ZeroDay | Кибербезопасность

⚡️Разыгрываем книги по информационной безопасности и этичному хакингу (в бумажном варианте): — Сети глазами хакера — Искусственный интелект глазами хакера • Всего будет 4 призовых мест, а победители смогут выбрать любую понравившуюся книгу из списка выше. Итоги подведем ровно через неделю (24.03 в 19:00) при помощи бота который рандомно выберет победителя. Для участия нужно: 1. Подписаться на наш канал в максе https://max.ru/cybersec_academy 2. Нажать на кнопку «Участвовать» на посте в максе.

Bash для пивотинга в сети 👋 Приветствую в мире цифровой безопасности! Попали на машину внутри сети. Дальше нужно двигаться, но инструментов нет. Разберём, что можно сделать чистым Bash. ⏺Находим соседей без nmap: for ip in 10.10.10.{1..254}; do ping -c1 -W1 $ip &>/dev/null && echo "$ip" & done; wait Фоновые процессы ускоряют скан. На /24 уходит секунд 10-15. ⏺Проверяем порты через /dev/tcp: for h in $(cat live.txt); do for p in 22 80 443 445 3389 8080; do (echo >/dev/tcp/$h/...

3 нестандартных приёма для пентеста 👋 Приветствую в мире цифровой безопасности! ⏺Host Header Injection - когда сервер верит заголовку Host: Многие веб-приложения используют заголовок Host для генерации ссылок, редиректов или сброса пароля. Если приложение без проверки подставляет его в ответы, можно заставить систему работать с чужим доменом. Например, это приводит к подмене ссылок в письмах восстановления пароля или кэш-poisoning. Проверка простая: curl -H "Host: attacker.com" https://target Е...

Анатомия DPI анализа: что происходит с твоим пакетом за первые 16 КБ Разбор того, как системы глубокой инспекции пакетов принимают решение: от первого SYN до поведенческого анализа зашифрованного потока. Без упрощений - с конкретными этапами и тем, какие сигналы система реально собирает. ⏺В статье, как по TTL и TCP-опциям определяется fingerprint клиента, как первые байты данных позволяют мгновенно распознать протокол, что именно смотрят в TLS ClientHello (JA3/JA4, SNI, ALPN), как сверяются серт...

ZeroDay | Серверная Админа

👍 За год Яндекс выплатил этичным хакерам 62 млн рублей Яндекс отчитался об итогах программы «Охота за ошибками» за 2025 год, собрали основные хайлайты: — В 2025 году исследователям выплатили на 20% больше, чем годом ранее – 62 млн рублей. Всего участники прислали около 1,3 тыс. полезных отчетов, соответствующих правилам программы – +30% год к году. — Из них вознаграждения получили за 706 отчетов об уязвимостях – +30% к 2024 году. — Самый успешный участник отправил 59 отчетов об уникальных уязви...

5 фишек Bash для обнаружения аномалий на хосте 👋 Приветствую в мире цифровой безопасности! Давай расскажу о 5 фишках Bash, которые заметно ускорят пентест. ⏺Детектим инъекцию в легитимный процесс: for pid in /proc/[0-9]; do maps="$pid/maps"; [[ -f $maps ]] && grep -l "rwxp" $maps 2>/dev/null; done Исполняемые анонимные регионы памяти (rwxp без файла) - частый признак shellcode injection или memfd_create. ⏺Ищем процессы без файла на диске: for pid in /proc/[0-9]; do exe=$(rea...

gitGraber: мониторинг утечек секретов на GitHub в реальном времени 👋 Приветствую в мире цифровой безопасности! Поговорим о еще одном инструменте безопасности. ⏺gitGraber - Python-утилита, которая мониторит новые файлы и коммиты, индексируемые GitHub. В отличие от классических сканеров, она не перебирает историю репозиториев. Скрипт следит именно за свежими изменениями и проверяет их на наличие секретов. ⏺Логика работы супер понятная: Инструмент отправляет поисковые запросы к GitHub API, получае...