😡 Перечисление FTP и анонимный доступ

— Данная статья представляет собой практический лабораторный практикум по перечислению сетевых служб и эксплуатации протоколов передачи файлов

В этой лабораторной работе вы смоделируете начальные этапы тестирования на проникновение:
⏺Начнете с подтверждения подключения к целевой машине;
⏺Вы будете использовать nmap, мощный инструмент сетевого сканирования, для обнаружения открытых портов и идентификации запущенных служб;
⏺Наконец, вы воспользуетесь неправильно сконфигурированной службой FTP, которая разрешает анонимный доступ, чтобы получить скрытый флаг.

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🤖 30 целей взломаны почти без людей — ИИ Claude впервые провёл автономную атаку с мастерством спецслужб

— Китайская кибершпионская группа использовала возможности модели Claude Code для попыток взлома 30 крупных компаний и государственных структур

⚠️ Это первый задокументированный случай, когда агентный ИИ смог получить доступ к действительно ценным целям в рамках разведывательной операции

По данным разработчика, злоумышленники добились успеха в отдельных случаях, хотя масштаб ущерба компания не раскрывает

🗄 Источник – линк.

// Не хакинг, а ИБ

🤒 Мониторинг появления новых поддоменов

Sublert – это инструмент безопасности и разведки, написанный на Python для использования Certificate Transparency (прозрачности сертификатов)

— Он используется для мониторинга новых поддоменов, развёрнутых конкретными организациями и выпущенных для этого нового субдомена сертификата TLS/SSL

Инструмент должен запускаться по расписанию в определённое время, в определённые даты или интервалы

Новые идентифицированные поддомены будут отправлены в рабочую область Slack с уведомлением

🗄 Репозиторий на GitHub – линк.
🗄 Мониторинг появления новых субдоменов в реальном времени – линк.
🗄 Небольшое руководство от GeekForGeeks – линк.

// Не хакинг, а ИБ

❗️ BypassAV, бесфайловая атака и AMSI (теория)

Разработчики вредоносных программ постоянно ищут способ избежать обнаружения своих действий средствами защиты

Один из способов – обойти сканеры, используя обфускацию, шифрование, стеганографию и другие методы, чтобы антивирусному программному обеспечению было сложнее определить назначение полезной нагрузки или его загрузчика

— В этой статье рассмотрены типовые механизмы современных антивирусных средств, виды нагрузок, используемые злоумышленниками и специалистами в области информационной безопасности, а также методы обхода защиты

🗄 Читать статью – линк.

// Не хакинг, а ИБ

💎 Алмазный фонд «Xakep»: самые крутые материалы по реверсингу и malware

— Специалисы журнала Xakep решили прошерстить все выпуски и сделать для тебя подборочку самых крутых материалов

Содержание статьи:

▪️Библиотека антиотладчика
▪️Антиотладочные трюки. Активно противодействуем отладке нашего приложения
▪️VEH в Windows x64. Усложняем анализ кода с помощью векторной обработки исключений
▪️Отладка VS защита. Простые способы сложной отладки
▪️Бурим ядро Windows. Kernel Pool Overflow — от теории к практике
▪️Кряк без дизассемблера
▪️Энциклопедия антиотладочных приемов
▪️Дизассемблирование C# программ от A до Z
▪️Виртуальная отладка
▪️Убить DEP’а. Теория и практика обмана hardware-DEP
▪️Руткитам — бой!
▪️Морфим, не отходя от кассы. Мутация кода во время компиляции
▪️Многоразрядные шелл-коды. Пишем ring0-shellcode под Windows x64
▪️Обуздать WinDbg. Простые приемы сложного отладчика
▪️Драйверы антивирусов — источник зла. Уязвимости в драйверах проактивных защит
▪️Ассемблером по эвристике. Накорячиваем AVG, Avast, ClamAV, Panda, Comodo: просто, эффективно и без извращений
▪️Малварщики против PatchGuard. Лезем в недра таинственной технологии Microsoft — Kernel Patch Protection
▪️Изучаем антивирус. Расковыриваем антивирусный сканер, эвристический анализатор и эмулятор в антивирусных программах
▪️Бурим антивирус. Еще глубже! Рассматриваем способы мониторинга событий и проактивной защиты в разных антивирусных программах
▪️Тибериумный реверсинг. Внедрение Х-кода и виртуальная машина: теория и практика
▪️X-препарация: вскрываем хитрый Sality.aa. Учимся распознавать полиморфизм и обфускацию кода на примере известного вируса
▪️Мобильная малварь под микроскопом. Рассматриваем «эротический» J2ME-зловред во всех интимных подробностях
▪️На малварь без антивируса. Что делать, если его базы еще не успели обновиться?

Материал хоть и старый, но я уверен, вы найдете для себя что-то интересное

🗄 Читать статью – линк.

🔥 – если хотите еще такую подборку

// Не хакинг, а ИБ

💎 Алмазный фонд Xakepa | Важные материалы по взлому за последние несколько лет

— Сегодня представляем твоему вниманию статьи, посвященные преимущественно хакерскому ремеслу: всему, что связано со взломами ОС, СУБД, тестированием ИТ-шной инфраструктуры на проникновение, уязвимостями ОС и прикладного ПО

Содержание статьи:

▪️Криминалистический анализ памяти. Исследуем процессы в Windows 7
▪️Ручная реанимация дампа памяти. Руководство по ручному восстановлению памяти
▪️Лабораторный практикум по Metasploit Framework. Скрытые фишки MSF
▪️Meterpreter в деле. Хитрые приемы через MSF
▪️DNS. Обратная связь. Обходим преграды и организовываем доступ в Сеть
▪️DNS: обратная связь. Продвинутый payload для организации туннеля
▪️Атаки на DNS: вчера, сегодня, завтра. Ghost Domain Names и другие 0day-способы взлома системы доменных имен
▪️Не верь своим глазам. Актуальные методы спуфинга в наши дни
▪️Недостаточно прав? Достаточно: 8 приемов для обхода групповых политик в домене
▪️Идем на повышение. Рецепты поднятия привилегий под Windows
▪️Атаки на домен. Завладеваем корпоративной сетью
▪️Верните права! Как обойти ограничения на рабочем компьютере
▪️Изучаем и вскрываем BitLocker. Как устроена защита дисков Windows и что нужно для ее взлома
▪️7 рецептов приготовления Windows-паролей. Как сдампить и использовать хеши паролей от учеток Windows-системы
▪️Не сыпь мне соль на password. Реанимируем умерший MD5
▪️Анонимный штурм Windows. Хитрые приемы бывалого хакера
▪️Угнать за 60 секунд. Метод добычи удаленного дедика под управлением Windows
▪️Сценарий для взлома. Разбираем типовые сценарии атак на корпоративные сети
▪️Меряем уязвимости. Классификаторы и метрики компьютерных брешей
▪️Развратно-ориентированное программирование. Трюки ROP, приводящие к победе
▪️Эксплоит «на коленке». Пишем эксплоит подручными средствами
▪️Ковыряем броню Windows. Выясняем, что такое ACL/DACL и как это можно заэксплоитить
▪️Укрощение дикой киски, или сливаем пароли чемоданами. Взлом маршрутизаторов через изъяны SNMP
▪️Трюки с Bluetooth. Маленькие хитрости использования «синего зуба»
▪️Мастер-класс по реанимации никсов. Методы борьбы со сбоями Linux и FreeBSD
▪️Как стать ssh’астливым. Full-guide по использованию Secure Shell
▪️Порочное наследие Windows. Концептуальные методы взлома Linux через флешку и защита от них
▪️*NIX-бэкдор быстрого приготовления. Внедряемся в систему аутентификации Linux, BSD и macOS
▪️Атаки на Tomcat. Изучаем распространенные методы атак на Apache Tomcat и способы противодействия им
▪️Играем мускулами. Методы и средства взлома баз данных MySQL
▪️Атака на Оракула. Подробный гайд по векторам атак на Oracle DB
▪️Инъекции вслепую. Экзотическое инжектирование грубым методом

Также тебя ждут подзабытые или малоизвестные фичи и трюки, которые пригодятся на практике, если ты истинно предан нашему делу!

🗄 Читать статью – линк.

// Не хакинг, а ИБ

📝 База знаний CTF-игрока

HackTricks – онлайн-ресурс, который фокусируется на темах информационной безопасности, хакерских методах и лучшей практике в области кибербезопасности

— Это расширенная версия книги «The Hacker's Handbook», которая содержит обширную информацию о различных аспектах хакерства, включая методики атаки, защиту систем и инструменты, используемые в этой области

Основное:
⏺Детальные объяснения методологий хакерства;
⏺Практические примеры и фрагменты кода;
⏺Охват различных областей безопасности, включая веб, облако и инфраструктуру;
⏺Регулярные обновления с новыми приёмами и техниками.

🗄 База знаний – линк.

// Не хакинг, а ИБ

😈 Исследователи собрали личные данные 3,5 млрд пользователей WhatsApp

⚠️ Исследователи заявили, что обнаружили уязвимость в WhatsApp, которая позволила им собрать данные более 3,5 млрд пользователей – по их мнению, это может быть крупнейшей утечкой данных в истории

— Они использовали функцию поиска пользователей по номеру телефона для массового перебора данных: с помощью инструмента на базе библиотеки Google libphonenumber они сгенерировали 63 млрд телефонных номеров и проверяли их со скоростью 7000 в секунду

К удивлению исследователей, WhatsApp не заблокировал их IP-адреса и аккаунты, а также не применил никаких эффективных ограничений частоты запросов

🗄 Источник – линк.

// Не хакинг, а ИБ

👴 Утилита для атаки на Wi-Fi

Penetrator-WPS – консольная утилита для атаки на WPS (Wi-Fi Protected Setup)

Программа позволяет атаковать множество беспроводных точек доступа с включённым WPS в режиме реального времени

— Для работы Penetrator-WPS использует атаку Pixie Dust и требует установленной утилиты PixieWPS

Pixie Dust – это автономная атака, которая помогает хакерам получить доступ к паролям на беспроводных маршрутизаторах. Она работает путём взлома ключа для протокола WPS

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

🤨 Перехват трафика спутников за 200$

— На протяжении многих лет спутники на геостационарной орбите (ГСО) были основным средством обеспечения высокоскоростной связи с удалёнными объектами

Они используются для телевидения и интернета, в том числе через WiFi на борту самолётов, а также для связи с GSM-вышками в удалённых районах

⚠️ Однако недавнее исследование показало, что этот трафик часто передаётся незашифрованным и доступен для перехвата на недорогом оборудовании:
⏺спутниковая антенна ($185);
⏺крепление на крышу ($140);
⏺мотор для крепления ($195);
⏺тюнер ($230).

Весь эксперимент они описали в научной работе для конференции ACM.

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🤖 Небольшая шпаргалка по горячим клавишам Burp Suite

Поможет автоматизировать все процессы.

🗄 Шпаргалка – линк.

// Не хакинг, а ИБ

😩 Фишинговые сайты под Минобрнауки крали аккаунты учащихся на Госуслугах

⚠️ Специалисты выявили сеть фишинговых ресурсов, в которую входили сайты, маскирующиеся под официальные страницы Минобрнауки и Госуслуг

Цель атак заключалась в сборе персональных данных и краже аккаунтов учащихся на Госуслугах

— При этом, как подчеркнули в компании, мошенники автоматически перехватывали подтверждающие коды из СМС: система подставляла полученные цифры в нужное поле без участия пользователя

🗄 Источник – линк.

// Не хакинг, а ИБ

🦠 Коллекция исходного кода вредоносного ПО

MalwareSourceCode – репозиторий, в котором собраны исходные коды вредоносного ПО для различных платформ и языков программирования

— Он предоставляет возможность анализа исходного кода, чтобы изучать их работу и особенности распространения

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

Аудитные логи как сервис.
Зачем это нужно облачной платформе и вашему проекту?

Разберём в 9-й серии реалити-проекта Building the Cloud.

Инженеры MWS Cloud Platform покажут, как устроен сервис Audit Logs — от требований продукта до архитектуры и инженерных решений.

📅 Эфир 4 декабря, 14:00 (мск).
🎁 Розыгрыш фирменного мерча среди зрителей.

➡ Зарегистрироваться

❗️ Как менялся ландшафт DDoS-атак в 2025 году

В начале года специалисты отмечали тенденцию на общий рост количества и мощности кибератак

Сегодня мы посмотрим, что произошло за последние месяцы – взглянем на актуальные работы исследователей и отчеты профильных компаний по данной теме

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🖥 Инструменты Python: лучшая шпаргалка для начинающих

— Большая шпаргалка для питониста на любой случай: рассмотрены основные инструменты Python с примерами

🗄 Читать статью – линк.

// Не хакинг, а ИБ

🤖 Впервые трафик людей уступил ботам — машины взяли под контроль онлайн-распродажи, меняя правила ритейла

— Мощные ИИ-боты захватывают онлайн-распродажи, скупают товары за миллисекунды и одновременно взламывают пользовательские аккаунты

⚠️ Специалисты предупреждают: впервые в истории интернет-трафик людей уступил ботам, и именно машины сегодня определяют, что вы сможете купить – и сможете ли вообще

Ещё недавно такие атаки требовали сложных самописных скриптов

Теперь же достаточно ИИ-инструмента, который научился идеально копировать поведение человека: действовать с разных «домашних» IP-адресов, решать CAPTCHA с помощью нейросетей, проходить через API-взаимодействие так, что магазины замечают аномалию лишь тогда, когда весь дефицит уже распродан

🗄 Источник – линк.

// Не хакинг, а ИБ

🔎 Поиск XSS-уязвимостей

XssPy – это инструмент на Python для поиска уязвимостей межсайтового скриптинга (XSS) в веб-сайтах

— В отличие от большинства инструментов, которые проверяют только одну страницу, XssPy перемещается по веб-сайту и ищет все ссылки и поддомены

После этого он начинает сканирование каждого ввода на каждой странице, которые найдены во время индексации

🗄 Репозиторий на GitHub – линк.

// Не хакинг, а ИБ

👩‍💻 Эксплуатация Active Directory: инструменты, уязвимости и методы защиты

Active Directory (AD) – нервная система корпоративной инфраструктуры, которая незримо управляет учётными записями, правами доступа и политиками

— В этом материале мы:
⏺разложим по полочкам самые популярные инструменты нападающих;
⏺обсудим ключевые уязвимые зоны;
⏺и соберём практический набор контрмер, пригодный как для молодой сети из десяти хостов, так и для распределённого леса, насчитывающего тысячи контроллеров

🗄 Читать статью – линк.

// Не хакинг, а ИБ

😂 Я тебя по сетям вычислю — используем API крупнейших соцсетей в своих корыстных целях

Ни для кого не сек­рет, что сов­ремен­ные соци­аль­ные сети пред­став­ляют собой огромные БД, содер­жащие мно­го инте­рес­ной информа­ции о час­тной жиз­ни сво­их поль­зовате­лей

Через веб‑мор­ду осо­бо мно­го дан­ных не вытянешь, но ведь у каж­дой сети есть свой API...

— Так давай же пос­мотрим, как этим мож­но вос­поль­зовать­ся для поис­ка поль­зовате­лей и сбо­ра информа­ции о них

🗄 Читать статью – линк.

// Не хакинг, а ИБ

📂 Продолжаем изучать XSS — в сегодняшней подборке рассмотрим несколько уроков:
Урок 1. Основы XSS и поиск уязвимых к XSS сайтов
Урок 2. Скрытая передача данных, перехват нажатия клавиш, изменение внешнего вида сайта, подцепление на BeEF, фишинг, подсказки обхода фильтров
Урок 3. Контексты внедрения XSS

// Не хакинг, а ИБ