Как многие помнят, я разыгрывал проходки на OFFZONE и свой мерч + мерч OFFZONE 2023. И главным условием получения мерча было участие в мероприятии, чтобы я мог лично отдать мерч.

1. Это была фатальная ошибка тащить весь этот тяжеленный мерч с собой. Просто худшее решение за все эти два дня. В первый день я притащил с собой 2 доверху набитых рюкзака мерчом. И очень, очень, очень долго раздавал его победителям. Потому что каждый хотел на один доклад, другое на стендах. В телефонах не все сидят в моментах, а мне вас искать как бы не в западло, но и сфигали я должен за вами бегать?) Короче вышло хреново, потому что меня ещё OFFZONE задарил подарками, за что им спасибо. В итоге я ходил с тяжёлыми рюкзаками и ещё двумя шопперами (как СМИ, как спикер получал). В итоге к ночи рук я уже своих не чувствовал, как и ног.
Вывод: только доставка мерча до мероприятия
2. Я собрал ничтожно мало мерча. Почему? Потому что я все два дня ходил и раздавал свой мерч и новый мерч мне банально некуда было складывать до вечера второго дня. Итого у меня 100 ⚪️ за все два дня, которые я так и не смог потратить.
3. Третий пункт плавно вытекает из второго. Не смог или не успел потратить коины. Почему? Потому что в первый день все участники мероприятия их набирали, а во-второы день очередь с утра и до момента, когда закончился мерч, не заканчивалась. Это биг проблем, потому что тупо стоять 1,5 часа, ради того, чтобы тебе сказали, что то что ты хотел уже закончилось. Это беда, она есть из года в год. Самым логичным решением, это нанять ещё "продавцов" в мерч шоп. Иначе это проблема по мере увеличения масштаба мероприятия будет только усугубляться. Мне было не так обидно, т.к. у меня особо коинов не было, чтобы прям закупаться, но вот лучший друг фармил их два дня, в итоге потратил на какую-то фигню на стендах партнёров, а не на то что хотел. Это грустно(
4. Я не сходил ни на один доклад полноценно, я не сделал ни одной активности, кроме CUB_3 в самом начале. Где был жирный абуз таска. Я даже сам не понял, как я так ничего не прошел, и ничего себе не купил.
5. Заключающий пункт, он скорее как вывод. Мне мой опыт на этом OFFZONE, резко не понравился и даже особо ничем не запомнился.
Вывод: следующий год, я буду чисто как участник СМИ/спикер, но как ходячий стенд.

6. Не могу не отметить положительные моменты, что много встретил знакомых из интернета, которые наконец развиртуализировались. Это круто. Много (на удивление) подходили и фоткались. Это круто)
Как попросил меня один подписчик: не пренебрегай смолтолком если увидишь кого-то в мерче Похек. Так и случилось)
Было безгранично много общения!)
7. OFFZONE всегда была прекрасен своим сообществом, которое он собирает на площадке мероприятие. И самое главное, что за годы существования ивента они не растеряли свою суть. Это кайф 💕

А теперь про сам OFFZONE:

Предыстория: моё первое место работы, это и был Культурный Центр ЗИЛ. И по старой памяти были опасения, что может площадка не вывезти всех людей. Но с этим благо проблем не было.

1. Мне как бывшему ЗИЛовцу проблем найти что-то не было, т.к. я буквально был везде, пока работал там. Но вот людям, кто там никогда не был, было тяжело ориентироваться, т.к. по сути здание состоит из 3 частей, левой крыло, центральная часть и правое крыло и 4 этажая помимо этого всего. По поводу навигации у меня есть хорошее предложение для организаторов, которое я напишу им лично.
2. Был страх, что на втором этаже в центральной части будет слишком много вендоров и им уделят по 2 м² и будет тесно и не комфортно. Но я зря переживал, у многих стендом было достаточно места, на том же стенде Jet'ов вообще сидел и кайфовал на пуфиках. + Ребята решили свою прошлогоднюю проблему с клеткой Фарадея и в этом году у них было заметно больше участников CTF. С чем их и поздравляю.
3. В этом году первый раз был представлен Яндекс со своим стендом (если не ошибаюсь). Это было круто. У них были неплохие таски, в их стиле так скажем)) а также притащили своего робота и видел, что многие с радостью фоткались с ним)
4. Площадка вобрала в себя примерно в два раза больше людей, чем в прошлом году. С точки зрения самого комьюнити я не заметил ни одного эксцесса, либо их не было, либо всё быстро урегулировалось. Что кайф
5. Переменчивая погода была не помехой. За время OFFZONE только снег наверное не успел пойти, но мы нам всё равно было кайф. Даже когда все люди во время дождя забежали в здание, не было такого, как к примеру на PHD в Парке Горького, т.е. попа к попе. Все стояли комфортно, а половину пошла проходить таски внутри здания.
6. Speakerparty. Ооо, это был великолепный вечер, на котором я наконец-то смог отдохнуть и сбросить с себя бремя таскать мерч. Как обычно, куча кальянов, много чего выпить было. Еда была вкусная и воки не заканчивались никогда))
Также некоторые ребята для себя открыли бир понг и некоторым на утро было тяжело))
7. Afterparty. Спасибо команде VK и CICADA8, что так душевно организовали всё и для всех. Было круто, еда вообще кайф была, выпивки было ещё больше, чем на спикерпати :)
Интересным моментом было то, что все присутствующие сами разделили логично пространство ивента и каждый выбирал где ему комфортнее находится. Я плавал от зоне, к зоне)
Было круто, жаль рано уехал, т.к. слишком устал.
*. А ещё весёлым моментом было, что меня забрал очень интересный таксист, который рассказал, что у нас по соседству буквально в 100 метрах был... спросите у Пети Уварова, он теперь знает :))

!. Послушал ребят багхантеров, кто участвовал в Bugs ZONE, сказали, что очень вкусно нафармили себе денег, а некоторые и были награждены!

Вывод: OFFZONE топ, в следующем году обязательно приеду, может даже с докладом. Меня и Артема просили сделать вторую часть доклада про выгорание. Может быть и сделаем ¯⁠\⁠_⁠(⁠ツ⁠)⁠_⁠/⁠¯.
Всем рекомендую посетить данный ивент, точно не пожалеете потраченных денег и времени ❤️

🏆 Всем привет! 🏆

Приготовьтесь к захватывающему 24-часовому киберспортивному вызову! TQL CTF - это новое соревнование, организованное @fefucyber и @fefuctf в сотрудничестве с командами со Standoff365 и Федерацией Спортивного Программирования!

Состязание начнется 3 сентября в 12:00 и продлится до 12:00 4 сентября, у вас будет целый день и ночь, чтобы проверить свои навыки кибербезопасности 😈

TQL CTF проверит ваши способности в различных направлениях: AD/Network, Web, Quest, Cryptography, Reverse, OSINT, Steganography, Misc и Forensics! 💪

Состязание сопровождается солидным призовым фондом:

🥇 1-е место: $2000

🥈 2-е место: $1000

🥉 3-е место: $500

Независимо от того, являетесь вы опытным или только начинаете свой путь, здесь найдутся задачи для всех, чтобы было возможно учиться, расти и общаться с другими энтузиастами кибербезопасности! 💯

🍋‍🟩Посетите tqlctf.com, чтобы узнать больше и зарегистрироваться, присоединяйтесь к каналу мероприятия и чату мероприятия, не упустите возможность побороться за славу и выиграть большие призы!

Пришло время проверить свои навыки и оставить свой след в мире кибербезопасности! 🏆

OpenAI для SAST
#openai #sast #appsec

В связи с быстрым ростом числа программных приложений и постоянно растущей изощренностью киберугроз обеспечение безопасности программных систем стало первостепенной задачей для организаций всех отраслей. SAST стало важнейшим подходом к выявлению уязвимостей в ПО на ранних этапах жизненного цикла разработки. Анализируя исходники или бинарники, SAST позволяют обнаружить потенциальные слабые места, такие как небезопасные методы кодирования или известные уязвимости, еще до развертывания приложения.

По мере развития нейросетей в различных областях изучаются новые возможности его применения, и OpenAI с его GPT-4, привлек к себе значительное внимание. Языковые модели OpenAI отлично понимают и генерируют естественный язык, предлагая возможности, которые потенциально могут дополнить и улучшить традиционные методы SAST. Цель данного исследования - изучить пересечение SAST и OpenAI, исследовать потенциальные преимущества, проблемы и возможности, возникающие при их интеграции.

➡️Читать далее

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Что мы знаем о кибератаках? 👽

Существуют ли они на самом деле? Кто-то считает их выдумками для запугивания руководства, и лишь немногие открыто говорят, что сталкивались с ними 🛸

А что, если мы скажем вам, что киберугрозы гораздо ближе, чем мы думаем? Они в буквальном смысле среди нас. Каждый человек в компании, сам того не подозревая, может стать проводником хакерской атаки 💻

29 августа в 11:00 на бесплатном вебинаре «Люди. Киберугрозы. SOC» спецагенты из МТС RED расскажут:

🔴 как атакуют корпоративных пользователей;
🔴 почему происходят утечки и как защитить компанию от рисков, связанных с человеческим фактором;
🔴 какое будущее ждёт компании в условиях, когда «интернет помнит всё», а создать мошенническую схему с использованием нейросетей может даже не очень опытный злоумышленник.

Вебинар будет полезен, если вы:
💻 директор или руководитель службы ИТ/ИБ;
👨‍💻 владелец бизнеса, который интересуется кибербезопасностью;
🎩 хотите получить доступ к «секретным материалам».

Регистрируйтесь на вебинар, готовьте вопросы и не доверяйте никому 🤐

😆 Как мы с вами выросли за год

На пресс-конференции в рамках OFFZONE 2024 поделились итогами работы BI.ZONE Bug Bounty вместе со Сбером, «Группой Астра» и багхантером Артёмом Бельченко.

Из интересного:

🔵Сегодня на платформе размещаются 34 компании и 78 программ по поиску уязвимостей.

🔵Выплаты увеличились почти в 3 раза: их общая сумма составила 45 миллионов рублей, а за уязвимости уровней high и critical заплатили 28 миллионов рублей.

🔵Более чем в 1,5 раза возросло количество отчетов от багхантеров. При этом каждая шестая обнаруженная уязвимость относилась к уровням high и critical.

🔵За последний год на платформе более чем в 3 раза увеличилось количество компаний из финансовой отрасли и в 6 раз выросло число программ от госсектора.

🔵Мы запустили первую в стране программу по поиску уязвимостей в инфраструктуре субъекта РФ — Ленинградской области.

Впереди нас ждет еще больше программ, выплат и крутых ивентов для сообщества!

Если еще не багхантите с нами, присоединяйтесь ;)

ИИ в тестировании на проникновение: Фаза эксплуатации
#ai #pentest #fuzzing

Мы как-то на подкасте с Артёмом Семёновым обсуждали различные тулзы по типу PentestGPT, которые думают за вас помогают вам искать баги. Нашёл интересную статью, где упоминается не только PentestGPT, но и ещё одна интересная тулза. Но о какой не скажу, читайте внимательно статью, она интересная :)

➡️Читать далее

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

userfuzz
#fuzzing #web #bugbounty #sqli #blindsqli

Недавно один индус выпустил классную тулзу для поиска blind sql injection и вполне успешно теперь получает хаи и криты на h1. Но я нашёл тулзу поинтереснее, с точки зрения фаззинга.
Представляю вашему вниманию тулзу, которая фаззит User-Agent , X-Forwarded-For and Referer на наличие скулей. Вместо тысячи слов, пару строк как установить и использовать:

Установка:

sudo pip install userefuzz

Использование:

# Передаём список урлов
userefuzz -l <LIST>

# Передаём 1 урл
userefuzz -u <URL>

# в пайплайне передаём
<STDIN LIST> | userefuzz

# изменяем кол-во потоков
userefuzz <LIST / URL> -w <WORKER COUNT>

# подключаем прокси, к примеру бурпсуютик
userefuzz <LIST/URL> -p <PROXY>

# Можете подсовывать свой пейлоад и свой тайминг для SLEEP()
userefuzz <LIST/URL> -i <CUSTOM SQLI PAYLOAD> -s <SLEEP COUNT IN THE PAYLOAD>

# Внедряем свой кастомный загаловок
userefuzz <LIST/URL> -ch <CUSTOM HEADER NAME>

# Внедряем несколько заголовков
userefuzz <LIST/URL> -ch <CUSTOM HEADER NAME|OTHER HEADERS> 

# вывод в markdown формате (красивый и информативный)
userefuzz <LIST/URL> -o <OUTPUT FILE NAME WITHOUT EXT>

# Приятное удобство, что можно подключить уведомления через Telify
userefuzz <LIST / URL> -t

Как-то так. Пользуйтесь)


💻 Github repo

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Очень много людей знают Магаму @casterbyte и его канал. И все мы его знаем как гениального сетевого инженера, который может по винтикам разобрать CISCO и MikroTik, а также он является nightmare для любого сетевика в крупной компании))

Так вот он выпустил свою книгу: Сети глазами хакера by Базаров Магама.

В книге раскрываются следующие темы:
➡️Настройка дистрибутива Kali Linux для пентеста сетей
➡️Руководство по пентесту канального уровня сети
➡️Руководство по пентесту сетей Cisco
➡️Руководство по пентесту и защите устройств MikroTik
➡️Рекомендации по пентесту сетей с наименьшим ущербом для инфраструктуры
➡️Защита сети и сетевого оборудования от хакерских атак

Я уже заказал себе 6 книг. Одну себе, 5 на розыгрыш на канале))

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Мегадрон. Строим хакерский беспилотник — дальнобойный и с защитой от глушилок
#дроны #s0i37

Ты сидишь за кла­виату­рой на одном из вер­хних эта­жей охра­няемо­го зда­ния, рас­положен­ного пос­реди зак­рытой тер­ритории в окру­жении забора с колючей про­воло­кой под нап­ряжени­ем. Ты чувс­тву­ешь себя в пол­ной безопас­ности — за ней сле­дят не толь­ко камеры, но и бди­тель­ная охра­на. За окном раз­дает­ся подоз­ритель­ное жуж­жание, ты отвле­каешь­ся на непонят­ный источник зву­ка, и этих нес­коль­ких секунд дос­таточ­но, что­бы на твой компь­ютер уста­новил­ся бэк­дор, а хакер, рас­положен­ный в 20 км от тебя, про­ник в кор­поратив­ную сеть. Фан­тасти­ка? Ничего подоб­ного!

🔓 Читать далее

🌚 @poxek | 📹 YouTube | 🌚 Мерч Похек

Появилась запись нашего с Сергеем доклада про выгорание 😊

Книги снова в продаже 🕺