Как явно доказать вендору, что XSS и HTML инъекции не инфо/лоу
#meme

Оригинал видео

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

#заметка #k8s

🖼️ Установка gitlab-runner в k8s

0️⃣Для начала проверяем, что установлен Helm 3. Если нет, то выполняем

curl https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash

1️⃣Добавляем helm chart gitlab'а

helm repo add gitlab https://charts.gitlab.io

2️⃣Обновляем данные репозитория

helm repo update gitlab

3️⃣Смотрим, какие есть доступные версии

helm search repo -l gitlab/gitlab-runner

Получаем примерно такой вывод:

NAME                  CHART VERSION  APP VERSION  DESCRIPTION  
gitlab/gitlab-runner  0.76.0         17.11.0      GitLab Runner
gitlab/gitlab-runner  0.75.1         17.10.1      GitLab Runner
gitlab/gitlab-runner  0.75.0         17.10.0      GitLab Runner
gitlab/gitlab-runner  0.74.3         17.9.3       GitLab Runner
gitlab/gitlab-runner  0.74.2         17.9.2       GitLab Runner
gitlab/gitlab-runner  0.74.1         17.9.1       GitLab Runner
gitlab/gitlab-runner  0.74.0         17.9.0       GitLab Runner
gitlab/gitlab-runner  0.73.5         17.8.5       GitLab Runner
gitlab/gitlab-runner  0.73.4         17.8.4       GitLab Runner
gitlab/gitlab-runner  0.73.3         17.8.3       GitLab Runner
gitlab/gitlab-runner  0.73.2         17.8.2       GitLab Runner

Выбираем последнюю совместимую версию с вашим Gitlab instance. Я попробовал поставить на версию выше, чем мой интанс гитлаб, вроде заработало, но лучше всё таки метчить со своей версией гитлаба.

4️⃣Сохраняем шаблон конфигурации в values.yaml

helm show values gitlab/gitlab-runner --version 0.76.0 > values.yaml

5️⃣Идём в нужный репозиторий (советую привязывать раннеры к конкретным репам). Settings > CI/CD > Runners > New project runner. Задаем нужные настройки и получаем 2 нужные нам переменные дальше: gitlabUrl & runnerToken

6️⃣Возвращаемся на сервер с кубером. Мы скачали values.yaml, но это только шаблон, нам нужно будет его отредактировать. Нам нужны поля gitlabUrl — сюда вставляем url нашего gitlab, runnerToken — в кавычки копипастим токен, который мы получили на предыдущем шаге, ищем пункт rbac и свойство create ставим true. Сохраняемся и выходим из файла.

7️⃣Создаем namespace для раннера/ов

kubectl create namespace gitlab-runner

8️⃣Применияем helm chart

helm install --namespace gitlab-runner gitlab-runner -f values.yaml gitlab/gitlab-runner --version 0.76.0

Если вы хотите добавить несколько gitlab runner'ов, то делайте примерно так:

helm install --namespace gitlab-runner gitlab-runner-service1 -f values-service1.yaml gitlab/gitlab-runner --version 0.76.0
helm install --namespace gitlab-runner gitlab-runner-service2 -f values-service2.yaml gitlab/gitlab-runner --version 0.76.0

Зачем может быть нужно более одного раннера в кубере? Я для себя ответил, что для паралльного деплоя из разных репозиторияев.

9️⃣Проверяем состояние наших раннеров

kubectl get pods -n gitlab-runner

❓Если какая-то ошибка, то вам помогут команды describe & logs

# смотрим конфиг и состояние пода (может несколько сразу показать, если они в одном namespace)
kubectl describe pods -n gitlab-runner
# смотрим логи пода
kubectl logs -n gitlab-runner gitlab-runner-<randomID>

Неплохая такая заметка получилась))
Следующую напишу про gitlab agent

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Game Hacking 1. От чит-кодов до kernel-level читов
#game_hacking #читкод #konami

Игровой хакинг — это не просто способ получить преимущество в виртуальном мире. Это сложная экосистема, где технические навыки пересекаются с киберпреступностью, а каждый новый патч защиты провоцирует ответные действия хакеров. Рассмотрим эволюцию читов, методы обхода античит-систем и аппаратные решения, которые превратили игровой взлом в многомиллионный теневой бизнес.

⬆️⬆️⬇️⬇️⬅️➡️⬅️➡️BA

➡️История читерства: от пакмана до соревновательных шутеров
Первые читы появились одновременно с самими видеоиграми. Ещё в 1980-х игроки в аркадных автоматах использовали «фамильные секреты» вроде знаменитого кода Konami, чтобы получить дополнительные жизни в Contra. С развитием PC-гейминга читинг стал технологичнее: в 1999 году для Quake разработали первый aimbot, анализировавший позиции противников через память процесса.

🔗Первая статья из 4

p.s. да, на картинке не правильный читкод, но лучше сгенерировать у меня не получилось)

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

⚠️ AI-агенты в Web3: как их ломают и почему это опасно ⚠️
#ai #web3 #LLM #DAO #jailbreak #gpt4 #claude #CTF

В 2025-м AI-агенты на базе LLM уже вовсю рулят в Web3: торгуют криптой, управляют DAO, анализируют блокчейн-данные. Но чем больше у них полномочий, тем жирнее цель для хакеров. Positive Technologies разобрали, как ломают таких агентов и почему старые методы уже не катят.

➡️ Главные векторы атак:
▪️Jailbreak через хитрые промпты: даже GPT-4 и Claude можно заставить нарушить правила, если грамотно замаскировать запрос. Прямолинейные «игнорируй инструкции» больше не работают, но сложные сценарии, ролевые игры и цепочки команд всё ещё пробивают защиту.
▪️Memory injection: если агент тянет инфу из разных каналов (Discord, Twitter и т.д.), можно «отравить» память вредоносной инструкцией. Атака может прийти из одного канала, а сработать — в другом.
▪️Many-shot jailbreak: закидываем в длинный контекст кучу примеров, где ассистент уже нарушал правила — и модель начинает думать, что так и надо.
▪️Мультимодальные атаки: скрытые команды в картинках или аудио. GPT-4 с OCR может прочитать промпт с фотки и выполнить его.
▪️Инфраструктурные дыры: иногда проще взломать дашборд или API, чем саму модель — и увести крипту напрямую.

➡️CTF и реальные кейсы:
В Teeception CTF атакующие ломали AI-агентов с реальными токенами на кону. Побеждали те, кто находил логические дыры в промптах — например, просили выполнить команду не для себя, а для «друга», или разбивали адрес на части, чтобы обойти фильтр.
Gray Swan Arena, Anthropic Red Team Trials, DEF CON — комьюнити постоянно ищет новые эксплойты, и ни одна LLM пока не выдержала всех атак.

➡️Вывод:
100% защищённых AI-агентов нет. Чем больше прав у бота — тем выше желание у хакецкеров его сломать, а следовательно выше риск, что в итоге обойдут систему защиты. Защита — это не только фильтры в LLM, но и классическая кибербезопасность: ограничение прав, проверка транзакций, логирование, изоляция контекстов и постоянный аудит.

➡️Рекомендации:
▪️Ограничивайте полномочия AI-агентов на уровне смарт-контрактов.
▪️Разделяйте контексты и фильтруйте ввод с разных платформ.
▪️Внедряйте внешние валидаторы для критичных действий.
▪️Используйте реальные кейсы атак для дообучения моделей.
▪️Не пускайте AI в финансы без двойной (а лучше ручной) проверки!

💀 Не доверяйте AI-агентам вслепую — иначе кто-то уведёт ваши данные, пока вы читаете этот пост.

🔗Безопасность AI-агентов в Web3 часть 1 и часть 2

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Game Hacking 2. Уязвимости в игровых серверах: когда игру ломают изнутри
#game_hacking #UE5 #RCE #PunkBusteraq

Серверная инфраструктура — это сердце любой онлайн-игры, но именно здесь разработчики чаще всего допускают критические ошибки. В 2023 году 78% успешных атак на игровые компании начинались с эксплуатации уязвимостей в бэкенде. Разберём, как хакеры взламывают серверы, и почему традиционные методы защиты часто бесполезны против целевых атак.

⬆️⬆️⬇️⬇️⬅️➡️⬅️➡️BA

➡️Архитектура игровых серверов: слабые звенья
Современные игры используют распределённые микросервисные архитектуры, где каждый компонент — потенциальная точка входа для атакёра:

➡️Авторизация и аутентификация
Системы вроде OAuth 2.0 часто внедряются с ошибками. В 2024 году исследователи нашли уязвимость в реализации Steam OpenID у 14% indie-проектов, позволявшую перехватывать сессионные токены через поддельные редиректы.

➡️Синхронизация игрового состояния
Протоколы синхронизации (например, Lockstep в RTS) уязвимы к спуфингу. В одном из мобильных MMO хакеры подменяли пакеты с координатами юнитов, создавая "фантомные армии", которые невозможно атаковать.

🔗Вторая статья из 4

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

🛡Две стороны одной медали: важность навыков пентеста для специалиста SOC и наоборот🔓
#SOC #pentest #purple_team #red_team #blue_team

Современная кибербезопасность требует симбиоза наступательных и оборонительных навыков. SOC-аналитики, владеющие техниками пентеста, обнаруживают угрозы на 40% быстрее, а пентестеры с пониманием SOC-процессов успешнее обходят системы защиты в 68% случаев. Интеграция подходов red team (атакующие) и blue team (защитники) через purple teaming формирует устойчивую киберзащиту, сокращая время реагирования на инциденты до 2 часов вместо стандартных 72. Развитие кросс-функциональных навыков через CTF сценарии типа Attack/Defence становится новым стандартом подготовки специалистов.

🔗Читать дальше

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

«Пасхалка» в Telegram. Как я нашел способ авторизоваться без клауд-пароля и уведомлений
#telegram #небагафича #авторизация #auth

История про то, как телеграм отмазывается от бекдоров и говорит, что это фича, а не баг

Раз­работ­чики Telegram не сидят без дела: в мес­сен­дже­ре с каж­дым годом все боль­ше фун­кций. Но некото­рые из них, если переф­разиро­вать «Собачье сер­дце», могут прев­ратить­ся «из клас­сной фичи в мер­зкий баг». Этот матери­ал — о любопыт­ной уяз­вимос­ти, с которой я стол­кнул­ся, рас­сле­дуя, как укра­ли 200 мил­лионов руб­лей в крип­те зимой 2025 года.

P.s. приятно сказать, что это статья одного из подписчиков канала и активного участника чата)

P.S.p.s. автор статьи дал следующие рекомендации. Оказывается даже закрыть активные сессии не помогает.

🔗Читать дальше

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Game Hacking 3. RCE-уязвимости и атаки на игроков
#game_hacking #RCE #CSGO #Log4J #Minecraft #DarkSouls3 #BleedingPipe

Remote Code Execution (RCE) — это самая опасная категория уязвимостей в современной кибербезопасности, особенно в контексте игр. Эти уязвимости позволяют злоумышленникам удаленно выполнять произвольный код на устройстве жертвы, получая полный контроль над системой без ведома пользователя. В игровой индустрии RCE-атаки становятся все более изощренными и распространенными, представляя серьезную угрозу для миллионов геймеров по всему миру. В этой статье мы детально рассмотрим механизмы RCE-уязвимостей в играх, проанализируем реальные случаи их эксплуатации и разберем технические аспекты наиболее известных атак.

⬆️⬆️⬇️⬇️⬅️➡️⬅️➡️BA

➡️История известных RCE-атак через игры
За последние годы игровая индустрия стала свидетелем множества серьезных RCE-уязвимостей, некоторые из которых затронули миллионы пользователей по всему миру.

➡️Minecraft и Log4Shell (2021)
В декабре 2021 года была обнаружена критическая уязвимость Log4Shell (CVE-2021-44228) в библиотеке Log4j, широко используемой в Java-приложениях, включая Minecraft. Эксплуатация этой уязвимости была поразительно простой — достаточно было отправить определенное сообщение в чат игры, чтобы выполнить вредоносный код на сервере или клиенте игрока.

Как пример уязвимости — HTTP-сервер, который логирует строку, например, user agent. Для Minecraft была выпущена официальная версия 1.18.1, закрывающая эту уязвимость, но множество пользовательских серверов оставались уязвимыми.

➡️Counter-Strike: Global Offensive (2021)
В апреле 2021 года группа исследователей безопасности Secret Club сообщила о наличии удаленной уязвимости в движке Source, разработанном Valve и используемом для создания игр с десятками миллионов уникальных игроков. Эта уязвимость затрагивала множество популярных игр, включая Counter-Strike, Half-Life, Half-Life 2, Garry's Mod, Team Fortress, Left 4 Dead и Portal.

Другая исследовательская группа из Felipe и Alain, обнаружила три независимые RCE-уязвимости в CS:GO, каждая из которых могла сработать, когда игровой клиент подключался к вредоносному Python-серверу. Они даже разработали полноценный эксплойт, демонстрирующий выполнение произвольного кода на клиенте при подключении к серверу.

🔗Третья статья из 4

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Хет-трик пентестера: обзор и опыт получения трех ИБ-сертификатов
#СRTP #CRTE #СRTO #OSCP #Бастион

Сегодня в ИБ-индустрии сертификаты квалификации часто становятся входным билетом в профессию. Особенно это касается пентеста и red-teaming, где заказчики нередко требуют наличие определенных сертификатов для участия в тендерах.

В этой статье автор расскажет о своем опыте прохождения СRTP (Certified Red Team Professional), CRTE (Certified Red Team Expert), СRTO (Certified Red Team Operator) без отрыва от производства и вреда для рабочих проектов. Поделится подробностями об организации обучения, особенностях лабораторных работ и экзаменов. Также даст практические советы, которые помогут избежать типичных ошибок при подготовке.

Статья будет полезна как начинающим специалистам по информационной безопасности, так и опытным пентестерам, планирующим получить эти сертификаты. Автор отмечает: его путь не был идеальным — были и пересдачи, и бессонные ночи, и «кроличьи норы». Но, как говорится, лучше учиться на чужих ошибках.

Накидайте +rep от меня))

🔗Уже можно назвать автора индусом с 100500 сертов на LinkedIn?))

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

BSCP и с чем его едят?
#BSCP #Portswigger #BurpSuite #cert #экзамен

Пробные экзамены
Перед сдачей PortSwigger настоятельно рекомендуют прорешать, как минимум, один пробный экзамен, который состоит из одного уязвимого приложения, где необходимо получить первичный доступ, повыситься до админа, а потом стянуть с защищаемой машины флаг, на всё про всё вам даётся 2 часа. Всего таких экзаменов два, то есть 2 пробных экзамена равносильны одному настоящему, где вам выдается 2 сервиса на 4 часа.

В целом, пробные экзамены вещь полезная и они действительно забросят вас в максимально похожие на экзамен условия, но есть одно НО. Оба экзамена представляют собой, фактически, один и тот же вектор: XSS -> SQL Injection -> Insecure Deserialization. Разница лишь в XSS'ке и техниках обфускации, после получения первичного доступа уязвимости не то, что идентичны, они одинаковые. Относительно десера, мне он не встретился нигде, тем более с таким странным чейном, как в пробном экзамене.

Впечатление от пробных экзаменов как от проверки скиллов - не очень, так как они содержат довольно посредственные уязвимости, которые не позволяют объективно оценить уровень своей подготовки. Если рассматривать их как знакомство с форматом проведения самого экзамена, то вполне ничего.

🔗Читать райтап

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

🐈 Ловите 270+ причин сорваться в «Лужники» 22–24 мая: программа PHDays Fest уже ждёт вас на сайте!

Более 500 спикеров выступят в «Лужниках» в дни фестиваля. Техническая часть закроет вообще все темы по кибербезу: 270 докладов в 26 разных треках.

➡️Вот вам только малая часть того, что будет:

😊 Александр Колчанов расскажет, чем опасна ваша кофеварка и другие умные штуки дома.

😊 Антон Белоусов объяснит, как ИИ-агенты шпионят в сети (и как от них защищаться).

😊 Абдаллах Наваф Аль-Махамид (Hackerx007) покажет, как обходить защиту в багбаунти (если вы понимаете, о чём я 😎).

🌐В этом году PHDays Fest принимает гостей из 41 страны, включая Латинскую Америку, Африку, Ближний Восток и Азию. Так что будет реально жарко!

🐣 Напоминаю, что попасть на доклады можно только по билету. Все средства от их покупки идут на благотворительность. Так что вы и знания получите, и мир чуточку лучше сделаете 😻

Онлайн-трансляцию тоже организуют, но часть выступлений будет только для тех, кто приедет лично. Так что если хотите максимум – приезжайте!

⚡️ Смотрите программу и выбирайте, что вам больше нравится.

Укрепление безопасности образов контейнеров с помощью Wazuh и Trivy
#Wazuh #Trivy #SOC #Appsec

Эта статья черпает вдохновение из записи в блоге Wazuh о повышении безопасности образов контейнеров с помощью Wazuh и Trivy.

Контейнеризация произвела революцию в разработке и развертывании программного обеспечения, предлагая масштабируемость и эффективность. Однако эта гибкость может создавать риски для безопасности, если образы контейнеров не защищены должным образом.Уязвимости в этих образах могут подвергнуть всю вашу систему угрозам.
Вот где вступает в игру совместная мощь Wazuh и Trivy.

Эти инструменты с открытым исходным кодом предоставляют комплексное решение для повышения безопасности образов контейнеров, гарантируя защиту ваших приложений с самого начала.

🔗Читать дальше

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Если вы работаете с Wazuh, то наверняка сталкивались с тем, что документация огромная, а найти нужную инфу быстро — задача не из простых. Но что если внедрить в этот процесс современные AI-инструменты? Именно об этом рассказывает свежая серия статей «Применение RAG для работы с документацией Wazuh» — и это реально must-read для всех, кто хочет выжать максимум из своих знаний по кибербезу!

➡️Что такое RAG и зачем он Wazuh?
Retrieval-Augmented Generation (RAG) — это подход, который позволяет не просто генерировать ответы на вопросы, а делать это на основе релевантных кусков документации. То есть, вы не просто спрашиваете у бота, а получаете реально точный и проверяемый ответ, который подтягивается из вашей же базы знаний. В случае с Wazuh это превращается в мощный инструмент: автоматизация поиска, быстрый доступ к нужной инфе и реальный буст продуктивности.

➡️Часть 1: Готовим документацию Wazuh под RAG
Первая статья — прям гайд для тех, кто хочет собрать документацию Wazuh локально и подготовить её для дальнейшей работы с RAG. Автор подробно рассказывает, как:
▪️Оценить и собрать актуальную документацию Wazuh с GitHub.
▪️Использовать Sphinx или Docker для локальной сборки, чтобы потом гонять по ней запросы.
▪️Конвертировать single HTML в PDF, если нужен именно такой формат для дальнейшей работы.

Всё расписано пошагово, с командами и советами — разберётся даже тот, кто только начинает копать в сторону автоматизации документации.

➡️Часть 2: Настраиваем RAG на практике

Если первая часть была разминкой, то во вторая часть — вы уже реально начинаете ебашить. Как поднять Ollama 3.2, как интегрировать LangChain, ChromaDB и Python для загрузки PDF-документации и создания векторного хранилища. Автор приводит рабочие куски кода для загрузки и разбиения PDF на чанки, объясняет, как настраивать эмбеддинги и как строить пайплайн для запросов к документации через Ollama.

Особенно круто, что показан пример скрипта, который позволяет буквально «спросить у Wazuh» — и получить человеческий, развернутый ответ на английском, с реальными примерами использования системы. Всё это работает локально, без облаков и сторонних сервисов, что важно для бизнеса.

⬆️Возможно при использовании Ollama 4.0 результаты будут лучше.

💬Если вы работаете с Wazuh, как вы считаете - такие интеграции имеют смысл? И пора ли вендорам добавлять что-то аналогичное в свои продукты, чтобы выделяться на рынке и желательно упрощать, а не усложнять работу SOC?)

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Modern iOS Pentesting: No Jailbreak Needed
#iOS #jailbreak #mobile #pentest #мобилки

В последние годы классический подход к iOS-пентесту — джейлбрейк, установка IPA и простой похек — уходит в прошлое. Apple закручивает гайки, новых джейлбрейков для свежих устройств и iOS просто нет. Казалось бы, всё, тупик: как тестировать безопасность приложений, если джейлбрейков нет, а разработчики не дают исходники и IPA? Но нет, выход есть, и он куда изощрённее, чем старый добрый джейлбрейк.

Noah Farmer на dvuln.com рассказывает, как провести iOS-пентест без джейлбрейка, используя инструменты самих разработчиков. Всё начинается с получения прав отладчика через специальный entitlement — get_task_allow. Если пересобрать приложение с этим флагом, можно подключать дебаггер и выполнять код в песочнице приложения, почти как в джейлбрейк-среде, но только для одного конкретного приложения, без риска для всей системы.

Но есть большая ложка дёгтя: App Store распространяет приложения в зашифрованном виде (FairPlay DRM), и просто так пересобрать и установить их не получится. Решение — получить IPA через Apple Configurator, изменить минимальную версию iOS в Info.plist, установить на старое джейлбрейкнутое устройство, расшифровать с помощью frida-ios-dump, и вернуть расшифрованный IPA на Mac.

Дальше — магия Xcode и iOS App Signer: пересобираем приложение с get_task_allow, подписываем своим сертификатом, устанавливаем на актуальный iPhone. Теперь можно запускать любимые инструменты (Objection, Frida) и исследовать приложение вживую, не джейля iOS и не нарушая гарантию Apple.

🔗Читать полностью

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

🎙🎙🎙🎙

Опа, подкастики пишутся, хайлайты нарезаются, инсайды раскрываются

Угадайте что за стикером с котиком?)

🎙🎙🎙🎙

Фишинг «для своих»: нюансы организации учебных рассылок
#киберучение #фишинг #вишинг #смишинг

Сегодня автор расскажет о фишинге, но не о том, который используют злоумышленники, а о его «белой», легальной версии — учебных фишинговых рассылках. Как специалист по информационной безопасности, он часто сталкиваюсь с вопросом: «А нужно ли нам это?». Давайте разберемся, с какими подводными камнями можно столкнуться во время таких тестов и почему простая рассылка писем — это только верхушка айсберга.

В этой статье мы погрузимся в мир корпоративной кибербезопасности, рассмотрим реальные кейсы из практики и обсудим, как правильно подойти к организации учебного фишинга. Поговорим о технических нюансах, юридических аспектах и психологических приемах.

Фишинг в Бастионе — важная составляющая пентестов и редтима. В первом случае мы целенаправленно проверяем бдительность сотрудников заказчика, во втором — применяем разнообразные методы атак, чтобы переиграть ИБ-службу компании.

🔗Читать полностью

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч