— Когда пишут, что произошел инцидент.

#Meme ✈️ inf0

🤖 Советы по безопасности API от Inon Shkedy на каждый день

— В репозитории собран 31 совет по тестированию API

Inon Shkedy — руководитель исследований в области безопасности компании Traceable AI

Он имеет более 8 лет профессионального опыта в качестве специалиста по безопасности приложений

А также является соавтором проекта OWASP API Top 10, который определяет 10 специфических угроз для приложений на основе API

⛓ https://github.com/inonshk/31-days-of-API-Security-Tips

#API #Guide #CheatSheet ✈️ inf0

⛔ Как я построил полностью изолированную пентест-лабораторию и почему ИИ нельзя доверять

— В статье автор опишет процесс выбора инструмента виртуализации и попытки решения проблемы изоляции с использованием разных подходов

Лаборатория будет соответствовать нескольким критериям:
🔵Лаборатория должна быть изолирована от домашней сети.
🔵Все виртуальные машины должны видеть друг друга.
🔵Никакая из виртуальных машин не должна видеть хост.
🔵Хост должен видеть жертв.
🔵У всех машин должен быть выход в интернет (за исключением Metasploitable2).

⛓ https://habr.com/ru/articles/973434/

#Lab #Pentest #Info ✈️ inf0

🤓 Изучаем Git: пошаговое руководство с наглядными примерами

В простой, осязаемой и наглядной форме книга знакомит с Git – самой популярной системой контроля версий

🔵Изложены основы Git: установка, графический интерфейс и командная строка, локальные репозитории и коммиты, ветки и слияния;
🔵Рассмотрены хостинговые сервисы и аутентификация, работа с удаленным репозиторием, клонирование и локальное сохранение;
🔵Подробно рассмотрены трехсторонние слияния, конфликты слияния, запросы на слияние, а также интеграция изменений из одной ветки в другую с помощью перебазирования.

Для закрепления материала служат два сквозных проекта: учебный, демонстрирующий основы, и практический, применимый для реальной работы.

Скуликари А. 2024

⛓ https://t.me/tochkaseti/308

#Git #Book ✈️ inf0

⚠️ Инструмент поиска ошибок конфигурации и уязвимостей

Nginxpwner — это автоматизированный инструмент на основе Python, который сканирует веб-сервер, работающий на программном обеспечении Nginx, на наличие ошибок конфигурации и уязвимостей

— Он использует различные методы для выявления ошибок и уязвимостей, например ищет файлы с разрешениями по умолчанию или слабыми разрешениями, ищет файлы резервных копий и проверяет распространённые ошибки конфигурации сервера

После выявления уязвимости инструмент пытается использовать её, запуская против сервера различные предварительно настроенные атаки, например, используя уязвимость локального включения файла (LFI) для получения чувствительных файлов или попытку выполнить произвольный код на сервере

⛓ https://github.com/stark0de/nginxpwner?ysclid=miw07xut3y215267206

#Tools #Network #Vulnerability ✈️ inf0

👩‍💻 Apache раскрыла критическую уязвимость в библиотеке Tika — атака через обычный PDF-файл

⚠️ Apache Software Foundation раскрыла информацию о критической уязвимости CVE-2025-66516 с максимальной оценкой CVSS 10.0 в библиотеке Apache Tika

Эта библиотека используется в поисковых движках, ECM-системах, DLP и платформах для массовой обработки документов

— Уязвимость связана с обработкой XFA-разметки внутри PDF: при разборе таких документов Tika не ограничивает использование внешних XML-сущностей, что открывает классическую XXE-атаку

Специально подготовленный PDF-файл может заставить Tika читать произвольные файлы с хоста или инициировать SSRF-запросы к внутренним сетевым ресурсам, которые обычно недоступны извне

⛓ https://www.securitylab.ru/news/566920.php

#News #Malware #CVE ✈️ inf0

✔️ Шпаргалочка по применению Nmap

— Эта шпаргалка охватывает основные команды Nmap и их синтаксис, чтобы вы могли легко найти информацию для выполнения конкретных задач: от базовых операций по сканированию хостов до продвинутых техник обхода защиты

⛓ https://www.securitylab.ru/blog/personal/Bitshield/354239.php?ysclid=miyrc1gw3p576448837

#CheatSheet #Network #Nmap ✈️ inf0

❗️ Social Mapper: инструмент анализа социальных сетей, который ищет связь между профилями через распознавание лиц

Social Mapper — это инструмент с открытым исходным кодом, который использует распознавание лиц для корреляции профилей социальных сетей на разных сайтах в больших масштабах

Он использует автоматизированный подход для поиска и выводит результаты в наглядный отчёт

— Social Mapper поддерживает: LinkedIn; Facebook; Twitter; Google Plus; Instagram; VKontakte; Weibo; Douban

⛓ https://hackware.ru/?p=8826

#SocialMapper #Tools #OSINT ✈️ inf0

⬛️ Контролируемый взлом. Библия социальной инженерии (2 издание)

— Книга рассматривает используемые современными кибер преступниками методы социальной инженерии и способы защиты от нее: как организационные, так и технические

Другач Ю.С. 2024

⛓ https://t.me/tochkaseti/310

#Book #SE #SocialEngineering ✈️ inf0

✋ Извлекаем данные из кустов реестра Windows

creddump — инструмент Python для извлечения различных учётных данных и секретов из кустов реестра Windows

В настоящее время он извлекает: LM и NT хеши (защищены SYSKEY); Кешированные пароли домена; Секреты LSA

Особенности:

🔵Независимая от платформы работа. Единственными входными данными являются файлы куста из системы — мы вообще не полагаемся на какие-либо функции Windows.
🔵Открытый исходный код и читаемые реализации алгоритмов обфускации Windows, используемых для защиты секретов LSA, паролей кэшированных доменов
🔵Достаточно щадящий парсер файлов реестра на чистом Python. Просмотрите framework/win32/rawreg.py, чтобы увидеть, как это работает.
🔵Первая полная реализация с открытым исходным кодом системы SystemFunction005 от advapi32. Версия в исходном коде Wine не позволяет использовать ключи длиннее 7 байтов, в то время как версия для Windows (и эта версия) допускает.

⛓ https://github.com/moyix/creddump

#Windows #Forensics #Tools ✈️ inf0

♥️ Неисправленная уязвимость в Gogs привела к компрометации 700 серверов

⚠️ Уязвимость нулевого дня в популярном сервисе для самостоятельного хостинга Git-репозиториев Gogs позволяла злоумышленникам удаленно выполнять произвольный код, что привело к взлому сотен серверов по всему миру

Gogs позиционируется как альтернатива GitLab или GitHub Enterprise

— Проблема получила идентификатор CVE-2025-8110 и связана с path traversal уязвимостью в API PutContents сервиса

Баг позволяет обойти защиту, внедренную для другой RCE-проблемы (CVE-2024-55947), которую разработчики исправили ранее

⛓ https://xakep.ru/2025/12/12/gogs-attacks/

#News #ZeroDay ✈️ inf0

💉 Автоматические инъекции в базы данных

jSQL Injection – это инструмент на Java для автоматической инъекции в базы данных SQL

— Он используется для поиска информации о базах данных с удалённых серверов

Инструмент бесплатен, у него открытый исходный код и он является кросс-платформенным (Windows, Linux, Mac OS X, Solaris)

⛓ https://github.com/ron190/jsql-injection

#Tools #SQL #Injection ✈️ inf0

🦠 Обзор ресурсов по теме reverse engineering malware

— В сегодняшней статье специалисты поделятся ресурсами, ссылками, обзорами и рекомендациями по изучению матчасти реверс инжениринга программного обеспечения, в частности с уклоном на реверсинг малвари

Надеемся, эта подборка станет полезной всем тем, кто только решается или уже сделал свои первые самостоятельные шаги в этом не легким делом

⛓ https://www.securitylab.ru/blog/personal/informacionnaya_bezopasnost_v_detalyah/332544.php?R=1

#Malware #RE #Tools #CheatSheet ✈️ inf0

🖥 Базы данных на SQL, MySQL, MS SQL и Postgre/PL/pgSQL

Данная книга — это исчерпывающий гид по языку SQL, призванный помочь не просто освоить синтаксис, а глубоко понять принципы работы с данными и стать востребованным специалистом.

Вы начнёте с абсолютного нуля, и каждый шаг — от установки СУБД до сложных запросов, — будет подкреплён практическими примерами и детальными объяснениями

Аклимов Р. Р. 2025

⛓ https://t.me/tochkaseti/311

#Book #SQL #БД ✈️ inf0

⚪️ Как я обнаружил скрытый микрофон в китайском NanoKVM

NanoKVM — это аппаратный KVM-переключатель, разработанный китайской компанией Sipeed

Это устройство, выпущенное в прошлом году, позволяет удалённо управлять компьютером или сервером при помощи виртуальной клавиатуры, мыши и монитора

Благодаря своему компактному размеру и низкой стоимости устройство быстро привлекло внимание Интернета, особенно когда компания пообещала выпустить его код в опенсорс

— Однако это устройство обладает серьёзными проблемами безопасности, которые мы рассмотрим в данной статье

⛓ https://habr.com/ru/companies/ruvds/articles/975894/

#Surveillance ✈️ inf0

⛔ Black, gray, white: разбираемся в методологиях пентеста

Пентесты помогают выявить и устранить слабые места в защите компании до того, как ими воспользуются злоумышленники

Но чтобы такая проверка действительно принесла пользу, важно понимать, зачем вы ее проводите, по какой методологии, и что будете делать с результатами

В этой статье мы разберемся:
🔵чем отличаются методологии «черного», «серого» и «белого ящика»;
🔵какую из них выбрать под конкретные риски;
🔵как подготовиться к тестированию, чтобы не тратить деньги впустую;
🔵и почему даже «зеленый» отчет сам по себе — не повод выдыхать.

⛓ https://habr.com/ru/companies/bastion/articles/939432/

#Info #Pentest ✈️ inf0

🥷 SoundCloud взломан и сообщает о краже пользовательских данных

Стриминговый сервис SoundCloud сообщил о взломе, в результате которого злоумышленники получили доступ к базе данных пользователей

⚠️ Утечка затронула около 28 млн аккаунтов — примерно 20% от общей аудитории платформы

В официальном заявлении представители SoundCloud подтвердили утечку:

«Насколько мы понимаем, группа злоумышленников получила доступ к некоторым закрытым данным, которые мы храним. Мы завершили расследование и выяснили, какие данные были затронуты.

Конфиденциальная информация, включая финансовые данные и пароли, не была скомпрометирована. Утечка коснулась только email-адресов и информации, которая и так доступна в публичных профилях SoundCloud», — заявили в компании

⛓ https://xakep.ru/2025/12/17/soundcloud-hacked/

#News #SoundCloud #Leak ✈️ inf0

🤖 Руководство по улучшению кода от OWASP

OWASP Code Review Guide – это руководство от OWASP, которое предоставляет практические рекомендации и лучшие практики для проведения эффективных проверок кода

— Оно помогает выявлять и устранять уязвимости безопасности на ранних этапах процесса разработки

⛓ https://www.owasp.org/index.php/Category:OWASP_Code_Review_Project

#OWASP #Guide #Code ✈️ inf0

💻 Анализ групповых политик в Active Directory

GPOHunter — инструмент для анализа групповых политик (GPO) в Active Directory с целью выявления конфигурационных ошибок и уязвимостей

GPO (Group Policy Object) — объект групповой политики в среде Active Directory (AD)

Это набор правил и настроек, которые применяются к пользователям или компьютерам

Вместо ручной настройки каждого устройства администратор задаёт необходимые параметры один раз, а они автоматически применяются к нужным компьютерам и пользователям

— Он автоматизирует проверки безопасности и предоставляет детализированные отчёты, что помогает администраторам защищать свои системы

⛓ https://github.com/PShlyundin/GPOHunter
⛓ Групповые политики (GPO) Active Directory: разбираемся почему это важно и как ими управлять в GPOAdmin

#ActiveDirectory #GPO #Tools #Administration ✈️ inf0

📖 Тестирование программного обеспечения: контекстно ориентированный подход

Хорошими тестировщиками не рождаются — ими становятся благодаря упорному труду и постоянному общению

Кем Кейнер, Джеймс Бах и Брет Петтикорд очень хорошо об этом знают — за их плечами более 50 лет опыта, и они понимают, что необходимо для достижения успеха в тестировании

— Они собрали 293 проверенных совета, которые вы можете использовать в своих проектах

Каждый урок начинается с утверждения, относящегося к тестированию программного обеспечения, за которым следует объяснение или пример, показывающий, как, когда и почему применяется этот урок

Кейнер Кем, Бах Джеймс, Петтикорд Брет 2025

⛓ https://t.me/tochkaseti/314

#Book ✈️ inf0

👴 Автоматизированная атака Pixie Dust: получение ПИНов и паролей Wi-Fi без ввода команд

Pixie Dust — это атака на механизм WPS, позволяющая получить PIN-код и обойти защиту Wi-Fi без пароля

Уязвимость была обнаружена в 2014 году и связана с протоколом Wi-Fi Protected Setup (WPS)

— Злоумышленник, находящийся в зоне действия целевой сети Wi-Fi, перехватывает начальное WPS-рукопожатие и извлекает PIN-код, после чего может подключиться к сети без знания пароля

⛓ https://hackware.ru/?p=3562

#PixieDust #WiFi #WPS #Attack ✈️ inf0