-
Главный архив с лучшими материалами со всего интернета по ИБ и этичному хакингу. Реклама/сотрудничество: @One_Daniil Владелец: @awenft Мы на бирже: https://telega.in/c/searchack
😂 Налоговая служба Южной Кореи случайно раскрыла seed-фразу для изъятого криптокошелька
Национальная налоговая служба Южной Кореи (National Tax Service, NTS) отчиталась о результатах операции против 124 крупных неплательщиков налогов
🖥 Ваша повседневная шпаргалка по Matplotlib
— Предлагаем вашему вниманию полное руководство по визуализации на Python
Matplotlib – библиотека на Python для визуализации данных двумерной и трёхмерной графикой
Он имеет отличную поддержку множеством сред, таких, как веб-серверы приложений, графические библиотеки пользовательского интерфейса, Jupiter Notebook, iPython Notebook и оболочка iPython
Выкладывать еще материалы по программированию?
💊 – да
🗿 – не стоит
🧰 Набор инструментов для тестирования на проникновение
В данном репозитории собрали:
– Анонимное сокрытие инструментов
– Инструменты сбора информации
– Генераторы списков слов
– Инструменты беспроводной атаки
– Инструменты для внедрения SQL-запросов
– Инструменты фишинговой атаки
– Инструменты веб-атак
– Инструменты для последующей эксплуатации
– Инструменты судебной экспертизы
– Инструменты для создания полезной нагрузки
– Платформы для использования эксплойтов
– Обратный инжиниринг
– Сканирование веб-страниц
– Инструменты для проведения DDOS-атак
– Инструменты удаленного администратора
(RAT)
– Инструменты XSS-атаки
– Инструменты для стеганографии
Репозиторий постоянно обновляется!
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
📝 Шпаргалка по Web Security
Awesome OSCP – это тщательно подобранная коллекция ресурсов, инструментов, руководств и шпаргалок, специально созданная для помощи в подготовке к экзамену Offensive Security Certified Professional, но невероятно полезная и для любого пентестера.
Ключевые разделы:
— Подготовка и основы;
— Фундаментальные навыки;
— Enumeration и разведка;
— Эксплуатация;
— Пост-эксплуатация.
🐕 BloodHound — как увидеть скрытые угрозы в вашей Active Directory
Представьте, что вы администратор безопасности в крупной компании
В вашей Active Directory сотни пользователей, групп и компьютеров, связанных сложными отношениями
— Как найти уязвимости в этом лабиринте? Вот где на помощь приходит BloodHound – инструмент, который превращает хаос разрешений в понятную карту угроз
🗄 Читать статью – линк.
// Не хакинг, а ИБ
📄 X86/Win32 Reverse Engineering CheatSheet
— Шпаргалка содержит информацию о регистрах, инструкциях и терминах, связанных с реверс-инжинирингом программного обеспечения для архитектуры x86 и операционной системы Win32
// Не хакинг, а ИБ
🛡 Чем занимается DevSecOps? Обзор инструментов
— В материале мы разберемся, чем на практике занимается DevSecOps и какие инструменты используются в повседневной работе
⏺Поговорим об SSDLC и откуда в этой аббревиатуре появилось слово «Security», а также в какой момент проекту стоит задуматься о внедрении безопасного жизненного цикла разработки;
⏺Отдельно остановимся на том, как внедрять SSDLC без вреда для проекта и обсудим чек-лист оценки зрелости;
⏺Погрузимся в облако тегов DevSecOps, разберем ключевые практики и инструменты, а также поговорим о том, что делать после того, как все эти процессы уже внедрены.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
👩💻 Nginx: шпаргалка
— Представляю вашему вниманию шпаргалку по основным секциям Nginx, которые следует держать под рукой
Nginx ("engine x") – это HTTP-сервер, обратный прокси сервер с поддержкой кеширования и балансировки нагрузки, TCP/UDP прокси-сервер, а также почтовый прокси-сервер
☁️ Хакеры используют артефакты Claude для распространения малвари для macOS
— Злоумышленники запустили ClickFix-кампанию, в которой используют публичные артефакты чат-бота Claude компании Anthropic и платную рекламу в поиске Google
Артефакты Claude – это публичный контент, созданный пользователем с помощью LLM
Это может быть некая инструкция, код, отрывок текста и так далее
🔸 Инструмент анализа веб-приложений
WhatWeb – это инструмент с открытым исходным кодом для идентификации веб-сайтов
— Он распознаёт веб-технологии, в том числе системы управления контентом, платформы для ведения блогов, пакеты статистики/аналитики, библиотеки JavaScript, веб-сервера и встроенные устройства
Также WhatWeb идентифицирует номера версий, адреса электронной почты, идентификаторы учётных записей, модули веб-платформ, ошибки SQL и прочее
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
😈 У компании Step Finance украли 40 млн долларов, взломав устройства руководителей
⚠️ DeFi-платформа Step Finance сообщила о потере 40 млн долларов в криптовалюте — хакеры проникли в системы компании через взломанные устройства руководителей
Step Finance работает на блокчейне Solana и представляет собой DeFi-платформу и аналитический инструмент для управления криптоактивами
Сервис позволяет визуализировать позиции, отслеживать их, проводить транзакции, свопы и стейкинг
Платформа считается одним из наиболее популярных дашбордов экосистемы Solana
👩💻 V2Ray и Xray: что это, установка, раз-личия, настройка в 2026
V2Ray и Хау – это современные прокси-протоколы нового поколения, разработанные для обеспечения безопасного и анонимного доступа в интернет, обхода блокировок и цензуры, и защиты приватности пользователей
— Они позволяют создавать защищенные туннели для передачи интернет-трафика через прокси-серверы, скрывая реальный IP-адрес пользователя, обходя блокировки сайтов и сервисов, и обеспечивая шифрование данных для защиты от перехвата и анализа трафика
🗄 Читать статью – линк.
// Не хакинг, а ИБ
❗️ Google Dorks OSINT шпаргалка – 100+
запросов для поиска
В шпаргалке рассмотрено:
1. Что такое Google Dorks
2. Основы синтаксиса Google Dorks
3. Dorks для поиска файлов
4. Dorks для поиска директорий и путей
5. Dorks для поиска по сайтам
6. Dorks для поиска уязвимостей
7. Dorks для поиска конфиденциальной информации
8. Dorks для поиска по типам файлов
9. Dorks для поиска в кэше и архивах
10. Dorks для поиска по времени
11. Продвинутые комбинации Dorks
12. Инструменты для работы с Dorks
13. Безопасность и этика использования
14. Практические примеры использования
15. Часто задаваемые вопросы
📅 Первый месяц в Bug Bounty: итоги, цифры и выученные уроки
— В данной статье автор расскажет о своем пути становления багхантором и какие результаты ему удалось достигнуть за месяц
Немного заспойлерю – за месяц активной работы получилось отправить 9 отчетов:
⏺3 выплаты на сумму ~$400: за одну уязвимость уровня High я получил ~$200, за Medium - ~$100, и еще одна High принесла ~$100. Понятие «нормальности» у всех разное, но для старта, для меня, это неплохой результат
⏺Остальное: 1 Low (не выплачивается), 1 Info (не выплачивается) и 1 отчет ушел в «вне скоупа»
⏺Дубликаты: 3 отчета были помечены как дубликаты. Поначалу это сильно демотивирует, главное не опускать руки и дальше продолжать “тыкать”)
🗄 Читать статью – линк.
// Не хакинг, а ИБ
🇷🇺 Группировка APT28 эксплуатирует свежую уязвимость в Microsoft Office
— Всего через три дня после публикации экстренного патча для Microsoft Office группировка APT28 начала эксплуатировать уязвимость CVE-2026-21509 в атаках против украинских и европейских организаций
APT28 (Advanced Persistent Threat) – хакерская группа из России, её деятельность началась ещё в середине 2000-х годов
В феврале 2024 года МВД Германии сообщило, что APT 28 устанавливала по заказу российской военной разведки вредоносное ПО на сотни маршрутизаторов в офисах и частных домах в целях создания сети и сбора шпионской информации для России
❗️ Веб-шелл для автоматического заражения сети
Weevely – это веб-шелл командной строки, динамически распространяемый по сети во время выполнения
Просто закиньте PHP скрипт, и программа обеспечит похожий на ssh терминал даже в ограниченном окружении
😈 Хакинг бытовой техники: от реверса стиралки к созданию открытого сервисного ПО
— Сегодня разберем доклад Hacking Washing Machines с конференции 39C3 и посмотрим, как мелкая бытовая неисправность привела к полноценному реверсу стиралки, а затем – к созданию свободной утилиты, которая заменяет закрытый фирменный софт для ремонта техники Miele
Доклад получился объемным, поэтому для удобства читателей он разделен на две части:
1. Первая про опыт исследования техники Miele
2. Второй про шину D-Bus как универсальную отмычку к экосистеме бренда BSH
🗄 Читать статью – линк.
🗄 Хакинг бытовой техники: одна шина, чтобы управлять всеми – линк.
// Не хакинг, а ИБ
🦺 В 2025 году из банкоматов похитили более 20 млн долларов
ФБР опубликовало бюллетень, в котором предупреждает о резком росте атак типа джекпоттинг (jackpotting) на банкоматы в США
⚠️ Только в 2025 году зафиксировано более 700 подобных инцидентов, а суммарный ущерб превысил 20 млн долларов
Суть джекпоттинга: злоумышленники получают физический доступ к банкомату, устанавливают на него вредоносное ПО, и малварь напрямую отдает команды модулю выдачи наличных
Обычно вся операция занимает считанные минуты, а финансовые организации и операторы банкоматов узнают о произошедшем, когда деньги уже похищены
✋ Шифрование метаданных в мессенджере: HMAC-SHA256 анонимные пары, timing obfuscation и отравление собственных логов
— В этой статье автор подробно объяснит инженерные решения, к которым пришёл в ходе защиты метаданных: от криптографических примитивов до С++ кода и SQL-схемы
А также рассмотрим, где подход имеет ограничения и чем отличается от того, что делают Signal и Tor
Содержание статьи:
1. Зачем вообще шифровать метаданные?
2. Модель угроз: что знает сервер
3. Архитектура: четыре уровня скрытности
4. HMAC-SHA256 Anonymous Pairs — ядро системы
5. Отравление собственных логов
6. Push-уведомления как канал утечки
7. Timing Obfuscation: случайные задержки против корреляционного анализа
8. Мердж настроек: дипломатия приватности
9. Хранение и production-реалии
10. Полная картина: что видит атакующий с root-доступом к серверу
11. Сравнение с аналогами: Signal, Tor, Matrix
12. Честные ограничения и что не работает
13. Заключение и ссылки
☁️ Phishing: инструмент захвата камеры с помощью фишинга
WishFish – это инструмент для взлома веб-камер или фронтальных камер с чужих компьютеров и телефонов
— Он позволяет генерировать различные фишинговые веб-ссылки, которые могут сфотографировать фронтальную камеру жертвы и дать целевой IP-адрес
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
🦣 Банкер Mamont атакует пользователей через Telegram
Исследователи зафиксировали новую волну распространения банковского трояна Mamont, нацеленного на Android-устройства
— Злоумышленники эксплуатируют актуальную повестку и маскируют вредонос под приложение для ускорения Telegram и обхода ограничений
Механика атаки проста: злоумышленники оставляют комментарии под публикациями в популярных Telegram-каналах и предлагают скачать APK, который якобы ускоряет работу замедленного мессенджера
Для этого жертву направляют в отдельный канал, откуда и предлагается загрузить файл, но вместо заявленной утилиты на устройство попадает вредонос
❗️ OSINT: собираем досье на человека
Trape – это инструмент для OSINT-анализа, который позволяет отслеживать активность пользователей в интернете
Основные возможности:
⏺Может определять местоположение пользователя с точностью до 99%, обходя запросы на разрешение в браузере
⏺Позволяет проводить фишинговые атаки и внедрять вредоносные скрипты, что полезно для тестирования уязвимостей
⏺Можно получить информацию о скорости интернета пользователя и устройствах в его сети
Хочешь в хакинг? Тогда читай мой канал. В нём ты узнаешь с чего начать, увидишь интересные кейсы из социальной инженерии, прочувствуешь все прелести пентеста на себе прочитаешь про забавные случаи из мира ИБ и посмеёшься над тупыми инфоцыгами.
🐈⬛Дорожная карта со стажёра до мидла
🐈⬛ О важности методологии в ИБ
🐈⬛ Переиграли мошенника и угнали его акк
Сфинкс. Подписаться.
😈 Камеры и микрофоны: как защитить себя от слежки через ноутбук и телефон
— Данная статья представляет полную инструкцию по настройке разрешений, защите от RAT-троянов и выбору шторки для веб-камеры
Мы разберём, насколько реальна угроза, как работают механизмы защиты и что конкретно нужно сделать, чтобы ваши камера и микрофон не превратились в окно в вашу частную жизнь
🗄 Читать статью – линк.
// Не хакинг, а ИБ
☁️ Сценарий для взлома | Разбираем типовые сценарии атак на корпоративные сети
Содержание статьи:
⏺Преодоление периметра:
1. Можно без 0day:
Сценарий 1. Подбор учетных данных;
Сценарий 2. Эксплуатация веб-уязвимостей;
Сценарий 3. Эксплуатация известных уязвимостей;
Сценарий 4. Социальная инженерия;
Сценарий 5. Открытые данные;
Сценарий 6. Выход из песочницы;
⏺Получение контроля над КИС:
Сценарий 1. Подбор доменной учетной записи;
Сценарий 2. Атаки на протоколы сетевого и канального уровней;
Сценарий 3. Атака SMB Relay;
Сценарий 4. Чтение памяти процесса;
Сценарий 5. Групповые политики;
Сценарий 6. Золотой билет Kerberos;
Сценарий 7. Pass the hash и pass the ticket. Атака на двухфакторную аутентификацию.
Вебинар. Настоящий детектив: расследуем инциденты‑2025
❗️ Забудьте про скучные инструкции. Мы разберём реальные ИБ-инциденты 2025: от мемов в соцсетях до статей Уголовного кодекса.
Узнайте, как $500 в даркнете и новые законы меняют правила игры для всех — от технаря до гендира. Это будет живой диалог экспертов, где шутки резко сменяются разбором реальных угроз.
Ключевые темы:
▪️Разбор инцидентов 2025: Атаки через мемы и соцсети.
▪️Серьёзное ужесточение законов: Статьи УК РФ на практике.
▪️Личная ответственность руководителя и специалиста.
▪️Алгоритм действий на завтра.
Спикеры мероприятия:
✅ Ольга Попова, главный юрист продуктовой группы Контур.Эгида
✅Станислав Юдинских, руководитель проектного офиса Staffcop
Регистрируйтесь сейчас
Участие бесплатное.
Реклама. 16+. АО «ПФ «СКБ Контур», ОГРН 1026605606620. 620144, Екатеринбург, ул. Народной Воли, 19А. Erid:2SDnjcyxsqi
🧰 Сборник нструментов безопасности OSX и iOS
— В репозитории вы найдете инструменты: форензики, создания руткитов, сканеры безопасности, сбора данных, настройки конфигурации, обнаружения программ-вымогателей, мониторинга и много много других
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
👁🗨 Звуковой кейлоггер | Определяем нажатые клавиши по звуку
Звуковой кейлоггер – очень интересная задача с точки зрения безопасности
— Она близка к фингерпринтингу пользователя по клавиатурному почерку (включая скорость набора, опечатки, тайминги между сочетания клавиш и др.)
Теоретически, это даёт возможность:
⏺регистрировать нажатия клавиш по звуку;
⏺идентифицировать пользователя, который работает за клавиатурой.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
💻 Сканируем систему на наличие уязвимостей
OpenVAS (Open Vulnerability Assessment System) – фреймворк, состоящий из нескольких сервисов и утилит, позволяющий производить сканирование узлов сети на наличие уязвимостей и управление уязвимостями
Все продукты OpenVAS являются свободным ПО. Большая часть компонентов выпускается под лицензией GPL
☁️ Подборка DNS утилит
DNS – компьютерная распределённая система для получения информации о доменах
Чаще всего используется для получения IP-адреса по имени хоста, получения информации о маршрутизации почты и/или обслуживающих узлах для протоколов в домене