👁 Как изучать что угодно?

При изучении чего-то нового, будь то фреймворк, утилита или новый механизм можно начинать изучать это по такому удобному алгоритму:

🟢 Используем как обычный пользователь
🟢 Используем как разработчик или сисадмин
🟢 Используем как пентестер

➡️ Использовать как обычный пользователь — это даст нам понимание, что мы можем использовать, какие есть точки входа, какие кнопки, папки, файлы, механизмы, фичи и функции.

➡️ Использовать как разработчик — это даст понимание, как работает под капотом то, что мы с вами тыкали как обычный пользователь. Также есть возможность изучить, какие есть защитные меры, от каких уязвимостей можно спастись и как именно это происходит.

➡️ Использовать как пентестер — на тех двух этапах мы с вами поняли, какая используется дефолтная конфигурация, какие могут быть дефолтные учетные записи и пароли, какие есть защитные меры и как именно устроена защита от уязвимостей. Теперь есть возможность попробовать обойти защитные меры от уязвимостей, потыкать функционал загрузки файлов на уязвимости. Также перед нами есть открытый исходный код и его плюсы.

📌 Теперь, когда прошли все этапы, то при столкновении с этим объектом есть понимание, куда смотреть, что открывать, что тыкать и какие уязвимости не стоит искать.

RFIB | redforge.su | #research

💖 Лабы становятся ещё лучше

Мы подняли отдельный мощный сервер для лабораторий RedForge

🏦 Что это значит?
Теперь каждая лаборатория запускается в собственном Docker контейнере на выделенном сервере, а также теперь есть место, где лабы будут жить

🏦 Что это дает:
🤩 Полную изоляцию лабораторий
🤩 Более быстрый запуск и стабильную работу
🤩 Возможность одновременно запускать больше лабораторий без просадок
🤩 Возможность добавить больше лаб чем прежде

Это лишь первый шаг. Уже совсем скоро мы начнем выкатывать новые лаборатории с реальными сценариями из мира пентеста 💪

😍 Практики станет ещё больше

RFIB | redforge.su | #update

🔍 Какая уязвимость спрятана в коде?

Попробуй найти

RFIB | redforge.su | #quiz

🤩 Токен, который сломает школьник за 90 секунд

Сброс пароля, подтверждение почты, вход по ссылке - везде токен. И почти везде разработчик уверен, что раз строка выглядит как случайный набор символов, значит она случайная. Не значит. Сейчас разберём, почему с этим угоняют аккаунты, и как проверить свой проект за пять минут

🔫 Как разработчики стреляют себе в ногу:

Вместо нормальной рандомизации берут то, что под рукой:

token = md5(time() . user_id)
token = strval(rand())

Проблема не в том, что это просто в реализации. Проблема в том, сколько вариантов реально нужно перебрать, чтобы угадать токен.

🟡Функция rand()
В языке программирования есть встроенная длинная последовательность чисел. Она известна заранее и одинакова для всех, кто пишет на этом языке потому что код rand() открытый. Изменить можно только одно: с какого места начать читать эту последовательность. Это стартовое число называется seed. Если начать с одного и того же seed, получишь одни и те же числа в том же порядке. Обычно разработчики берут в качестве seed текущую секунду через srand(time()). Получается, что весь "секрет" токена это просто секунда, когда запустился скрипт. А секунд в сутках всего 86 400.

Пример. Допустим, токен генерируется так:

srand(time());       // seed = текущая секунда
$token = rand();      // получаем "случайное" число

Если сервер запустил скрипт в 12:00:00, то time() вернёт, например, 1751976000. Тогда:

srand(1751976000) → rand() = 1189641421   // это и есть токен

Если скрипт запустится ровно в ту же секунду ещё раз (или атакующий подставит тот же seed у себя), результат будет идентичным:

srand(1751976000) → rand() = 1189641421   // тот же токен

То есть атакующему не нужно ничего взламывать, ему достаточно перебрать 86 400 вариантов секунды (или узнать точное время запроса), подставить их как seed и получить точно такой же токен, что выдал сервер

🟡Функция md5(time() . user_id)
Кажется надёжным, всё-таки хеш. Но хеш не добавляет случайности, он просто маскирует формат входных данных. Если знаешь входные данные, то сможешь получить тот же самый хеш

md5 — быстрый алгоритм: обычная видеокарта считает миллиарды хешей в секунду. Если user_id жертвы известен (а он часто виден прямо в URL или отдаётся через API), остаётся только одна неизвестная - время генерации токена. Токен обычно живёт 15–60 минут, то есть нужно перебрать всего 900–3600 секунд

Пример. Пусть токен генерируется так:

$token = md5(time() . $user_id);

Если user_id = 42, а токен был выдан где-то между 12:00:00 и 12:15:00, атакующему достаточно перебрать все секунды в этом окне:

md5(1751976000 . 42) = a1b2c3d4e5f6...
md5(1751976001 . 42) = f9e8d7c6b5a4...
...
md5(1751976900 . 42) = 9c8b7a6d5e4f...  ← совпал с токеном сервера!

900 вариантов для GPU это не защита, а разминка: перебор занимает доли секунды

🔑 Как это эксплуатируют:
1. Смотрят на сам токен формат часто выдаёт, что внутри зашито время или user_id.
2. Достают user_id жертвы через API или прямо из URL. Это отдельная и очень частая дыра.
3. Перебирают весь диапазон вероятных значений времени по той же формуле, что использует сервер.
4. Подставляют варианты в запрос, один из них точно попадёт в окно жизни токена.

🔒 Как делать, чтобы не было стыдно:
Дело не в "более длинной" строке, а в источнике случайности. Криптостойкие генераторы берут случайность из пула энтропии операционной системы это не алгоритм с seed, который можно угадать, зная время или ID пользователя, а физический шум устройства (например, задержки между прерываниями железа)

➡️ PHP — random_bytes() + bin2hex()
➡️ Python — secrets.token_urlsafe()
➡️ Node.js — crypto.randomBytes()

📌 Простое правило аудита: если токен можно воспроизвести, зная только время запроса и ID пользователя это не токен, и ты знаешь что с этим делать 🖕

📶 Полезная ссылка: https://cqr.company/ru/web-vulnerabilities/insecure-token-generation/

👉 Сохрани пост, пригодится на первом собеседовании и подписывайся, если еще нет

RFIB | redforge.su | #web

💎 Мы готовим кое-что покрупнее просто новых лаб

Пока по тихому закрыли важное: 2FA и подтверждение регистрации на платформе. Плюс развели платформу и лендинг - лабы, прогресс, профиль теперь на lms.redforge.su, а redforge.su остаётся лендингом.

🤩 Звучит скучно? Это фундамент под то, что будет дальше

Потому что скоро на платформе появится территория. Не просто лабы, а зоны, которые можно захватить. И, что важнее - потерять.

Мы готовим систему кланов. Отряд идёт рейдом на сложную инфраструктуру, захватывает её и вешает свой флаг. Дальше начинается настоящее: территорию нужно удерживать, потому что другой клан придёт её отбивать. Пока одни защищают добытое, другие штурмуют чужое. А еще будут дуэли 1 на 1, где решает не рейтинг, а скорость в моменте

⚔️ Теперь у тебя есть то, что можно отжать, если недостаточно хорош, чтобы удержать

Подробности совсем скоро. Готовь союзников 🔪

RFIB | redforge.su | #update

🌟 Новая лаба | Nordling CRM научилась сама подтягивать логотип

Type: Web
Level: Easy

Раньше загрузка файла вручную. Теперь просто вставляешь ссылку, и сервер сам идёт и забирает картинку. Удобно для пользователей. Очень удобно и для того, кто подсунет туда не ссылку на логотип.
Задача простая на словах: подсунуть серверу свой адрес и посмотреть, до чего он реально дотягивается, когда думает, что идёт за картинкой

Спойлер: не только за картинками

Классика, с которой сталкивается почти каждый пентестер рано или поздно если знаешь, где искать

📶 Заходи: https://lms.redforge.su/labs

Кто первый дотянется до внутреннего - пишите в комменты, до чего добрались 🤩

RFIB | redforge.su | #lab #update

⛈ Uber взломали не эксплойтом. Уломали одного уставшего подрядчика | Разбор атаки

Сентябрь 2022. У атакующего из группировки Lapsus$ есть купленный на теневом рынке пароль от VPN аккаунта подрядчика Uber. Первая попытка зайти с этим паролем блокируется аккаунт защищён MFA. Обычный человек на этом бы сдался. Этот начал долбить. centrexIT

Подрядчику начали прилетать пуш-уведомления "Подтвердить вход?" одно за другим 10 штук подряд. Человек честно жал "отклонить". Снова. И снова. А затем атакующий сделал ход, который решил всё: написал жертве в WhatsApp, представившись техподдержкой, и попросил просто подтвердить один пуш, чтобы уведомления прекратились. Bleeping Computer UpGuard

Подрядчик подтвердил. В течение нескольких минут атакующий получил доступ к внутренним Slack-каналам Uber, VPN и репозиториям с исходным кодом. CSO Online

Вот что здесь реально произошло не технически, а психологически. Атакующий использовал ровно те же рычаги, которые каждый день используют в переговорах, продажах и рекламе:

🌟 Авторитет: "Я из техподдержки" снимает критическое мышление быстрее любого технического аргумента мы приучены подчиняться человеку с нужным ярлыком.

🌟 Истощение решения: После 10-й попытки сказать "нет" ресурс на сопротивление физически кончается это не слабость подрядчика, это как работает человеческий мозг под давлением.

🌟 Ложное облегчение: Просьба звучала не как "впусти меня", а как "просто нажми, чтобы это прекратилось" предложение решить проблему, а не совершить рискованное действие.

Та же самая тактика уже отработала против Twitter, Robinhood, MailChimp и Okta это не разовая находка одного школьника, а рабочая схема, которую используют снова и снова именно потому, что она бьёт не по инфраструктуре, а по человеку внутри неё

📶 Технически подкованная компания с MFA всё равно пробивается, если атакуют не пароль, а усталость того, кто на том конце нажимает "подтвердить". Разбираться в уязвимостях кода половина профессии. Вторая половина понимать, почему человек в 2 часа ночи после десятого пуша нажмёт "да"

RFIB | redforge.su | #социнженерия

⛈Junior специалистов перестали нанимать. Но не потому, что их слишком много

31% руководителей сокращают найм junior специалистов и перекидывают бюджет на удержание тех, кто уже работает. При этом кандидатов хватает с избытком просто дефицит кадров превратился в дефицит компетенций

Раньше не хватало людей. Теперь не хватает тех, кто реально что-то умеет руками, а не просто прошёл курс и получил сертификат

Резюме с "прошёл курс по пентесту" сейчас не отличает тебя вообще ни от кого, прошли все

Мы поэтому и делаем ставку на формирование твоего портфолио, мышления, а не на сертификат: решённые лабы, найденные уязвимости, написанные инструменты, правильное мышление, формирование независимости, чтобы ты не боялся отказа от работодателя. Рекрутер за грудой одинаковых резюме сейчас ищет именно это, не строчку "прошёл курс", а твои реальные достижения в этой сфере

Рынок не закрылся для новичков, он просто перестал верить на слово. Залетай на платформу, скоро открытие бесплатного курса хакерское мышление, именно с него ты и начнешь меняться, будет весело 🧠

📶 Источники: CFO-Russia, РБК Компании

RFIB | redforge.su | #ресерч

🇵🇱 Как атаковали энергетику Польши: разбор атаки

29 декабря 2025 года польский энергетический сектор подвергся атаке. Под удар попали 30+ ВИЭ-объектов, ТЭЦ и промышленная инфраструктура

Разберём цепочку атаки:

🔓Initial Access
Точкой входа стали FortiGate SSL-VPN

Проблемы:
🟢отсутствие MFA
🟢слабые/default credentials
🟢ранее уязвимые устройства
🟢повторное использование учётных данных

Internet → FortiGate → Internal Network

🤩Захват инфраструктуры
После проникновения атакующие проводили разведку и перемещались через:

RDP → SMB/Impacket → PowerShell

Далее кража данных из LSASS, Kerberos abuse, компрометация AD и получение привилегированного доступа

☠️Pivot в OT
Самое интересное переход из IT в промышленную сеть

Атакующие исследовали:
SCADA → HMI → RTU → IED → Serial Servers

На части устройств использовались default credentials.

Некоторые RTU получили повреждённую firmware, другие устройства подверглись удалению файлов, factory reset или изменению конфигурации

🌟 Destructive phase
На Windows-инфраструктуре использовался DynoWiper.
Он не шифровал файлы ради выкупа его задача была уничтожение данных

Через скомпрометированный AD malware распространялся с помощью:
Network Share → GPO → Scheduled Task → SYSTEM

На одной из площадок wiper успел запуститься более чем на 100 машинах, однако EDR обнаружил массовое изменение файлов и остановил процесс

🌟Почему атака интересна
В ней не обязательно нужен какой-то фантастический 0-day

Цепочка строилась вокруг вполне обычных проблем:
VPN без MFA → credentials → AD → lateral movement → IT/OT → destructive impact

Именно поэтому при тестировании критической инфраструктуры недостаточно остановиться на вопросе: Можно ли получить Domain Admin?

Нужно идти дальше: Что сможет сделать атакующий с этим доступом ?

RFIB | redforge.su | #история

🤩 Уязвимость в Keycloak | CVE-2026-18963

Keycloak - система аутентификации и SSO, используется для авторизации в веб-приложениях и API
Уязвимость в механизме восстановления пароля

Что не так?

Обычно восстановление выглядит так:
1️⃣ Forgot password
2️⃣ письмо на email
3️⃣ подтверждение
4️⃣ новый пароль

CVE-2026-18963 позволяет обойти этап подтверждения email и сразу попасть на этап установки нового пароля.

Схема:
🔴Атакующий запускает восстановление пароля
🔴Keycloak создаёт сессию аутентификации
🔴Проверка владения email обходится ❌
🔴Установка нового пароля
🔴Захват аккаунта

Аутентификация и взаимодействие с жертвой не нужны
Если у аккаунта есть админские права, то компрометация одного пользователя даёт доступ ко всей IAM-инфраструктуре.

Что делать: Обновить Keycloak до 26.4.15 / 26.6.6 / 26.7.2 / 26.8.0

Нет возможности обновиться сейчас, то отключите восстановление пароля
При пентесте проверяйте переходы между состояниями password-reset flow отдельно, не только стандартный сценарий.

📶 Эксплойт

RFIB | redforge.su | #уязвимость

⛈ Как узнать какой у тебя уровень? Junior, Middle а может и вообще Senior

Компания DeteAct еще давно опубликовала матрицу скиллов. Свой список виденья того, какой набор скиллов должен быть у разных грейдов в веб и инфраструктурном пентесте. Список субъективный, то есть с точки зрения одной компании должно быть так, но это виденье приближено к рынку пентеста в СНГ.

Благодаря этому списку ты можешь:
➡️Узнать какой у тебя текущий уровень
➡️Что тебе нужно изучить для роста на следующий
➡️Какую зарплатную вилку тебе запрашивать на собеседовании
➡️Узнать что нужно, если вдруг захочешь перейти из веба в инфраструктуру

📶 Матрица скиллов

RFIB | redforge.su | #развитие

🌟Не получается в bug bounty? Ну и хуй с ним. Есть другие способы

Ты как и многие начинающие в ИБ, скорее всего, пробовал искать уязвимости в bug bounty. Заходишь на программу, начинаешь ковырять приложение, а там уже всё нашли до тебя. XSS — закрыта, IDOR — закрыт, SQLi — тем более. И сидишь с вопросом: а как мне вообще доказать работодателю, что я умею искать уязвимости?

🤩 Исследовать приложения и искать 0day
Многие думают, что это что-то невероятно сложное и для этого нужно знать вообще всё. На самом деле 0day это уязвимость, о которой разработчик ещё не знает или для которой ещё нет исправления.

🔴Ты берёшь реальное приложение и начинаешь его исследовать. Смотришь, как оно устроено, разбираешь API, клиентскую часть, бинарники, логику приложения. Находишь странное поведение, строишь гипотезу и начинаешь её проверять. Большинство гипотез окажутся хуйнёй. Это нормально. Но именно так и появляется навык: ты перестаёшь просто повторять готовые техники и начинаешь самостоятельно искать то, чего раньше никто не замечал.
А иногда находишь что-то действительно интересное и понимаешь: А вот это уже уязвимость.

🔴 Дальше подтверждаешь проблему, делаешь PoC, разбираешься в последствиях, оформляешь отчёт и отправляешь его разработчикам. А если уязвимость подходит под критерии CVE, ей могут присвоить официальный идентификатор.

И тогда в портфолио появляется не просто сертификат с очередного курса, а конкретный результат: Вот приложение, которое я исследовал. Вот что нашёл. Вот PoC и отчёт

🌟 Именно вокруг этого мы строим RedForge.
Потому что на рынке ИБ есть ебанутая ситуация:
Чтобы получить работу — нужен опыт.
Чтобы получить опыт — нужна работа.
И получается замкнутый круг, мы хотим его разорвать

Поэтому RedForge мы строим не вокруг сертификатов, а вокруг практики. Чтобы человек мог ещё до первой работы исследовать приложения, решать реальные задачи, делать PoC и отчёты и постепенно собирать портфолио из того, что он действительно сделал сам.

Пока основной курс активно разрабатывается - начать можно уже сейчас бесплатно.
Мы сделали курс Хакерское мышление, где учим не просто использовать инструменты, а смотреть на системы глазами атакующего: задавать правильные вопросы, строить гипотезы и искать то, что разработчик не предусмотрел.
Не знаешь, с чего начать в ИБ начни с того, чтобы научиться думать как хакер. Пройти бесплатный курс Хакерское мышление

➡️ В следующем посте покажем, с чего начинать исследование нового приложения и где искать первые зацепки

RFIB | redforge.su | #развитие