💎 Мы готовим кое-что покрупнее просто новых лаб

Пока по тихому закрыли важное: 2FA и подтверждение регистрации на платформе. Плюс развели платформу и лендинг - лабы, прогресс, профиль теперь на lms.redforge.su, а redforge.su остаётся лендингом.

🤩 Звучит скучно? Это фундамент под то, что будет дальше

Потому что скоро на платформе появится территория. Не просто лабы, а зоны, которые можно захватить. И, что важнее - потерять.

Мы готовим систему кланов. Отряд идёт рейдом на сложную инфраструктуру, захватывает её и вешает свой флаг. Дальше начинается настоящее: территорию нужно удерживать, потому что другой клан придёт её отбивать. Пока одни защищают добытое, другие штурмуют чужое. А еще будут дуэли 1 на 1, где решает не рейтинг, а скорость в моменте

⚔️ Теперь у тебя есть то, что можно отжать, если недостаточно хорош, чтобы удержать

Подробности совсем скоро. Готовь союзников 🔪

RFIB | redforge.su | #update

🌟 Новая лаба | Nordling CRM научилась сама подтягивать логотип

Type: Web
Level: Easy

Раньше загрузка файла вручную. Теперь просто вставляешь ссылку, и сервер сам идёт и забирает картинку. Удобно для пользователей. Очень удобно и для того, кто подсунет туда не ссылку на логотип.
Задача простая на словах: подсунуть серверу свой адрес и посмотреть, до чего он реально дотягивается, когда думает, что идёт за картинкой

Спойлер: не только за картинками

Классика, с которой сталкивается почти каждый пентестер рано или поздно если знаешь, где искать

📶 Заходи: https://lms.redforge.su/labs

Кто первый дотянется до внутреннего - пишите в комменты, до чего добрались 🤩

RFIB | redforge.su | #lab #update

⛈ Uber взломали не эксплойтом. Уломали одного уставшего подрядчика | Разбор атаки

Сентябрь 2022. У атакующего из группировки Lapsus$ есть купленный на теневом рынке пароль от VPN аккаунта подрядчика Uber. Первая попытка зайти с этим паролем блокируется аккаунт защищён MFA. Обычный человек на этом бы сдался. Этот начал долбить. centrexIT

Подрядчику начали прилетать пуш-уведомления "Подтвердить вход?" одно за другим 10 штук подряд. Человек честно жал "отклонить". Снова. И снова. А затем атакующий сделал ход, который решил всё: написал жертве в WhatsApp, представившись техподдержкой, и попросил просто подтвердить один пуш, чтобы уведомления прекратились. Bleeping Computer UpGuard

Подрядчик подтвердил. В течение нескольких минут атакующий получил доступ к внутренним Slack-каналам Uber, VPN и репозиториям с исходным кодом. CSO Online

Вот что здесь реально произошло не технически, а психологически. Атакующий использовал ровно те же рычаги, которые каждый день используют в переговорах, продажах и рекламе:

🌟 Авторитет: "Я из техподдержки" снимает критическое мышление быстрее любого технического аргумента мы приучены подчиняться человеку с нужным ярлыком.

🌟 Истощение решения: После 10-й попытки сказать "нет" ресурс на сопротивление физически кончается это не слабость подрядчика, это как работает человеческий мозг под давлением.

🌟 Ложное облегчение: Просьба звучала не как "впусти меня", а как "просто нажми, чтобы это прекратилось" предложение решить проблему, а не совершить рискованное действие.

Та же самая тактика уже отработала против Twitter, Robinhood, MailChimp и Okta это не разовая находка одного школьника, а рабочая схема, которую используют снова и снова именно потому, что она бьёт не по инфраструктуре, а по человеку внутри неё

📶 Технически подкованная компания с MFA всё равно пробивается, если атакуют не пароль, а усталость того, кто на том конце нажимает "подтвердить". Разбираться в уязвимостях кода половина профессии. Вторая половина понимать, почему человек в 2 часа ночи после десятого пуша нажмёт "да"

RFIB | redforge.su | #социнженерия

⛈Junior специалистов перестали нанимать. Но не потому, что их слишком много

31% руководителей сокращают найм junior специалистов и перекидывают бюджет на удержание тех, кто уже работает. При этом кандидатов хватает с избытком просто дефицит кадров превратился в дефицит компетенций

Раньше не хватало людей. Теперь не хватает тех, кто реально что-то умеет руками, а не просто прошёл курс и получил сертификат

Резюме с "прошёл курс по пентесту" сейчас не отличает тебя вообще ни от кого, прошли все

Мы поэтому и делаем ставку на формирование твоего портфолио, мышления, а не на сертификат: решённые лабы, найденные уязвимости, написанные инструменты, правильное мышление, формирование независимости, чтобы ты не боялся отказа от работодателя. Рекрутер за грудой одинаковых резюме сейчас ищет именно это, не строчку "прошёл курс", а твои реальные достижения в этой сфере

Рынок не закрылся для новичков, он просто перестал верить на слово. Залетай на платформу, скоро открытие бесплатного курса хакерское мышление, именно с него ты и начнешь меняться, будет весело 🧠

📶 Источники: CFO-Russia, РБК Компании

RFIB | redforge.su | #ресерч

🇵🇱 Как атаковали энергетику Польши: разбор атаки

29 декабря 2025 года польский энергетический сектор подвергся атаке. Под удар попали 30+ ВИЭ-объектов, ТЭЦ и промышленная инфраструктура

Разберём цепочку атаки:

🔓Initial Access
Точкой входа стали FortiGate SSL-VPN

Проблемы:
🟢отсутствие MFA
🟢слабые/default credentials
🟢ранее уязвимые устройства
🟢повторное использование учётных данных

Internet → FortiGate → Internal Network

🤩Захват инфраструктуры
После проникновения атакующие проводили разведку и перемещались через:

RDP → SMB/Impacket → PowerShell

Далее кража данных из LSASS, Kerberos abuse, компрометация AD и получение привилегированного доступа

☠️Pivot в OT
Самое интересное переход из IT в промышленную сеть

Атакующие исследовали:
SCADA → HMI → RTU → IED → Serial Servers

На части устройств использовались default credentials.

Некоторые RTU получили повреждённую firmware, другие устройства подверглись удалению файлов, factory reset или изменению конфигурации

🌟 Destructive phase
На Windows-инфраструктуре использовался DynoWiper.
Он не шифровал файлы ради выкупа его задача была уничтожение данных

Через скомпрометированный AD malware распространялся с помощью:
Network Share → GPO → Scheduled Task → SYSTEM

На одной из площадок wiper успел запуститься более чем на 100 машинах, однако EDR обнаружил массовое изменение файлов и остановил процесс

🌟Почему атака интересна
В ней не обязательно нужен какой-то фантастический 0-day

Цепочка строилась вокруг вполне обычных проблем:
VPN без MFA → credentials → AD → lateral movement → IT/OT → destructive impact

Именно поэтому при тестировании критической инфраструктуры недостаточно остановиться на вопросе: Можно ли получить Domain Admin?

Нужно идти дальше: Что сможет сделать атакующий с этим доступом ?

RFIB | redforge.su | #история

🤩 Уязвимость в Keycloak | CVE-2026-18963

Keycloak - система аутентификации и SSO, используется для авторизации в веб-приложениях и API
Уязвимость в механизме восстановления пароля

Что не так?

Обычно восстановление выглядит так:
1️⃣ Forgot password
2️⃣ письмо на email
3️⃣ подтверждение
4️⃣ новый пароль

CVE-2026-18963 позволяет обойти этап подтверждения email и сразу попасть на этап установки нового пароля.

Схема:
🔴Атакующий запускает восстановление пароля
🔴Keycloak создаёт сессию аутентификации
🔴Проверка владения email обходится ❌
🔴Установка нового пароля
🔴Захват аккаунта

Аутентификация и взаимодействие с жертвой не нужны
Если у аккаунта есть админские права, то компрометация одного пользователя даёт доступ ко всей IAM-инфраструктуре.

Что делать: Обновить Keycloak до 26.4.15 / 26.6.6 / 26.7.2 / 26.8.0

Нет возможности обновиться сейчас, то отключите восстановление пароля
При пентесте проверяйте переходы между состояниями password-reset flow отдельно, не только стандартный сценарий.

📶 Эксплойт

RFIB | redforge.su | #уязвимость

⛈ Как узнать какой у тебя уровень? Junior, Middle а может и вообще Senior

Компания DeteAct еще давно опубликовала матрицу скиллов. Свой список виденья того, какой набор скиллов должен быть у разных грейдов в веб и инфраструктурном пентесте. Список субъективный, то есть с точки зрения одной компании должно быть так, но это виденье приближено к рынку пентеста в СНГ.

Благодаря этому списку ты можешь:
➡️Узнать какой у тебя текущий уровень
➡️Что тебе нужно изучить для роста на следующий
➡️Какую зарплатную вилку тебе запрашивать на собеседовании
➡️Узнать что нужно, если вдруг захочешь перейти из веба в инфраструктуру

📶 Матрица скиллов

RFIB | redforge.su | #развитие

🌟Не получается в bug bounty? Ну и хуй с ним. Есть другие способы

Ты как и многие начинающие в ИБ, скорее всего, пробовал искать уязвимости в bug bounty. Заходишь на программу, начинаешь ковырять приложение, а там уже всё нашли до тебя. XSS — закрыта, IDOR — закрыт, SQLi — тем более. И сидишь с вопросом: а как мне вообще доказать работодателю, что я умею искать уязвимости?

🤩 Исследовать приложения и искать 0day
Многие думают, что это что-то невероятно сложное и для этого нужно знать вообще всё. На самом деле 0day это уязвимость, о которой разработчик ещё не знает или для которой ещё нет исправления.

🔴Ты берёшь реальное приложение и начинаешь его исследовать. Смотришь, как оно устроено, разбираешь API, клиентскую часть, бинарники, логику приложения. Находишь странное поведение, строишь гипотезу и начинаешь её проверять. Большинство гипотез окажутся хуйнёй. Это нормально. Но именно так и появляется навык: ты перестаёшь просто повторять готовые техники и начинаешь самостоятельно искать то, чего раньше никто не замечал.
А иногда находишь что-то действительно интересное и понимаешь: А вот это уже уязвимость.

🔴 Дальше подтверждаешь проблему, делаешь PoC, разбираешься в последствиях, оформляешь отчёт и отправляешь его разработчикам. А если уязвимость подходит под критерии CVE, ей могут присвоить официальный идентификатор.

И тогда в портфолио появляется не просто сертификат с очередного курса, а конкретный результат: Вот приложение, которое я исследовал. Вот что нашёл. Вот PoC и отчёт

🌟 Именно вокруг этого мы строим RedForge.
Потому что на рынке ИБ есть ебанутая ситуация:
Чтобы получить работу — нужен опыт.
Чтобы получить опыт — нужна работа.
И получается замкнутый круг, мы хотим его разорвать

Поэтому RedForge мы строим не вокруг сертификатов, а вокруг практики. Чтобы человек мог ещё до первой работы исследовать приложения, решать реальные задачи, делать PoC и отчёты и постепенно собирать портфолио из того, что он действительно сделал сам.

Пока основной курс активно разрабатывается - начать можно уже сейчас бесплатно.
Мы сделали курс Хакерское мышление, где учим не просто использовать инструменты, а смотреть на системы глазами атакующего: задавать правильные вопросы, строить гипотезы и искать то, что разработчик не предусмотрел.
Не знаешь, с чего начать в ИБ начни с того, чтобы научиться думать как хакер. Пройти бесплатный курс Хакерское мышление

➡️ В следующем посте покажем, с чего начинать исследование нового приложения и где искать первые зацепки

RFIB | redforge.su | #развитие

⛈ Как найти 0day, даже если ты новичок?

Многие думают, что для поиска неизвестных уязвимостей нужны годы опыта, глубокие знания эксплуатации и умение писать сложные пейлоады. Сегодня этот миф развею и поделюсь методичкой как их ищут. В следующем посте дам задачу, при помощи которой ты попробуешь легально за 15 минут найти 0day

👮‍♀ Почему это просто?
Однажды я общался со знакомым, у которого за плечами более 5 CVE. Свою первую CVE он получил благодаря простой уязвимости Insufficient Session Expiration.
Представь ситуацию: ты входишь в один аккаунт через два браузера, меняешь пароль, выходишь из аккаунта, но во втором браузере доступ сохраняется.
Это повод проверить, корректно ли приложение завершает старые сессии. Иногда уязвимость скрывается не в сложном алгоритме, а в обычной функции, которую разработчики реализовали неправильно

🔍 С чего начать охоту за 0day?
Если ты новичок, попробуй следующий подход:

🎯 Выбери цель. Начни с CMS или веб-приложения, которое можно легально исследовать на собственном стенде.
📱 Разберись, как оно работает. Посмотри на авторизацию, восстановление пароля, управление сессиями, загрузку файлов и права доступа.
👤 Задавай вопросы. Что произойдёт, если изменить пароль? Можно ли получить чужие данные? Проверяет ли сервер права доступа при каждом запросе?
🔎Проверяй гипотезы. Не делай вывод по одному подозрительному ответу. Попробуй воспроизвести проблему и понять, к чему она приводит.
💡 Проверь, не нашли ли её раньше. Изучи известные уязвимости и версии исправлений. Если проблема новая, подготовь доказательства и изучи порядок ответственного раскрытия.

🔊Хочешь увидеть, как это выглядит на практике?
Лови методичку с разбором исследования CMS на примерах исходного кода: от выбора цели и анализа функций до обнаружения уязвимостей и изучения цепочек их эксплуатации.
«Как охотиться на зеродеи и возвращаться с добычей»
https://telegra.ph/Kak-ohotitsya-na-zerodei-i-vozvrashchatsya-s-dobychej-10-15

👤Совет: проверяй, известна ли уже найденная тобой проблема. Помню, как около четырёх лет назад исследовал CMS, нашёл XSS, обрадовался, а затем обнаружил, что такую уязвимость уже нашли до меня.
Но самое интересное - её до сих пор не исправили

Изучи методичку. В следующем посте практический челлендж на 15 минут😉

RFIB | #пентест