## 🧭 «Я хочу в пентест, но не знаю, с чего начать»

Этот комментарий мы видим всё чаще.
Формулировки разные, но суть одна:

> «Информации слишком много — и непонятно, за что хвататься»

Кто-то:
- скачал Kali и застрял
- прошёл пару комнат на TryHackMe и бросил
- выучил команды, но не понимает, когда и зачем их применять

---

### ❌ Главная проблема
Большинство людей начинают не с того.

Они ищут:
- инструменты
- хаки
- payload’ы
- «топ уязвимостей»

Но почти не ищут:
- структуру
- последовательность
- логику мышления пентестера

В итоге — каша в голове и ощущение, что «это не для меня».

---

### 🧠 Что мы поняли
За последнее время таких комментариев стало слишком много, чтобы их игнорировать.

Поэтому мы приняли решение:
создать открытую базу знаний,
которая поможет разобраться, с чего начинать и как двигаться дальше.

---

### 📚 Что это будет
Открытая база знаний — это:
- базовые темы, разложенные по шагам
- объяснение *почему*, а не только *как*
- навигация по темам, а не разрозненные посты
- материалы, к которым можно возвращаться

По структуре она будет похожа на закрытый канал,
но без глубокой практики и внутренних кейсов.

---

### 🔓 Что будет в открытой базе
- основы пентеста
- web-база и типовые уязвимости
- OSINT как часть атаки
- понимание HTTP и логики приложений
- карьера и собеседования
- типовые ошибки новичков

Без перегруза.
Без «ты должен знать всё сразу».

---

### 🎯 Для кого это
- если ты только думаешь про пентест
- если ты начал, но застрял
- если хочется понять систему, а не просто инструменты

Это не курс.
Не марафон.
И не «стань пентестером за 30 дней».

Это точка входа, которой многим не хватало.

Дальше начнём раскладывать базу шаг за шагом 👣

Также будем активно рассматривать все ваши пожелания и запросы, и будем делать отдельные посты с разборами на ваши вопросы.

#pentest #base #start #infosec #career

📚 БАЗА ЗНАНИЙ | НАВИГАЦИЯ ПО КАНАЛУ

Добро пожаловать в открытую базу знаний сообщества 👋
Здесь собраны ключевые материалы, к которым можно возвращаться в любой момент.

📌 Пост будет обновляться по мере выхода нового контента
📎 Для удобства используйте хештеги

━━━━━━━━━━━━━━━━
🚀 С ЧЕГО НАЧАТЬ
━━━━━━━━━━━━━━━━
— Что такое пентест на самом деле
— Roadmap: как стать пентестером за 6 месяцев — реально ли?
— Как новичку зайти в ИБ
Хештеги: #start #base

━━━━━━━━━━━━━━━━
🧠 МЫШЛЕНИЕ ПЕНТЕСТЕРА
━━━━━━━━━━━━━━━━
— Почему инструменты — не главное в пентесте
— Как анализировать ответы сервера (и находить то, что другие не замечают)
— Чек-лист vs Алгоритм (чем отличается подход)
Хештеги: #mindset #base

━━━━━━━━━━━━━━━━
🌐 WEB-БАЗА
━━━━━━━━━━━━━━━━
Уязвимости
— Как работает HTTP
— Что такое IDOR
— Что такое cookies и сессии
— Что такое XSS
— Что такое SQL Injection
— Что такое CSRF
Практика
— Security Misconfiguration (конфигурационные ошибки)
Хештеги: #web #owasp

━━━━━━━━━━━━━━━━
🛠 ИНСТРУМЕНТЫ
━━━━━━━━━━━━━━━━
— nmap
— burp suite
— ffuf
— GoBuster
— shodan
Хештеги: #tools

━━━━━━━━━━━━━━━━
🏢 ИНФРАСТРУКТУРА / AD
━━━━━━━━━━━━━━━━
— Основы инфраструктурного пентеста
Хештеги: #infra #ad

━━━━━━━━━━━━━━━━
🖥 OSINT И РАЗВЕДКА
━━━━━━━━━━━━━━━━
— OSINT | Поиск информации по номеру телефона
— OSINT-КЕЙС | Установление личности по номеру телефона
— Пассивная разведка сайта
— Активная разведка сайта
Хештеги: #osint #recon

━━━━━━━━━━━━━━━━
💼 КАРЬЕРА И СОБЕСЕДОВАНИЯ
━━━━━━━━━━━━━━━━
— Чем пентестер отличается от «хакера»
Хештеги: #career #interview

━━━━━━━━━━━━━━━━
🧪 ПРАКТИКА / CTF
━━━━━━━━━━━━━━━━
— Разборы задач
— Где тренироваться
Хештеги: #practice #ctf

━━━━━━━━━━━━━━━━
📋 ЧЕК-ЛИСТЫ
━━━━━━━━━━━━━━━━
— Чек-лист пентеста веб-приложения
Хештеги: #checklist

━━━━━━━━━━━━━━━━
🧠 АЛГОРИТМЫ
━━━━━━━━━━━━━━━━
— Алгоритм пентеста веб-приложения
Хештеги: #algorithm

━━━━━━━━━━━━━━━━
💬 РАЗБОРЫ ВОПРОСОВ ИЗ ЧАТА
━━━━━━━━━━━━━━━━
— Можно ли получить доступ через USB-кабель?
Хештеги: #chat

━━━━━━━━━━━━━━━━
📌 ВАЖНО
━━━━━━━━━━━━━━━━

Если вы только начинаете — стартуйте с раздела «С чего начать».
Если уже в теме — переходите к Web и Инфраструктуре.

👉 За общением и практикой:
чат | вакансии

## 🛡 Что такое пентест на самом деле

Пентест (penetration testing) — это контролируемая имитация атаки на систему,
цель которой — найти уязвимости раньше, чем это сделает реальный злоумышленник.

Важно:

> Пентест — это не «ломать всё подряд».
> Это проверка того, насколько бизнес устойчив к атаке.

---

## 🔍 Что проверяет пентестер

- Можно ли получить несанкционированный доступ
- Можно ли повысить привилегии
- Можно ли получить чужие данные
- Насколько критичны найденные уязвимости
- Какой реальный ущерб возможен

Пентест — это всегда про риск для бизнеса, а не про «найти XSS ради XSS».

---

## 🧠 Чем пентест отличается от сканирования

Сканер:
- ищет известные шаблоны
- даёт список потенциальных проблем

Пентестер:
- анализирует логику
- проверяет гипотезы
- соединяет мелкие уязвимости в цепочку
- оценивает последствия

Автоматизация помогает.
Но мышление — решает.

---

## 🎯 Какие бывают пентесты

- 🌐 Веб-приложений
- 🏢 Инфраструктурный (AD, сеть)
- 📱 Мобильных приложений
- ☁️ Cloud
- 🔴 Red Team (имитация реальной атаки)

---

## ⚖️ Что пентест НЕ является

- ❌ Не хакинг «ради фана»
- ❌ Не массовый скан всего интернета
- ❌ Не bug bounty в чистом виде
- ❌ Не проверка «галочки ради»

---

## 📈 Главная цель

Не просто найти уязвимость.
А показать:

- как её можно использовать
- к чему это приведёт
- как это исправить

Пентест — это мост между атакой и защитой.

---

## 💡 Если совсем просто

Пентестер — это человек, который думает как атакующий,
но работает в интересах компании.

#pentest #base #infosec #start

У меня открылось индивидуальное и групповое обучение кибербезопасности с нуля ( а именно тестирование безопасности)

Что будем учить?

Программа обучения выглядит так:
- Linux bash
- SQL
- Основы программирования
- Postman для тестирования безопасности бекенда
- Методологии OWASP (особенно OWASP API)
- Криптография
- Основы протоколов и сетевых технологий
- GDPR, ISO27001

Пишите в лс @faroeman для подробностей

Если понял - ставь реакцию)

🧠 Почему инструменты — не главное в пентесте

Новички почти всегда начинают с одного вопроса:

> «Какие инструменты нужно выучить?»

nmap?
Burp?
sqlmap?
Metasploit?

Но правда в том, что инструменты — это всего лишь усилители.
Они не делают тебя пентестером.


🔍 Что на самом деле важно

Важнее инструмента — понимание:

- как работает HTTP
- как устроена аутентификация
- как данные превращаются в запрос
- где может ломаться логика приложения
- как связать мелкие баги в цепочку

Без этого любой инструмент превращается в «кнопку наугад».

⚠️ Типичная ошибка новичков

Сценарий:

1. Запустить сканер
2. Не понять, что он нашёл
3. Запустить ещё один
4. Снова не понять

Инструмент работает.
Мышление — нет.


🛠 Что делают опытные пентестеры

- сначала строят гипотезу
- потом проверяют её вручную
- и только затем используют автоматизацию

Они используют инструменты,
а не зависят от них.


🎯 Простой пример

sqlmap может найти SQLi.
Но он не объяснит:

- почему именно этот параметр уязвим
- как это связано с логикой приложения
- какой бизнес-ущерб возможен

Это понимает только человек.

📌 Выводы

Инструменты важны.
Но они — вторичны.

Сначала:

- понимание
- логика
- модель угроз

Потом — nmap и Burp.

Если убрать у тебя инструменты —
останется ли способность думать?

Вот в этом и разница между «пользователем Kali»
и пентестером.

#pentest #mindset #base #tools

🔍 Как анализировать ответы сервера (и находить то, что другие не замечают)

Большинство новичков смотрят только на одно:

> Статус-код.

200 — ок  
403 — запрет  
500 — ошибка  

Но по-настоящему начинаем анализировать только после:

🧠 1. Не верь только статус-коду

Иногда:

- 403 в статусе
- но в теле ответа есть данные

Или:

- 200 OK
- но действие не выполнено

📌 Статус — это сигнал.
Тело ответа — это истина.

📦 2. Смотри на тело ответа (Body)

Обращай внимание на:

- Изменилось ли содержимое?
- Появились ли новые поля?
- Есть ли stack trace?
- Есть ли SQL / internal ошибки?
- Есть ли скрытые параметры?

Иногда разница всего в одном слове.

🏷 3. Анализируй заголовки (Headers)

Headers часто палят:

- тип сервера
- версии технологий
- куки и флаги безопасности
- редиректы
- CORS-настройки

Set-Cookie и Location — твои лучшие друзья.

⏱️ 4. Следи за временем ответа

Если ответ:

- стал медленнее
- реагирует на спецсимволы
- «задумывается»

Это может быть:

- blind SQLi
- фильтрация
- серверная логика

Иногда уязвимость видно не глазами, а секундомером.


🔄 5. Сравнивай ответы

Измени:

- ID
- роль пользователя
- параметр
- токен

И сравни ответы.

Даже если они визуально одинаковые —
сравни длину, структуру, JSON-поля.

🎯 Главное правило

Каждый ответ сервера — это:

> Подсказка.

Пентестер не просто отправляет запросы.
Он читает ответы.

И именно там прячется 80% уязвимостей.

#pentest #web #mindset #base

🧪 Практическая задача по пройденному материалу)

Ты авторизован в веб-приложении как обычный пользователь.

Перехватываешь запрос:

GET /api/user?id=102  
Cookie: session=abc123

Ответ сервера:

HTTP/1.1 200 OK
Content-Type: application/json

{
  "id": 102,
  "name": "Ivan",
  "role": "user"
}

Всё выглядит нормально.


Теперь ты меняешь параметр:

GET /api/user?id=101

И получаешь:

HTTP/1.1 200 OK

{
  "id": 101,
  "name": "Admin",
  "role": "admin"
}

❓ Вопросы:

1. Что здесь происходит?
2. Какая уязвимость возможна?
3. Что ты проверишь дальше?

Пишите варианты в комментариях 👇
Утром разберём.

🔍 Разбор практической задачи

Вчерашняя задача — классический пример логической уязвимости.

Мы изменили только параметр id
и получили данные другого пользователя.

🎯 Что это?

Это признак IDOR (Insecure Direct Object Reference).

Сервер:
- проверяет, существует ли ID
- но не проверяет, имеет ли текущий пользователь право его видеть

Статус 200 OK здесь не означает «всё безопасно».

🧠 Что важно заметить

1. Код ответа не изменился
2. Сервер различает существующие и несуществующие ID
3. Отсутствует контроль доступа на уровне объекта

🔎 Куда пойдем дальше?

- Доступ к другим ID
- Можно ли менять роль через запрос
- Можно ли редактировать чужие данные
- Есть ли скрытые параметры

📌 ЗАПОМИНАЕМ

Большинство уязвимостей — это не ошибки кода,
а ошибки логики.

Не верь статус-коду.
Сравнивай ответы.
Меняй параметры.

Так найдется много всего интересного😉.

#pentest #web #practice #idor

🌐 Как работает HTTP (и зачем это понимать пентестеру)

HTTP — это протокол, по которому браузер общается с сервером.

Если прям на пальцах:

> Ты отправляешь запрос → сервер возвращает ответ.

Всё, что происходит в вебе, строится на этой модели.

🔄 Базовая схема

1️⃣ Клиент (браузер) отправляет **запрос**
2️⃣ Сервер его обрабатывает
3️⃣ Сервер возвращает **ответ**

📤 Что такое HTTP-запрос

Запрос состоит из:

1. Стартовой строки

GET /profile?id=12 HTTP/1.1

2. Заголовков (Headers)

Host: example.com
Cookie: session=abc123
User-Agent: Chrome

3. Тела запроса (Body)
(используется в POST/PUT)


📥 Что такое HTTP-ответ

Ответ тоже состоит из трёх частей:

1. Статус-код

HTTP/1.1 200 OK

2. Заголовки

Content-Type: application/json
Set-Cookie: role=user

3. Тело ответа

{
"name": "Ivan",
"role": "user"
}

📊 Основные статус-коды

- 200 — успешно
- 301/302 — редирект
- 400 — ошибка запроса
- 401 — не авторизован
- 403 — доступ запрещён
- 404 — не найдено
- 500 — ошибка сервера

⚠️ Но статус-код — это только сигнал.
Настоящая информация часто в теле ответа.

🧠 Почему это критично для пентестера

Пентестер не «ломает сайт».
Он:

- меняет параметры
- анализирует ответы
- сравнивает различия
- ищет доверие со стороны сервера

Если ты не понимаешь HTTP —
ты не понимаешь, что именно происходит.

🎯 ВЫВОДЫ

Веб-пентест — это:

> управление запросами
> и анализ ответов.

Burp, nmap и сканеры — это инструменты.
HTTP — это фундамент.

#pentest #web #base #http

В новой версии Notepad обнаружена уязвимость CVE-2026-20841 (CVSS 8.8) - command injection через .md-файлы.
Сценарий атаки простой:
пользователю отправляют вредоносный Markdown-файл → он открывает его → через механизм предпросмотра выполняются команды в системе.

Фактически это remote code execution от имени пользователя.
Затронуты версии Notepad 11.0.0–11.2509. Исправление выпущено 10 февраля (build 11.2510+).

Что это значит на практике:
- риск реален для компаний (фишинг через вложения .md);
- обычные пользователи тоже уязвимы, если открывают файлы "снаруж";
- эксплойт не требует сложной подготовки.

Что делать:
- обновить Notepad/Windows;
- отключить preview Markdown и ссылок, если не используется;
- не открывать .md из почты, Telegram и внешних источников.

Удачи!

🛠 Инструменты пентестера | nmap

━━━━━━━━━━━━━━━━━━
🧠 ЧТО ТАКОЕ NMAP НА САМОМ ДЕЛЕ
━━━━━━━━━━━━━━━━━━
nmap — это не просто «сканер портов».

В реальной работе nmap — это:
• инструмент разведки
• способ понять поверхность атаки
• источник гипотез для дальнейшего пентеста

nmap отвечает на главный вопрос:
👉 *«С чем мы вообще имеем дело?»*

━━━━━━━━━━━━━━━━━━
🎯 ЗАЧЕМ NMAP НУЖЕН ПЕНТЕСТЕРУ
━━━━━━━━━━━━━━━━━━
nmap позволяет:

• обнаружить активные хосты в сети
• определить открытые порты и сервисы
• узнать версии сервисов и ОС
• понять сетевую топологию
• найти потенциальные уязвимости через NSE

Это стандарт де-факто для начального этапа
сбора информации (recon).

━━━━━━━━━━━━━━━━━━
⚠️ ВАЖНЫЙ МОМЕНТ
━━━━━━━━━━━━━━━━━━
Частая ошибка новичков — думать, что:
❌ nmap = пентест
❌ чем больше ключей, тем лучше
❌ вывод nmap = уязвимости

На самом деле:
nmap не даёт ответов,
он даёт данные для анализа.

━━━━━━━━━━━━━━━━━━
🧠 КАК ПЕНТЕСТЕР ИСПОЛЬЗУЕТ NMAP
━━━━━━━━━━━━━━━━━━
Правильный подход:

1️⃣ Получили вывод nmap
2️⃣ Задали вопросы к результату
3️⃣ Поняли, *почему* сервис здесь открыт
4️⃣ Решили, *что проверять дальше*

То есть nmap — это начало цепочки,
а не её конец.

━━━━━━━━━━━━━━━━━━
📌 ВЫВОД
━━━━━━━━━━━━━━━━━━
nmap — фундаментальный инструмент,
но его сила не в командах, а в интерпретации результата.

Хороший пентестер:
• не «сканирует всё подряд»
• понимает, что и зачем он сканирует
• использует nmap как часть мышления

📘 ОФИЦИАЛЬНЫЙ МАНУЛ (RU):
━━━━━━━━━━━━━━━━━━
https://nmap.org/man/ru/index.html

#tools #nmap #pentest #base

🛠 Инструменты пентестера | Burp Suite

Продолжаем рубрику «Инструменты».
После разведки сети и сервисов (nmap)
логично перейти к анализу прикладного уровня.

Здесь на сцену выходит Burp Suite.

━━━━━━━━━━━━━━━━━━
🧠 ЧТО ТАКОЕ BURP SUITE
━━━━━━━━━━━━━━━━━━
Burp Suite — это инструмент для анализа и тестирования
веб-приложений и API.

Если nmap показывает *что* открыто,
то Burp позволяет понять:
👉 *как именно приложение общается с клиентом*.

━━━━━━━━━━━━━━━━━━
🎯 ЗАЧЕМ BURP НУЖЕН ПЕНТЕСТЕРУ
━━━━━━━━━━━━━━━━━━
Burp Suite позволяет:

• перехватывать и анализировать HTTP / HTTPS-трафик
• понимать логику запросов и ответов
• тестировать авторизацию и роли
• искать логические ошибки и trust-issues
• вручную проверять гипотезы

Это основной инструмент веб-пентеста.

━━━━━━━━━━━━━━━━━━
⚠️ ВАЖНЫЙ МОМЕНТ
━━━━━━━━━━━━━━━━━━
Частая ошибка — думать, что:
❌ Burp = автоматический взлом
❌ достаточно включить Scanner
❌ главное — знать кнопки

На самом деле Burp —
это лупа для анализа, а не магия.

━━━━━━━━━━━━━━━━━━
🧠 КАК ПЕНТЕСТЕР ИСПОЛЬЗУЕТ BURP
━━━━━━━━━━━━━━━━━━
Правильный подход:

1️⃣ Перехватить и изучить запрос
2️⃣ Понять, какие параметры реально важны
3️⃣ Задать вопрос: «А что если изменить это?»
4️⃣ Проверить гипотезу вручную
5️⃣ Только потом — автоматизация

━━━━━━━━━━━━━━━━━━
📘 ДОКУМЕНТАЦИЯ
━━━━━━━━━━━━━━━━━━
Официальный сайт:
https://portswigger.net/burp

━━━━━━━━━━━━━━━━━━
📌 ВЫВОД
━━━━━━━━━━━━━━━━━━
Burp Suite — это фундаментальный инструмент
для понимания веб-логики.

Он не ищет уязвимости «за вас»,
он помогает найти их самому.

#tools #nmap #pentest #base

OSI - модель, в пентесте без знаний данной модели делать нечего!

Очень важно при тестировании приложений знать на каком уровне происходят определенные процессы.

1️⃣ Физический уровень (Physical)

Передаёт биты по проводам, оптоволокну или через Wi-Fi.
Это сигналы, напряжение, частоты — чистая физика.

2️⃣ Канальный уровень (Data Link)

Упаковывает данные в кадры и передаёт их внутри одной сети.
Работает с MAC-адресами.

3️⃣ Сетевой уровень (Network)

Определяет маршрут передачи данных между сетями.
Работает с IP-адресами.
Главный протокол — IP.

4️⃣ Транспортный уровень (Transport)

Доставляет данные от приложения к приложению.
Контролирует скорость и целостность.
Примеры: TCP (надёжно), UDP (быстро).

5️⃣ Сеансовый уровень (Session)

Устанавливает, поддерживает и завершает соединение между устройствами.

6️⃣ Уровень представления (Presentation)

Отвечает за формат данных: шифрование, сжатие, кодировку.

7️⃣ Прикладной уровень (Application)

Самый «близкий к пользователю».
Протоколы: HTTP, FTP, SMTP, DNS.

В Испании задержали 20-летнего хакера, который годами жил в люксовых отелях, платя за ночи по одному евроценту

Вместо тысяч евро он вносил символическую сумму, пользуясь уязвимостью в системе онлайн-бронирования. Об этом сообщает информационное агентство Belga со ссылкой на заявление Национальной полиции...

⠀

Мошенник выбирал оплату через известную международную платформу, а затем вмешивался в проверку транзакции, добиваясь одобрения после перевода копеечной суммы. В момент ареста он жил в фешенебельном отеле в Мадриде, размещённом в бывшем дворце. Четырёхдневное пребывание за 4 тысячи евро обошлось ему всего в 4 цента.

⠀

В этой же гостинице испанец останавливался не раз. Общий ущерб отелю превысил 20 тысяч евро. При этом он активно пользовался мини-баром, заказывая напитки и закуски, которые входили в тариф, но по факту тоже не оплачивались...

⠀

Расследование началось после жалобы от турагентства 2 февраля. Внешне всё выглядело обычно: система показывала полную стоимость и стандартную процедуру оплаты. Обман вскрылся через несколько дней, когда платформа перевела компании реально уплаченную сумму – по центу за каждое бронирование.

⠀

В полиции уточнили, что подобного мошенничества в Испании ещё не фиксировали. Задержанному грозит уголовное дело преследование за компьютерное мошенничество. Отельеры теперь наверняка усилят контроль за платежами .