📓 Дневник хакера: C — тяжёлая артиллерия багханта 💠
Сегодня достаю дедовский арсенал — C.
Это язык, где бит и байт — не просто код, а настоящее поле битвы 😈.
⚡ Почему C — это артиллерия хакера:
• Здесь пишутся самые низкоуровневые эксплойты: от buffer overflow до обхода DEP/ASLR — разруливай память как мастер и ломай всё, что плохо лежит.
• Настоящая бинарная магия: разбираешь ELF/PE, подкидываешь shellcode, делаешь injectы — тут важен каждый байт, тут мутации как в лаборатории.
• C — это ручной exploit dev, когда автоматикой не отделаешься. На нём ковыряешь вылеты, бьёшь по GOT, рисуешь ROP-цепочки как художник.
• Если хочется элегантно уронить сервис, C — входной билет: мозги трещат, но когда работает — багбаунти видит в тебе бога.
🧠 Мой workflow:
• Не доверяю автоматике: беру oldschool гекс-редактор, дизассемблер и IDE — тут уже не grep, а readelf, objdump, gdb и вся магия debug.
• Иногда вручную пишу шеллы на 30 байт, чтобы запустить calc.exe или поднять реверс.
• Люблю угадывать офсеты, проверять, что в стеке, выносить return address и делать manual bruteforce.
🔥 Мем дня:
— “Если баг на C не эксплуатируется ручками — значит, его не существует!”
— Сломал функцию на С, вернул upvote на баг‑бунти, ушёл в закат компилировать следующий эксплойт.
💡 Вывод за день:
C — это язык настоящих хакеров, где автоматизация не спасёт: только руки, грабли и ассемблер под капотом.
В мире багханта автоматом не пробьёшься — тут рулит только тяжёлая артиллерия!
#ДневникХакера #C
Сегодня достаю дедовский арсенал — C.
Это язык, где бит и байт — не просто код, а настоящее поле битвы 😈.
⚡ Почему C — это артиллерия хакера:
• Здесь пишутся самые низкоуровневые эксплойты: от buffer overflow до обхода DEP/ASLR — разруливай память как мастер и ломай всё, что плохо лежит.
• Настоящая бинарная магия: разбираешь ELF/PE, подкидываешь shellcode, делаешь injectы — тут важен каждый байт, тут мутации как в лаборатории.
• C — это ручной exploit dev, когда автоматикой не отделаешься. На нём ковыряешь вылеты, бьёшь по GOT, рисуешь ROP-цепочки как художник.
• Если хочется элегантно уронить сервис, C — входной билет: мозги трещат, но когда работает — багбаунти видит в тебе бога.
🧠 Мой workflow:
• Не доверяю автоматике: беру oldschool гекс-редактор, дизассемблер и IDE — тут уже не grep, а readelf, objdump, gdb и вся магия debug.
• Иногда вручную пишу шеллы на 30 байт, чтобы запустить calc.exe или поднять реверс.
• Люблю угадывать офсеты, проверять, что в стеке, выносить return address и делать manual bruteforce.
🔥 Мем дня:
— “Если баг на C не эксплуатируется ручками — значит, его не существует!”
— Сломал функцию на С, вернул upvote на баг‑бунти, ушёл в закат компилировать следующий эксплойт.
💡 Вывод за день:
C — это язык настоящих хакеров, где автоматизация не спасёт: только руки, грабли и ассемблер под капотом.
В мире багханта автоматом не пробьёшься — тут рулит только тяжёлая артиллерия!
#ДневникХакера #C
Media is too big
VIEW IN TELEGRAM
Здравствуйте, дорогие друзья.
Акция на все наши 23 платные книги, со скидкой в 50% до 1-го сентября!
Более подробнее о предложении, по ссылке: https://vk.com/hacker_timcore?w=wall-44038255_10815
Акция на все наши 23 платные книги, со скидкой в 50% до 1-го сентября!
Более подробнее о предложении, по ссылке: https://vk.com/hacker_timcore?w=wall-44038255_10815
🚀 Я AI-программист — и это не просто ещё один тип кода. Это формально новая профессия, где ты не просто тыкаешь кнопки, а становишься настоящим архитектором цифрового мира.
Раньше был классический девелопер — пишешь code, дебажишь, решаешь баги. Сегодня AI-программисты не просто пишут, они формируют контуры решений, обучают нейронки и проектируют систему интеллекта, которая будет думать и решать задачи вместо нас.
Это как если бы ты не только строил дом, а запускал путеводитель, чтобы роботы строили за тебя, а ты следил, как всё растёт, и вовремя подправлял архитектуру. В AI-программировании ты заботишься о глобальной картине, задаёшь тренды поведения ИИ, разруливаешь логику на уровне системы.
Вместо функции, которую надо написать на 100 строк — теперь задача звучит: “Как научить машину решать задачу с минимальным твоим вмешательством?” Ты перестаёшь быть просто кодером — ты смарт-архитектор, дизайнер сложных интеллектуальных процессов.
Короче, AI-программист — это новый класс кодеров, где 20% пишут руками, 80% мыслишь в масштабах, что сеть, что бизнес, что будущее. Если хочешь рулить будущим — это твой путь.
#blog
#ai
#ai_programmer
Раньше был классический девелопер — пишешь code, дебажишь, решаешь баги. Сегодня AI-программисты не просто пишут, они формируют контуры решений, обучают нейронки и проектируют систему интеллекта, которая будет думать и решать задачи вместо нас.
Это как если бы ты не только строил дом, а запускал путеводитель, чтобы роботы строили за тебя, а ты следил, как всё растёт, и вовремя подправлял архитектуру. В AI-программировании ты заботишься о глобальной картине, задаёшь тренды поведения ИИ, разруливаешь логику на уровне системы.
Вместо функции, которую надо написать на 100 строк — теперь задача звучит: “Как научить машину решать задачу с минимальным твоим вмешательством?” Ты перестаёшь быть просто кодером — ты смарт-архитектор, дизайнер сложных интеллектуальных процессов.
Короче, AI-программист — это новый класс кодеров, где 20% пишут руками, 80% мыслишь в масштабах, что сеть, что бизнес, что будущее. Если хочешь рулить будущим — это твой путь.
#blog
#ai
#ai_programmer
Media is too big
VIEW IN TELEGRAM
Быстрое прохождение 6-ти машин с площадки VulnHub. Тренируйтесь в решении задачек CTF.
Пройденные машины, на видео:
3 части DC:
DC-1
DC-2
DC-7
ColdWorld Immersion
WestWild
dpwwn 1
Все эти машины Вы можете найти на площадке - VulnHub,
и потренироваться в решении задачек CTF.
Пройденные машины, на видео:
3 части DC:
DC-1
DC-2
DC-7
ColdWorld Immersion
WestWild
dpwwn 1
Все эти машины Вы можете найти на площадке - VulnHub,
и потренироваться в решении задачек CTF.
Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
Скрытые endpoints в мобильном API
Что вижу: Все мобилки в проде любят играть в «прятки» — API у них не совпадает с вебом. На фронте кнопка — три запроса, а в бинарнике — ещё 10 эндпойнтов под капотом: /beta/, /internal/, /debug/healthcheck.
Подробнее: https://timcourse.ru/skrytye-endpoints-v-mobilnom-api/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
Скрытые endpoints в мобильном API
Что вижу: Все мобилки в проде любят играть в «прятки» — API у них не совпадает с вебом. На фронте кнопка — три запроса, а в бинарнике — ещё 10 эндпойнтов под капотом: /beta/, /internal/, /debug/healthcheck.
Подробнее: https://timcourse.ru/skrytye-endpoints-v-mobilnom-api/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
Скрытые endpoints в мобильном API — Авторские курсы Михаила Тарасова
Что вижу: Все мобилки в проде любят играть в «прятки» — API у них не совпадает с вебом. На фронте кнопка — три запроса, а в бинарнике — ещё 10 эндпойнтов под капотом: `/beta/`, `/internal/`, `/debug/healthcheck`.
Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
Authz-bypass через кастомные headers
Что вижу: Сервак принимает кастомные заголовки (X-User-Id, X-Forwarded-For, X-Auth-Role). Админы сами намудрили middleware, и вместо нормального JWT у них — доверие к строке в header.
Подробнее: https://timcourse.ru/authz-bypass-cherez-kastomnye-headers/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
Authz-bypass через кастомные headers
Что вижу: Сервак принимает кастомные заголовки (X-User-Id, X-Forwarded-For, X-Auth-Role). Админы сами намудрили middleware, и вместо нормального JWT у них — доверие к строке в header.
Подробнее: https://timcourse.ru/authz-bypass-cherez-kastomnye-headers/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
Authz-bypass через кастомные headers — Авторские курсы Михаила Тарасова
Что вижу: Сервак принимает кастомные заголовки (`X-User-Id`, `X-Forwarded-For`, `X-Auth-Role`). Админы сами намудрили middleware, и вместо нормального JWT у них — доверие к строке в header.
#forensics
Мобильная форензика: смартфоны как чёрные ящики авиалайнеров (только с твоими секретами)
Мобильная форензика — это твой ларец Пандоры с цифровыми скелетами, только вместо древних страшилок — свеженькие данные, которые ты думал, что навечно отправил в корзину. Смартфоны сегодня — практически копия чёрных ящиков авиалайнеров: оба хранят правду, пусть даже ты очень не хочешь, чтобы она выплыла наружу. Но в отличие от авиационного чёрного ящика, который героически ждет своего часа после крушения, твой телефон каждую секунду пишет новую главу дневника твоей жизни — и однажды его обязательно попросят прочитать вслух.
Подробнее: https://timforensics.ru/mobilnaya-forenzika-smartfony-kak-chyornye-yashhiki-avialajnerov-tolko-s-tvoimi-sekretami/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Мобильная форензика: смартфоны как чёрные ящики авиалайнеров (только с твоими секретами)
Мобильная форензика — это твой ларец Пандоры с цифровыми скелетами, только вместо древних страшилок — свеженькие данные, которые ты думал, что навечно отправил в корзину. Смартфоны сегодня — практически копия чёрных ящиков авиалайнеров: оба хранят правду, пусть даже ты очень не хочешь, чтобы она выплыла наружу. Но в отличие от авиационного чёрного ящика, который героически ждет своего часа после крушения, твой телефон каждую секунду пишет новую главу дневника твоей жизни — и однажды его обязательно попросят прочитать вслух.
Подробнее: https://timforensics.ru/mobilnaya-forenzika-smartfony-kak-chyornye-yashhiki-avialajnerov-tolko-s-tvoimi-sekretami/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Форензика
Мобильная форензика: смартфоны как чёрные ящики авиалайнеров (только с твоими секретами) | Форензика
Мобильная форензика — это твой ларец Пандоры с цифровыми скелетами, только вместо древних страшилок — свеженькие данные, которые ты думал, что навечно
#forensics
Блокчейн-расследования: следим за “невидимыми” крипто-транзакциями без магии”
Блокчейн-расследования — это не алхимия и не шаманство, а скучно-безжалостная математика и анализ, где магия нужна только тем, кто застрял в 2015 году. Так что забудьте про мистику: даже «невидимые» транзакции крипты — просто жирные следы на цифровом асфальте, если знаешь, где смотреть и чем ковырять.
Подробнее: https://timforensics.ru/blokchejn-rassledovaniya-sledim-za-nevidimymi-kripto-tranzakcziyami-bez-magii/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Блокчейн-расследования: следим за “невидимыми” крипто-транзакциями без магии”
Блокчейн-расследования — это не алхимия и не шаманство, а скучно-безжалостная математика и анализ, где магия нужна только тем, кто застрял в 2015 году. Так что забудьте про мистику: даже «невидимые» транзакции крипты — просто жирные следы на цифровом асфальте, если знаешь, где смотреть и чем ковырять.
Подробнее: https://timforensics.ru/blokchejn-rassledovaniya-sledim-za-nevidimymi-kripto-tranzakcziyami-bez-magii/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Форензика
Блокчейн-расследования: следим за "невидимыми" крипто-транзакциями без магии" | Форензика
Блокчейн-расследования — это не алхимия и не шаманство, а скучно-безжалостная математика и анализ, где магия нужна только тем, кто застрял в 2015 году.
📝 Дневник хакера: программер vs этичный хакер — в чём разница?
Когда думают о программировании, первым делом вспоминают разработку приложений, сайтов, софта. Но если копнуть глубже — ты поймёшь: программирование для этичного хакинга и для обычной разработки — это два разных мира с разными задачами и целями.
⚡ Принципиальные различия:
1. Цель и ментальность
• Обычный девелопер пишет код, чтобы строить функционал, делать интерфейс, оптимизировать процессы для пользователя и бизнеса. Задача — создать работающий, удобный, масштабируемый продукт.
• Этичный хакер пишет скрипты и эксплойты, чтобы ломать этот продукт (но законно!), выявлять уязвимости и показывать, где система слаба. Ментальность — искать дыры, создавать хаос ради безопасности.
2. Приоритеты в коде
• Девелопер фокусируется на архитектуре, читаемости, масштабируемости и поддерживаемости.
• Хакер — на гибкости, скорости, возможностях обхода защиты, автоматизации атаки с минимальными ресурсами.
3. Инструменты и языки
• Девелопер часто использует высокоуровневые языки (Java, Python, JS) с фреймворками и стандартами.
• Хакер берёт всё: от Bash-скриптов до ассемблера, чтобы прикрыть узкие места, «достучаться» до ядра системы и выжать максимум.
4. Отношение к ошибкам
• Для разработчика баги — досадные ошибки, которые надо быстро фиксить.
• Для хакера баг — добыча, уязвимость, средство открыть дверь внутрь.
💡 Итог:
Программирование — универсальный навык, но этичный хакер — это разработчик с суперсилой разрушения и реконструкции. Он не просто пишет код, он идёт смотреть на систему с другой стороны, чтобы потом сделать её крепче.
#ДневникХакера
Когда думают о программировании, первым делом вспоминают разработку приложений, сайтов, софта. Но если копнуть глубже — ты поймёшь: программирование для этичного хакинга и для обычной разработки — это два разных мира с разными задачами и целями.
⚡ Принципиальные различия:
1. Цель и ментальность
• Обычный девелопер пишет код, чтобы строить функционал, делать интерфейс, оптимизировать процессы для пользователя и бизнеса. Задача — создать работающий, удобный, масштабируемый продукт.
• Этичный хакер пишет скрипты и эксплойты, чтобы ломать этот продукт (но законно!), выявлять уязвимости и показывать, где система слаба. Ментальность — искать дыры, создавать хаос ради безопасности.
2. Приоритеты в коде
• Девелопер фокусируется на архитектуре, читаемости, масштабируемости и поддерживаемости.
• Хакер — на гибкости, скорости, возможностях обхода защиты, автоматизации атаки с минимальными ресурсами.
3. Инструменты и языки
• Девелопер часто использует высокоуровневые языки (Java, Python, JS) с фреймворками и стандартами.
• Хакер берёт всё: от Bash-скриптов до ассемблера, чтобы прикрыть узкие места, «достучаться» до ядра системы и выжать максимум.
4. Отношение к ошибкам
• Для разработчика баги — досадные ошибки, которые надо быстро фиксить.
• Для хакера баг — добыча, уязвимость, средство открыть дверь внутрь.
💡 Итог:
Программирование — универсальный навык, но этичный хакер — это разработчик с суперсилой разрушения и реконструкции. Он не просто пишет код, он идёт смотреть на систему с другой стороны, чтобы потом сделать её крепче.
#ДневникХакера
📝 Дневник хакера: реальный кейс аудита безопасности веб-сайта
Недавно поступил заказ — проверить безопасность интернет-магазина.
Бизнес нарастает, клиенты приходят, а у админа внутри тревога: «а вдруг нас взломают?»
Начал с классики — аудит фронта и бэка, но самое забавное спряталось за фасадом.
⚡ Точка входа
• Обычная форма для ввода email, регистрация и личный кабинет.
• Видим — параметры идут через GET и POST, валидируются только на фронте.
🔍 Что бросилось в глаза
• В JS-файле спалился debug-метод, который сливает все cookies в консоль (автор явно забыл).
• На сайте нет нормального rate-limit — brute-force на пароли летит без труда.
🚀 Вектор атаки
• С помощью Burp Suite и ffuf пробил поля авторизации — получил пару неожиданных ошибок в JSON-ответе.
• Проверил возможность SSRF через параметр
• Классика: XSS во фронте на странице профиля — поле «описание» не фильтровалось, можно вставить
🗡️ Команды и трюки
curl -X POST "site.com/api/profile" -d 'avatar_url=http://127.0.0.1:8000/' --cookie "session=..."
Через Burp Suite нашёл уязвимость XSS — поставил PoC, отправил отчёт с демкой.
💡 Лайфхаки для бизнеса
• Поставьте rate-limit на все критичные формы.
• Всегда фильтруйте инпут и выводите только безопасный HTML.
• SSRF — дырка, через которую можно увидеть всю инфраструктуру, её надо закрывать через allowlist.
Итог:
Показал клиенту баги — через сутки у него не только прирост security, но и уважение, а я кладу в копилку ещё один крутой кейс!
#ДневникХакера #АудитСайта
Недавно поступил заказ — проверить безопасность интернет-магазина.
Бизнес нарастает, клиенты приходят, а у админа внутри тревога: «а вдруг нас взломают?»
Начал с классики — аудит фронта и бэка, но самое забавное спряталось за фасадом.
⚡ Точка входа
• Обычная форма для ввода email, регистрация и личный кабинет.
• Видим — параметры идут через GET и POST, валидируются только на фронте.
🔍 Что бросилось в глаза
• В JS-файле спалился debug-метод, который сливает все cookies в консоль (автор явно забыл).
• На сайте нет нормального rate-limit — brute-force на пароли летит без труда.
🚀 Вектор атаки
• С помощью Burp Suite и ffuf пробил поля авторизации — получил пару неожиданных ошибок в JSON-ответе.
• Проверил возможность SSRF через параметр
avatar_url, оказалось — сервис спокойно фетчит картинки по любому адресу, включая внутренние серверы.• Классика: XSS во фронте на странице профиля — поле «описание» не фильтровалось, можно вставить
<script>alert('Хай бизнес!')</script>.🗡️ Команды и трюки
curl -X POST "site.com/api/profile" -d 'avatar_url=http://127.0.0.1:8000/' --cookie "session=..."
Через Burp Suite нашёл уязвимость XSS — поставил PoC, отправил отчёт с демкой.
💡 Лайфхаки для бизнеса
• Поставьте rate-limit на все критичные формы.
• Всегда фильтруйте инпут и выводите только безопасный HTML.
• SSRF — дырка, через которую можно увидеть всю инфраструктуру, её надо закрывать через allowlist.
Итог:
Показал клиенту баги — через сутки у него не только прирост security, но и уважение, а я кладу в копилку ещё один крутой кейс!
#ДневникХакера #АудитСайта
Forwarded from Разработка роботов и эксплойтов. Михаил Тарасов
#rdp
#exploit
Атаки на RDP: брутфорс и эксплуатация BlueKeep
Remote Desktop Protocol (RDP) — один из самых популярных способов администрирования Windows-систем. Но вместе с удобством приходит и огромная зона риска. Если порт 3389 (по умолчанию) торчит наружу, то это открытые двери для атакующих. Основные векторы атаки на RDP — брутфорс паролей и эксплуатация критических уязвимостей, таких как легендарный BlueKeep (CVE-2019-0708).
Подробнее: https://timrobot.ru/ataki-na-rdp-brutfors-i-ekspluatacziya-bluekeep/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#exploit
Атаки на RDP: брутфорс и эксплуатация BlueKeep
Remote Desktop Protocol (RDP) — один из самых популярных способов администрирования Windows-систем. Но вместе с удобством приходит и огромная зона риска. Если порт 3389 (по умолчанию) торчит наружу, то это открытые двери для атакующих. Основные векторы атаки на RDP — брутфорс паролей и эксплуатация критических уязвимостей, таких как легендарный BlueKeep (CVE-2019-0708).
Подробнее: https://timrobot.ru/ataki-na-rdp-brutfors-i-ekspluatacziya-bluekeep/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Разработка роботов и эксплойтов
Атаки на RDP: брутфорс и эксплуатация BlueKeep - Разработка роботов и эксплойтов
Remote Desktop Protocol (RDP) — один из самых популярных способов администрирования Windows-систем. Но вместе с удобством приходит и огромная зона риска. Если порт 3389 (по умолчанию) торчит наружу, то это открытые двери для атакующих. Основные векторы атаки…
Forwarded from Разработка роботов и эксплойтов. Михаил Тарасов
#zero_click
#exploit
Zero-click эксплойты через уязвимости в Wi-Fi чипах
Zero-click эксплойты через уязвимости в Wi-Fi чипах — это атаки, позволяющие захватить контроль над устройством без какого-либо взаимодействия пользователя, эксплуатируя баги в драйверах или микропрограмме беспроводных контроллеров.
Подробнее: https://timrobot.ru/zero-click-eksplojty-cherez-uyazvimosti-v-wi-fi-chipah/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#exploit
Zero-click эксплойты через уязвимости в Wi-Fi чипах
Zero-click эксплойты через уязвимости в Wi-Fi чипах — это атаки, позволяющие захватить контроль над устройством без какого-либо взаимодействия пользователя, эксплуатируя баги в драйверах или микропрограмме беспроводных контроллеров.
Подробнее: https://timrobot.ru/zero-click-eksplojty-cherez-uyazvimosti-v-wi-fi-chipah/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Разработка роботов и эксплойтов
Zero-click эксплойты через уязвимости в Wi-Fi чипах - Разработка роботов и эксплойтов
Zero-click эксплойты через уязвимости в Wi-Fi чипах — это атаки, позволяющие захватить контроль над устройством без какого-либо взаимодействия пользователя, эксплуатируя баги в драйверах или микропрограмме беспроводных контроллеров.
#blog
#openai
OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд
OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд в акциях, что стало одной из крупнейших сделок в истории компании-разработчика ChatGPT.
Подробнее: https://timneuro.ru/openai-priobrela-analiticheskuyu-platformu-statsig-za-11-mlrd/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#openai
OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд
OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд в акциях, что стало одной из крупнейших сделок в истории компании-разработчика ChatGPT.
Подробнее: https://timneuro.ru/openai-priobrela-analiticheskuyu-platformu-statsig-za-11-mlrd/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Нейро Мастер
OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд — Нейро Мастер
Главная / Блог / OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд OpenAI приобрела аналитическую платформу Statsig за $1,1 млрд 03.09.2
#blog
#openai
ChatGPT получит обновление системы безопасности
Компания OpenAI готовит важное обновление системы безопасности ChatGPT, которое будет внедрено до конца 2025 года. Основные нововведения касаются усиления мер защиты для пользователей, находящихся в эмоциональном стрессе, а также для подростков. Одной из ключевых функций станет обновленный «роутер» системы, который сможет распознавать, когда пользователь испытывает острое эмоциональное расстройство, и перенаправлять такие запросы на специальные модели ИИ, оптимизированные для более осторожных и полезных ответов.
Подробнее: https://timneuro.ru/chatgpt-poluchit-obnovlenie-sistemy-bezopasnosti/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#openai
ChatGPT получит обновление системы безопасности
Компания OpenAI готовит важное обновление системы безопасности ChatGPT, которое будет внедрено до конца 2025 года. Основные нововведения касаются усиления мер защиты для пользователей, находящихся в эмоциональном стрессе, а также для подростков. Одной из ключевых функций станет обновленный «роутер» системы, который сможет распознавать, когда пользователь испытывает острое эмоциональное расстройство, и перенаправлять такие запросы на специальные модели ИИ, оптимизированные для более осторожных и полезных ответов.
Подробнее: https://timneuro.ru/chatgpt-poluchit-obnovlenie-sistemy-bezopasnosti/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Нейро Мастер
ChatGPT получит обновление системы безопасности — Нейро Мастер
Главная / Блог / ChatGPT получит обновление системы безопасности ChatGPT получит обновление системы безопасности 03.09.2025 Компания OpenAI готовит
Здравствуйте, дорогие друзья. Внимание!!!
Сентябрьская распродажа классического базового видеокурса - «Этичный взлом.», 3 дня, с 4-го по 6-е сентября включительно.
Скидка 84%, и итоговая цена в этот период составляет всего 4000 рублей.
Плюс бонус: 12 моих книг:
1. «Хакинг на JavaScript».
2. «Хакерские инструменты на PHP8».
3. «Заработок для хакера».
4. «Capture the Flag (CTF). VulnHub 8 райтапов».
5. «Cross Site Request Forgery».
6. «Программирование на Go для начинающих».
7. ««Программирование на С для начинающих».
8. «Прохождение CTF Мистер Робот Практический курс».
9. «Руководство по подготовке сертифицированного этичного хакера (CEH)».
10. «Уязвимость SQL-инъекция. Практическое руководство для хакеров».
11. «Уязвимость-Cross-Site-Scripting-XSS-Практическое-руководство».
12. «Программирование на PHP8 для начинающих»
Предоставляю Вашему вниманию видеокурс, который состоит из 20-ти модулей. Курс ориентирован как для начинающих этичных хакеров, так и для более опытных специалистов.
Итого продолжительность: 41 час 14 минут.
Выжимка из моего 8-ми летнего опыта.
Стоимость: 4 000 рублей.
Отзывы вот тут: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
1 модуль — Видеокурс — «Пентест с помощью Kali Linux.» — 6 часов.
2 модуль — Видеокурс — «Kali Linux для начинающих». — 7 часов.
3 модуль — Видеокурс — «Тестирование на проникновение (пентест) с помощью Nmap, OpenVAS и Metasploit». — 3 часа 30 минут.
4 модуль — Видеокурс — Уязвимости DVWA (Полное прохождение). — 3 часа 19 минут.
5 модуль — Миникурс «Хакинг систем» ~ 1 час.
6 модуль — Видеокурс — «SQL-Инъекция» — : 1 час 50 минут.
7 модуль — Видеокурс: «Курс молодого бойца. Решение CTF.» — 1 час 15 минут.
8 модуль — Миникурс. CTF. Web. Задания с Root-Me для не новичков. ~ 1 час.
9 — 18 модуль. Видеокурс: «Хакинг bWAPP (buggy web application). Эксплуатация 100+ уязвимостей.» — 8 часов
19 модуль - Электронная книга: «Хакинг с помощью искусственного интеллекта» ~ 7 часов.
20 модуль - Курс: «ChatGPT для Этичных Хакеров и Пентестеров» ~ 4 часа.
В курсе мы рассмотрим инструменты для начинающего пентестера, и пройдемся по основным векторам атак на системы. Также взглянем и попрактикуемся с уязвимостями веб-приложения DVWA, и познакомимся с SQL-инъекциями. Также мы примем участие в CTF-соревнованиях на начальном и среднем уровне. Далее будет разбор 10-ти
категорий уязвимостей, по методологии OWASP Top-10. И в завершении Вы изучите два модуля по Искусственному интеллекту.
Итого продолжительность: 41 час 14 минут.
Стоимость: 4000 рублей.
Отзывы о курсе вот здесь: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
Содержание вот тут: https://timcore.ru/kurs-jeticheskij-vzlom/
Для приобретения пишите по контакту: @timcore1
Сентябрьская распродажа классического базового видеокурса - «Этичный взлом.», 3 дня, с 4-го по 6-е сентября включительно.
Скидка 84%, и итоговая цена в этот период составляет всего 4000 рублей.
Плюс бонус: 12 моих книг:
1. «Хакинг на JavaScript».
2. «Хакерские инструменты на PHP8».
3. «Заработок для хакера».
4. «Capture the Flag (CTF). VulnHub 8 райтапов».
5. «Cross Site Request Forgery».
6. «Программирование на Go для начинающих».
7. ««Программирование на С для начинающих».
8. «Прохождение CTF Мистер Робот Практический курс».
9. «Руководство по подготовке сертифицированного этичного хакера (CEH)».
10. «Уязвимость SQL-инъекция. Практическое руководство для хакеров».
11. «Уязвимость-Cross-Site-Scripting-XSS-Практическое-руководство».
12. «Программирование на PHP8 для начинающих»
Предоставляю Вашему вниманию видеокурс, который состоит из 20-ти модулей. Курс ориентирован как для начинающих этичных хакеров, так и для более опытных специалистов.
Итого продолжительность: 41 час 14 минут.
Выжимка из моего 8-ми летнего опыта.
Стоимость: 4 000 рублей.
Отзывы вот тут: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
1 модуль — Видеокурс — «Пентест с помощью Kali Linux.» — 6 часов.
2 модуль — Видеокурс — «Kali Linux для начинающих». — 7 часов.
3 модуль — Видеокурс — «Тестирование на проникновение (пентест) с помощью Nmap, OpenVAS и Metasploit». — 3 часа 30 минут.
4 модуль — Видеокурс — Уязвимости DVWA (Полное прохождение). — 3 часа 19 минут.
5 модуль — Миникурс «Хакинг систем» ~ 1 час.
6 модуль — Видеокурс — «SQL-Инъекция» — : 1 час 50 минут.
7 модуль — Видеокурс: «Курс молодого бойца. Решение CTF.» — 1 час 15 минут.
8 модуль — Миникурс. CTF. Web. Задания с Root-Me для не новичков. ~ 1 час.
9 — 18 модуль. Видеокурс: «Хакинг bWAPP (buggy web application). Эксплуатация 100+ уязвимостей.» — 8 часов
19 модуль - Электронная книга: «Хакинг с помощью искусственного интеллекта» ~ 7 часов.
20 модуль - Курс: «ChatGPT для Этичных Хакеров и Пентестеров» ~ 4 часа.
В курсе мы рассмотрим инструменты для начинающего пентестера, и пройдемся по основным векторам атак на системы. Также взглянем и попрактикуемся с уязвимостями веб-приложения DVWA, и познакомимся с SQL-инъекциями. Также мы примем участие в CTF-соревнованиях на начальном и среднем уровне. Далее будет разбор 10-ти
категорий уязвимостей, по методологии OWASP Top-10. И в завершении Вы изучите два модуля по Искусственному интеллекту.
Итого продолжительность: 41 час 14 минут.
Стоимость: 4000 рублей.
Отзывы о курсе вот здесь: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
Содержание вот тут: https://timcore.ru/kurs-jeticheskij-vzlom/
Для приобретения пишите по контакту: @timcore1