Хотите одной командой найти все пустые пароли в системных учетных записях?

Забытые аккаунты без паролей или случайно созданные тестовые пользователи — это критическая уязвимость, которая позволяет злоумышленнику мгновенно подключиться по SSH или получить локальный шелл в системе. Быстрый аудит защищенного файла /etc/shadow с помощью текстового процессора awk позволяет за секунду отсеять безопасные учетки от скрытых дыр в вашей безопасности.

Вывод списка всех пользователей, у которых поле хеша пароля полностью отсутствует:

sudo awk -F: '($2 == "") {print $1}' /etc/shadow

Если команда вернула имена пользователей, значит, эти аккаунты прямо сейчас открыты для входа без пароля.

Проверка наличия учетных записей, у которых вместо пароля установлен символ * или !:

sudo awk -F: '($2 ~ /^[*!]/) {print $1}' /etc/shadow

Эти спецсимволы, напротив, показывают, что учетная запись надежно заблокирована для прямой авторизации.

🔥 Чтобы быстро заблокировать опасный пустой аккаунт (например, testuser), выполните команду sudo passwd -l testuser, которая добавит знак восклицания перед хешем.

➡️ Hacking Ready | #совет

Интересный факт: простой файл security.txt позволяет этичным хакерам легально сообщать вам о дырах в безопасности!

Когда белый хакер находит критическую уязвимость на вашем сайте, он часто сталкивается с проблемой: кому об этом сообщить, чтобы данные не попали в паблик, а его самого не обвинили во взломе.

Текстовый стандарт security.txt размещается в корне сайта и служит официальной визитной карточкой, четко описывая легальные каналы связи, контакты и правила Bug Bounty компании.

Создание стандартного файла с контактами и ссылкой на вашу политику разглашения (Vulnerability Disclosure Policy):

# Разместите этот текст в файле security.txt
Contact: mailto:security@yourdomain.com
Encryption: https://yourdomain.com/pgp-key.txt
Acknowledgements: https://yourdomain.com/hall-of-fame.html

Этот конфиг указывает исследователям безопасный email и PGP-ключ для зашифрованной отправки отчетов.

Правильное размещение файла на вашем веб-сервере для автоматического парсинга сканерами:

sudo mkdir -p /var/www/html/.well-known/ && sudo mv security.txt /var/www/html/.well-known/

По стандарту RFC 9116 файл должен быть доступен строго по пути /.well-known/security.txt.

🔥 Чтобы автоматизировать генерацию и не забыть важные поля (например, дату истечения актуальности Expires), используйте официальный веб-конструктор на сайте securitytxt.org.

➡️ Hacking Ready | #совет

Как мгновенно находить сложные и длинные команды в истории терминала без бесконечного нажатия стрелочек?

Листать историю стрелкой «Вверх» ради одного сложного однострочника — пустая трата времени. Встроенный механизм обратного поиска (Reverse-i-search) находит нужную команду на лету по нескольким введенным символам.

Активация режима поиска и автоматический подбор совпадений по мере ввода букв:

$ [Нажми Ctrl+R]
$ (reverse-i-search)`':

Начни вводить ключевое слово (например, docker), и оболочка сразу подставит последнюю подходящую команду.

Листание истории дальше назад, если первый предложенный вариант не подошел:

$ [Нажимай Ctrl+R повторно]

Важно: для выхода из поиска без запуска выбранной команды достаточно нажать Ctrl+G или Esc.

🔥 Экономит часы жизни при работе с консолью, избавляя от необходимости вести блокноты со шпаргалками.

➡️ Hacking Ready | #совет

Сидеть и работать в корпорации — страшно, жизнь-то мимо проходит. Уходить строить бизнес — страшно, а вдруг прогорит. Один из вариантов — разрабатывать свой пет-проект по вечерам. Многие успешные компании, например, Twitter, создавались именно так. Это не значит, что ваш проект обязательно заработает миллиарды, но заработать больше, чем в найме, и получить ценный опыт — вполне реально.

Перед началом разработки появляется множество вопросов, например:

• Как выбрать идею для пет-проекта?
• Что нужно знать про маркетинг
• Как запуститься и довести до первых продаж не имея бюджета на рекламу?

В телеграм-канале «Твой пет проект», Михаил Табунов делится своим опытом с разработчиками и менеджерами.

Он рассказывает, где искать идею для нового проекта, что нужно знать о маркетинге, как запустить стартап и привлечь первых 10 клиентов, а также о многих других важных вещах.

Подписывайтесь на «Твой пет проект», получайте пользу от практиков рынка!
https://t.me/+8Frwa03ciVlhNTky