Сравнение популярных оболочек терминала: Bash, Zsh, Fish, Ksh
• Для начала разберемся с определениями.
• Терминал - это текстовый интерфейс для взаимодействия с ОС. В отличие от GUI (графического интерфейса), где управление происходит с помощью мыши и окон, терминал позволяет ускорить процесс выполнения задач, используя только клавиатуру, если уметь с ним работать.
• Оболочка (Shell) - это интерпретатор команд, который обрабатывает введённые команды и взаимодействует с ядром ОС.
• Консоль (Console) - в старых системах это было физическое устройство для управления компьютером, сейчас часто используется как синоним терминала.
• Bash (Bourne Again SHell) - стандартная оболочка в большинстве дистрибутивов Linux (и macOS до версии 10.15). Из плюсов можно выделить хорошую документация и поддержку, совместимость с sh (Bourne Shell), а так же множество готовых скриптов и примеров.
• Из минусов: Менее удобная работа с автодополнением и историей команд по сравнению с Zsh/Fish, менее гибкая настройка.
• Zsh (Z Shell) - улучшенное автодополнение (включая пути и аргументы команд), поддержка тем и плагинов (Oh My Zsh - популярный фреймворк для кастомизации), лучшая работа с историей команд (поиск, фильтрация), а так же совместимость с Bash скриптами.
• Из минусов: Немного медленнее Bash при старте (из-за плагинов) и требует настройки для максимального удобства (хотя не уверен, минус ли это).
• Fish (Friendly Interactive SHell) - оболочка для начинающих, имеет интуитивно понятный синтаксис (несовместим с Bash, но проще для новичков), автодополнение на лету (подсказки по ходу ввода), встроенная подсветка синтаксиса и готовые красивые настройки без сложной конфигурации.
• Из минусов: Несовместимость с Bash/Zsh, от чего не подходит для скриптов, которые должны работать везде, меньше плагинов и сообщества, чем у Zsh.
• Ksh (KornShell) - быстрая и легковесная, совместима с sh и имеет улучшенный синтаксис, популярна в некоторых enterprise системах (например, Solaris).
• Из минусов: Меньше возможностей для кастомизации, уступает Zsh/Fish в интерактивности.
• Какую оболочку вам выбрать - решать вам, но вот микро вывод:
• Для скриптов и совместимости: Bash
• Для удобной работы в терминале: Zsh
• Для новичков и красивого интерфейса: Fish
• Для legacy систем: Ksh
• Для начала разберемся с определениями.
• Терминал - это текстовый интерфейс для взаимодействия с ОС. В отличие от GUI (графического интерфейса), где управление происходит с помощью мыши и окон, терминал позволяет ускорить процесс выполнения задач, используя только клавиатуру, если уметь с ним работать.
• Оболочка (Shell) - это интерпретатор команд, который обрабатывает введённые команды и взаимодействует с ядром ОС.
• Консоль (Console) - в старых системах это было физическое устройство для управления компьютером, сейчас часто используется как синоним терминала.
• Bash (Bourne Again SHell) - стандартная оболочка в большинстве дистрибутивов Linux (и macOS до версии 10.15). Из плюсов можно выделить хорошую документация и поддержку, совместимость с sh (Bourne Shell), а так же множество готовых скриптов и примеров.
• Из минусов: Менее удобная работа с автодополнением и историей команд по сравнению с Zsh/Fish, менее гибкая настройка.
• Zsh (Z Shell) - улучшенное автодополнение (включая пути и аргументы команд), поддержка тем и плагинов (Oh My Zsh - популярный фреймворк для кастомизации), лучшая работа с историей команд (поиск, фильтрация), а так же совместимость с Bash скриптами.
• Из минусов: Немного медленнее Bash при старте (из-за плагинов) и требует настройки для максимального удобства (хотя не уверен, минус ли это).
• Fish (Friendly Interactive SHell) - оболочка для начинающих, имеет интуитивно понятный синтаксис (несовместим с Bash, но проще для новичков), автодополнение на лету (подсказки по ходу ввода), встроенная подсветка синтаксиса и готовые красивые настройки без сложной конфигурации.
• Из минусов: Несовместимость с Bash/Zsh, от чего не подходит для скриптов, которые должны работать везде, меньше плагинов и сообщества, чем у Zsh.
• Ksh (KornShell) - быстрая и легковесная, совместима с sh и имеет улучшенный синтаксис, популярна в некоторых enterprise системах (например, Solaris).
• Из минусов: Меньше возможностей для кастомизации, уступает Zsh/Fish в интерактивности.
• Какую оболочку вам выбрать - решать вам, но вот микро вывод:
• Для скриптов и совместимости: Bash
• Для удобной работы в терминале: Zsh
• Для новичков и красивого интерфейса: Fish
• Для legacy систем: Ksh
Как работают куки в браузере
• Сейчас многие относятся к куки как к чему-то обыденному. Мы используем их, не задумываясь о том, что это такое и как они работают. Более того, даже некоторые разработчики веб-приложений используют их, не зная, что это и как с ними грамотно обращаться. Сегодня поговорим о куки и их защите.
• Куки (cookies) - это небольшие текстовые файлы, которые веб-сайты сохраняют на устройстве пользователя через браузер. Они используются для хранения информации о пользователе, будь то его предпочтения, действия на сайте и/или другие данные.
• Делятся куки по жизненному циклу:
• Сессионные (Session cookies): Удаляются после закрытия браузера
• Постоянные (Persistent cookies): Хранятся до истечения срока действия
• И по типу назначения:
• Необходимые (Essential): Для работы сайта, например сессионные куки интернет-магазина
• Функциональные (Functional): Запоминают настройки, например выбор темы на сайте
• Аналитические (Analytics): Сбор статистики
• Рекламные (Advertising): Для таргетированной рекламы
• Понятно, что раз с их помощью происходит авторизация, то их кража может привести к краже аккаунта, как разработчикам защищать куки?
• Для защиты у разработчиков есть специальные поля:
• Secure: Передача куки только по HTTPS
• HttpOnly: Запрет доступа к куки через JavaScript (защита от XSS)
• SameSite: Защита от CSRF (значения: Strict, Lax, None)
• Это все, что я хотел рассказать. Удачи!
• Сейчас многие относятся к куки как к чему-то обыденному. Мы используем их, не задумываясь о том, что это такое и как они работают. Более того, даже некоторые разработчики веб-приложений используют их, не зная, что это и как с ними грамотно обращаться. Сегодня поговорим о куки и их защите.
• Куки (cookies) - это небольшие текстовые файлы, которые веб-сайты сохраняют на устройстве пользователя через браузер. Они используются для хранения информации о пользователе, будь то его предпочтения, действия на сайте и/или другие данные.
• Делятся куки по жизненному циклу:
• Сессионные (Session cookies): Удаляются после закрытия браузера
• Постоянные (Persistent cookies): Хранятся до истечения срока действия
• И по типу назначения:
• Необходимые (Essential): Для работы сайта, например сессионные куки интернет-магазина
• Функциональные (Functional): Запоминают настройки, например выбор темы на сайте
• Аналитические (Analytics): Сбор статистики
• Рекламные (Advertising): Для таргетированной рекламы
• Понятно, что раз с их помощью происходит авторизация, то их кража может привести к краже аккаунта, как разработчикам защищать куки?
• Для защиты у разработчиков есть специальные поля:
• Secure: Передача куки только по HTTPS
• HttpOnly: Запрет доступа к куки через JavaScript (защита от XSS)
• SameSite: Защита от CSRF (значения: Strict, Lax, None)
• Это все, что я хотел рассказать. Удачи!
Анализ телефонных распечаток (CDR)
Базовые понятия
CDR (Call Detail Records) - метаданные звонков: время, длительность, номера, локация вышек. Позволяет построить социальный граф и поведенческие паттерны без прослушивания разговоров.
Ключевые данные в распечатке
Временные паттерны: режим дня (первый/последний звонок), рабочие часы, аномалии в расписании.
Геолокация: Cell ID вышек позволяет определить дом, работу, маршруты перемещений.
Социальный граф: частота контактов выявляет близких людей, рабочие связи, скрытые взаимоотношения.
Методология анализа
Нормализация: унификация форматов, проверка полноты данных
Статистика: частота звонков, соотношение входящих/исходящих, распределение по времени
Идентификация: поиск номеров через GetContact, Truecaller, соцсети
Геоанализ: сопоставление Cell ID с координатами вышек, построение карты перемещений
Профилирование: определение социального статуса, рода занятий, жизненных обстоятельств
Инструменты
Базовый уровень: Excel/Google Sheets для статистики, Gephi для визуализации графов связей.
Продвинутый: Python (pandas, networkx), Maltego для интеграции данных из разных источников.
Геолокация: OpenCellID (база вышек), Google Earth для визуализации маршрутов.
Риски и защита
Юридические: незаконное получение CDR - преступление (ст. 138 УК РФ, до 4 лет). Легально только: собственные данные, судебное решение, официальное расследование.
Технические угрозы: SIM-swap атаки. Защита: 2FA в личном кабинете оператора, пароль на SIM, мониторинг счета.
Критические ошибки: переоценка точности данных, игнорирование общих телефонов, недооценка VoIP/мессенджеров.
Тренды 2024
Снижение эффективности: ~70% коммуникаций через зашифрованные мессенджеры (Signal, Telegram)
Усиление GDPR и правового регулирования
AI-аналитика: машинное обучение для автоматической классификации
Контрмеры: eSIM, виртуальные номера, privacy-технологии
Рекомендации
начните с анализа собственной детализации, изучите правовую базу, фокус на паттернах.
ПРЕДУПРЕЖДЕНИЕ
Материал только для образовательных целей: защита приватности, понимание методов правоохранительных органов. Незаконное получение чужих CDR - уголовное преступление. Автор не несет ответственности за незаконное использование информации.
Базовые понятия
CDR (Call Detail Records) - метаданные звонков: время, длительность, номера, локация вышек. Позволяет построить социальный граф и поведенческие паттерны без прослушивания разговоров.
Ключевые данные в распечатке
Временные паттерны: режим дня (первый/последний звонок), рабочие часы, аномалии в расписании.
Геолокация: Cell ID вышек позволяет определить дом, работу, маршруты перемещений.
Социальный граф: частота контактов выявляет близких людей, рабочие связи, скрытые взаимоотношения.
Методология анализа
Нормализация: унификация форматов, проверка полноты данных
Статистика: частота звонков, соотношение входящих/исходящих, распределение по времени
Идентификация: поиск номеров через GetContact, Truecaller, соцсети
Геоанализ: сопоставление Cell ID с координатами вышек, построение карты перемещений
Профилирование: определение социального статуса, рода занятий, жизненных обстоятельств
Инструменты
Базовый уровень: Excel/Google Sheets для статистики, Gephi для визуализации графов связей.
Продвинутый: Python (pandas, networkx), Maltego для интеграции данных из разных источников.
Геолокация: OpenCellID (база вышек), Google Earth для визуализации маршрутов.
Риски и защита
Юридические: незаконное получение CDR - преступление (ст. 138 УК РФ, до 4 лет). Легально только: собственные данные, судебное решение, официальное расследование.
Технические угрозы: SIM-swap атаки. Защита: 2FA в личном кабинете оператора, пароль на SIM, мониторинг счета.
Критические ошибки: переоценка точности данных, игнорирование общих телефонов, недооценка VoIP/мессенджеров.
Тренды 2024
Снижение эффективности: ~70% коммуникаций через зашифрованные мессенджеры (Signal, Telegram)
Усиление GDPR и правового регулирования
AI-аналитика: машинное обучение для автоматической классификации
Контрмеры: eSIM, виртуальные номера, privacy-технологии
Рекомендации
начните с анализа собственной детализации, изучите правовую базу, фокус на паттернах.
ПРЕДУПРЕЖДЕНИЕ
Материал только для образовательных целей: защита приватности, понимание методов правоохранительных органов. Незаконное получение чужих CDR - уголовное преступление. Автор не несет ответственности за незаконное использование информации.
1
Инструменты для минимизации слежки
📱 СИСТЕМЫ
→ GrapheneOS - Android без Google
grapheneos.org
Установка: Web Installer, нужен Pixel
→ Tails OS - live-система.
tails.net
Установка: запиши ISO через Balena Etcher, загрузи с флешки
→ Qubes OS - ПК с изоляцией каждой VM
qubes-os.org
Настройка: создайте отдельные VM: work / anon / vault
🖥 СЕТЬ
→ Tor Browser - маршрутизация через Tor
torproject.org
Использование: не логиньтесь, не скачивайте файлы напрямую
→ Outline VPN - собственный VPN
getoutline.org
Настройка: сервер на VPS, подключение через Outline Manager
→ WireGuard - лёгкий VPN-протокол
wireguard.com
Настройка: создайте ключи, настройте peers, не используйте публичные сервера
→ RethinkDNS - DNS + firewall Android
rethinkdns.com
Настройка: включите DoH + блоклисты трекеров
→ NextDNS - фильтрация DNS-запросов
nextdns.io
Настройка: профиль + блоклисты + DoH
🔒 ИЗОЛЯЦИЯ И КОНТРОЛЬ
→ NetGuard - firewall без root
netguard.me
Использование: разрешайте сеть только нужным приложениям
→ Shelter - изолированный рабочий профиль
https://4pda.to/forum/index.php?showtopic=917380&st=820&ysclid=mgrtmf2k5h827908321
Использование: перенос подозрительных приложений в work profile
→ TrackerControl - анализ сетевой активности
https://4pda.to/forum/index.php?showtopic=993653&ysclid=mgrtnv7lep34342056
Использование: включить логирование, заблокировать нежелательные домены
✉️ КОММУНИКАЦИИ
→ Signal - шифрованные чаты
signal.org
Регистрация: через виртуальный номер
→ Session - мессенджер без серверов и номеров
getsession.org
Использование: создаёт анонимный ID
→ SimpleX Chat - децентрализованный мессенджер
simplex.chat
Использование: не передаёт метаданные
🧠 БРАУЗИНГ И ПОИСК
→ LibreWolf - Firefox без трекеров
librewolf.net
Настройка: uBlock Origin + WebRTC off
→ Mull - Android-браузер без Google
https://4pda.to/forum/index.php?showtopic=1030822&ysclid=mgrtv5egvo488475351
Настройка: HTTPS-only + блок сторонних cookies
→ SearxNG - метапоиск без трекинга
searx.space
Использование: используйте HTTPS-инстансы
🌧 ХРАНИЛИЩА И ПОЧТА
→ Proton Mail - E2EE почта
proton.me/mail
→ Tuta Mail - шифрованная почта
tuta.com
→ Filen.io - шифрованное облако
filen.io
Наставьте реакций, если делать 2 часть❤️
→ GrapheneOS - Android без Google
grapheneos.org
Установка: Web Installer, нужен Pixel
→ Tails OS - live-система.
tails.net
Установка: запиши ISO через Balena Etcher, загрузи с флешки
→ Qubes OS - ПК с изоляцией каждой VM
qubes-os.org
Настройка: создайте отдельные VM: work / anon / vault
→ Tor Browser - маршрутизация через Tor
torproject.org
Использование: не логиньтесь, не скачивайте файлы напрямую
→ Outline VPN - собственный VPN
getoutline.org
Настройка: сервер на VPS, подключение через Outline Manager
→ WireGuard - лёгкий VPN-протокол
wireguard.com
Настройка: создайте ключи, настройте peers, не используйте публичные сервера
→ RethinkDNS - DNS + firewall Android
rethinkdns.com
Настройка: включите DoH + блоклисты трекеров
→ NextDNS - фильтрация DNS-запросов
nextdns.io
Настройка: профиль + блоклисты + DoH
→ NetGuard - firewall без root
netguard.me
Использование: разрешайте сеть только нужным приложениям
→ Shelter - изолированный рабочий профиль
https://4pda.to/forum/index.php?showtopic=917380&st=820&ysclid=mgrtmf2k5h827908321
Использование: перенос подозрительных приложений в work profile
→ TrackerControl - анализ сетевой активности
https://4pda.to/forum/index.php?showtopic=993653&ysclid=mgrtnv7lep34342056
Использование: включить логирование, заблокировать нежелательные домены
→ Signal - шифрованные чаты
signal.org
Регистрация: через виртуальный номер
→ Session - мессенджер без серверов и номеров
getsession.org
Использование: создаёт анонимный ID
→ SimpleX Chat - децентрализованный мессенджер
simplex.chat
Использование: не передаёт метаданные
→ LibreWolf - Firefox без трекеров
librewolf.net
Настройка: uBlock Origin + WebRTC off
→ Mull - Android-браузер без Google
https://4pda.to/forum/index.php?showtopic=1030822&ysclid=mgrtv5egvo488475351
Настройка: HTTPS-only + блок сторонних cookies
→ SearxNG - метапоиск без трекинга
searx.space
Использование: используйте HTTPS-инстансы
→ Proton Mail - E2EE почта
proton.me/mail
→ Tuta Mail - шифрованная почта
tuta.com
→ Filen.io - шифрованное облако
filen.io
Наставьте реакций, если делать 2 часть
Please open Telegram to view this post
VIEW IN TELEGRAM
1❤26🔥2
Инструменты для минимизации слежки.
Часть 2
📁 ФАЙЛЫ И МЕТАДАННЫЕ
→ MAT2 - очистка метаданных из документов и изображений
https://0xacab.org/jvoisin/mat2
Использование: mat2 file.jpg - удаляет EXIF, авторов, GPS и другие следы
→ ExifCleaner - очистка метаданных с графическим интерфейсом
https://exifcleaner.com
Использование: перетащите файлы, сохраните очищенные копии
→ Scrambled Exif (Android) - очистка фото перед отправкой
https://f-droid.org/en/packages/com.jarsilio.android.scrambledeggsif/
Использование: автоматически стирает EXIF перед загрузкой в мессенджеры
🔒 ОПЕРАЦИОННАЯ БЕЗОПАСНОСТЬ (OpSec)
→ Dangerzone - конвертация подозрительных файлов в безопасные PDF
https://dangerzone.rocks
Использование: открывайте документы из неизвестных источников только через Dangerzone
→ Metadata Analyzer (APT repo) - сканирование вложенных данных в файлах
https://github.com/zinface/streamlit.apt-repo-analyzer?ysclid=mgwithw9dk141740600
Использование: выявляет скрытые строки, ссылки и шифрованные вложения
→ USBGuard - контроль внешних устройств
https://usbguard.github.io
Использование: разрешайте только доверенные USB, предотвращая импланты и кейлоггеры
💻 ВИРТУАЛИЗАЦИЯ И ПЕСОЧНИЦЫ
→ Firejail - изоляция приложений в Linux
https://firejail.wordpress.com
Использование: firejail firefox - запускает браузер в sandbox
→ Whonix - анонимная ОС на базе Tor
https://whonix.org
Использование: настройка в VirtualBox/Qubes, маршрутизация всего трафика через Tor
→ Sandboxie Plus - песочница для Windows
https://sandboxie-plus.com
Использование: тестируйте подозрительные программы без риска для системы
📷 ЗАЩИТА КАМЕР, МИКРОФОНОВ И УСТРОЙСТВ
→ Micro Snitch (macOS) / WhoStalksMyCam (Windows) - контроль активации камеры
Использование: уведомляет при несанкционированном доступе к микрофону или камере
→ TinfoilCam - физические заглушки камеры
Использование: простое, но эффективное средство защиты
→ DroidGuard - контроль разрешений Android
(play market)
Использование: проверяйте, какие приложения обращаются к микрофону и камере
🔎 ПРОВЕРКА УТЕЧЕК И АКТИВНОСТИ
→ Have I Been Pwned - проверка email на утечки
haveibeenpwned.com
Использование: введите почту, получите список скомпрометированных сервисов
→ LeakCheck.io - поиск утечек по логинам, телефонам, паролям
leakcheck.io
Использование: поддерживает массовую проверку по API
→ BreachDirectory - поиск хэшей паролей
breachdirectory.org
Использование: сверяйте SHA1/MD5 с утёкшими базами
⚙️ АППАРАТНЫЙ УРОВЕНЬ
→ Nitrokey / YubiKey - аппаратные ключи для 2FA
nitrokey.com / yubico.com
Использование: настройте через FIDO2/U2F, уберите SMS-аутентификацию
→ Purism Librem - ноутбуки с аппаратными выключателями Wi-Fi, камеры и микрофона
puri.sm
Использование: подходит для безопасной работы офлайн
→ Heads / Coreboot - прошивки с верификацией
Использование: защита BIOS от перезаписи и бэкдоров
Часть 2
→ MAT2 - очистка метаданных из документов и изображений
https://0xacab.org/jvoisin/mat2
Использование: mat2 file.jpg - удаляет EXIF, авторов, GPS и другие следы
→ ExifCleaner - очистка метаданных с графическим интерфейсом
https://exifcleaner.com
Использование: перетащите файлы, сохраните очищенные копии
→ Scrambled Exif (Android) - очистка фото перед отправкой
https://f-droid.org/en/packages/com.jarsilio.android.scrambledeggsif/
Использование: автоматически стирает EXIF перед загрузкой в мессенджеры
→ Dangerzone - конвертация подозрительных файлов в безопасные PDF
https://dangerzone.rocks
Использование: открывайте документы из неизвестных источников только через Dangerzone
→ Metadata Analyzer (APT repo) - сканирование вложенных данных в файлах
https://github.com/zinface/streamlit.apt-repo-analyzer?ysclid=mgwithw9dk141740600
Использование: выявляет скрытые строки, ссылки и шифрованные вложения
→ USBGuard - контроль внешних устройств
https://usbguard.github.io
Использование: разрешайте только доверенные USB, предотвращая импланты и кейлоггеры
→ Firejail - изоляция приложений в Linux
https://firejail.wordpress.com
Использование: firejail firefox - запускает браузер в sandbox
→ Whonix - анонимная ОС на базе Tor
https://whonix.org
Использование: настройка в VirtualBox/Qubes, маршрутизация всего трафика через Tor
→ Sandboxie Plus - песочница для Windows
https://sandboxie-plus.com
Использование: тестируйте подозрительные программы без риска для системы
→ Micro Snitch (macOS) / WhoStalksMyCam (Windows) - контроль активации камеры
Использование: уведомляет при несанкционированном доступе к микрофону или камере
→ TinfoilCam - физические заглушки камеры
Использование: простое, но эффективное средство защиты
→ DroidGuard - контроль разрешений Android
(play market)
Использование: проверяйте, какие приложения обращаются к микрофону и камере
→ Have I Been Pwned - проверка email на утечки
haveibeenpwned.com
Использование: введите почту, получите список скомпрометированных сервисов
→ LeakCheck.io - поиск утечек по логинам, телефонам, паролям
leakcheck.io
Использование: поддерживает массовую проверку по API
→ BreachDirectory - поиск хэшей паролей
breachdirectory.org
Использование: сверяйте SHA1/MD5 с утёкшими базами
→ Nitrokey / YubiKey - аппаратные ключи для 2FA
nitrokey.com / yubico.com
Использование: настройте через FIDO2/U2F, уберите SMS-аутентификацию
→ Purism Librem - ноутбуки с аппаратными выключателями Wi-Fi, камеры и микрофона
puri.sm
Использование: подходит для безопасной работы офлайн
→ Heads / Coreboot - прошивки с верификацией
Использование: защита BIOS от перезаписи и бэкдоров
Please open Telegram to view this post
VIEW IN TELEGRAM
7❤10
Полный пайплайн по профилю/никнейму
Инструменты
• Maltego (CE/Classic/XL) - графовый анализ, трансформации, интеграции API.
• SpiderFoot HX / SpiderFoot CLI - автоматизированный сбор, enrichment, дедубликация.
• Recon‑NG - модульный фреймворк для сбора данных (API ключи).
• theHarvester - сбор email/поддоменов/публичных упоминаний.
• Amass - discovery, passive/active subdomain enumeration, graph output.
• Shodan / Censys - поиск устройств и баннеров.
• OSINT Framework / Intelligence X - карты источников, архивы утечек.
• FOCA / Metagoofil / ExifTool - извлечение метаданных из документов и изображений.
• WhoisXML / RiskIQ / Whois, URLScan.io - enrichment доменов и URL-сканирование.
• Google Dorks / Bing operators / Yandex - ручные точечные запросы.
• Pipl / Spokeo / SocialSearcher (коммерческие) - поиск по PII (если есть доступ).
• Grep / jq / csvkit / pandas - обработка и фильтрация результатов.
• Elastic Stack / Neo4j - хранение и визуализация больших объёмов данных.
• GitHub/GitLab API - поиск секретов и упоминаний в коде.
• OSQuery / Zeek (внутренний аудит) - если есть лог-доступ в среде.
Подготовка окружения
1. VM или контейнер, snapshot перед началом.
2. Переключение сети через отдельный VPN/proxy/Tor (в соответствии с задачей).
3. Создать структуру проекта: workspace/<target>/raw/, workspace/<target>/parsed/, workspace/<target>/reports/.
4. Собрать API‑ключи: HIBP, Shodan, VirusTotal, WhoisXML, GitHub, Google CSE (если нужно). Хранить в .env (зашифровать).
Рабочие практики и anti‑noise
• Помечать источники и confidence score для каждой записи (0.1–0.9).
• Фильтровать импостеров: совпадение никнейма ≠ та же личность - всегда проверять дополнительные атрибуты.
• Дедупликация по хешу сущности (email, phone, IP).
• Лимит запросов и backoff (sleep between requests) - избегать бана/скаута.
Форматы вывода и отчётность
• Хранить «сырые» данные в raw/ (JSON, CSV).
• Парсить и нормализовать в parsed/ (CSV/NDJSON).
• Итоговый отчёт - PDF + JSON с секциями: summary, indicators (IOC), timeline, risk assessment, remediation.
• Метаданные отчёта: дата, IP источника сбора, используемые API и ключи.
Инструменты
• Maltego (CE/Classic/XL) - графовый анализ, трансформации, интеграции API.
• SpiderFoot HX / SpiderFoot CLI - автоматизированный сбор, enrichment, дедубликация.
• Recon‑NG - модульный фреймворк для сбора данных (API ключи).
• theHarvester - сбор email/поддоменов/публичных упоминаний.
• Amass - discovery, passive/active subdomain enumeration, graph output.
• Shodan / Censys - поиск устройств и баннеров.
• OSINT Framework / Intelligence X - карты источников, архивы утечек.
• FOCA / Metagoofil / ExifTool - извлечение метаданных из документов и изображений.
• WhoisXML / RiskIQ / Whois, URLScan.io - enrichment доменов и URL-сканирование.
• Google Dorks / Bing operators / Yandex - ручные точечные запросы.
• Pipl / Spokeo / SocialSearcher (коммерческие) - поиск по PII (если есть доступ).
• Grep / jq / csvkit / pandas - обработка и фильтрация результатов.
• Elastic Stack / Neo4j - хранение и визуализация больших объёмов данных.
• GitHub/GitLab API - поиск секретов и упоминаний в коде.
• OSQuery / Zeek (внутренний аудит) - если есть лог-доступ в среде.
Подготовка окружения
1. VM или контейнер, snapshot перед началом.
2. Переключение сети через отдельный VPN/proxy/Tor (в соответствии с задачей).
3. Создать структуру проекта: workspace/<target>/raw/, workspace/<target>/parsed/, workspace/<target>/reports/.
4. Собрать API‑ключи: HIBP, Shodan, VirusTotal, WhoisXML, GitHub, Google CSE (если нужно). Хранить в .env (зашифровать).
Рабочие практики и anti‑noise
• Помечать источники и confidence score для каждой записи (0.1–0.9).
• Фильтровать импостеров: совпадение никнейма ≠ та же личность - всегда проверять дополнительные атрибуты.
• Дедупликация по хешу сущности (email, phone, IP).
• Лимит запросов и backoff (sleep between requests) - избегать бана/скаута.
Форматы вывода и отчётность
• Хранить «сырые» данные в raw/ (JSON, CSV).
• Парсить и нормализовать в parsed/ (CSV/NDJSON).
• Итоговый отчёт - PDF + JSON с секциями: summary, indicators (IOC), timeline, risk assessment, remediation.
• Метаданные отчёта: дата, IP источника сбора, используемые API и ключи.
1
Опсэк для анонимности в крипте
1. База
OS: Tails или Whonix. Виртуальная машина - минимальный вариант.
Сеть: Tor. Браузер по умолчанию для всех операций. VPN - дополнительный, но не заменяющий Tor, слой.
Аппаратное обеспечение: Отдельное устройство ("ноутбук"). Никаких личных логинов, аккаунтов.
2. Вход в систему (Онрамиинг)
Полностью анонимно: Криптоматы за наличные. P2P-платформы (Bisq, LocalMonero) с минимальным KYC.
Исключить: Централизованные биржи (CEX) с верификацией. Любой KYC привязывает кошелек к личности.
3. Разрыв цепочки отслеживания
Основной инструмент: Monero (XMR).
Схема: BTC/ETH/etc. -> (через неследящий DEX/бридж) -> XMR -> (через неследящий DEX/бридж) -> целевой актив (TON, USDT и т.д.).
Результат: Публичные блокчейны (Bitcoin, Ethereum, TON) теряют связь между исходной и конечной точкой.
4. Работа с активами
Кошельки: Одноразовые адреса. Для каждой крупной операции - новый кошелек. Аппаратный кошелек (Ledger/Trezor) - для безопасного хранения ключей, не для анонимности.
DeFi/DApps: Использовать через Tor. Не коннектить кошельки, связанные с KYC.
Выход в фиат: Через P2P или те же криптоматы. Никогда не выводить на банковские карты, привязанные к KYC-бирже
1. База
OS: Tails или Whonix. Виртуальная машина - минимальный вариант.
Сеть: Tor. Браузер по умолчанию для всех операций. VPN - дополнительный, но не заменяющий Tor, слой.
Аппаратное обеспечение: Отдельное устройство ("ноутбук"). Никаких личных логинов, аккаунтов.
2. Вход в систему (Онрамиинг)
Полностью анонимно: Криптоматы за наличные. P2P-платформы (Bisq, LocalMonero) с минимальным KYC.
Исключить: Централизованные биржи (CEX) с верификацией. Любой KYC привязывает кошелек к личности.
3. Разрыв цепочки отслеживания
Основной инструмент: Monero (XMR).
Схема: BTC/ETH/etc. -> (через неследящий DEX/бридж) -> XMR -> (через неследящий DEX/бридж) -> целевой актив (TON, USDT и т.д.).
Результат: Публичные блокчейны (Bitcoin, Ethereum, TON) теряют связь между исходной и конечной точкой.
4. Работа с активами
Кошельки: Одноразовые адреса. Для каждой крупной операции - новый кошелек. Аппаратный кошелек (Ledger/Trezor) - для безопасного хранения ключей, не для анонимности.
DeFi/DApps: Использовать через Tor. Не коннектить кошельки, связанные с KYC.
Выход в фиат: Через P2P или те же криптоматы. Никогда не выводить на банковские карты, привязанные к KYC-бирже
1
OSINT через CI/CD и публичные конфигурации
Техническое объяснение
• Файлы пайплайнов (GitLab CI *.gitlab-ci.yml, GitHub Actions .github/workflows/*, Jenkinsfile) содержат шаги, переменные окружения и подключаемые образы.
• Артефакты сборки (docker images, wheels, jars) могут включать встроенные файлы конфигурации, credentials и hardcoded URL.
• Секреты попадают в репозиторий через: переменные CI без masked/secret, логирование значений, временные файлы, неправильную очистку образов.
• Public registries (Docker Hub, GitHub Packages) индексируют образы по тегам и метаданным, что облегчает поиск по имени проекта.
• CI logs показывают шаги, env-vars (частично), команды запуска и ошибочные выводы, содержащие токены или пароли.
Примеры инструментов и команд
• GitHub code search / gh -
• TruffleHog / git-secrets / gitleaks - поиск секретов в истории репозитория.
• Docker-scan / Dive - просмотр содержимого образа: dive image:tag
• Snyk/Anchore/Clair - сканирование образов и артефактов на утечки/уязвимости.
• CI log scraping: использование API GitLab/GitHub Actions для выгрузки логов и парсинга (requests + jq).
• Команда:
CI/CD-конфигурации и публичные build-артефакты часто содержат секреты и инфраструктурные индикаторы. Их анализ даёт быстрый доступ к учёткам, ключам и архитектуре цели.
Техническое объяснение
• Файлы пайплайнов (GitLab CI *.gitlab-ci.yml, GitHub Actions .github/workflows/*, Jenkinsfile) содержат шаги, переменные окружения и подключаемые образы.
• Артефакты сборки (docker images, wheels, jars) могут включать встроенные файлы конфигурации, credentials и hardcoded URL.
• Секреты попадают в репозиторий через: переменные CI без masked/secret, логирование значений, временные файлы, неправильную очистку образов.
• Public registries (Docker Hub, GitHub Packages) индексируют образы по тегам и метаданным, что облегчает поиск по имени проекта.
• CI logs показывают шаги, env-vars (частично), команды запуска и ошибочные выводы, содержащие токены или пароли.
Примеры инструментов и команд
• GitHub code search / gh -
gh search code "password" --glob '.*yml'
• TruffleHog / git-secrets / gitleaks - поиск секретов в истории репозитория.
• Docker-scan / Dive - просмотр содержимого образа: dive image:tag
• Snyk/Anchore/Clair - сканирование образов и артефактов на утечки/уязвимости.
• CI log scraping: использование API GitLab/GitHub Actions для выгрузки логов и парсинга (requests + jq).
• Команда:
curl -H "Authorization: token $GITHUB" "https://api.github.com/repos/org/repo/actions/runs" | jq .
3🔥10❤2
Пост-эксплуатация в Windows AD - латеральное движение и удержание контроля
1. Цель пост-эксплуатации
• Получить привилегии домена или доступ к критичным данным.
• Расширить доступ на смежные хосты и сервисы.
• Сохранить скрытный доступ для дальнейшей активности.
2. Основные векторы эскалации привилегий
• Kerberoasting - извлечение TGT/TGS и брутфорс SPN-паролей.
• Overpass/Pass-the-Hash - использование хэшей NTLM для аутентификации.
• Golden Ticket - создание поддельных TGT при компрометации KRBTGT.
• Credential dumping - Mimikatz, LSASS-дампы, WDigest, DPAPI-ключи.
• Unconstrained delegation и Kerberos delegation misconfigs.
3. Латеральное движение - методы
• SMB/NTLM relay и smbexec для выполнения команд на удалённых хостах.
• PsExec / WMI / WinRM - распространённое выполнение удалённых задач.
• RDP с перебором/подбором учёток или использованием украденных токенов.
• Exploits в службах (MSRPC, MS17-010 и др.) для распространения без явных учёток.
• Abuse of AD tools - PowerShell Remoting, Invoke-Mimikatz, BloodHound-автоматизация.
4. Persistence (удержание доступа)
• Создание служебных учёток с правами и скрытые привилегии.
• Scheduled Tasks / Windows Service с командной строкой запуска.
• Golden/Silver Tickets и skeleton key для долгосрочного доступа.
• Shadow admins - добавление в AD-группы с непрозрачными правами.
• Web shells и backdoors в внутренних web-приложениях.
5. Инструменты и подходы (практически)
• BloodHound + Neo4j - карта привилегий и пути эскалации.
• Mimikatz / Rubeus / Kekeo - Kerberos и credentials tooling.
• Impacket (psexec.py, smbrelayx) - автоматизация lateral.
• CrackMapExec - оркестрация атак по подсетям.
• PowerView / SharpHound - сбор AD-информации для построения графа.
6. Индикаторы компрометации (SOC-фокус)
• Необычные Kerberos запросы (TGS requests с новыми SPN).
• Неожиданные LDAP-запросы и массовые сессии от учеток.
• Создание новых привилегированных аккаунтов вне обычного процесса.
• Запуски Mimikatz-подобных процессов и доступ к LSASS.
• Необычные привязки сервисов/слушателей на внутренних хостах.
7. Быстрые контрмеры и рекомендации
• Внедрить LAPS и минимизировать локальные admin-пароли.
• Ограничить delegation и удалить unconstrained delegation.
• Включить и мониторить Kerberos-аудит (AS/ TGS requests).
• Защитить LSASS (Credential Guard, LSA protection) и сегментировать сеть.
• Минимизировать права сервисных учёток и регулярно ротировать KRBTGT.
• Внедрить EDR с обнаружением process-injection, dump-access и lateral tools.
1. Цель пост-эксплуатации
• Получить привилегии домена или доступ к критичным данным.
• Расширить доступ на смежные хосты и сервисы.
• Сохранить скрытный доступ для дальнейшей активности.
2. Основные векторы эскалации привилегий
• Kerberoasting - извлечение TGT/TGS и брутфорс SPN-паролей.
• Overpass/Pass-the-Hash - использование хэшей NTLM для аутентификации.
• Golden Ticket - создание поддельных TGT при компрометации KRBTGT.
• Credential dumping - Mimikatz, LSASS-дампы, WDigest, DPAPI-ключи.
• Unconstrained delegation и Kerberos delegation misconfigs.
3. Латеральное движение - методы
• SMB/NTLM relay и smbexec для выполнения команд на удалённых хостах.
• PsExec / WMI / WinRM - распространённое выполнение удалённых задач.
• RDP с перебором/подбором учёток или использованием украденных токенов.
• Exploits в службах (MSRPC, MS17-010 и др.) для распространения без явных учёток.
• Abuse of AD tools - PowerShell Remoting, Invoke-Mimikatz, BloodHound-автоматизация.
4. Persistence (удержание доступа)
• Создание служебных учёток с правами и скрытые привилегии.
• Scheduled Tasks / Windows Service с командной строкой запуска.
• Golden/Silver Tickets и skeleton key для долгосрочного доступа.
• Shadow admins - добавление в AD-группы с непрозрачными правами.
• Web shells и backdoors в внутренних web-приложениях.
5. Инструменты и подходы (практически)
• BloodHound + Neo4j - карта привилегий и пути эскалации.
• Mimikatz / Rubeus / Kekeo - Kerberos и credentials tooling.
• Impacket (psexec.py, smbrelayx) - автоматизация lateral.
• CrackMapExec - оркестрация атак по подсетям.
• PowerView / SharpHound - сбор AD-информации для построения графа.
6. Индикаторы компрометации (SOC-фокус)
• Необычные Kerberos запросы (TGS requests с новыми SPN).
• Неожиданные LDAP-запросы и массовые сессии от учеток.
• Создание новых привилегированных аккаунтов вне обычного процесса.
• Запуски Mimikatz-подобных процессов и доступ к LSASS.
• Необычные привязки сервисов/слушателей на внутренних хостах.
7. Быстрые контрмеры и рекомендации
• Внедрить LAPS и минимизировать локальные admin-пароли.
• Ограничить delegation и удалить unconstrained delegation.
• Включить и мониторить Kerberos-аудит (AS/ TGS requests).
• Защитить LSASS (Credential Guard, LSA protection) и сегментировать сеть.
• Минимизировать права сервисных учёток и регулярно ротировать KRBTGT.
• Внедрить EDR с обнаружением process-injection, dump-access и lateral tools.
1❤7🔥3
Как работают баг-баунти программы и почему на них зарабатывают только те, кто понимает логику уязвимостей
• Многие думают, что баг-баунти - это “зашёл на сайт, нашёл дырку, получил деньги”. На практике это структурированный процесс, где платят не за удачу, а за понимание того, как ломается современный веб.
Что такое баг-баунти
• Это официальная программа, где компании платят за найденные уязвимости в своих сервисах.
• Площадки: HackerOne, Bugcrowd, Integrity, YesWeHack.
• Награды: от $50 за мелкие баги до $50 000+ за критические цепочки.
Что реально ищут
Баги делятся на уровни:
• Low - утечки метаданных, плохие заголовки, неопасные ошибки.
• Medium - слабые политики, ограниченные обходы авторизации.
• High - полноценные уязвимости, которые дают контроль над частью функционала.
• Critical - RCE, данные пользователей, полный обход авторизации.
Где искать уязвимости
• Логика приложения: неправильные проверки прав, обход ролей.
• API: отсутствующая валидация, IDOR, инъекции.
• Авторизация: уязвимые токены, слабые ограничения, ошибки в сессиях.
• Инфраструктура: неправильные настройки облаков, публичные бакеты.
Мини-гайд по началу
1. Берёшь программу на HackerOne с “beginner friendly”.
2. Сканируешь цели через:
→ httpx
→ nuclei
→ subfinder
3. Ищешь точки входа: параметры, API-endpoints, скрытые функции.
4. Тестируешь:
→ IDOR (смена userID)
→ SSRF (внешние запросы)
→ XSS (контроль вывода)
→ BOLA в API
5. Оформляешь отчёт: повторяемость, шаги, воздействие, PoC.
Почему баг-баунти сложнее, чем кажется
• Популярные программы уже вылизаны.
• Чтобы находить баги, нужна системность: методология, чеклисты, понимание логики кода.
• Твои находки должны быть стабильными, воспроизводимыми и реальными.
• Многие думают, что баг-баунти - это “зашёл на сайт, нашёл дырку, получил деньги”. На практике это структурированный процесс, где платят не за удачу, а за понимание того, как ломается современный веб.
Что такое баг-баунти
• Это официальная программа, где компании платят за найденные уязвимости в своих сервисах.
• Площадки: HackerOne, Bugcrowd, Integrity, YesWeHack.
• Награды: от $50 за мелкие баги до $50 000+ за критические цепочки.
Что реально ищут
Баги делятся на уровни:
• Low - утечки метаданных, плохие заголовки, неопасные ошибки.
• Medium - слабые политики, ограниченные обходы авторизации.
• High - полноценные уязвимости, которые дают контроль над частью функционала.
• Critical - RCE, данные пользователей, полный обход авторизации.
Где искать уязвимости
• Логика приложения: неправильные проверки прав, обход ролей.
• API: отсутствующая валидация, IDOR, инъекции.
• Авторизация: уязвимые токены, слабые ограничения, ошибки в сессиях.
• Инфраструктура: неправильные настройки облаков, публичные бакеты.
Мини-гайд по началу
1. Берёшь программу на HackerOne с “beginner friendly”.
2. Сканируешь цели через:
→ httpx
→ nuclei
→ subfinder
3. Ищешь точки входа: параметры, API-endpoints, скрытые функции.
4. Тестируешь:
→ IDOR (смена userID)
→ SSRF (внешние запросы)
→ XSS (контроль вывода)
→ BOLA в API
5. Оформляешь отчёт: повторяемость, шаги, воздействие, PoC.
Почему баг-баунти сложнее, чем кажется
• Популярные программы уже вылизаны.
• Чтобы находить баги, нужна системность: методология, чеклисты, понимание логики кода.
• Твои находки должны быть стабильными, воспроизводимыми и реальными.
❤15🔥2
Деанонимизация через AI-модели и цифровые тени
Суть:
Людей всё чаще находят не через базы данных и утечки, а через след, который оставляют нейросети и рекомендательные алгоритмы.
В чём новизна.
Раньше OSINT =
доки, логи, соцсети, IP, базы
Теперь OSINT =
AI + поведенческий отпечаток + метаданные + стиль + контекст
Всё это собирается в единую модель личности.
Примеры:
• стиль текста (как ты пишешь)
• построение предложений
• любимые слова
• поведение в Telegram
• время активности
• с каких устройств пишешь
• какие темы изучаешь
• какая лексика / ритм / структура
• какие картинки смотришь
• какие промпты вводишь
• какие сайты читаешь
Это уже отпечаток личности - как отпечаток пальца, только цифровой.
Новый вектор OSINT в 2025
Не искать личку - а воссоздавать человека из фрагментов.
Это используют:
• корпорации
• спецслужбы
• рекламные сети
• хак-группы
• мошенники
• HR/службы безопасности.
Вместо поиска по базам используется:
• stylometry - анализ стиля письма
• behavior pattern matching - сопоставление поведения
• context analysis - анализ смысловых паттернов
• temporal pattern - анализ активности по времени
• linguistic fingerprint - языковой отпечаток
• image embedding - сопоставление картинок через AI
• prompt-tracking - фиксация AI-запросов
• clickstream-анализ
Суть:
Людей всё чаще находят не через базы данных и утечки, а через след, который оставляют нейросети и рекомендательные алгоритмы.
В чём новизна.
Раньше OSINT =
доки, логи, соцсети, IP, базы
Теперь OSINT =
AI + поведенческий отпечаток + метаданные + стиль + контекст
Всё это собирается в единую модель личности.
Примеры:
• стиль текста (как ты пишешь)
• построение предложений
• любимые слова
• поведение в Telegram
• время активности
• с каких устройств пишешь
• какие темы изучаешь
• какая лексика / ритм / структура
• какие картинки смотришь
• какие промпты вводишь
• какие сайты читаешь
Это уже отпечаток личности - как отпечаток пальца, только цифровой.
Новый вектор OSINT в 2025
Не искать личку - а воссоздавать человека из фрагментов.
Это используют:
• корпорации
• спецслужбы
• рекламные сети
• хак-группы
• мошенники
• HR/службы безопасности.
Вместо поиска по базам используется:
• stylometry - анализ стиля письма
• behavior pattern matching - сопоставление поведения
• context analysis - анализ смысловых паттернов
• temporal pattern - анализ активности по времени
• linguistic fingerprint - языковой отпечаток
• image embedding - сопоставление картинок через AI
• prompt-tracking - фиксация AI-запросов
• clickstream-анализ
❤9
Как сайты отслеживают вас через DNS-запросы (даже без аккаунта и куки)
• Многие уверены, что если использовать VPN, инкогнито и не логиниться - сайт ничего не узнает. На практике значительная часть трекинга уходит на уровень DNS. Разберём, как это работает.
• DNS (Domain Name System) - это система, которая переводит доменные имена (example.com) в IP-адреса. Каждый запрос к сайту начинается именно с DNS.
• Что видит сторона, контролирующая DNS:
• Какие домены вы посещаете
• В какое время
• С какой частотой
• С какого IP / VPN / ASN
• Какие приложения работают в фоне (мессенджеры, клиенты, апдейтеры)
• Почему DNS - идеальный источник слежки:
• Работает до HTTPS
• Не зависит от куки
• Не зависит от браузера
• Видит не только сайты, но и приложения
• Часто логируется годами
• Типичные источники DNS-логов:
• Провайдер (ISP)
• Публичные DNS (Google, Cloudflare, Quad9)
• Корпоративные сети
• VPN-провайдеры
• Вредоносные расширения и ПО
• DNS-паттерны:
Даже без контента запросов можно определить:
• Соцсети, которыми вы пользуетесь
• Криптокошельки и биржи
• Мессенджеры
• Используемые ОС и приложения
• Примерный профиль активности
• В OSINT DNS-данные используют для:
• Корреляции устройств одного человека
• Связывания анонимной и обычной активности
• Анализа поведения
• Атрибуции трафика
• Расследований утечек и атак
• Почему VPN не всегда спасает:
• DNS может идти мимо туннеля
• VPN сам логирует запросы
• Один и тот же DNS-профиль сохраняется при смене IP
• Минимальные меры снижения слежки:
• DoH / DoT (DNS over HTTPS / TLS)
• Собственный DNS-резолвер
• Tor Browser (DNS внутри Tor)
• Разделение профилей и устройств
• Контроль DNS на уровне ОС, а не браузера
• Многие уверены, что если использовать VPN, инкогнито и не логиниться - сайт ничего не узнает. На практике значительная часть трекинга уходит на уровень DNS. Разберём, как это работает.
• DNS (Domain Name System) - это система, которая переводит доменные имена (example.com) в IP-адреса. Каждый запрос к сайту начинается именно с DNS.
• Что видит сторона, контролирующая DNS:
• Какие домены вы посещаете
• В какое время
• С какой частотой
• С какого IP / VPN / ASN
• Какие приложения работают в фоне (мессенджеры, клиенты, апдейтеры)
• Почему DNS - идеальный источник слежки:
• Работает до HTTPS
• Не зависит от куки
• Не зависит от браузера
• Видит не только сайты, но и приложения
• Часто логируется годами
• Типичные источники DNS-логов:
• Провайдер (ISP)
• Публичные DNS (Google, Cloudflare, Quad9)
• Корпоративные сети
• VPN-провайдеры
• Вредоносные расширения и ПО
• DNS-паттерны:
Даже без контента запросов можно определить:
• Соцсети, которыми вы пользуетесь
• Криптокошельки и биржи
• Мессенджеры
• Используемые ОС и приложения
• Примерный профиль активности
• В OSINT DNS-данные используют для:
• Корреляции устройств одного человека
• Связывания анонимной и обычной активности
• Анализа поведения
• Атрибуции трафика
• Расследований утечек и атак
• Почему VPN не всегда спасает:
• DNS может идти мимо туннеля
• VPN сам логирует запросы
• Один и тот же DNS-профиль сохраняется при смене IP
• Минимальные меры снижения слежки:
• DoH / DoT (DNS over HTTPS / TLS)
• Собственный DNS-резолвер
• Tor Browser (DNS внутри Tor)
• Разделение профилей и устройств
• Контроль DNS на уровне ОС, а не браузера
❤21
Как сайты и приложения отслеживают вас через системное время и тайминги (Timing Fingerprinting)
• Большинство думает, что трекинг строится на куки и IP. На практике всё чаще используют временные характеристики устройства, которые почти невозможно скрыть.
• Timing fingerprinting - это метод идентификации по измерению времени выполнения операций:
• Загрузка ресурсов
• Ответы JavaScript
• Работа CPU
• Задержки сети
• Рендеринг шрифтов и canvas
• Что именно измеряется:
• Точность системных часов
• Drift (уход времени относительно эталона)
• Производительность CPU
• Планировщик потоков ОС
• Поведение таймеров браузера
• Почему это работает:
• Каждое устройство имеет уникальные задержки
• Виртуалки отличаются от реального железа
• VPN не влияет на локальные тайминги
• Примеры практического использования:
• Связывание разных браузеров одного пользователя
• Детект виртуальных машин и песочниц
• Обход антифрод-защиты
• Выявление ботов и автоматизации
• Большинство думает, что трекинг строится на куки и IP. На практике всё чаще используют временные характеристики устройства, которые почти невозможно скрыть.
• Timing fingerprinting - это метод идентификации по измерению времени выполнения операций:
• Загрузка ресурсов
• Ответы JavaScript
• Работа CPU
• Задержки сети
• Рендеринг шрифтов и canvas
• Что именно измеряется:
• Точность системных часов
• Drift (уход времени относительно эталона)
• Производительность CPU
• Планировщик потоков ОС
• Поведение таймеров браузера
• Почему это работает:
• Каждое устройство имеет уникальные задержки
• Виртуалки отличаются от реального железа
• VPN не влияет на локальные тайминги
• Примеры практического использования:
• Связывание разных браузеров одного пользователя
• Детект виртуальных машин и песочниц
• Обход антифрод-защиты
• Выявление ботов и автоматизации
❤20🔥3
Как приложения определяют, что вы один и тот же человек без аккаунта
Fingerprint устройства
Приложения собирают набор технических параметров:
• модель устройства
• версия ОС
• язык системы
• часовой пояс
• разрешение экрана
• список шрифтов
• поведение сенсора
По совокупности формируется устойчивый fingerprint.
Связывание через сеть
Даже при смене IP используются:
• тип подключения
• ASN провайдера
• задержки и маршруты
• повторяющиеся Wi-Fi точки
Эти признаки стабильнее IP.
Поведенческая корреляция
Система анализирует:
• скорость прокрутки
• интервалы касаний
• порядок действий
• время активности
Поведенческий профиль почти уникален.
Кросс-приложечная идентификация
SDK аналитики работают сразу в сотнях приложений:
• Firebase
• AppsFlyer
• Adjust
• Meta SDK
Если они стоят в двух приложениях - пользователь связывается.
Почему очистка данных не помогает
• Fingerprint пересобирается заново
• Поведение остаётся тем же
• Сетевые паттерны не меняются
• Связь восстанавливается за часы
Где это используют
• антифрод системы
• рекламные сети
• защита от мультиаккаунтов
• теневой скоринг пользователей
Fingerprint устройства
Приложения собирают набор технических параметров:
• модель устройства
• версия ОС
• язык системы
• часовой пояс
• разрешение экрана
• список шрифтов
• поведение сенсора
По совокупности формируется устойчивый fingerprint.
Связывание через сеть
Даже при смене IP используются:
• тип подключения
• ASN провайдера
• задержки и маршруты
• повторяющиеся Wi-Fi точки
Эти признаки стабильнее IP.
Поведенческая корреляция
Система анализирует:
• скорость прокрутки
• интервалы касаний
• порядок действий
• время активности
Поведенческий профиль почти уникален.
Кросс-приложечная идентификация
SDK аналитики работают сразу в сотнях приложений:
• Firebase
• AppsFlyer
• Adjust
• Meta SDK
Если они стоят в двух приложениях - пользователь связывается.
Почему очистка данных не помогает
• Fingerprint пересобирается заново
• Поведение остаётся тем же
• Сетевые паттерны не меняются
• Связь восстанавливается за часы
Где это используют
• антифрод системы
• рекламные сети
• защита от мультиаккаунтов
• теневой скоринг пользователей
❤20
This media is not supported in your browser
VIEW IN TELEGRAM
Как мобильные приложения хранят данные без куки
• В мобильных приложениях нет классических браузерных куки, но механизмы хранения данных работают даже агрессивнее, чем в вебе.
• Основные способы хранения данных в приложениях:
Эти данные сохраняются между сессиями и переживают перезапуск устройства.
• Для идентификации используются:
Даже при выходе из аккаунта идентификаторы часто остаются.
• Сторонние SDK усиливают слежку:
Они объединяют данные из разных приложений.
• Очистка кэша не решает проблему:
• Удаление приложения не всегда обрывает идентификацию:
• В мобильных приложениях нет классических браузерных куки, но механизмы хранения данных работают даже агрессивнее, чем в вебе.
• Основные способы хранения данных в приложениях:
• SharedPreferences и DataStore в Android
• Keychain в iOS
• SQLite базы внутри приложения
• файловые хранилища приложения
Эти данные сохраняются между сессиями и переживают перезапуск устройства.
• Для идентификации используются:
• Advertising ID (AAID, IDFA)
• внутренние UUID приложения
• токены аналитических SDK
• push-токены уведомлений
Даже при выходе из аккаунта идентификаторы часто остаются.
• Сторонние SDK усиливают слежку:
• Firebase Analytics
• AppsFlyer
• Adjust
• Meta SDK
Они объединяют данные из разных приложений.
• Очистка кэша не решает проблему:
• данные остаются в хранилище приложения
• рекламный идентификатор не сбрасывается автоматически
• push-токены обновляются, но сохраняют связь
• Удаление приложения не всегда обрывает идентификацию:
• резервные копии восстанавливают данные
• SDK пересоздают идентификаторы
• профиль связывается через сеть и поведение
❤16
Как операционная система хранит учётные данные и сессии приложений
• Даже если не говорить о браузерах, любая операционная система имеет собственные механизмы хранения авторизации, токенов и чувствительных данных. Именно на этом уровне приложения «помнят» пользователя.
• Где ОС хранит данные авторизации:
Эти хранилища защищены системой и не удаляются при закрытии приложения.
• Что там обычно хранится:
• Почему это важно для безопасности:
• Типичные ошибки разработчиков:
• Использование в атаках и расследованиях:
• Даже если не говорить о браузерах, любая операционная система имеет собственные механизмы хранения авторизации, токенов и чувствительных данных. Именно на этом уровне приложения «помнят» пользователя.
• Где ОС хранит данные авторизации:
• Windows Credential Manager - пароли, токены, сетевые учётные данные
• macOS Keychain - пароли, сертификаты, ключи приложений
• Android Keystore - ключи шифрования и токены приложений
• iOS Keychain - данные авторизации и идентификаторы
Эти хранилища защищены системой и не удаляются при закрытии приложения.
• Что там обычно хранится:
• access и refresh токены
• ключи API
• данные сессий
• криптографические ключи
• данные автологина
• Почему это важно для безопасности:
• компрометация системы = доступ ко всем сессиям
• вредоносное ПО может читать или перехватывать токены
• выход из аккаунта не всегда очищает системное хранилище
• Типичные ошибки разработчиков:
• хранение токенов без шифрования
• отсутствие очистки при logout
• повторное использование токенов
• избыточные права доступа
• Использование в атаках и расследованиях:
• кража сессий без ввода пароля
• восстановление доступа после удаления приложения
• анализ следов активности на устройстве
• извлечение токенов при форензике
❤14
Как компрометируют и используют токены приложений
• Большинство современных приложений работают не с паролями, а с токенами. Именно токен, а не логин и пароль, подтверждает право на доступ. Потеря токена часто равна полному захвату аккаунта.
• Что такое токен в приложениях:
Токен - это уже авторизация.
• Основные способы компрометации токенов:
Часто токен утекает не из-за взлома, а из-за плохой архитектуры.
• Типичные ошибки разработчиков:
• Как используют украденные токены:
Во многих системах токен не отличим от легитимного клиента.
• Почему это сложно
обнаружить:
• Как защищаются от этого:
• Большинство современных приложений работают не с паролями, а с токенами. Именно токен, а не логин и пароль, подтверждает право на доступ. Потеря токена часто равна полному захвату аккаунта.
• Что такое токен в приложениях:
• access token - даёт доступ к API
• refresh token — позволяет получать новые access токены
• session token — подтверждает активную сессию
• service token — используется для связи между сервисами
Токен - это уже авторизация.
• Основные способы компрометации токенов:
• утечки в логах приложения или сервера
• хранение токенов в открытом виде
• XSS и внедрение скриптов
• вредоносные расширения и ПО
• перехват резервных копий и дампов
Часто токен утекает не из-за взлома, а из-за плохой архитектуры.
• Типичные ошибки разработчиков:
• хранение токенов в localStorage
• отсутствие привязки токена к устройству
• слишком долгий срок жизни
• одинаковые токены для разных сессий
• отсутствие ротации
• Как используют украденные токены:
• доступ к API без ввода пароля
• чтение и изменение данных пользователя
• выполнение действий от имени жертвы
• обход 2FA
• автоматизация злоупотреблений
Во многих системах токен не отличим от легитимного клиента.
• Почему это сложно
обнаружить:
• запросы выглядят валидными
• нет ошибок авторизации
• действия проходят в рамках API
• логи не показывают аномалий
• Как защищаются от этого:
• короткий срок жизни access токенов
• привязка к устройству или IP
• обязательная ротация
• хранение токенов в защищённых хранилищах ОС
• мониторинг аномального поведения
❤17