#linux
#clickfix

Атаки ClickFix теперь применяют против пользователей Linux

Исследователи зафиксировали новую вредоносную кампанию, в рамках которой киберпреступники адаптировали методы ClickFix-атак для пользователей Linux. Ранее такие атаки преимущественно нацеливались на системы под управлением Windows, где жертвам предлагалось вручную выполнить PowerShell-скрипты, маскирующиеся под легитимные системные команды . Теперь злоумышленники расширили зону поражения, включив в неё Linux-системы.

Как работают ClickFix-атаки?
ClickFix — это метод социальной инженерии, при котором пользователи обманом запускают вредоносные скрипты. В случае с Windows атакующие подсовывали скрипты PowerShell, якобы «исправляющие» ошибки системы или приложений. Для Linux злоумышленники используют аналогичную тактику: под видом технической поддержки или обновлений предлагают выполнить команды в терминале, которые на самом деле устанавливают вредоносное ПО.

Почему это опасно?

- Социальная инженерия : Пользователи часто доверяют инструкциям, замаскированным под официальные сообщения, особенно если они мимикрируют под системные уведомления.
- Кросс-платформенность : Атаки теперь охватывают и Windows, и Linux, что делает их более масштабными.
- Скорость распространения : Кампания активно развивается — первые упоминания о Linux-версии атак появились 14 мая 2025 года, а уже через сутки о ней сообщали несколько независимых источников.

Как защититься?

1. Не запускайте скрипты от непроверенных источников . Даже если команда кажется безобидной, она может скрывать вредоносный код.
2. Проверяйте источники запросов . Официальные обновления редко требуют ручного ввода команд через терминал.
3. Используйте антивирусные решения . Современные продукты способны блокировать подозрительные скрипты на ранних этапах.


Эксперты отмечают, что атаки на Linux могут быть особенно опасны для корпоративных пользователей и администраторов серверов, где системы на этом ядре распространены. В связи с этим растёт необходимость в повышении осведомлённости о новых угрозах и регулярном аудите безопасности.

#blog
#oniux

Инструмент Oniux: анонимизация трафика Linux-приложений через изоляцию на уровне ядра

Разработчики проекта Tor представили инструмент Oniux — утилиту, которая обеспечивает анонимизацию сетевого трафика любых Linux-приложений за счет их изоляции на уровне ядра операционной системы. Этот инструмент стал ответом на растущие требования к приватности и защите данных в условиях цифрового слежения.
Как работает Oniux?

Oniux использует сетевые пространства имён (network namespaces) ядра Linux для запуска приложений в изолированной среде. Вся сетевая активность таких приложений принудительно перенаправляется через сеть Tor, что исключает утечки данных и прямые соединения с внешними серверами. В отличие от аналогов, таких как torsocks , Oniux не полагается на прокси или библиотеки, а создаёт полностью изолированную среду, где приложение лишено доступа к обычной сети.

Особенности и преимущества

1. Глубокая изоляция. Благодаря интеграции с ядром Linux, Oniux гарантирует, что даже приложения с уязвимостями или ошибками в коде не смогут обойти маршрутизацию через Tor.
2. Универсальность. Инструмент работает с любыми Linux-приложениями, включая те, которые не поддерживают настройку прокси или SOCKS.
3. Безопасность на уровне ядра . Использование namespaces и технологий Rust (язык, на котором написан Oniux) минимизирует риски эксплуатации уязвимостей, связанных с памятью.
4. Простота использования. Пользователю достаточно запустить приложение через команду oniux, чтобы активировать анонимизацию.

Для кого предназначен Oniux?

Инструмент позиционируется как решение для широкого круга пользователей: от обычных пользователей, заботящихся о приватности, до специалистов по информационной безопасности и «параноиков», требующих максимальной изоляции. Например, Oniux уже применяется в киберразведке для анализа вредоносного ПО без риска утечек.

Актуальность и развитие

Анонс Oniux состоялся в мае 2025 года, и с тех пор он привлек внимание сообщества. Разработчики подчеркивают, что инструмент основан на современных технологиях, таких как Arti (реализация Tor на Rust) и onionmasq , что делает его более надёжным по сравнению с устаревшими решениями.

Заключение

Oniux — это значительный шаг вперёд в области анонимизации трафика. Его подход к изоляции приложений на уровне ядра устраняет ключевые недостатки предшественников, обеспечивая безопасность даже в сложных сценариях использования. Для пользователей Linux это означает доступность надёжного инструмента, способного защитить приватность в эпоху повсеместного цифрового наблюдения.

Здравствуйте, дорогие друзья!!!

Внимание! Акция!!!

Продлится 3 дня, с 17-го по 19-е мая включительно, а именно скидка 30% на мою электронную книгу-сборник «Хакер-программист»! 📚

Если Вы интересуетесь этичным хакингом и программированием, то эта книга станет для Вас настоящим кладезем знаний. Внутри Вы найдете 17 подробных разделов, которые охватывают все аспекты этой увлекательной и важной темы:

1. Заработок для хакера
https://vk.com/market/product/elektronnaya-kniga-zarabotok-dlya-khakera-44038255-9584632
2. Основы хакинга
https://vk.com/market/product/elektronnaya-kniga-osnovy-khakinga-44038255-9237103
3. Kali Linux для начинающих
https://vk.com/market/product/elektronnaya-kniga-kali-linux-dlya-nachinayuschikh-bazovy-uroven-44038255-4996935
4. Программирование на Go для начинающих
https://vk.com/market/product/elektronnaya-kniga-programmirovanie-na-go-dlya-nachinayuschikh-44038255-9562398
5. Программирование на Ассемблере для начинающих
https://vk.com/market/product/elektronnaya-kniga-programmirovanie-na-assemblere-dlya-nachinayuschikh-44038255-9664238
6. Хакинг на JavaScript
https://vk.com/market/product/elektronnaya-kniga-khaking-na-javascript-44038255-9092464
7. Хакинг на Ruby
https://vk.com/market/product/elektronnaya-kniga-khaking-na-ruby-44038255-9553339
8. Хакерские инструменты на PHP8
https://vk.com/market/product/elektronnaya-kniga-khakerskie-instrumenty-na-php8-44038255-9060882
9. Хакинг bWAPP - buggy web application. Эксплуатация 100 уязвимостей
https://vk.com/market/product/elektronnaya-kniga-khaking-bwapp-buggy-web-application-expluatatsia-100-uyazvimostey-44038255-8337216
10. Хакинг DVWA. Полное прохождение
https://vk.com/market/product/kniga-uyazvimosti-dvwa-polnoe-prokhozhdenie-mikhail-tarasov-timcore-44038255-7367979
11. Уязвимость SQL инъекция. Практическое руководство для хакеров
https://vk.com/market/product/kniga-uyazvimost-sql-inektsia-prakticheskoe-rukovodstvo-dlya-khakerov-44038255-8556247
12. Уязвимость Cross-Site Scripting XSS. Практическое руководство
https://vk.com/market/product/kniga-uyazvimost-cross-site-scripting-xss-prakticheskoe-rukovodstvo-dlya-khakerov-44038255-8411529
13. Пост-эксплуатация веб-сервера
https://vk.com/market/product/kniga-post-expluatatsia-veb-servera-44038255-8442259
14. Cross Site Request Forgery (CSRF)
https://vk.com/market/product/elektronnaya-kniga-uyazvimost-csrf-44038255-9345816
15. Прохождение CTF. Мистер Робот. Практический курс
https://vk.com/market/product/elektronnaya-kniga-mr-robot-1-ctf-walkthrough-reshenie-zadania-ctf-prakticheskoe-posobie-dlya-khaker-44038255-9357732
16. CTF. VulnHub - 8 райтапов
https://vk.com/market/product/elektronnaya-kniga-capture-the-flag-ctf-vulnhub-8-raytapov-44038255-9267197
17. Kali Linux для продвинутого тестирования на проникновение
https://vk.com/market/product/elektronnaya-kniga-kali-linux-dlya-prodvinutogo-testirovania-na-proniknovenie-44038255-8574265

Объем книги – 4074 страницы, наполненные полезной информацией и практическими примерами. Стоимость книги составляет 3500 рублей.

🔗 Заказать книгу можно, написав по контакту: @timcore1
Не упустите возможность стать настоящим профессионалом в области этичного хакинга и программирования! 💻🔒

# XSS-CSRF Scanner

Многофункциональный инструмент для автоматизированного поиска уязвимостей XSS и CSRF в веб-приложениях, разработанный для специалистов по информационной безопасности.

## Предупреждение

ВАЖНО: Данный инструмент предназначен ТОЛЬКО для легального использования:
- Программы Bug Bounty
- Тестирование на проникновение с разрешения владельца
- Тестирование собственных приложений

Сканирование систем без авторизации ЗАПРЕЩЕНО и может нарушать закон.

## Возможности

### Обнаружение XSS
- Reflected XSS: Автоматический поиск отраженных XSS уязвимостей через параметры URL, заголовки и формы
- Stored XSS: Анализ сохраняемых данных и выявление инъекций в формах
- DOM-based XSS: Обнаружение манипуляций с DOM через JavaScript-источники
- Контекстный анализ: Определение контекста внедрения (HTML, атрибуты, JavaScript, комментарии)
- Обход WAF: Генерация полезных нагрузок для преодоления защитных механизмов
- Интеллектуальная генерация payload: Интеграция с OpenAI для создания обфусцированных векторов атаки

### Обнаружение CSRF
- Анализ форм: Проверка наличия и корректности CSRF-токенов
- Заголовки безопасности: Проверка SameSite, X-CSRF-Token и других защитных заголовков
- Генерация PoC: Автоматическое создание HTML-страниц для проверки уязвимостей
- Анализ защит: Оценка эффективности защитных механизмов и предложения по обходу

### Автоматизация и сканирование
- Краулер: Автоматическое сканирование веб-сайтов с настраиваемой глубиной обхода
- Многопоточность: Параллельное выполнение задач для повышения скорости сканирования
- Интеграция с прокси: Работа через прокси (Burp Suite, ZAP) для углубленного анализа
- Гибкие настройки HTTP: Настройка заголовков, cookies и других параметров запросов

### Отчетность и аналитика
- Многоформатность: Генерация отчетов в HTML, JSON или вывод в консоль
- Приоритизация уязвимостей: Оценка и сортировка найденных уязвимостей по степени опасности
- Детальное описание: Подробная информация о каждой найденной уязвимости и рекомендации по устранению
- PoC-эксплойты: Готовые примеры эксплуатации обнаруженных уязвимостей

#rust
#rust_hacking

Курс — Хакинг на Rust. #29 Продвинутые темы. Обход защиты: Работа с DEP и ASLR

Здравствуйте, дорогие друзья.

Современные операционные системы используют многоуровневые механизмы защиты для предотвращения эксплуатации уязвимостей. Два ключевых из них — DEP (Data Execution Prevention) и ASLR (Address Space Layout Randomization) . DEP блокирует выполнение кода в областях памяти, помеченных как «некодовые» (например, стек или куча), а ASLR усложняет атаки, рандомизируя расположение сегментов памяти. В этом разделе мы разберем, как эти механизмы работают, и изучим методы их обхода с помощью Rust.

Подробнее: https://timcore.ru/2025/05/19/kurs-haking-na-rust-28-prodvinutye-temy-obhod-zashhity-rabota-s-dep-i-aslr/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#rust
#rust_hacking

Курс — Хакинг на Rust. #30 Продвинутые темы. Интеграция с другими языками: Расширение Python-скриптов через Rust (PyO3)

Здравствуйте, дорогие друзья.

Python — основной язык для многих хакеров и пентестеров благодаря своей простоте и богатой экосистеме (Scapy, Requests, Impacket). Однако его интерпретируемая природа накладывает ограничения на скорость и безопасность. Rust, с его производительностью и строгой типизацией, идеально дополняет Python. В этом разделе мы разберем, как использовать PyO3 — фреймворк для интеграции Rust и Python.

Подробнее: https://timcore.ru/2025/05/19/kurs-haking-na-rust-30-prodvinutye-temy-integracija-s-drugimi-jazykami-rasshirenie-python-skriptov-cherez-rust-pyo3/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

Здравствуйте, дорогие друзья.

Внимание. Акция!!!
Скидка 40% на мою электронную книгу, которая называется: «Библия начинающего Этичного хакера».
Акция продлится 3 дня, с 20 мая, и по 22 мая включительно.

Объем: 2144 страницы
Цена: 1500 рублей.

🔐💻 Взломай свой путь к знаниям с «Библией начинающего этичного хакера»! 💻🔐
Дорогие друзья! Сегодня хочу поделиться с Вами книгой, которая станет Вашим верным спутником в мире кибербезопасности – «Библия начинающего Этичного хакера». Эта книга – настоящее сокровище для тех, кто мечтает стать защитником цифрового пространства.

📘 Почему эта книга должна оказаться на Вашей полке?
1️⃣ Она разделена на 9 увлекательных глав, которые погружают Вас в каждый аспект этичного хакинга.
2️⃣ Вы начнете с основ и постепенно перейдете к более сложным темам – от идеального старта до мастерства.
3️⃣ Каждая глава содержит практические задания, которые помогут закрепить полученные знания.

🛠 Главы книги охватывают различные темы:
Основы сетей и их безопасности.
Освоение инструментов для тестирования безопасности.
Техники сканирования и анализа уязвимостей.
Социальная инженерия и методы противодействия.
Веб-приложения и их уязвимости.
Инцидентный менеджмент и реагирование на инциденты.
Юридические аспекты и этические нормы в этичном хакинге.

👩‍💻👨‍💻 Хакерство не всегда означает что-то незаконное. Этичные хакеры – это специалисты, которые используют свои навыки для улучшения безопасности и защиты информации.
Не упустите возможность обучиться искусству этичного хакинга и принять участие в гонке вооружений 21 века, где Вашим оружием будет знание! 🏁

Объем: 2144 страницы
Цена: 1500 рублей.

Более подробное содержание вот тут: https://timcore.ru/2024/02/15/moja-novaja-kniga-biblija-nachinajushhego-jetichnogo-hakera/

Для приобретения, пишите по контакту в тг: @timcore1

#ai
#blog
#nvidia

Nvidia презентовала NVLink Fusion — новую эру полукастомных AI-инфраструктур

Компания Nvidia представила на выставке Computex 2025 инновационную технологию NVLink Fusion , которая расширяет возможности интеграции проприетарного интерфейса NVLink с внешними компонентами, такими как CPU, ускорители и чиплеты сторонних производителей. Это решение призвано помочь отрасли создавать высокопроизводительные AI-системы с гибкой архитектурой.

Подробнее: https://timneuro.ru/nvidia-prezentovala-nvlink-fusion-novuyu-eru-polukastomnyh-ai-infrastruktur/


Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#ai
#blog
#microsoft

Microsoft разрабатывает открытый протокол для ИИ-поиска на любом сайте

Компания Microsoft активно продвигает идею интеграции искусственного интеллекта в веб-сервисы через открытые протоколы. На конференции Microsoft Build 2025 был представлен протокол NLWeb , описываемый как «HTML для агентного веба». Этот инструмент позволяет сайтам внедрять ИИ-поиск уровня ChatGPT с минимальными изменениями кода. Целью NLWeb является упрощение добавления интеллектуальных функций, таких как семантический поиск и анализ контента, для разработчиков по всему миру.

Подробнее: https://timneuro.ru/microsoft-razrabatyvaet-otkrytyj-protokol-dlya-ii-poiska-na-lyubom-sajte/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#pentest
#waf

WAF на коленях: как громить защиту веб-приложений с минимальными танцами

Вступление — зачем нам этот WAF вообще?

WAF (Web Application Firewall) — как тюремная решётка у веб-приложения. Он фильтрует запросы, блокирует инъекции, XSS и всякую рухлядь, чтобы ты не ломанулся к базе или шеллу. Но, это не значит, что он несокрушим. WAF — это как лабиринт с ловушками, и нам нужно прокрасться, чтобы отжать juicy данные.

Сегодня мы разберём реальные техники обхода трёх популярнейших WAF: ModSecurity, Cloudflare, AWS WAF. Будет много обфускаций, HTTP сплитов и грязных приёмов.

Подробнее: https://timcourse.ru/waf-na-kolenyah-kak-gromit-zashhitu-veb-prilozhenij-s-minimalnymi-tanczami/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#pentest
#sqli

От SQLi к ядру базы: углубленный разбор эксплуатации и эскалации

1. Начало — как найти и понять SQLi?

SQLi — это дыра, через которую можно засунуть запросы прямо в базу. Первая задача — определить тип:

Error-based — база выплёвывает ошибки по запросу.
Blind (Boolean или Time-based) — реакции нет, только по времени или true/false.
Stacked queries — поддерживаются несколько запросов в одном вызове.

Подробнее: https://timcourse.ru/ot-sqli-k-yadru-bazy-uglublennyj-razbor-ekspluataczii-i-eskalaczii/


Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#forensics

Анализ цифровых следов в криминальных кейсах: как связать анонима с реальным человеком

Кибербуллинг, шантаж через соцсети, троллинг — всё это оставляет следы. Даже если злоумышленник прячется за анонимным аккаунтом, его можно вычислить. Рассказываю, как это делают профессионалы.

Подробнее: https://timforensics.ru/analiz-czifrovyh-sledov-v-kriminalnyh-kejsah-kak-svyazat-anonima-s-realnym-chelovekom/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#forensics

Форензика кросс-платформенных сервисов: особенности расследований в экосистемах Apple, Google и Microsoft

В наше время, когда пользователи одной ногой сидят в экосистемах Apple, другой — в Google, а третьей — в Microsoft, цифровая форензика превращается в настоящий квест с элементами шпионских триллеров. Особенности распределения и синхронизации данных между устройствами разных типов — смартфонами, ноутбуками, облачными сервисами — создают уникальные вызовы, которые требуют от следователя не просто технических навыков, а железных нервов и стратегического мышления. Давайте разбираться, почему расследования в кросс-платформенных экосистемах — это не просто «копать в одной песочнице», а где зарыты главные подводные камни.

Подробнее: https://timforensics.ru/forenzika-kross-platformennyh-servisov-osobennosti-rassledovanij-v-ekosistemah-apple-google-i-microsoft/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#exploit #sql

Слепая SQL-инъекция 2025: выжимаем данные из тишины

🔥 Философия атаки

Слепая инъекция — как ломать сейф в темноте: нет прямого вывода данных, но есть два пути:

1. Тайминг-атаки: SLEEP(5) → если сервер “задумался”, уязвимость есть.
2. Бинарные ответы: IF(SUBSTRING(database(),1,1)=‘a’,123,456) → анализ косвенных признаков (ошибки/редиректы).

Проблема 2025: WAF блокируют явные SLEEP и BENCHMARK. Решение — кастомные задержки через тяжелые SQL-операции.

Подробнее: https://timrobot.ru/slepaya-sql-inekcziya-2025-vyzhimaem-dannye-iz-tishiny/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#exploit
#xxe
#waf

XXE 2025: Атаки через SVG/PDF и война с WAF

🔥 XXE Evolution: Почему SVG и PDF?

Современные WAF научились детектить классические XML-инъекции. Новые векторы:

- SVG: Все считают картинки безопасными, но парсеры librsvg до сих пор обрабатывают ENTITY
- PDF/XMP: Метаданные в PDF (XMP стандарт) парсятся как XML, даже если основной контент бинарный

Подробнее: https://timrobot.ru/xxe-2025-ataki-cherez-svg-pdf-i-vojna-s-waf/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#pentest
#penetration_testing

Сравнение Bug Bounty и классического тестирования на проникновение (Penetration Testing)

В условиях растущей киберугрозы компании стремятся укрепить безопасность своих систем. Два популярных подхода — Bug Bounty и классическое тестирование на проникновение (Penetration Testing) — часто вызывают дискуссии о том, какой из них эффективнее. Разберемся в их особенностях, преимуществах и недостатках.

Ссылка на видео: https://rutube.ru/video/1d1686f3380b7e2e134021bf232afe44/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog
#hacking

Почти завершил написание данной книги. Она будет бесплатная.

Книга подойдет как новичкам в Rust, так и опытным хакерам, желающим освоить современный язык для своих задач.

Вот содержание:

Содержание книги "Хакинг на Rust"

Введение
• Почему Rust? Преимущества языка для кибербезопасности.
• Безопасность, скорость и контроль: как Rust меняет подход к хакингу.
• Цели книги и структура.

Часть 1: Основы Rust для хакеров

1. Знакомство с Rust
Установка и настройка среды (Rustup, Cargo).
Hello, World! Первые шаги в коде.
Особенности синтаксиса: макросы, шаблоны, перечисления.

2. Система владения (Ownership)
Правила владения и заимствования.
Управление памятью без сборщика мусора.
Как это предотвращает уязвимости (например, use-after-free).

3. Типы данных и структуры
Примитивы, строки, коллекции.
Структуры, перечисления и паттерн-матчинг.
Обработка ошибок: Result и Option.

4. Низкоуровневое программирование
Работа с указателями и сырыми данными (unsafe).
Взаимодействие с памятью: стек vs. куча.
FFI: интеграция с C-библиотеками.

Часть 2: Инструменты хакера на Rust

5. Создание эксплойтов
Буферные переполнения и их обход в Rust.
Пример: эксплуатация уязвимостей через unsafe.
Инструменты для анализа бинарников (например, gdb + Rust).

6. Сетевые атаки
Написание сетевых сканеров и снифферов.
Работа с сокетами: TCP/UDP, raw sockets.
Пример: ARP-спуфинг на Rust.

7. Фаззинг и тестирование на устойчивость
Инструменты: cargo-fuzz, afl.rs.
Генерация тестовых данных для обнаружения уязвимостей.
Анализ крашей и отладка.

8. Криптоанализ и безопасность
Реализация и взлом алгоритмов шифрования.
Атаки на слабые генераторы случайных чисел.
Пример: подбор ключей с использованием многопоточности.

Часть 3: Продвинутые темы

9. Обход защиты
Антидебаггинг-техники в Rust.
Обфускация кода и скрытие сигнатур.
Работа с DEP и ASLR.

10. Интеграция с другими языками
Расширение Python-скриптов через Rust (PyO3).
Встраивание Rust в C/C++ проекты.
Пример: ускорение фаззера написанного на Python.

11. Создание инструментов для пентеста
Сканеры уязвимостей (SQLi, XSS).
Автоматизация атак с помощью Cargo.
Пример: brute-force атака на API.

Часть 4: Безопасность кода на Rust

12. Пишем безопасный код
Избегание уязвимостей: целочисленные переполнения, гонки данных.
Статический анализ: clippy, rust-analyzer.
Формальная верификация с помощью Kani.

13. Этический хакинг и Rust
Руководство по ответственному раскрытию уязвимостей.
Использование Rust в CTF-соревнованиях.
Кейсы: как Rust помог в реальных аудитах безопасности.

Заключение
Будущее Rust в кибербезопасности.
Советы по дальнейшему развитию.
Призыв к ответственному использованию знаний.

Книга подойдет как новичкам в Rust, так и опытным хакерам, желающим освоить современный язык для своих задач.

Здравствуйте, дорогие друзья.

Предоставляю возможность предзаказа моей новой электронной книги: «Пентест из Подвала: от Recon до Shell».

Цена: 900 руб.

В этом сборнике ты не найдёшь сухой теории или шаблонных советов для новичков. Здесь — живой опыт тысяч часов, проведённых за клавиатурами и терминалами, в борьбе с корпоративными защитами и закалёнными WAF’ами. Эта книга — твой личный гид в мир пентестинга с реальной прокачкой: от бесшумной разведки до хардкорного обхода защит и заливки шеллов.

Почему стоит читать?

- Честно и по-братски: без воды и фильтров — только рабочие техники, реальные кейсы и продвинутые payload’ы.

- От пассива к атаке: научишься видеть цели издалека, не выстреливая, и точно попадать туда, где больно.

- Обход защит и удержание: как проскочить мимо EDR, WAF и не нарваться на детект.

- Социальная инженерия и физический доступ: вспомним, что человек — самое слабое звено.

- Отчёт и этика: как не стать мудаком в хакерском мире и при этом делать деньги.

Книга построена как серия огненных уроков из подвала, где главное — не просто взломать, а понять, как работает система изнутри. Здесь есть и быстрое попадание в цель, и долгие ночи разбора логов, и веселые истории из первых рук. Всё с шутками, трюками, скилловой матчастью и капелькой подвала.

Если ты хочешь перестать быть жертвой, а стать охотником — бери эту книгу и включайся в бой. Время перестать читать — пора ломать.

«Пентест из Подвала: от Recon до Shell»

Содержание

Вступление
- Почему пентест из подвала — это круто и реально
- Кто мы такие, и зачем взламывать (RedTeam vs. BlackHat vs. Script Kiddies)
- Краткий обзор инструментария и привычек, которые делают тебя охотником, а не жертвой

Часть 1: Recon — разведка, или как найти все дыры, не влезая в систему
- Passive vs Active: примеры запросов, шоудан, та же гуглодорки, и как со всем этим работать
- Поддомены, IP, сервисы, открытые порты — всё, что светит
- Полезные скрипты и команды

Часть 2: Поиск уязвимостей — здесь начинается игра
- Обзор эксплойтов, как искать, фильтровать и автоматизировать
- SQLi, RCE: payload’ы, обход WAF
- Интеграция BurpSuite, настройка Proxies, Intruder, Scanner

Часть 3: Эксплуатация — момент истины
- Заливка шеллов, webshell vs reverse shell
- Примеры качающихся шеллов (bash, python, php)
- Эскалация привилегий — локальные эксплойты (CVE, линукс и винда)

Часть 4: Удержание и сокрытие — учимся оставаться незаметным
- Обход AV/EDR, скрытие шеллов
- Запуск через PowerShell, WMI, PSExec
- Финальный ребут — как не сдать концы раньше времени

Итог и полезные советы
- Как собрать отчет, чтобы не только заказчик, но и ты был доволен
- Этическая сторона вопросов — пентест с головой
- Куда копать дальше (Active Directory, IoT, социнженерия)

Цена по предзаказу: 900 рублей.

Для оформления предзаказа, пишите по контакту: @timcore1