🔗 OAuth2 — шпаргалка для пентестера

Чеклист уязвимостей, быстрые признаки и инструменты — PKCE, JWT, redirect_uri, CORS, хранение токенов.

Сейчас на курсы Proglib действует −40%🥰

🐸 Библиотека хакера

#cheat_sheet

🚨 Новая дыра в Adobe Experience Manager

CISA добавила свежую уязвимость — CVE-2025-54253 — в каталог активно эксплуатируемых. Под угрозой: AEM 6.5.23 и старше.

⚙️ Почему это важно:

— AEM используют крупные компании, часто даже не зная о риске.

— Попадание в KEV каталог = эксплуатируется уже сейчас.

— RCE в AEM → доступ к файлам, данным и учёткам.

🔜 Что делать:

1. Проверить версию AEM (всё до 6.5.23 — под угрозой)

2. Установить патч или обновиться

3. Проверить логи на подозрительную активность

🔗 Источник

🐸 Библиотека хакера

#cve_bulletin

☁️ Метаданные под прицелом

SSRF → 169.254.169.254 → временный IAM-токен → S3 с дампом. Казалось бы, учебник, но автор говорит: это случилось у них на staging и почти стоило компании утечки в проде.

💬 История от подписчика:

Мы нашли баг в одном вспомогательном эндпоинте — он принимал URL и делал fetch. На staging никто не думал, что это опасно. Во время теста security-команда пробросила SSRF и получила ответ от 169.254.169.254 с временным токеном роли инстанса. С этим токеном легко списали объекты из S3-бакета, где лежали конфиги и бэкапы DB. К счастью, это был staging, но в логах были следы запросов с IP внешнего сканера — ясно, что в проде сценарий бы сработал так же. Мы закрыли эндпоинт, обязали IMDSv2 и запретили роль инстанса для приложений, которые её не требуют — но урок горький.

🖍 Пишите, что реально внедрили в проде и какие trade-offs получили: чего оказалось слишком много для девопсов, а что спасало в реальных атаках. Примеры правил, сигнатур и автоматизации приветствуются.

🐸 Библиотека хакера

#ask_the_community

🦾 Инструмент недели: ChromeStealer

Тул для извлечения локально сохранённых данных из профиля Google Chrome — логины, пароли, cookies и история. Предназначен для легального тестирования безопасности и демонстрации рисков хранения данных в браузере.

🔴 Возможности:

— скан профиля,

— экспорт логинов/сессий,

— отчёт для офлайн-аналитики.

🔴 Внедрите менеджеры паролей, 2FA и корпоративные политики Chrome (GPO/MDM).

📎 Ссылка на GitHub

🐸 Библиотека хакера

#tool_of_the_week

🛎 Обновы в арсенале Red Team

🔳 Metasploit

Добавлены новые модули: SQLi для FreePBX (CVE-2025-57819) и модуль персистенции через systemd-override (требует прав root).

🔳 Burp Suite

Выпуск Professional/Community 2025.10: улучшения фильтрации HTTP-history, обновления Montoya API, улучшения UI sitemap и массовое копирование столбцов.

🐸 Библиотека хакера

#patch_notes

🔍 Где хранить секреты в браузере

localStorage — удобно, но небезопасно. Любой скрипт получает доступ к данным, а при XSS ваши токены утекут мгновенно.

🔤 Шпаргалка от Pragmatic Web Security — наглядные схемы всех паттернов с плюсами и минусами.

Сейчас на курсы Proglib действует −40%🥰

🐸 Библиотека хакера

#cheat_sheet

👮‍♀ Хакер-челлендж

GraphQL API позволяет строить вложенные запросы. Разработчики отключили introspection в продакшене и установили лимит глубины запроса (max depth: 10). Но забыли ограничить количество алиасов и сложность запроса.

Пример запроса:

{ 
  user1: getUser(id:1){name} 
  user2: getUser(id:2){name} 
  ...
}

❓ Какая атака создаст максимальную нагрузку при минимальном размере запроса?

🐸 Библиотека хакера

#ctf_challenge

👮‍♀ Железный вопрос для хакеров

Коллеги, давайте честно: на чём вы реально работаете?

Интересует всё:

— Какой ноутбук (модель, бренд)
Конфигурация (процессор, RAM, накопитель)

— Что для вас критично в железе для задач ИБ

➕ Особенно любопытно узнать:

— Хватает ли мощности для запуска виртуалок с тестовыми окружениями?

— Сколько RAM реально нужно, когда одновременно крутится Burp Suite, Wireshark и пара VM?

Пишите в комментариях своё железо и впечатления от него — интересно собрать реальную статистику, чем вооружена наша братия 👨‍💻

🐸 Библиотека хакера

🐸 Библиотека хакера

#hack_humor

🔒 Сводка обновлений

➕ CISA добавила 5 CVE в KEV каталог

Активно эксплуатируются:

🔴 CVE-2025-33073 (CVSS 8.8) Windows SMB Client — повышение привилегий Затронуты: Win10, Win11, Win Server

🔴 CVE-2025-61884 (CVSS 9.8) Oracle E-Business Suite — SSRF Используется группировкой Cl0p в ransomware атаках

🔴 CVE-2025-2746/2747 Kentico Xperience — обход аутентификации

🔴 CVE-2022-48503 Apple Multiple Products

➕ Atlassian Security Bulletin 14 high-severity уязвимостей исправлено

Сейчас на курсы Proglib действует −40%🥰

🐸 Библиотека хакера

#patch_notes

💸 Как исчезли $450M в Bitcoin

В 2014 году крупнейшая криптобиржа мира Mt. Gox (70% всех BTC-транзакций) внезапно заморозила выводы. Через неделю — банкротство. 850,000 BTC пропали.

Transaction Malleability — уязвимость в Bitcoin-протоколе. Атакующий менял ID транзакции после отправки. Mt. Gox думал, что платёж не прошёл → отправлял BTC повторно.

🔓 Hot wallet катастрофа:

Большая часть монет хранилась в «горячих» кошельках онлайн. Компрометация приватных ключей (возможно через insider) = годы скрытых краж с 2011.

📉 Плохой accounting маскировал дыры до самого конца.

🕵️ Что с CEO:

Mark Karpelès был арестован в 2015, в 2019 оправдан по растрате, но получил 2.5 года условно за fraud.

⚡ Последствия:

BTC упал с $600 до $200. Биржи начали хранить средства оффлайн и подтверждать резервы.

📅 Кредиторы получили первые выплаты только в 2024 году, спустя 10 лет.

🐸 Библиотека хакера

#zero_day_legends

🧩 Разбор задачи

Раннее мы выкладывали хакер-челлендж 📎

➡️ Правильный ответ: 🔥 Alias flooding

Почему именно эта атака:

Alias flooding — это атака, при которой отправляется множество алиасов в одном запросе. Каждый алиас вызывает отдельный резолвер на сервере, что приводит к множественным запросам к базе данных. В результате 1 HTTP-запрос превращается в огромное количество операций, создавая amplification attack (например, 1 запрос = 5000 DB-запросов).

➡️ Почему другие атаки не такие эффективные:

1. 👾 Exponential field expansion

Эта атака работает за счёт увеличения сложности запросов при глубоком вложении, но она ограничена максимальной глубиной запроса (max depth: 10). Даже при увеличении количества вложений запросы не растут так экспоненциально, как при Alias flooding.

2. ❤️ Batched array flooding

Хотя запросы массивов с алиасами могут создать нагрузку, они требуют больших объёмов данных (например, 1000 пользователей с массивами), что делает эту атаку менее эффективной в контексте минимизации размера запроса.

3. 👍 Nested mutation chaining

Эта атака вызывает нагрузку на базу данных, создавая каскад мутаций, но она требует выполнения нескольких операций, и нагрузка на сервер растёт не так сильно, как при Alias flooding.

🐸 Библиотека хакера

#ctf_challenge