👩‍💻 Выпуск патча GitLab: 19.2.2, 19.1.4, 19.0.6. Среди закрытых уязвимостей — опасные XSS и обход прав в CI/CD

12 августа 2026 года GitLab выпустил внеплановые патчи для Community Edition и Enterprise Edition — версии 19.2.2, 19.1.4 и 19.0.6.

Всего закрыто 13 уязвимостей: шесть с высокой степенью критичности, шесть средних и одна низкая.

⏺Разработчики настоятельно рекомендуют администраторам обновиться до актуальной версии как можно скорее.

💬 Читаем - новость

#News #GitLab #Patch #Vulnerability #Git #IT
HACK WARRIOR!

😎 Silver Fox APT атаки на российские компании: ValleyRAT, ABCDoor и detection rules для SIEM

Silver Fox APT разослала 1600 фишинговых писем под видом уведомлений налоговой — и развернула в сетях российских промышленных компаний цепочку из Rust-загрузчика RustSL, бэкдора ValleyRAT и недокументированного Python-бэкдора ABCDoor.

Kill chain стартует с PDF-вложения со ссылкой на abc.haijing88[.]com — PDF обходит SEG-фильтры лучше исполняемых файлов.

⏺Рассылка через SendGrid проходит SPF/DKIM. RustSL использует 8 методов шифрования payload, 12 техник обнаружения песочниц и геолокационную фильтрацию жертв.

💬 Читаем - статью

#APT #Attack #Backdoor #MITRE #Phishing #Malware
HACK WARRIOR!

🕸️ Инструмент для аудита безопасности конфигураций SSH-серверов и клиентов

SSH Audit — это консольная утилита на языке Python, предназначенная для сканирования SSH-сервисов на предмет использования устаревших алгоритмов шифрования и ошибок в настройках.

— Инструмент анализирует баннеры, поддерживаемые ключевые алгоритмы, методы обмена ключами (KEX), симметричные шифры и MAC-коды, выявляя известные уязвимости (например, CVE) и слабости в конфигурациях OpenSSH и других SSH-реализаций, а также предоставляет конкретные рекомендации по их устранению (hardening).

💬 Ссылка на инструмент

#SSH #Audit #Python #Hardening #Admin #Vulnerability #Scanning #Tools
HACK WARRIOR!

🕷️ Типы XSS атак (межсайтовый скриптинг)

XSS (Cross-Site Scripting) — это тип атаки на веб-приложения, которая использует уязвимости в обработке данных на стороне клиента для внедрения вредоносного кода в веб-страницы, просматриваемые другими пользователями.

⏺В этой статье, простым языком, на наглядных примерах, поговорим о типах XSS атак.

💬 Читаем - статью

#XSS #Attack #Pentest #Tools
HACK WARRIOR!

🔒 От десктопа к Android и в роутеры

Возможно, вы уже пользовались моими L×Box или Sing-box Launcher.

Если нет, то коротко: на сегодня это уникальные клиенты, которые предоставляют гибкую машрутизацию на множестве соединений одновременно, поддерживают сложные сценарии туннелирования, адаптированы прод экстремальные сценарии использования и обладают широкой диагностикой.

⏺Сегодня поговорим про развитие ядра этой экосистемы.

💬 Читаем - статью

#OpenWRT #XHTTP #Xray #VLESS #Network #System #Admin
HACK WARRIOR!

🖥 Основы сетей для пентестера, OSI, TCP/IP и главные протоколы

Пентестеру не нужно воспроизводить семь уровней OSI по памяти.

Нужно проследить путь данных от приложения до сетевой карты, найти место сбоя и сформулировать проверяемую гипотезу.

⏺Одинаковая жалоба «сайт не открывается» может означать ошибку DNS, отсутствие маршрута, фильтрацию TCP, проблему с MTU, сбой TLS или ответ приложения.

💬 Читаем - статью

#Network #Pentest #OSI #TCP #IP #Wireshark #Nmap #DNS #TCP #UDP
HACK WARRIOR!

🤒 Крупнейший сбой в Рунете: авария в районе М9 и падение Рег.ру отключили тысячи сайтов

Вечером 18 августа пользователи по всей России столкнулись с массовыми проблемами в работе сайтов и интернет-сервисов. Жалобы поступали на Steam, «ВКонтакте», «Пикабу», банковские приложения, провайдеров и другие ресурсы.

Одной из центральных точек инцидента оказался крупный московский узел связи, где пропало электропитание.

⏺Регистратор и хостинг-провайдер Рег.ру сообщил, что из-за отключения электроэнергии часть его сервисов и размещенных у компании ресурсов стала недоступна.

💬 Читаем - новость

#News #Internet #Error #Web #Network #IT
HACK WARRIOR!

🤒 Как не дать ИИ-агенту сжечь ваши данные - обзор SkillSpector от NVIDIA

Разработчики из NVIDIA заложили в сканер проверку 64 паттернов уязвимостей. Если разбить их на группы, получается довольно серьезный список угроз:
1. Промпт-инъекции
2. Утечка данных
3. Проблемы цепочки поставок
4. Избыточные права

⏺Интересно, что анализ проходит в два этапа. Сначала идет быстрый статический прогон (регулярки и AST-дерево), а затем — опциональная семантическая проверка с помощью LLM. Второй этап помогает отсеять ложноположительные срабатывания, понимая контекст и намерения кода.

💬 Читаем - статью

#AI #LLM #Scanning #Vulnerability #Cybersecurity #Tools
HACK WARRIOR!

😀 Мульти-дикторская система синтеза речи (TTS) высокого качества на основе диффузионных моделей и авторегрессионного декодирования

TorToiSe (tortoise-tts) — это популярная модель с открытым исходным кодом на языке Python (PyTorch), предназначенная для преобразования текста в естественную и выразительную речь.

⏺Инструмент выделяется способностью к точной клонированию голоса (voice cloning) по коротким аудиофрагментам, а также высокой реалистичностью интонаций и тембра за счет использования подходов, аналогичных современным нейросетям генерации изображений (DALL-E для звука).

💬 Ссылка на инструмент

#TTS #AI #Voice #Python #ML #Tools
HACK WARRIOR!

🎩 Bug bounty программы Россия: обзор платформ, условия и путь к первой выплате

Три публичные платформы — Standoff Bug Bounty, BI.ZONE Bug Bounty и Bugbounty.ru — работают по разной логике.

Standoff даёт максимальные выплаты (до 4 млн руб. за классический баг, до 60 млн — за недопустимое событие в инфраструктуре PT) и кибертесты в формате red team: нужна полная цепочка атаки, а не единичный XSS.

⏺BI.ZONE строит прогрессивный рейтинг — первые 3–5 отчётов открывают приватные программы с меньшей конкуренцией.

💬 Читаем - статью

#BugBounty #Vulnerability #Standoff #BIZONE #PY #RedTeam
HACK WARRIOR!

🤠 Перечисление SMTP при пентесте локальной сети

SMTP (Simple Mail Transfer Protocol) — сетевой протокол, используемый для отправки и получения электронной почты.

Он также может быть полезной целью для тестирования на проникновение, так как часто содержит много конфиденциальной информации.

Мы рассмотрим, способы перечисления SMTP при пентесте. Как используя команды VRFY и EXPN определить существования учетной записи Windows.

💬 Читаем - статью

#SMTP #Pentest #Network #Mail #Tools
HACK WARRIOR!

🌐 ФСТЭК описала периметр в 35 пунктах. 26 из них не стоят ни рубля

Неделю назад под статьёй автора про ротацию паролей появился комментарий.

Читатель писал, что длина пароля должна быть не менее 15 символов, и это позиция ФСТЭК, изложенная в документе «Рекомендации по защите сетевого периметра информационных (автоматизированных) систем».

⏺Документ опубликован 10 марта 2026 года на сайте регулятора.

💬 Читаем - статью

#ФСТЭК #Network #Vulnerability #RDP #Admin
HACK WARRIOR!

🚰 Грандиозный слив перед показом GTA 6: Рассказываем, как инсайдер CyberLeek обошел защиту Rockstar и что за этим стоит

Группа прикрывается борьбой против цифровых продаж и DLC, но даже активисты Stop Killing Games от неё дистанцировались.

За несколько дней до крупнейшего показа Grand Theft Auto 6 в сети начали появляться фрагменты игры, которые Rockstar явно не собиралась показывать публике. История быстро перестала быть обычной утечкой.

Автор публикаций, известный как CyberLeek, судя по новым роликам, мог получить доступ к рабочей версии GTA 6, а владелец Rockstar компания Take-Two уже обратилась в федеральный суд, чтобы установить личности причастных.

💬 Читаем - новость

#News #GTA #Rockstar #Game #Leak #GitHub #Discord
HACK WARRIOR!

💻 Установка TeleMT на свой VPS: рабочая инструкция

TeleMT — это open-source MTProto-прокси на Rust, который полностью повторяет официальный алгоритм прокси Telegram.

На чистом Debian или Ubuntu вся установка укладывается в 10–15 минут: скачать бинарник, прописать telemt.toml, поднять службу systemd, забрать готовую ссылку через локальный API. Для совсем нетерпеливых в репозитории есть скрипт install.sh, который делает то же самое одной командой.

⏺В статье будет и инструкция, и разбор, где она упирается в стену.

💬 Читаем - статью

#TeleMT #Proxy #Telegram #Messenger #Network #Tools
HACK WARRIOR!

🌃 Плагин для интеграции фреймворка Ghidra с языковыми моделями (LLM) через стандарт протокола Model Context Protocol (MCP)

GhidraMCP — это расширение для инструмента обратной разработки Ghidra, позволяющее подключить нейросетевых ассистентов (например, Claude или ChatGPT) напрямую к процессу исследования бинарного кода.

⏺Плагин транслирует контекст декомпилированного C-кода и ассемблерных функций из Ghidra в LLM, позволяя нейросети автоматически аннотировать переменные, объяснять алгоритмы работы неизвестных функций, находить скрытые уязвимости и ускорять процесс реверс-инжиниринга.

💬 Ссылка на инструмент

#Reverse #Ghidra #AI #MCP #LLM #Binary #Analysis #Tools
HACK WARRIOR!

🥷 CUPP Когда словари паролей становятся умнее

CUPP — это не просто очередной генератор случайных слов.

Это умный помощник для создания целенаправленных словарей, которые значительно повышают шансы на успех при тестировании на проникновение (пентесте) или в ходе криминалистических расследований.

⏺Вместо того чтобы тратить часы на перебор бессмысленных комбинаций, CUPP позволяет сфокусироваться на наиболее вероятных паролях, основанных на информации о потенциальной жертве.

💬 Читаем - статью

#OSINT #Password #WordList #Attack #Bruteforce #Tools
HACK WARRIOR!

❗️ Часть 1. DDoS на сетевых уровнях OSI: принципы работы и векторы атак

Представьте, что вы открыли самый крутой в городе ресторан. Вы наняли шеф-повара, продумали меню и сделали идеальный сайт для бронирования столиков. Но в день открытия на улице перед дверью встает толпа нанятых кем-то людей. Они не заходят внутрь, ничего не покупают, они просто стоят плотной стеной. В итоге ваши реальные гости даже не могут подойти к дверям.

Примерно так работает DDoS-атака.

Цель — забить мусором каналы связи или перегрузить сетевое железо так, чтобы они просто было недоступно.

⏺В этой статье мы простыми словами разберем, как устроены эти атаки изнутри, и заложим базу для того, чтобы во второй части поймать их с помощью полезного инструмента — Suricata.

💬 Читаем - статью

#DDoS #Attack #Network #OSI #Pentest
HACK WARRIOR!

🥷 Хакеры впервые обошли новую защиту Chrome. Помог невидимый рабочий стол и вирус Hydra Remote

Hydra Remote воспроизводит авторизованную среду браузера вместо простой кражи паролей и cookie.

Вредоносная программа Hydra Remote позволяет злоумышленнику открыть на заражённом компьютере невидимый для владельца рабочий стол и перенести туда уже открытые сеансы браузера.

⏺В результате преступник может работать с сайтами от имени жертвы, не мешая ей пользоваться компьютером и не ограничиваясь тем, что крадёт пароли.

💬 Читаем - новость

#News #HydraRemote #Virus #Chrome #Google #Password #Malware
HACK WARRIOR!

Взлом веб-интерфейса панели управления автомобилей Tesla

TeslaMate — это программное обеспечение (с открытым исходным кодом), которое предназначено для мониторинга и анализа данных о вашем электрическом автомобиле Tesla.

⏺Сегодня рассмотрим, как автор использовал техники OSINT для взлома веб-интерфейса панели управления автомобилей Tesla и как могут защититься от подобной атаки владельцы автомобилей Tesla.

💬 Читаем - статью

#Tesla #Hacking #Attack #TeslaMate #Pentest #Tools
HACK WARRIOR!

📷 Фреймворк для автоматического развертывания уязвимых облачных и контейнерных сред (лабораторий)

Metarget — это open-source платформа, предназначенная для быстрого создания обучающих лабораторий и стендов для тестирования на проникновение в облачной и контейнерной инфраструктуре.

⏺Инструмент позволяет развертывать уязвимые среды (такие как Kubernetes Goat, Damn Vulnerable Cloud Native Application и др.) на базе популярных облачных провайдеров (AWS, Azure, GCP) или локально с использованием Docker/Kubernetes, что значительно упрощает подготовку к тренировкам по DevSecOps и Red Team операциям.

💬 Ссылка на инструмент

#Vulnerability #Cloud #Kubernetes #DevSecOps #Pentesting #Automation #Tools
HACK WARRIOR!

🕸️ Когда конфигов стало слишком много. Как я впервые в жизни собрал панель для Xray и AmneziaWG

Небольшая панель, которая работает на собственном сервере, не требует подписки и не заставляет открывать терминал каждый раз, когда кому‑то понадобилось добавить телефон.

⏺Так появился Simple Bridge Panel, или SBP (не то, о чём вы подумали). Альтернативная расшифровка Suspiciously Big Pizza тоже считается официальной. У нормального проекта должны быть стандарты.

💬 Читаем - статью

#VPS #Xray #VLESS #OpenSource #Docker #Network #Admin #Web #Hosting
HACK WARRIOR!