Ребят, кто хоть немного в теме QA - скидываю вам папку с каналами по тематике тестирования. там найдете много полезного, это не реклама
Так что покопайтесь там и вступайте к ребятам

https://t.me/addlist/PNmSaWa9ktw2YjRi

❗️ Топ 11 сайтов, где можно учиться тестировать безопасность веб и api.

❗️ LabEx Cybersecurity Labs - https://labex.io/learn/cybersecurity

❗️ OWASP Juice Shop - https://owasp.org/www-project-juice-shop/

❗️ Gin and Juice Shop - https://ginandjuice.shop/

❗️ Gruyere - https://google-gruyere.appspot.com/

❗️ bWAPP - http://www.itsecgames.com/

❗️ Zero Bank - http://zero.webappsecurity.com/

❗️ tryhackme.com - https://tryhackme.com/

❗️ Damn Vulnerable GraphQL Application - https://github.com/.../Damn-Vulnerable-GraphQL-Application

❗️ VAmPI The Vulnerable API (Based on OpenAPI 3) -https://github.com/erev0s/VAmPI

❗️ Firing Range - https://public-firing-range.appspot.com/

❗️ OWASP Vulnerable Web Applications Directory - https://owasp.org/www-project-vulnerable-web.../



С вас лайчонок и поделиться с другом 😏😏😏

Итоги конкурса: победил вариант MICEQL INJECTION

Победил @usagittebaka

Скидка 25% на все мои курсы, действует 1 год

Поздравляю! Достойное первое место! Спасибо голосовавшим.

🔥 ТОП-10 самых опасных CVE за всю историю 🔥

1️⃣ CVE-2014-0160 (Heartbleed, 2014) — уязвимость в OpenSSL. Позволяла читать память сервера через TLS-запросы. Итог — утечки приватных ключей и паролей по всему миру.

2️⃣ CVE-2014-6271 (Shellshock, 2014) — баг в Bash. Любой мог выполнять команды на сервере через переменные окружения. Массовые атаки на Unix-системы.

3️⃣ CVE-2017-0144 (EternalBlue, 2017) — RCE в SMBv1. Использовалась в WannaCry и NotPetya. Миллионы заражённых машин, колоссальный ущерб.

4️⃣ CVE-2017-5638 (Apache Struts, 2017) — критическая RCE в Apache Struts. Привела к взлому Equifax — утечка данных 143 млн человек.

5️⃣ CVE-2021-44228 (Log4Shell, 2021) — уязвимость в Log4j. Один запрос — и удалённый код выполняется. Под угрозой тысячи Java-приложений по всему миру.

6️⃣ CVE-2020-1472 (ZeroLogon, 2020) — дыра в Netlogon. Позволяла мгновенно захватить контроллер домена и получить полный контроль над сетью Windows.

7️⃣ CVE-2019-0708 (BlueKeep, 2019) — RCE в RDP. «Червеобразная» уязвимость, способная распространяться без участия пользователя. Microsoft выпустила патч даже для старых Windows XP.

8️⃣ CVE-2021-34527 / CVE-2021-1675 (PrintNightmare, 2021) — уязвимость в Windows Print Spooler. Повышение привилегий и RCE на серверах и рабочих станциях.

9️⃣ CVE-2016-5195 (Dirty COW, 2016) — race-condition в ядре Linux. Позволяла любому локальному пользователю получить root-доступ.

🔟 CVE-2021-26855 (ProxyLogon, 2021) — уязвимость в Microsoft Exchange. Массовые атаки, веб-шеллы на серверах компаний по всему миру.

Китайская госгруппа провела почти автономный кибершпионаж с помощью Claude

Anthropic вскрыла первую документированную кампанию, где 80–90% атаки выполнял ИИ, а не люди.
Цели - около 30 крупных организаций: технологии, финансы, критическая инфраструктура.

Что делал агент вокруг Claude:
— проводил разведку,
— обходил защиту,
— генерировал эксплойты,
— вытаскивал данные и сортировал полезное.

Люди вмешивались только в ключевые моменты.
Чтобы обойти политику модели, злоумышленники дробили запросы на десятки “безобидных” задач - Claude не видел общей картины.

Anthropic за 10 дней:
— задетектировала аномалии,
— заблокировала аккаунты,
— уведомила жертв,
— усилила фильтры и классификаторы.

Жесть)))

Ребят, напоминаю, что у меня есть ТГ, где бесплатно можно размещать вакансии по кибербезу. Поделитесь, может кому полезно будет!
Если вы смотрите в сферу кибербеза - обратите внимание на канал, зарплаты очень хорошие!

@cybervacancies_channel

🔴 ХАКЕРЫ УНИЧТОЖИЛИ ОБОРУДОВАНИЕ НЕМЕЦКОЙ РАДИОСТАНЦИИ. ЭТО ТОЛЬКО НАЧАЛО?

Немецкую радиостанцию Radio Nordseewelle буквально вырубили из эфира - часть оборудования уничтожена без возможности восстановления. Следы ведут к профессионально организованной атаке. Личности и мотивы - неизвестны.

Это уже не единичный случай:
– Radio Geretsried требовали $300 млн в биткоинах.
– Energy Hamburg парализовали вирусом-вымогателем.
– Donau 3 FM пришлось вещать с CD-плееров и винила как в 90-х.

Теперь Nordseewelle строит инфраструктуру с нуля и усиливает защиту: современная архитектура, жёсткие правила безопасности, тотальный мониторинг.

Кто безобразничает признавайтесь)

Обучение! Ребят, напоминаю у нас идет набор на 2 курса

1) Введение в кибербезопасность
https://brainupacademy.com/cybersecurity-intro.html

Цель курса: Дать студентам базовое понимание принципов безопасности, не пугая их сложностью. Сделать акцент на мышлении "белого хакера" — того, кто ищет уязвимости, чтобы помочь, а не навредить.

2) Инженер по тестированию безопасности OWASP TOP 10
https://brainupacademy.com/security-testing.html

Цель курса
Научить студентов основам тестирования безопасности, работе с инструментами пентестинга и подготовить к работе Security Tester.

Лучшие цены на рынке, курс ведет специалист в области кибербезопасности, участник CTF,
Финалист кубка России и победитель региональных CTF

Пишите для записи мне лично @faroeman

🚨 DoorDash: утечка данных через социнжиниринг

У DoorDash произошла утечка персональных данных. В сеть ушли имена, e-mail, номера телефонов и физические адреса - как клиентов, так и курьеров с продавцами.

Причина - успешная атака социальной инженерией на сотрудника компании. Доступ злоумышленников уже закрыт, расследование идёт, правоохранители уведомлены.

Компания заявляет, что критические данные (SSN, гос-ID, водительские права, банковские и платёжные данные) не затронуты.

Признаков мошенничества пока нет, но факт остаётся фактом - база уехала.

Инцидент напоминает историю 2022 года, когда утечки получили «Яндекс.Еда» и Delivery Club: там тоже пострадали контактные данные и информация о заказах.

Хорош развлекаться народ))

OWASP TOP 2025

• A01:2025 - Broken Access Control
• A02:2025 - Security Misconfiguration
• A03:2025 - Software Supply Chain Failures
• A04:2025 - Cryptographic Failures
• A05:2025 - Injection
• A06:2025 - Insecure Design
• A07:2025 - Authentication Failures
• A08:2025 - Software or Data Integrity Failures
• A09:2025 - Logging & Alerting Failures
• A10:2025 - Mishandling of Exceptional Conditions

Ну че скажете? Выкатили обновление

Осталось одно место на «Введение в кибербезопасность» и одно на «Нагрузочное тестирование» - оба направления сейчас в топе. Компании активно ищут специалистов, а зарплаты растут быстрее рынка.

Эти курсы - простой способ укрепить свою позицию в профессии или перейти в более оплачиваемую роль. Многие работодатели готовы оплачивать обучение, если объяснить, как это улучшит вашу работу.

Если хотите забрать последнее место - пишите в Telegram: @faroeman

Откуда в OWASP инъекции в 2025 году? Давайте разберемся.
Инъекции никуда не исчезли и в ближайшие годы не исчезнут. Причина проста - бизнесу важнее скорость, чем безопасность, а разработчики продолжают допускать одни и те же ошибки.
Коротко по фактам:
1. Люди пишут код в спешке.
Когда сроки горят, проверки входных данных летят в мусорку. Отсюда появляются уязвимости, которые можно было закрыть одной нормальной валидацией.

2. Старый код живёт годами.
Многие системы работают на устаревших фреймворках и кривых костылях. Никто не трогает их, пока всё «работает». А инъекции там сидят десятилетиями.

3. Разработчики не знают базовой безопасности.
Большинство учат фреймворки и библиотеки, но не понимают фундаментальных принципов. Отсюда - SQL-инъекции, XSS, LDAP-инъекции и прочий классический набор.

4. OWASP фиксирует не хайп, а реальность.
В топ попадает то, что реально эксплуатируют. Если инъекции там до сих пор - значит, их всё ещё находят в проде и всё ещё используют для взломов.

5. Автоматизация не спасает.
Даже лучшие сканеры пропускают уязвимости. А ручного анализа никто не делает, потому что «нет времени». Итог - очередной публичный слив.

Напоминаю, на следующей неделе стартует курс Введение в кибербезопасность, еще есть места
Пишите @faroeman

«Уиткофф-гейт» становится всё интереснее: Ушаков заявил, что слив разговора якобы произошёл из-за WhatsApp.

Помощник Путина рассказал, что иногда ведёт рабочие беседы через WhatsApp, и их «могли послушать».

Ушаков заявил, что закрытые линии связи почти не дают утечек, а вот WhatsApp — другое дело, поэтому «вряд ли» слив произошёл от участников разговора.

Ирония в том, что представитель Кремля общался с Уиткоффом через приложение, которое официально запрещено в России.

Как пишут «Важные истории», если разговор действительно был в WhatsApp и его смогли перехватить, то возможны только три варианта:

в приложении есть бэкдор (что Meta отрицает),

устройство Ушакова заражено шпионским ПО

или же он говорил по незащищённой связи и сейчас лукавит.

Итак вопрос, есть в Мета бекдор? :D

Как новичку зайти в информационную безопасность
ИБ - это не про «хакеров в худи». Это огромный рынок, где нужны люди даже без коммерческого опыта.

Что выбрать:
• Пентест - ищешь уязвимости, имитируешь атаки.
• SOC - защита, анализ логов, реагирование.
• Комплаенс - нормы, требования, риски.
• AppSec / DevSecOps - делаешь разработку безопасной.

Что должно быть в базе:
• Linux + терминал
• Сети: OSI, TCP/IP
• Криптография на уровне понимания
• Burp, Wireshark, Git
• Базовый Python

Как получить опыт без опыта:
• CTF
• Bug Bounty
• HackTheBox / TryHackMe
• Пет-проекты и скрипты на GitHub
• Сертификаты (по желанию)

Что писать в резюме:
Ссылки на CTF, Bug Bounty, HTB/THM, проекты, GitHub, сертификаты и чёткое направление, куда идёшь.

Где стартовать:
Стажировки, аутсорс, безопасные фриланс-задачи (только с разрешением и договором).

Ищу контент-мейкера, кто шарит в ИБ.
Задача: с января запускаю частный клуб в Телеге, где мы будем изучать пентест / киберсек с самого нуля.

Прибывание в клубе будет по подписке, в районе 15-25 евро в месяц, смешная цена для ценных знаний

У нас достаточно много тут ребят, кто хочет обучаться, но финансы не позволяют - поэтому надо сделать обучение доступным

От человека требуется уверенное знание кибера/пентеста и желание помогать сообществу
Писать контент, разботы, давать задания и тд, в общем активно вести клуб в Телеграме
Работа оплачивается!

Пишите в лс @faroeman
Сразу напишите о себе и своем опыте

🔒 ЗАКРЫТЫЙ КЛУБ ПО ПЕНТЕСТИНГУ

Практика. Система. Результат.

Если коротко:
это не канал «посмотрел → забыл».
Это место, где учатся думать как пентестер, а не тыкать Kali по гайдам.

Что реально будет
— структурная база по ИБ и пентесту
— web / network / linux / основы атак
— практические задания (hands-on)
— CTF и разборы
— реальные учебные сценарии атак
— ответы на вопросы, разбор ошибок

Без воды.
Темп нормальный — но расслабиться не получится.

Кому это нужно
— новичкам, которые не понимают, с чего начать
— тем, у кого знания разрозненные
— тем, кто хочет войти в ИБ осознанно, а не «авось повезёт»

Опыт не обязателен.

Формат
Закрытое сообщество.
Регулярный контент + практика.
Никакой нелегальщины. Только учебные стенды и сценарии.

Цена
💰 19 € / месяц
🔥 первый месяц — 13 €

Оплата:
— рубли
— доллары
— евро
или другая любая валюта

Без годовых подписок и «плати сразу за всё».

Честно
Пентест — это не легко.
Будет момент, когда захочется бросить.
Но если пройти базу правильно — дальше будет намного легче.

Если хочешь реально войти в кибербезопасность,
а не просто читать каналы — тебе сюда.

👉 Ссылку на клуб прикреплю тут

https://t.me/tribute/app?startapp=sIBO