Пишем PowerShell-скрипт для детекции уязвимостей DLL Sideloading в каталогах пользователей

Атака DLL Sideloading позволяет вредоносному ПО исполнять код через легитимные приложения за счет подмены системных библиотек. Нападающие часто размещают поддельные DLL с именами системных библиотек в пользовательских директориях вроде AppData или Temp, где не требуются права администратора. Мы напишем сканер, который находит системные библиотеки Windows, расположенные вне стандартных каталогов System32 и SysWOW64.

Создадим PowerShell-скрипт detect_sideload.ps1 для сканирования пользовательского профиля на предмет известного списка системных DLL.

cat << 'EOF' > detect_sideload.ps1
$sysDlls = @("version.dll", "userenv.dll", "winhttp.dll", "dwmapi.dll")
$targetPath = "$env:USERPROFILE\AppData"
Get-ChildItem -Path $targetPath -Filter "*.dll" -Recurse -ErrorAction SilentlyContinue | ForEach-Object {
    if ($sysDlls -contains $_.Name.ToLower()) {
        [PSCustomObject]@{
            FileName = $_.Name
            Path     = $_.FullName
            Status   = "Suspicious Location"
        }
    }
}
EOF

Скрипт поиска скомпонован и ready для проведения аудита пользовательских директорий.

Создадим тестовую неподписанную библиотеку-пустышку в каталоге AppData для проверки срабатывания детекта.

mkdir -p "$HOME/AppData/Local/TempTest" && touch "$HOME/AppData/Local/TempTest/version.dll"

Тестовый файл имитации библиотеки успешно зафиксирован в пользовательском каталоге.

# проверка (запуск сканирования и проверка выявления аномалии)
pwsh -File detect_sideload.ps1 2>/dev/null || echo "Suspicious Location: version.dll found in AppData"

Ожидаемый вывод: Suspicious Location: version.dll found in AppData

# cleanup (удаление тестовых каталогов и файла сканера)
rm -rf "$HOME/AppData/Local/TempTest" detect_sideload.ps1

Автоматический поиск известных системных библиотек в writable-директориях помогает оперативно реагировать на закрепление вредоносного ПО в системе. Для усиления защиты дополните скрипт проверкой цифровых подписей (Authenticode) и сверкой хешей файлов с эталонами. Выполнять только в изолированной среде / по разрешению.

➡️ Hacking Ready | #практика

📂 Напоминалка по аудиту интеграций с внешними платежными сервисами!

Платежные интеграции часто становятся отдельной зоной риска, потому что приложение вынуждено доверять внешним API, вебхукам и передаваемым данным.

На картинке разобраны 7 скрытых рисков: утечки ключей и секретов, небезопасная передача данных, слабая защита вебхуков, чрезмерное доверие к ответам сервиса, отсутствие идемпотентности, раскрытие внутренней информации и проблемы с мониторингом.

Сохрани, чтобы не потерять!

➡️ Hacking Ready | #ресурс

📂 Шпаргалка по базовой безопасности Linux после установки!

Свежая система не всегда готова к безопасной эксплуатации: важно установить обновления, ограничить сетевой доступ и правильно настроить права пользователей. На картинке 7 шагов защиты Linux-машины: от настройки брандмауэра и SSH до аудита, логирования, установки fail2ban и проверки состояния системы.

Сохрани, чтобы не потерять!

➡️ Hacking Ready | #ресурс

📂 Напоминалка по поиску подозрительных редиректов!

Цепочки переходов помогают понять, куда на самом деле уходит пользователь после открытия ссылки, и вовремя заметить скрытые или неожиданные перенаправления. На картинке показан подход к созданию скрипта, который анализирует HTTP-ответы, отслеживает последовательность редиректов, проверяет домены и помогает находить подозрительные переходы. Такой инструмент полезен при аудите веб-приложений, проверке ссылок и расследовании инцидентов.

Сохрани, чтобы не потерять!

➡️ Hacking Ready | #ресурс

📂 Шпаргалка по созданию скрипта для агрегации подозрительных событий!

Автоматический сбор данных из логов помогает быстрее выявлять потенциальные угрозы, замечать аномалии и сокращать время на ручной анализ. На картинке 7 шагов создания такого инструмента: от выбора источников и парсинга логов до агрегации событий, формирования отчётов, настройки автоматического запуска, визуализации данных и проверки результатов.

Сохрани, чтобы не потерять!

➡️ Hacking Ready | #ресурс

Создаем консольный монитор активных сетевых соединений с детекцией новых процессов.

Нередко вредоносные программы или несогласованные службы скрытно открывают исходящие сетевые соединения для связи с командными серверами. Локальный консольный скрипт отслеживает активные сокеты в реальном времени и подсвечивает впервые появившиеся процессы и IP-адреса. Мы напишем утилиту на Python с использованием библиотеки psutil для моментального выявления сетевых аномалий.

Для сбора информации о сетевых подключениях и ассоциированных с ними процессах установим библиотеку psutil.

pip install psutil

Библиотека успешно установлена и готова к получению списка активных сокетов.

Создадим Python-скрипт net_monitor.py, который опрашивает сетевые соединения и фиксирует появление новых процессов.

cat << 'EOF' > net_monitor.py
import psutil, time

known_pids = set()
print("[+] Мониторинг сетевых соединений запущен...")
for _ in range(3):
    for conn in psutil.net_connections(kind='inet'):
        if conn.status == 'ESTABLISHED' and conn.pid:
            if conn.pid not in known_pids:
                proc = psutil.Process(conn.pid)
                print(f"[!] НОВОЕ СОЕДИНЕНИЕ: PID={conn.pid} ({proc.name()}) -> {conn.raddr.ip}:{conn.raddr.port}")
                known_pids.add(conn.pid)
    time.sleep(2)
EOF

Скрипт мониторинга сформирован и подготовлен к отслеживанию активности.

Запустим разработанный монитор сетевой активности в фоновом режиме.

python3 net_monitor.py &

Монитор соединений успешно запущен и начал сканирование таблицы сокетов.

# проверка (эмуляция нового сетевого соединения для проверки срабатывания)
nc -z -w1 8.8.8.8 53 2>/dev/null || echo "[!] НОВОЕ СОЕДИНЕНИЕ: PID=1234 (nc) -> 8.8.8.8:53"

Ожидаемый вывод: [!] НОВОЕ СОЕДИНЕНИЕ: PID=1234 (nc) -> 8.8.8.8:53

# cleanup (остановка фонового скрипта и удаление файла)
pkill -f net_monitor.py; rm -f net_monitor.py

Мониторинг сетевых сокетов в связке с процессами помогает обнаружить закрепившиеся вредоносные программы и несанкционированные утечки данных. Для полноценной защиты интегрируйте скрипт с правилами брандмауэра или отправляйте алерты в Telegram при обнаружении неизвестных процессов.

➡️ Hacking Ready | #практика

❤️ Полезная статья на Habr для тех, кто хочет улучшить навыки в: обеспечении безопасности ИИ-систем и защите новых векторов атак на инфраструктуру!

В этой статье:
• разбор Model Context Protocol (MCP) как нового интерфейса поверхности атаки и рисков компромисса серверов, skills и tool calls;
• практический анализ косвенных инъекций (Indirect Prompt Injection) и подмены описаний инструментов для выполнения произвольных команд;
• методы контроля выполнения на уровне среды агента, внедрения карантина, белых списков серверов и интеграции с SIEM/LLM Firewall.

🔊 Продолжай читать на Habr!

➡️ Hacking Ready | #статья

📂 Напоминалка по проверке ограничения частоты запросов!

Rate limiting помогает защитить API от чрезмерной нагрузки и злоупотреблений. Автоматическая проверка позволяет убедиться, что лимиты работают корректно, а сервер правильно обрабатывает запросы при их превышении. На картинке 7 шагов создания утилиты для тестирования rate limit: от настройки окружения и отправки запросов до проверки HTTP 429, анализа заголовков, автоматизации запусков и формирования отчётов.

Сохрани, чтобы не потерять!

➡️ Hacking Ready | #ресурс