Форум информационной безопасности - Codeby.net
На проверке OSINT-расследования по веб-архивам: пошаговый разбор инструментов и утилит
Фишинговый клон банка давно лежал, whois перезаписан — но единственный снапшот archive.today сохранил вёрстку и скрипт сбора карт с точной меткой времени. Не логи сервера, а чужой архив стал уликой.Wayback Machine хранит 800+ млрд снапшотов с 1996 года — пентестеры находят там забытые .env-файлы, конфиги с паролями и .git-директории, давно стёртые с боевого сервера. Wildcard-поиск web.archive.org/web/*/domain/* вскрывает скрытые поддомены и админки.
archive.today фиксирует страницу вручную с точной меткой и рендерит JS «как есть» — но блокирует IP датацентров и Tor.
robots.txt с Disallow для ia_archiver создаёт пробел, который новички списывают на «сервис не работает» — а не на цель.На проверке Responsible disclosure уязвимостей: от Bugtraq до правил публикации в 2026 году
29 месяцев — среднее время от публикации CVE до патча по IBM X-Force. Пока vendor молчит, T1596 и T1595.002 работают против вас: атакующие сканируют цели быстрее, чем вы публикуете advisory.Bugtraq 1993 года, Full Disclosure mailing list, Google Project Zero с жёстким правилом 90 дней — три эпохи одной проблемы. Full disclosure даёт атакующим T1588.006 и T1190 готовыми, private disclosure позволяет vendor'у молчать вечно.
CVD по ISO/IEC 29147 — компромисс: security.txt по RFC 9116, приватный отчёт, дедлайн 90-120 дней, потом advisory. HackerOne, Bugcrowd, Standoff Bug Bounty дают safe harbor исследователю и структуру vendor'у.
38% инцидентов 2024 — эксплуатация CVE. Не патч медленный, а сам процесс дисклоузинга ломается.На проверке CVE-2026-42208: SQL-инъекция в LiteLLM — эксплуатация через Authorization header
Одна кавычка в Authorization: Bearer — и LiteLLM AI Gateway сливает ключи OpenAI, Anthropic и AWS Bedrock без единого валидного токена. CVE-2026-42208, CVSS 9.3, EPSS 0.89, уже в CISA KEV.Уязвимость живёт в v1.81.16–1.83.6: Bearer-токен конкатенируется в SQL-запрос к LiteLLM_VerificationToken до проверки аутентификации. CWE-89, error-handling path, sqlmap заходит через `' UNION SELECT ...--` без rate limit и авторизации.
Fingerprint через GET /health и /v1/models выдаёт версию и список провайдеров. Патч — v1.83.7 с параметризацией. Workaround — disable_error_logs: true. IOC — аномальные 500-ответы с фрагментами PostgreSQL-ошибок в логах прокси на порту 4000.
SOC ищет SQLi в теле запроса — эксплойт сидит в заголовке Authorization, куда WAF обычно не заглядывает.На проверке Как написать хешкрекер на Python: многопоточность, GPU и сравнение с hashcat
Python-хешкрекер выдаёт 800К MD5/сек на ядре, hashcat на GPU — на четыре порядка больше. Но 450+ алгоритмов hashcat не покрывают кастомные CTF-схемы вроде md5(salt+sha1(password)).GIL блокирует threading для CPU-bound перебора — нужен multiprocessing с индексацией кандидата через модульную арифметику, а не islice над itertools.product. На 8 ядрах i7-12700 это даёт ~6 млн MD5 h/s против сотен миллионов у hashcat через OpenCL и AVX-512.
Цепочка атаки: T1003 (дамп /etc/shadow, SAM, NTDS.dit) → офлайн-крекинг T1110.002 → lateral movement.
Самописный крекер не конкурент hashcat — он закрывает 5% задач, которые встроенные модули не видят вообще.Статья Сравнение open source EDR решений: Wazuh, Velociraptor, osquery и LimaCharlie
Wazuh молчал, пока certutil.exe спокойно качал payload — ни одного алерта на LOLBins-цепочку через wmic и living-off-the-land. Три агента, три консоли, зоопарк на 800 хостов вместо единого EDR-стека.Разбираем архитектуру Wazuh, Velociraptor, osquery и LimaCharlie на реальном кейсе внедрения SOC — где кластер индексатора съедает 2-5 ТБ SSD, а VQL-ханты в Velociraptor ловят то, что проходит мимо XML-декодеров.
CrowdStrike Global Threat Report 2025: 79% атак 2024 года обошлись без malware, среднее lateral movement — 62 минуты. Дефолтный ruleset и сигнатурный анализ файлов тут бессильны — нужен поведенческий мониторинг процессов в real-time.
EDR без кастомных правил — просто дорогой логгер. Настоящий hunting начинается там, где заканчивается дефолтный конфиг.Статья Hack The Box Academy: тарифы, бесплатный доступ и сравнение с HTB CTF
Четыре рутнутых бокса за месяц и нулевое понимание методологии — знакомая ловушка HTB CTF без базы. Разбираем HTB Academy: Cubes, тарифы Student/Silver/Gold, Pwnbox и капстоун Penetration Testing Process, который либо подтвердит навык, либо покажет пробел.CTF даёт IP и тишину — выкручивайся сам. Academy строит guided-путь: Pre-Engagement до Post-Engagement, 350+ модулей, Job Role и Skill Paths, Pwnbox с Nmap, Burp, Impacket, BloodHound без локальной Kali.
Стартовых Cubes хватит на Linux Fundamentals и вводный Windows. Для полного Job Path нужна подписка — Silver открывает Tier I-II, Gold добавляет Tier III-IV и сертификационные пути CPTS.
CTF учит находить флаг, Academy — проводить engagement. Без методологии рутнутые боксы не конвертируются в отчёт для заказчика.Статья SS7 атаки и перехват SMS: разбор уязвимостей сигнальных протоколов и методы защиты
SS7-атака увела миллионы евро у клиентов немецких банков за несколько часов — без взлома серверов. SRI4SM и UpdateLocation перехватили SMS с одноразовыми кодами, деньги вывели за минуты.Цепочка проста: логин и пароль крадут инфостилерами или фишингом, а второй фактор добывают через MAP-операции SS7 — SendRoutingInfoForSM возвращает IMSI и адрес MSC/VLR жертвы, UpdateLocation регистрирует её на поддельном узле. CrowdStrike фиксирует: 75% вторжений 2024 года используют валидные credentials, SS7 закрывает недостающий второй фактор.
Банк видит только успешный логин — сигнальная сеть перехватила SMS ещё до того, как сработала любая защита на уровне приложения.Статья Пентест телеком-инфраструктуры: методология тестирования core network операторов связи
SS7-запрос SendRoutingInfoForSM вернул IMSI и MSC произвольного абонента за 4 секунды — STP-фильтры по GSMA FS.11 не заблокировали ни одну Category 1 атаку. Через 2 часа пентестеры построили GTP-туннель прямо в billing.Kill chain: разведка point codes и GT из IR.21 (T1590) → SCTP-сканирование STP (T1595) → дефолтные root:admin на NE (T1190) → CLI-доступ (T1059.008) → pivot через sgsnemu в HSS/OCS/billing.
Grey box экономит дни разведки: оператор даёт схему сети и GT, но не конфиги STP-фильтров. AT&T потеряла записи звонков 110 млн абонентов — фрод через MAP ProvideSubscriberInfo и Diameter CCR.
SOC телекома мониторит IT-периметр — сигнальная плоскость SS7/Diameter остаётся слепой зоной для всех EDR.Статья IMSI-catcher и перехват мобильного трафика: как работает фейковая базовая станция и чем её обнаружить
IMSI-catcher ловит телефон при разнице сигнала в 35 дБ с вероятностью 80%, а при 40 дБ — гарантированно. Собирается из SDR-трансивера и ноутбука за $600, как показал Evilsocket ещё в 2016 году.Атака эксплуатирует одностороннюю аутентификацию GSM и незашифрованные SIB broadcast-сообщения. Фейковая станция транслирует тот же PLMN ID мощнее легитимной, телефон отправляет IMSI по Identity Request — T1111 и T1557 по MITRE ATT&CK. Downgrade через jamming 3G/4G принуждает к A5/0 null cipher.
Детект строится на аномалиях Location Area, внезапном падении до 2G и сравнении Cell ID с базой оператора.
TMSI выглядит защитой, но при смене Location Area телефон всё равно отдаёт голый IMSI фейковой соте.