse против WAF вместо заблокированных UNION-векторов
• Черновики отчётов — стартовая точка, не финал

🛡 Облачные LLM — только с NDA. Для чувствительных проектов — ollama или локальный routing.

https://codeby.net/threads/ii-dlya-pentesta-v-2026-chto-real-no-rabotayet-na-engagementakh-a-chto-marketing.92721/

SMB signing в AD включён по умолчанию? Только на контроллерах домена

Microsoft выставляет SMB signing = required только на DC. На member servers — file, print, application, terminal — по умолчанию стоит negotiate. Это значит: если атакующий перехватит NTLM-хендшейк, подпись можно даунгрейднуть и зарелеить аутентификацию в шару другого хоста через ntlmrelayx. Если перехваченная учётка имеет там админские права — компрометация готова.

🎯 Что проверяет атакующий за три команды nmap:

• -sn по подсети — список живых хостов
• -p 88,389,445,636 — отсев DC от member servers
• --script smb-security-mode — на каких member servers signing в статусе disabled

Три команды — и готовый список целей для NTLM relay.

SMB signing = disabled стабильно встречается на свежих серверах 2025–2026 года, не только на legacy-инфраструктуре. Microsoft не меняет дефолтные политики для member servers, а админы исходят из того, что в современной Windows всё настроено безопасно из коробки. Атакующему это на руку — один Nmap-скан находит все уязвимые хосты сразу.

🔍 В статье — полная шпаргалка Nmap для AD: NSE-скрипты под LDAP/Kerberos/SMB, маппинг на MITRE ATT&CK и gotcha-моменты из практики (например, -sS без sudo молча падает в -sT — скан идёт полным TCP-хендшейком и светится в логах целевой машины).

https://codeby.net/threads/nmap-shpargalka-komandy-dlya-pentesta-active-directory.92733/