#pentest
CI/CD в огне: как угнать ключи от продакшена через Jenkins и GitHub Actions
CI/CD сегодня — это сердце любой современной разработки. Jenkins, GitHub Actions, GitLab CI — без них релизить в продакшен с человеческой скоростью и безопасностью невозможно. Но там, где автоматизация, там и уязвимости. В руках хакера CI/CD превращается в золотую жилу: стоит пробиться в пайплайн, и можно вытянуть ключи от продакшена, токены доступа и вообще всё, чем живёт инфраструктура.
Подробнее: https://timcore.ru/2025/09/05/ci-cd-v-ogne-kak-ugnat-kljuchi-ot-prodakshena-cherez-jenkins-i-github-actions/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
CI/CD в огне: как угнать ключи от продакшена через Jenkins и GitHub Actions
CI/CD сегодня — это сердце любой современной разработки. Jenkins, GitHub Actions, GitLab CI — без них релизить в продакшен с человеческой скоростью и безопасностью невозможно. Но там, где автоматизация, там и уязвимости. В руках хакера CI/CD превращается в золотую жилу: стоит пробиться в пайплайн, и можно вытянуть ключи от продакшена, токены доступа и вообще всё, чем живёт инфраструктура.
Подробнее: https://timcore.ru/2025/09/05/ci-cd-v-ogne-kak-ugnat-kljuchi-ot-prodakshena-cherez-jenkins-i-github-actions/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Этичный хакинг с Михаилом Тарасовым (Timcore)
CI/CD в огне: как угнать ключи от продакшена через Jenkins и GitHub Actions - Этичный хакинг с Михаилом Тарасовым (Timcore)
CI/CD сегодня — это сердце любой современной разработки. Jenkins, GitHub Actions, GitLab CI — без них релизить в продакшен с человеческой скоростью и безопасностью невозможно. Но там, где автоматизация, там и уязвимости. В руках хакера CI/CD превращается…
#pentest
#badusb
BadUSB на стероидах: от флешки-утёнка до кабеля-убийцы
Внешне — обычная флешка, клавиатура или даже кабель зарядки. Внутри — эксплойт, который ломает всё, к чему его подключили. BadUSB — это концепция атакующего USB-устройства, которое маскируется под легитимное, но выполняет произвольный код. Эта штука уже лет десять как на сцене, но эволюционировала настолько, что сегодня её можно встретить в абсолютно нетривиальной форме.
Подробнее: https://timcore.ru/2025/09/05/badusb-na-steroidah-ot-fleshki-utjonka-do-kabelja-ubijcy/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#badusb
BadUSB на стероидах: от флешки-утёнка до кабеля-убийцы
Внешне — обычная флешка, клавиатура или даже кабель зарядки. Внутри — эксплойт, который ломает всё, к чему его подключили. BadUSB — это концепция атакующего USB-устройства, которое маскируется под легитимное, но выполняет произвольный код. Эта штука уже лет десять как на сцене, но эволюционировала настолько, что сегодня её можно встретить в абсолютно нетривиальной форме.
Подробнее: https://timcore.ru/2025/09/05/badusb-na-steroidah-ot-fleshki-utjonka-do-kabelja-ubijcy/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Этичный хакинг с Михаилом Тарасовым (Timcore)
BadUSB на стероидах: от флешки-утёнка до кабеля-убийцы - Этичный хакинг с Михаилом Тарасовым (Timcore)
Внешне — обычная флешка, клавиатура или даже кабель зарядки. Внутри — эксплойт, который ломает всё, к чему его подключили. BadUSB — это концепция атакующего USB-устройства, которое маскируется под легитимное, но выполняет произвольный код. Эта штука уже лет…
📓Дневник хакера: первый день в баг-баунти Яндекса 🚀
Сегодня стартовал мой новый рейд — баг-баунти по Яндексу. Это была жесткая, но мегакрутая катка:
• Разобрал все правила, оферты и скоупы — чётко, чтоб не спалиться и делать дело в белую. Да, тут не шутки, охота идет по жестким правилам.
• Впитал дух программы, чтобы знать, что платят, а за что даже не взглянут. Ну и понял, куда стрелять — и где совсем нельзя трогать.
• Написал несколько скриптов на Python для сбора и фильтрации поддоменов, проверки IP в RIPE stat и автоматического фаззинга параметров — чтоб не лазить руками, а жечь баги машиной.
• Посмотрел, как живые домены Яндекса пасутся, и как фильтр убирает “пустышки” — кайф, но с парочкой нюансов в API запросах.
В целом, первый день был в подготовке, структуре и понимании, как играть по-крупному. Завтра буду ковырять дальше и пробовать нарезать реальные уязвы.
Не забывай: багбаунти — это марафон, а не спринт. Главное — умная автоматизация и жёсткий контроль, чтоб не вылететь в бан.
Stay tuned, впереди будет ещё больше грязи, скриптов и взломов! 💣
#дневникхакера #bugbounty #яндекс #python #hackerlife
Сегодня стартовал мой новый рейд — баг-баунти по Яндексу. Это была жесткая, но мегакрутая катка:
• Разобрал все правила, оферты и скоупы — чётко, чтоб не спалиться и делать дело в белую. Да, тут не шутки, охота идет по жестким правилам.
• Впитал дух программы, чтобы знать, что платят, а за что даже не взглянут. Ну и понял, куда стрелять — и где совсем нельзя трогать.
• Написал несколько скриптов на Python для сбора и фильтрации поддоменов, проверки IP в RIPE stat и автоматического фаззинга параметров — чтоб не лазить руками, а жечь баги машиной.
• Посмотрел, как живые домены Яндекса пасутся, и как фильтр убирает “пустышки” — кайф, но с парочкой нюансов в API запросах.
В целом, первый день был в подготовке, структуре и понимании, как играть по-крупному. Завтра буду ковырять дальше и пробовать нарезать реальные уязвы.
Не забывай: багбаунти — это марафон, а не спринт. Главное — умная автоматизация и жёсткий контроль, чтоб не вылететь в бан.
Stay tuned, впереди будет ещё больше грязи, скриптов и взломов! 💣
#дневникхакера #bugbounty #яндекс #python #hackerlife
Дневник хакера: кодил сегодня по полной 🤘💻
Забурился сегодня в код — написал пару скриптов на Python и Go, чтобы комфортно разрывать сессии и качать базы Яндекса.
В Python’е замутил парсер и переборщик куков — теперь знаю, кто в игре, а кто уже отсеялся. В Go — настоящий зверь: adaptive blind SQLi с динамическим перебором символов, рандомом, прокси и обходом всяких WAF’ов. Чувствуешь мощь? Это как автоштурм, но с мозгами.
Запилил всё это и смотрю, как сервер нервно пыхтит и вываливает баги.
Такая атака — это не спринт, а марафон с рандомными паузами и капчей, так что мрак и кайф вместе. Но я не скучаю — каждый запрос как ход шахматной фигурой, с расчётом и уверенностью на победу.
#ДневникХакера #hacker #redteam #sqlinject #goweb #python #bughunt
Забурился сегодня в код — написал пару скриптов на Python и Go, чтобы комфортно разрывать сессии и качать базы Яндекса.
В Python’е замутил парсер и переборщик куков — теперь знаю, кто в игре, а кто уже отсеялся. В Go — настоящий зверь: adaptive blind SQLi с динамическим перебором символов, рандомом, прокси и обходом всяких WAF’ов. Чувствуешь мощь? Это как автоштурм, но с мозгами.
Запилил всё это и смотрю, как сервер нервно пыхтит и вываливает баги.
Такая атака — это не спринт, а марафон с рандомными паузами и капчей, так что мрак и кайф вместе. Но я не скучаю — каждый запрос как ход шахматной фигурой, с расчётом и уверенностью на победу.
#ДневникХакера #hacker #redteam #sqlinject #goweb #python #bughunt
Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
Скрытые endpoints в мобильном API
Мобильные аппки — это как школьники на дефконе: шумные, открытые, и вечно забывают, что всё, что они гонят на backend — прозрачное как Wireshark. Разрабы думают: «да кто ж полезет в apk с PlayMarket». Ага, конечно. Каждый второй багхантер первым делом лезет туда за скрытыми endpoints.
Подробнее: https://timcourse.ru/skrytye-endpoints-v-mobilnom-api-2/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
Скрытые endpoints в мобильном API
Мобильные аппки — это как школьники на дефконе: шумные, открытые, и вечно забывают, что всё, что они гонят на backend — прозрачное как Wireshark. Разрабы думают: «да кто ж полезет в apk с PlayMarket». Ага, конечно. Каждый второй багхантер первым делом лезет туда за скрытыми endpoints.
Подробнее: https://timcourse.ru/skrytye-endpoints-v-mobilnom-api-2/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
Скрытые endpoints в мобильном API — Авторские курсы Михаила Тарасова
Мобильные аппки — это как школьники на дефконе: шумные, открытые, и вечно забывают, что всё, что они гонят на backend — прозрачное как Wireshark. Разрабы думают: «да кто ж полезет в apk с PlayMarket». Ага, конечно. Каждый второй багхантер первым делом лезет…
Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
Authz-bypass через кастомные headers
Тема с кастомными заголовками — это как скрытый уровень в DOOM: вроде дверь закрыта, но подпрыгнул правильно — и ты внутри. Разрабы любят проверять «правильную роль» не по токену, а по своему мутному X-Header. А мы любим это ломать.
Подробнее: https://timcourse.ru/authz-bypass-cherez-kastomnye-headers-2/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
Authz-bypass через кастомные headers
Тема с кастомными заголовками — это как скрытый уровень в DOOM: вроде дверь закрыта, но подпрыгнул правильно — и ты внутри. Разрабы любят проверять «правильную роль» не по токену, а по своему мутному X-Header. А мы любим это ломать.
Подробнее: https://timcourse.ru/authz-bypass-cherez-kastomnye-headers-2/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
Authz-bypass через кастомные headers — Авторские курсы Михаила Тарасова
Тема с кастомными заголовками — это как скрытый уровень в DOOM: вроде дверь закрыта, но подпрыгнул правильно — и ты внутри. Разрабы любят проверять «правильную роль» не по токену, а по своему мутному `X-Header`. А мы любим это ломать.
#forensics
Социальные сети как поле битвы: OSINT-анализ дезинформации и бот-сетей
Социальные сети давно перестали быть площадкой для лайков котиков и стали полноценным полем боя, где государства, корпорации и отдельные игроки устраивают информационные диверсии. Если раньше разведка ассоциировалась со спутниками и агентами под прикрытием, то теперь ключевые арены — это Twitter/X, Telegram, TikTok и даже локальные форумы. А OSINT в этом контексте — мощное оружие: он позволяет вскрывать сети ботов, отслеживать цепочки дезинформации и показывать, кто и как дергает за невидимые нити.
Подробнее: https://timforensics.ru/soczialnye-seti-kak-pole-bitvy-osint-analiz-dezinformaczii-i-bot-setej/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Социальные сети как поле битвы: OSINT-анализ дезинформации и бот-сетей
Социальные сети давно перестали быть площадкой для лайков котиков и стали полноценным полем боя, где государства, корпорации и отдельные игроки устраивают информационные диверсии. Если раньше разведка ассоциировалась со спутниками и агентами под прикрытием, то теперь ключевые арены — это Twitter/X, Telegram, TikTok и даже локальные форумы. А OSINT в этом контексте — мощное оружие: он позволяет вскрывать сети ботов, отслеживать цепочки дезинформации и показывать, кто и как дергает за невидимые нити.
Подробнее: https://timforensics.ru/soczialnye-seti-kak-pole-bitvy-osint-analiz-dezinformaczii-i-bot-setej/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Форензика
Социальные сети как поле битвы: OSINT-анализ дезинформации и бот-сетей | Форензика
Социальные сети давно перестали быть площадкой для лайков котиков и стали полноценным полем боя, где государства, корпорации и отдельные игроки устраивают
#forensics
Автоматизация OSINT: инструменты, которые собирают данные быстрее, чем ты моргнёшь
Автоматизация в OSINT — это как пустить робота-шпиона вместо того, чтобы вручную шерстить соцсети, форумы и базы данных. Робот не устаёт, не тупит и не отвлекается на мемы, а выдаёт сырые факты пачками. Давай разложим по косточкам, какие инструменты реально качают данные быстрее, чем ты успеешь моргнуть.
Подробнее: https://timforensics.ru/avtomatizacziya-osint-instrumenty-kotorye-sobirayut-dannye-bystree-chem-ty-morgnyosh/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Автоматизация OSINT: инструменты, которые собирают данные быстрее, чем ты моргнёшь
Автоматизация в OSINT — это как пустить робота-шпиона вместо того, чтобы вручную шерстить соцсети, форумы и базы данных. Робот не устаёт, не тупит и не отвлекается на мемы, а выдаёт сырые факты пачками. Давай разложим по косточкам, какие инструменты реально качают данные быстрее, чем ты успеешь моргнуть.
Подробнее: https://timforensics.ru/avtomatizacziya-osint-instrumenty-kotorye-sobirayut-dannye-bystree-chem-ty-morgnyosh/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Форензика
Автоматизация OSINT: инструменты, которые собирают данные быстрее, чем ты моргнёшь | Форензика
Автоматизация в OSINT — это как пустить робота-шпиона вместо того, чтобы вручную шерстить соцсети, форумы и базы данных. Робот не устаёт, не тупит и не
Дневник хакера: 09.09.25
Сегодня был полный экшен, ребята. Прокачал инструмент, который теперь бахает XSS-пейлоадами по всем живым поддоменам Яндекса — не побоюсь сказать, настоящий золотоискатель дырок!
Что успел:
• Зашил асинхронный сканер с рандомизацией User-Agent и ротацией куков, чтобы обходить WAFы и не палиться рано.
• Впал в Selenium, чтобы ловить DOM-based XSS — теперь знаю, что просто забрасывать payload в URL мало, тут нужна динамика, рендер, браузер под контролем.
• Вписал поддержку загрузки цели из файла — кучу поддоменов не обработать вручную, брат, тут нужна машина.
• Поместил логи в файл, чтобы не потерять ни одну зацепку — как истинный охотник за багами.
Ловушки и фишки:
• Обойти WAF на Яндексе — как выжить в огненном кольце, нашёл пару трюков с рандомными задержками и кувырками payload’ов.
• Куки — короли инфы, без них даже лучший скрипт как без оружия.
Что дальше?
• Разобраться с проксями и многопоточностью Selenium — скорость, брат, рулит!
• Хантить не только XSS, но и SQLi под этот же движок.
Короче, день удался, когти точишь, мышцы растут, дырки не дремлют. Завтра будем давить ещё жёстче, держитесь!
#ДневникХакера
Сегодня был полный экшен, ребята. Прокачал инструмент, который теперь бахает XSS-пейлоадами по всем живым поддоменам Яндекса — не побоюсь сказать, настоящий золотоискатель дырок!
Что успел:
• Зашил асинхронный сканер с рандомизацией User-Agent и ротацией куков, чтобы обходить WAFы и не палиться рано.
• Впал в Selenium, чтобы ловить DOM-based XSS — теперь знаю, что просто забрасывать payload в URL мало, тут нужна динамика, рендер, браузер под контролем.
• Вписал поддержку загрузки цели из файла — кучу поддоменов не обработать вручную, брат, тут нужна машина.
• Поместил логи в файл, чтобы не потерять ни одну зацепку — как истинный охотник за багами.
Ловушки и фишки:
• Обойти WAF на Яндексе — как выжить в огненном кольце, нашёл пару трюков с рандомными задержками и кувырками payload’ов.
• Куки — короли инфы, без них даже лучший скрипт как без оружия.
Что дальше?
• Разобраться с проксями и многопоточностью Selenium — скорость, брат, рулит!
• Хантить не только XSS, но и SQLi под этот же движок.
Короче, день удался, когти точишь, мышцы растут, дырки не дремлют. Завтра будем давить ещё жёстче, держитесь!
#ДневникХакера
🔥 Внимание, хакеры и штурмовики флагов! 🔥
У меня для вас жёсткий подгон — сразу 3 книги по CTF всего за 1200 рублей. Но есть нюанс: акция действует всего 3 дня (10–12 сентября включительно). Дальше — поезд уйдёт, и ценник вернётся к обычному.
Что в комплекте?
📘 1. Основы CTF: Практическое руководство из окопов (1000 руб. вне акции)
https://vk.com/market/product/elektronnaya-kniga-osnovy-ctf-prakticheskoe-rukovodstvo-iz-okopov-44038255-12085168
Если ты новичок в CTF или пробовал, но застревал на простых тасках — эта книга станет твоим боевым наставником. Никакой теории ради теории, только практика и грязные хаки: веб, эксплуатация, реверс, крипта, форензика. Всё, что тебе нужно, чтобы ворваться в тему.
📘 2. CTF. TryHackMe — 50 райтапов (1500 руб. вне акции)
https://vk.com/market/product/elektronnaya-kniga-ctf-tryhackme-50-raytapov-44038255-9822389
505 страниц боли, побед и реальных боевых сценариев. Эта книга — не сопливая инструкция для студентов, а концентрат опыта топ-1 по России на TryHackMe (2021 год). 50 комнат → 50 решений → 50 шансов прокачаться и вдохнуть в свой скилл реальную мощь.
📘 3. Capture the Flag (CTF). VulnHub — 8 райтапов (бесплатно, но только в комплекте)
https://vk.com/market/product/elektronnaya-kniga-capture-the-flag-ctf-vulnhub-8-raytapov-44038255-9267197
Для тех, кто хочет почувствовать вкус настоящих боевых лабов. VulnHub — это песочница, где ты учишься ломать и защищаться как профи. Здесь ты получишь 8 разборов реальных машин.
Почему стоит брать сейчас?
• 🕐 Только 3 дня: с 10 по 12 сентября. Потом книги возвращаются к полной цене (2500 руб.).
• 💸 Экономия 1300 рублей.
• ⚡ Это не «водичка для студентов», а рабочие мануалы, которые реально качают навыки.
🚀 Забирай свой комплект и прокачайся в CTF: от первых шагов до хардкорных тасков уровня топовых сорев.
👉 Цена по акции: 1200 руб. за ВСЕ 3 книги
📆 Срок акции: 10–12 сентября включительно
Для приобретения книг, пишите по контакту в тг: @timcore1
У меня для вас жёсткий подгон — сразу 3 книги по CTF всего за 1200 рублей. Но есть нюанс: акция действует всего 3 дня (10–12 сентября включительно). Дальше — поезд уйдёт, и ценник вернётся к обычному.
Что в комплекте?
📘 1. Основы CTF: Практическое руководство из окопов (1000 руб. вне акции)
https://vk.com/market/product/elektronnaya-kniga-osnovy-ctf-prakticheskoe-rukovodstvo-iz-okopov-44038255-12085168
Если ты новичок в CTF или пробовал, но застревал на простых тасках — эта книга станет твоим боевым наставником. Никакой теории ради теории, только практика и грязные хаки: веб, эксплуатация, реверс, крипта, форензика. Всё, что тебе нужно, чтобы ворваться в тему.
📘 2. CTF. TryHackMe — 50 райтапов (1500 руб. вне акции)
https://vk.com/market/product/elektronnaya-kniga-ctf-tryhackme-50-raytapov-44038255-9822389
505 страниц боли, побед и реальных боевых сценариев. Эта книга — не сопливая инструкция для студентов, а концентрат опыта топ-1 по России на TryHackMe (2021 год). 50 комнат → 50 решений → 50 шансов прокачаться и вдохнуть в свой скилл реальную мощь.
📘 3. Capture the Flag (CTF). VulnHub — 8 райтапов (бесплатно, но только в комплекте)
https://vk.com/market/product/elektronnaya-kniga-capture-the-flag-ctf-vulnhub-8-raytapov-44038255-9267197
Для тех, кто хочет почувствовать вкус настоящих боевых лабов. VulnHub — это песочница, где ты учишься ломать и защищаться как профи. Здесь ты получишь 8 разборов реальных машин.
Почему стоит брать сейчас?
• 🕐 Только 3 дня: с 10 по 12 сентября. Потом книги возвращаются к полной цене (2500 руб.).
• 💸 Экономия 1300 рублей.
• ⚡ Это не «водичка для студентов», а рабочие мануалы, которые реально качают навыки.
🚀 Забирай свой комплект и прокачайся в CTF: от первых шагов до хардкорных тасков уровня топовых сорев.
👉 Цена по акции: 1200 руб. за ВСЕ 3 книги
📆 Срок акции: 10–12 сентября включительно
Для приобретения книг, пишите по контакту в тг: @timcore1
Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
Эксплойт на API Gateway Bad Config
Что вижу: API Gateway — типичный misconfig, когда он больше похож на дырявый брандмауэр, чем на сервис. Из любимого: открыт /internal маршрут, обход CORS без preflight, или вообще backend торчит наружу через X-Forwarded-For.
Подробнее: https://timcourse.ru/eksplojt-na-api-gateway-bad-config/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
Эксплойт на API Gateway Bad Config
Что вижу: API Gateway — типичный misconfig, когда он больше похож на дырявый брандмауэр, чем на сервис. Из любимого: открыт /internal маршрут, обход CORS без preflight, или вообще backend торчит наружу через X-Forwarded-For.
Подробнее: https://timcourse.ru/eksplojt-na-api-gateway-bad-config/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
Эксплойт на API Gateway Bad Config — Авторские курсы Михаила Тарасова
Точка входа: Что вижу: API Gateway — типичный misconfig, когда он больше похож на дырявый брандмауэр, чем на сервис. Из любимого: открыт `/internal` маршрут, обход CORS без preflight, или вообще backend торчит наружу через X-Forwarded-For. Как поймал: nuclei…
Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
SSRF через PDF-конвертеры
Что вижу: PDF-конвертеры типа “загрузи html → получишь pdf” крутятся на продах любого банка/гос-сервиса. Внутри часто wkhtmltopdf/PhantomJS/LibreOffice, которые жрут внешние ресурсы. Конвертеру дай картинку по URL — он сам пойдет качать.
Подробнее: https://timcourse.ru/ssrf-cherez-pdf-konvertery/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
SSRF через PDF-конвертеры
Что вижу: PDF-конвертеры типа “загрузи html → получишь pdf” крутятся на продах любого банка/гос-сервиса. Внутри часто wkhtmltopdf/PhantomJS/LibreOffice, которые жрут внешние ресурсы. Конвертеру дай картинку по URL — он сам пойдет качать.
Подробнее: https://timcourse.ru/ssrf-cherez-pdf-konvertery/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
SSRF через PDF-конвертеры — Авторские курсы Михаила Тарасова
Что вижу: PDF-конвертеры типа “загрузи html → получишь pdf” крутятся на продах любого банка/гос-сервиса. Внутри часто wkhtmltopdf/PhantomJS/LibreOffice, которые жрут внешние ресурсы. Конвертеру дай картинку по URL — он сам пойдет качать.
#blog
#qwen
Релиз: Qwen3-Next-80B-A3B — эффективная модель заточенная на работа работу с очень длинным контекстом!
Новый виток в развитии LLM
Команда Qwen представила свежую модель — Qwen3-Next-80B-A3B, главная особенность которой заключается в способности эффективно работать с очень длинным контекстом. Для исследователей, разработчиков и бизнес-применений это особенно важно, ведь современные задачи требуют не только генерации текста, но и анализа больших объёмов информации в одном диалоге или документе.
Подробнее: https://timneuro.ru/reliz-qwen3-next-80b-a3b-effektivnaya-model-zatochennaya-na-rabota-rabotu-s-ochen-dlinnym-kontekstom/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#qwen
Релиз: Qwen3-Next-80B-A3B — эффективная модель заточенная на работа работу с очень длинным контекстом!
Новый виток в развитии LLM
Команда Qwen представила свежую модель — Qwen3-Next-80B-A3B, главная особенность которой заключается в способности эффективно работать с очень длинным контекстом. Для исследователей, разработчиков и бизнес-применений это особенно важно, ведь современные задачи требуют не только генерации текста, но и анализа больших объёмов информации в одном диалоге или документе.
Подробнее: https://timneuro.ru/reliz-qwen3-next-80b-a3b-effektivnaya-model-zatochennaya-na-rabota-rabotu-s-ochen-dlinnym-kontekstom/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Нейро Мастер
Релиз: Qwen3-Next-80B-A3B — эффективная модель заточенная на работа работу с очень длинным контекстом! — Нейро Мастер
Главная / Блог / Релиз: Qwen3-Next-80B-A3B - эффективная модель заточенная на работа работу с очень длинным контекстом! Релиз: Qwen3-Next-80B-A3B &#
Здравствуйте, дорогие друзья.
Предоставляю услугу - Менторство по Этичному хакингу
Занимаюсь обучением учеников более 6-ти лет, и знаю пробелы по разному уровню знаний, поэтому взаимодействие со мной будет продуктивным.
В сфере Этичного хакинга с начала 2017 года, уже 8-й год.
Я не ставлю своей целью обучать как можно больше учащихся (групповые занятия/потоки и т.д.), предполагая индивидуальный подход к каждому.
Что я делаю, при оказании данной услуги:
- Составляю программу обучения, опираясь на исходные данные по текущему уровню знаний.
- Буду давать методички в формате PDF, записываю видео (если что-то не понятно).
- Как правило, сначала нужно будет пройти курс по базовым основам, чтобы переходить дальше (данный курс уже включен в программу. По опыту, и при хорошей подготовке ученика, сразу приступаю к составлению программы).
- Формат: дистанционно. Я на связи с понедельника по пятницу, с 12:00 до 17:00 по мск. Суббота и воскресенье выходные.
- Стоимость: 36 000 рублей. Возможна рассрочка на 3 месяца по 12 000 рублей.
- Срок обучения: все индивидуально. Минимум 3 месяца, и все зависит от усваивания материала.
Хотелось бы уточнить, что я не даю волшебную таблетку, после которой Вы будете знать все, потому что предполагается обоюдная продуктивная работа. Это как мой, так и Ваш труд, и если Вы заинтересованы, то Ваш путь будет быстрым и безболезненным, чтобы поменять мышление, да и еще хорошо зарабатывать.
Отзывы об обучении можно найти вот тут: https://vk.com/topic-44038255_49120521
Если Вас заинтересовало мое предложение, то пишите в по контакту: @timcore1.
Ссылка на услугу: https://vk.com/market/product/mentorstvo-po-etichnomu-khakingu-44038255-5263845
Предоставляю услугу - Менторство по Этичному хакингу
Занимаюсь обучением учеников более 6-ти лет, и знаю пробелы по разному уровню знаний, поэтому взаимодействие со мной будет продуктивным.
В сфере Этичного хакинга с начала 2017 года, уже 8-й год.
Я не ставлю своей целью обучать как можно больше учащихся (групповые занятия/потоки и т.д.), предполагая индивидуальный подход к каждому.
Что я делаю, при оказании данной услуги:
- Составляю программу обучения, опираясь на исходные данные по текущему уровню знаний.
- Буду давать методички в формате PDF, записываю видео (если что-то не понятно).
- Как правило, сначала нужно будет пройти курс по базовым основам, чтобы переходить дальше (данный курс уже включен в программу. По опыту, и при хорошей подготовке ученика, сразу приступаю к составлению программы).
- Формат: дистанционно. Я на связи с понедельника по пятницу, с 12:00 до 17:00 по мск. Суббота и воскресенье выходные.
- Стоимость: 36 000 рублей. Возможна рассрочка на 3 месяца по 12 000 рублей.
- Срок обучения: все индивидуально. Минимум 3 месяца, и все зависит от усваивания материала.
Хотелось бы уточнить, что я не даю волшебную таблетку, после которой Вы будете знать все, потому что предполагается обоюдная продуктивная работа. Это как мой, так и Ваш труд, и если Вы заинтересованы, то Ваш путь будет быстрым и безболезненным, чтобы поменять мышление, да и еще хорошо зарабатывать.
Отзывы об обучении можно найти вот тут: https://vk.com/topic-44038255_49120521
Если Вас заинтересовало мое предложение, то пишите в по контакту: @timcore1.
Ссылка на услугу: https://vk.com/market/product/mentorstvo-po-etichnomu-khakingu-44038255-5263845
Сегодня 13 сентября, друзья! 🎉
А это День Программиста!
Пусть ваши баги быстрее превращаются в фичи, эксплойты — в полезные тулзы, а строки кода пишутся с таким кайфом, будто вы хакнули саму рутину.
Этичный хакинг — это про силу знаний и про то, чтобы менять мир к лучшему. Так что желаю каждому подписчику находить уязвимости не только в софте, но и в собственных ограничениях, и превращать их в апгрейд себя.
Будьте теми, кто строит, ломая шаблоны.
С праздником интеллекта, драйва и безграничного кодерского азарта! 💻🔥
А это День Программиста!
Пусть ваши баги быстрее превращаются в фичи, эксплойты — в полезные тулзы, а строки кода пишутся с таким кайфом, будто вы хакнули саму рутину.
Этичный хакинг — это про силу знаний и про то, чтобы менять мир к лучшему. Так что желаю каждому подписчику находить уязвимости не только в софте, но и в собственных ограничениях, и превращать их в апгрейд себя.
Будьте теми, кто строит, ломая шаблоны.
С праздником интеллекта, драйва и безграничного кодерского азарта! 💻🔥
Дневник Хакера: Будни багхантера🔍💻
Сегодня был очередной рейд по приветику безопасности Яндекса. Прогнал любимый скрипт на периметре — чисто по-человечески, никакой жести. Шарился по публичным endpoint’ам, искал лишние профили, пару раз стукнул pprof, но всё закрыто — безопасники не дремлют, красавчики.
Детали в духе Баунти:
• Только публичный доступ (никаких приватных данных — иначе бан от команды)
• Работал с разрешённых устройств
• Никаких эксплойтов и DoS — чисто пассивный анализ
• Закончил на этапе проверки: если бы нашёл что-то важное, сразу бы утащил в баг‑репорт через форму
PS: Если делаешь багхант в Яндексе, не забывай про правила — никаких атак на пользователей, только на свои аккаунты, и в рамках того, что явно разрешено в правилах!
Завтра запланирую автоматизацию поиска новых endpoint’ов. А пока — пишу рэп о красивых редиректах и забытых токенах.
Держи терминал бодрым, а совесть — чистой! 🤘
#ДневникХакера
Сегодня был очередной рейд по приветику безопасности Яндекса. Прогнал любимый скрипт на периметре — чисто по-человечески, никакой жести. Шарился по публичным endpoint’ам, искал лишние профили, пару раз стукнул pprof, но всё закрыто — безопасники не дремлют, красавчики.
Детали в духе Баунти:
• Только публичный доступ (никаких приватных данных — иначе бан от команды)
• Работал с разрешённых устройств
• Никаких эксплойтов и DoS — чисто пассивный анализ
• Закончил на этапе проверки: если бы нашёл что-то важное, сразу бы утащил в баг‑репорт через форму
PS: Если делаешь багхант в Яндексе, не забывай про правила — никаких атак на пользователей, только на свои аккаунты, и в рамках того, что явно разрешено в правилах!
Завтра запланирую автоматизацию поиска новых endpoint’ов. А пока — пишу рэп о красивых редиректах и забытых токенах.
Держи терминал бодрым, а совесть — чистой! 🤘
#ДневникХакера