Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность
12.6K subscribers
1.81K photos
92 videos
166 files
2.86K links
Все самое полезное по инфобезу в одном канале.

Список наших каналов: https://t.me/proglibrary/9197

Для обратной связи: @proglibrary_feeedback_bot

По рекламе: @proglib_adv
РКН: https://gosuslugi.ru/snet/67ab0e2e75b36e054ef6d5bf
Download Telegram
🎯 Эксплуатация PDF-генераторов: полный гайд по поиску уязвимостей SSRF

Вы на практике узнаете о последствиях обработки несанитизированных пользовательских данных в PDF-генераторах, а также то, как можно эксплуатировать эти функции и добиваться большего импакта.

👉 Читать

#guide #bugbounty #pentest
Please open Telegram to view this post
VIEW IN TELEGRAM
This media is not supported in your browser
VIEW IN TELEGRAM
🔥 Новые методы внедрения процессов с использованием пулов потоков Windows

Обзор набора гибких методов внедрения в процессы Windows от исследователей из SafeBreach, которые позволяют обойти популярные EDR-решения:

🔸 Windows Thread Pool: теория;
🔸 техника внедрения с использованием пула потоков;
🔸 преимущества техники;
🔸 примеры использования;
🔸 защита от таких атак.

⚒️ pool_party_rs — инструмент для удалённого внедрения процессов, который использует методы из исследования.

#tools #redteam #research
Please open Telegram to view this post
VIEW IN TELEGRAM
🔍 WPProbe — быстрый и эффективный сканер WordPress-плагинов, который использует REST API enumeration для обнаружения установленных плагинов

В отличие от традиционных сканеров, которые «забивают» сайты запросами, WPProbe просто запрашивая открытый REST API (?rest_route).

Эта техника позволяет скрытно идентифицировать плагины (~900), снижая риски обнаружения и ускоряя процесс сканирования.

💻 GitHub

#tools #bugbounty
Please open Telegram to view this post
VIEW IN TELEGRAM
Самые полезные каналы для программистов в одной подборке!

Сохраняйте себе, чтобы не потерять 💾

🔥Для всех

Библиотека программиста — новости, статьи, досуг, фундаментальные темы
Книги для программистов
IT-мемы
Proglib Academy — тут мы рассказываем про обучение и курсы
Азбука айтишника — здесь мы познаем азы из мира программирования

🤖Про нейросети
Библиотека робототехники и беспилотников | Роботы, ИИ, интернет вещей
Библиотека нейрозвука | Транскрибация, синтез речи, ИИ-музыка
Библиотека нейротекста | ChatGPT, Gemini, Bing
Библиотека нейровидео | Sora AI, Runway ML, дипфейки
Библиотека нейрокартинок | Midjourney, DALL-E, Stable Diffusion

#️⃣C#

Книги для шарпистов | C#, .NET, F#
Библиотека шарписта — полезные статьи, новости и обучающие материалы по C#
Библиотека задач по C# — код, квизы и тесты
Библиотека собеса по C# — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Вакансии по C#, .NET, Unity Вакансии по PHP, Symfony, Laravel

☁️DevOps

Библиотека devops’а — полезные статьи, новости и обучающие материалы по DevOps
Вакансии по DevOps & SRE
Библиотека задач по DevOps — код, квизы и тесты
Библиотека собеса по DevOps — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования

🐘PHP

Библиотека пхпшника — полезные статьи, новости и обучающие материалы по PHP
Вакансии по PHP, Symfony, Laravel
Библиотека PHP для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по PHP — код, квизы и тесты

🐍Python

Библиотека питониста — полезные статьи, новости и обучающие материалы по Python
Вакансии по питону, Django, Flask
Библиотека Python для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Python — код, квизы и тесты

Java

Книги для джавистов | Java
Библиотека джависта — полезные статьи по Java, новости и обучающие материалы
Библиотека Java для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Java — код, квизы и тесты
Вакансии для java-разработчиков

👾Data Science

Книги для дата сайентистов | Data Science
Библиотека Data Science — полезные статьи, новости и обучающие материалы по Data Science
Библиотека Data Science для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Data Science — код, квизы и тесты
Вакансии по Data Science, анализу данных, аналитике, искусственному интеллекту

🦫Go

Книги для Go разработчиков
Библиотека Go разработчика — полезные статьи, новости и обучающие материалы по Go
Библиотека Go для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Go — код, квизы и тесты
Вакансии по Go

🧠C++

Книги для C/C++ разработчиков
Библиотека C/C++ разработчика — полезные статьи, новости и обучающие материалы по C++
Библиотека C++ для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по C++ — код, квизы и тесты
Вакансии по C++

💻Другие каналы

Библиотека фронтендера
Библиотека мобильного разработчика
Библиотека хакера
Библиотека тестировщика
Вакансии по фронтенду, джаваскрипт, React, Angular, Vue
Вакансии для мобильных разработчиков
Вакансии по QA тестированию
InfoSec Jobs — вакансии по информационной безопасности
Библиотека разработчика игр | Gamedev, Unity, Unreal Engine

📁Чтобы добавить папку с нашими каналами, нажмите 👉сюда👈

Также у нас есть боты:
Бот с IT-вакансиями
Бот с мероприятиями в сфере IT

Мы в других соцсетях:
🔸VK
🔸YouTube
🔸Дзен
🔸Facebook *
🔸Instagram *

* Организация Meta запрещена на территории РФ
Вам нравится читать контент на этом канале?

Возможно, вы задумывались о том, чтобы купить на нем интеграцию?

Следуйте 3 простым шагам, чтобы сделать это:

1) Нажмите на ссылку: Вход
2) Пополняйтесь удобным способом
3) Размещайте публикацию

Если тематика вашего поста подойдет нашему каналу, мы с удовольствием опубликуем его.
🥷🏿 Разработка эксплойтов: исследование теневых стеков в режиме ядра в Windows

Король длинных технических статей возвращается. Connor McGarr из Prelude Security исследует низкоуровневый механизм Kernel-Mode Hardware-enforced Stack Protection в Windows, который реализован через технологию Intel CET (Control-flow Enforcement Technology) и Shadow Stacks.

Последний защищает системные стеки от атак типа ROP (Return-Oriented Programming), которые используются для эксплуатации уязвимостей в памяти.

👉 Читать

#redteam #windows
Please open Telegram to view this post
VIEW IN TELEGRAM
🎩 Экскурсия по дарквебу: площадки, клиенты, витрина товаров и цены

За годы развития дарквеб превратился в высокоорганизованный рынок киберпреступности, на котором и опытные злоумышленники, и новички могут найти всё, что нужно для проведения успешных кибератак.

Теневые площадки живут по законам легальных рынков: привлекают пользователей с помощью маркетинговых инструментов, работают с лояльностью клиентов, обеспечивают безопасность сделок и своих ресурсов. Рынок перегрет, предложений много, но и спрос высокий. Злоумышленники готовы платить немалые деньги за товары и услуги, зная, что в случае успеха могут многократно окупить затраты.

Команда Positive Technologies проанализировала экосистему «темной сети», выяснила, что продают и покупают в подполье, сколько тратят и зарабатывают киберпреступники, а также предположила, как будет развивать дарквеб в ближайшем будущем. Обо всём по порядку — в статье.

#darkweb #research
Please open Telegram to view this post
VIEW IN TELEGRAM
🤖 Поддержка ИИ для написания расширений в Montoya API (Burp Suite Professional/Community 2025.2)

Команда PortSwigger добавила встроенную поддержку искусственного интеллекта в Montoya API. Ваши расширения теперь могут безопасно взаимодействовать с LLM с помощью специально разработанной платформы, что позволяет создавать расширенные функции автоматизации и анализа данных без необходимости сложной настройки или внешних API-ключей.

Чтобы узнать о возможноcтях расширений на базе ИИ, ознакомьтесь с Hackvertor от Гарета Хейеса, которое может:

🔸 Создавать кастомные теги преобразования на основе описаний на естественном языке.

🔸 Создавать кастомные теги на JavaScript, Python, Java или Groovy на основе кода, сгенерированного ИИ.

🔸 Автоматически генерировать теги кодирования/декодирования путем анализа трафика Repeater.

#tools #news
Please open Telegram to view this post
VIEW IN TELEGRAM
🛠️ Orbit — инструмент для упрощения крупномасштабного сканирования с помощью Nuclei

Он позволяет эффективно управлять результатами сканирования и анализировать их.

Под капотом: фронт на SvelteKit, бэкэнд на Go, Terraform и Ansible — для инфраструктуры и автоматизации.

💻GitHub

#tools #recon
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🥷🏿 Создайте свою собственную лабораторию для отработки offensive и defensive методов обеспечения безопасности с помощью Ludus

Ludus — система управления инфраструктурой с открытым исходным кодом, управляемая API. Гайд рассматривает не только основы системы, но и некоторые продвинутые приёмы.

В итоговой лабе будет окружение Active Directory (с использованием GOAD), интегрированное с решением XDR/SIEM (Wazuh).

👉 Читать

#redteam #tools
Please open Telegram to view this post
VIEW IN TELEGRAM
⬆️OWASP Smart Contract Top 10

Документ описывает топ-10 основных уязвимостей в смарт-контрактах и служит справочным материалом для обеспечения защиты смарт-контрактов от наиболее критических уязвимостей, эксплуатируемых или обнаруженных в последние годы.

• SC01:2025 - Access Control Vulnerabilities
• SC02:2025 - Price Oracle Manipulation
• SC03:2025 - Logic Errors
• SC04:2025 - Lack of Input Validation
• SC05:2025 - Reentrancy Attacks
• SC06:2025 - Unchecked External Calls
• SC07:2025 - Flash Loan Attacks
• SC08:2025 - Integer Overflow and Underflow
• SC09:2025 - Insecure Randomness
• SC10:2025 - Denial of Service (DoS) Attacks

#security #pentest #bugbounty #web3
Please open Telegram to view this post
VIEW IN TELEGRAM
📊 Как себя чувствует IT-рынок в 2025 году?

Друзья, запускаем важное исследование рынка труда в IT!

Нам очень важно понять:
• Как изменились зарплаты
• Что происходит с наймом
• Есть ли сокращения или рост

🔐 Опрос полностью анонимный
⏱️ Займёт всего 3-5 минут
📈 Результаты опубликуем в подробной статье

Ваши ответы помогут составить реальную картину происходящего в индустрии.

👉 Пройти опрос
This media is not supported in your browser
VIEW IN TELEGRAM
🥷 Глубокое погружение в эксплуатацию уязвимости heap-overflow в Llama.cpp RPC: от переполнения кучи до удаленного выполнения кода

Llama.cpp использует уникальную систему управления памятью, что делает классические техники эксплуатации уязвимостей ptmalloc малоэффективными.

Автор исследования подробно рассматривает нестандартные подходы к эксплуатации уязвимости, основываясь на специфике реализации Llama.cpp.

Он провел около 30 часов для успешной эксплуатации RCE, предварительно изучив исходники проекта, особенно в части реализации RPC и управления памятью.

👉 Читать исследование

#research
🐧 Администрирование Linux: полный курс

Курс охватывает широкий спектр тем, начиная от базовых команд и навигации в системе до более сложных задач вроде управления пользователями, настройки сетевых параметров и обеспечения безопасности системы.

Каждое видео в плейлисте фокусируется на конкретной теме, предоставляя подробные инструкции и практические примеры, что делает курс полезным как для начинающих, так и для опытных инженеров, которые хотят углубить знания в области администрирования Linux.

📺 Смотреть курс

#linux #learning
Please open Telegram to view this post
VIEW IN TELEGRAM
🚗 На Хабре вышел перевод исследования про взлом любой Субару с доступом к Интернету

Благодаря доступу, полученному через эту уязвимость, нападающий, зная лишь фамилию и почтовый индекс жертвы, почтовый адрес, номер телефона или номерной знак, мог выполнять следующие действия:

💚Дистанционно запускать и глушить двигатель, выполнять блокировку и разблокировку, получать текущее местоположение любого автомобиля.

💚Получать полную историю местонахождения любого автомобиля за последний год с точностью до пяти метров, обновляемую при запуске двигателя.

💚Запрашивать и получать личную информацию (personally identifiable information, PII) любого покупателя, в том числе контакты для экстренной связи, авторизованных пользователей, физический адрес, платёжную информацию (например, последние четыре цифры кредитной карты) и PIN автомобиля.

💚Получать доступ к различным пользовательским данным, в том числе к истории звонков, сведениям о предыдущих владельцах, показаниям одометра, истории продаж и многому другому.

👉 Читать перевод

#research
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔍 Blind XSS: полный гайд по поиску и эксплуатации уязвимости

Из очередного гайда от Intigriti вы узнаете, как искать XSS и настраивать необходимые инструменты, которые помогут находить и получать уведомления о конкретном типе XSS.

👉 Читать

#bugbounty #guide
Please open Telegram to view this post
VIEW IN TELEGRAM
Вакансии «Библиотеки программиста» — ждем вас в команде!

Мы постоянно растем и развиваемся, поэтому создали отдельную страницу, на которой будут размещены наши актуальные вакансии. Сейчас мы ищем:
👉контент-менеджеров для ведения телеграм-каналов

Подробности тут

Мы предлагаем частичную занятость и полностью удаленный формат работы — можно совмещать с основной и находиться в любом месте🌴

Ждем ваших откликов 👾
🔎 Утечка электронной почты любого пользователя YouTube за $10k

Багхантер исследовал Google Internal People API и обнаружил, что функция блокировки пользователей использует обфусцированный Gaia ID (уникальный идентификатор Google-аккаунта). Оказалось, YouTube позволяет блокировать пользователей, что автоматически добавляет их в Google Blocklist.

➡️ В итоге получаем следующую цепочку атаки:

1️⃣ Получение Gaia ID любого пользователя YouTube:

— Достаточно заблокировать пользователя на YouTube через live-чат.
— В Google Blocklist появится его обфусцированный Gaia ID.

2️⃣ Масштабирование атаки на всех пользователей YouTube:

— При нажатии трёх точек рядом с комментарием в чате отправляется запрос:

POST /youtubei/v1/live_chat/get_item_context_menu


— Ответ содержит обфусцированный Gaia ID пользователя без необходимости блокировать его.
— Это позволяло получить Gaia ID любого YouTube-канала.

3️⃣ Преобразование Gaia ID в email-адрес:

— Исследователь нашёл старый сервис Google Pixel Recorder.
— Этот сервис позволял поделиться записью, используя Gaia ID.
— В ответе сервера вместо Gaia ID возвращался email-адрес.

4️⃣ Обход уведомления жертвы:

— При отправке записи пользователь получал уведомление на email.
— Но если название записи было очень длинным (миллионы символов), уведомление не отправлялось.
— Это позволило получить email жертвы без её ведома.

#writeup #bugbounty
Please open Telegram to view this post
VIEW IN TELEGRAM