Форум информационной безопасности - Codeby.net
Статья Grav CMS уязвимость path traversal: 0-day в FormFlash без аутентификации
CVSS 8.8, ноль привилегий, автоматизируемая эксплуатация. CVE-2026-42608 в Grav CMS — один POST-параметр __form-flash-id без валидации превращает любую страницу с формой в точку входа. Неаутентифицированный атакующий пишет YAML-файлы прямо в user/config/ и user/accounts/.Grav хранит всё в файловой системе: конфигурация, хеши паролей, 2FA-секреты. Запись в произвольный каталог — это не «потенциальный импакт», это прямая Configuration Injection. Один traversal-запрос, 302 в ответ, файл на диске.
Полный разбор уязвимого PHP-кода FormFlash, пошаговое воспроизведение через curl/Burp, три вектора развития атаки. История CVE в Grav: цепочка от unauthenticated path traversal до RCE через Scheduler. 36 000 инстансов на ZoomEye.
Один regex [A-Za-z0-9,_-]{1,64} — и уязвимости нет. Разработчики закрыли её в патче за один коммит.Статья Patch2Vuln: анализ бинарных патчей для автоматического восстановления уязвимостей Linux
LLM-агент без CVE-описания, без advisory, без исходника — только два бинарника. Patch2Vuln локализовал security-relevant функцию в 10 из 20 реальных Ubuntu .deb-пакетов. 6 провалов из 20 случились до того, как модель вообще увидела данные — на этапе бинарного диффа.Основной bottleneck в автоматическом анализе бинарных патчей — не LLM, а диффер. Ghidriff не гарантирует, что security-relevant изменение попадёт в топ кандидатов. Компилятор инлайнит функции, LTO перекраивает layout, а добавление stack canaries создаёт шум на весь diff.
Сравнение Patch2Vuln и Bishop Fox: разные стеки (Ghidra/Ghidriff vs Binary Ninja/BinDiff), разные входные данные (без advisory vs с ним). Authorization bypass с 1400+ функций стоит $35 за прогон на Claude Sonnet 3.7.
Следующий рывок — не в промптинге и не в более мощных моделях. В дифферах и ранкерах.ю цепочку.Статья IoT уязвимости: как проверить умную колонку, роутер и смарт-ТВ
binwalk на прошивке роутера TP-Link 2021 года — захардкоженный root:root в /etc/shadow. Три минуты от скачивания firmware до полного доступа к файловой системе. Актуальная прошивка с сайта вендора. Это не уникальный случай — это типичный уровень IoT уязвимостей на каждом втором устройстве.Роутер: полное сканирование nmap, binwalk -e и поиск секретов в squashfs-root. Умная колонка: MQTT без аутентификации — mosquitto_sub -t '#' читает все команды устройств в сети. Смарт-ТВ: открытый ADB на порту 5555 — полноценный шелл без пароля, BadBox 2.0 накрыл 10+ млн устройств. DIAL без авторизации — запуск приложений из любой точки сети.
Чеклист из 11 пунктов, таблица детектируемости по MITRE ATT&CK и что увидит IDS при каждом действии.
Через домашний роутер сотрудника атакующий попадает в VPN-туннель к корпоративной сети.Статья Ransomware-as-a-Service 2026: The Gentlemen и анализ RaaS-экосистемы — аффилиаты, TTPs, detection
19 мая 2026 года — десять новых жертв на DLS пяти группировок за одни сутки. DragonForce, Play, Payload, Nova, Akira. Это не аномалия — это стабильный фон, сложившийся после коллапсов Black Basta и RansomHub и волны аффилиатной миграции.White-label RansomBay от DragonForce снизил порог входа до уровня Telegram-подписки. 75% вторжений — через валидные учётные данные. Среднее время lateral movement — 62 минуты. Детект на этапе шифрования — уже поздно.
Разбор структуры RaaS-операции, профилирование The Gentlemen через TI-методологию, анализ финансовой модели двойного вымогательства. Detection-чеклист из семи приоритетов: VSS deletion, rstrtmgr.dll, credential dumping, canary-файлы.
Группировка сменит DLS и бренд — но не удалит Shadow Copies перед шифрованием иначе. Behavioral detection переживёт любой ребрендинг.Статья Нейросети в руках мошенников_ векторы атак, методы выявления и защита
FraudGPT пишет фишинговое письмо без единой ошибки с деталями вашего последнего проекта. CAPTCHA решается через YOLO и Whisper за копейки через API. В тренировочный датасет тихо добавляют бэкдор. Ваш голос клонируют и звонят начальнику.Четыре вектора атак с нейросетями: персонализированный LLM-фишинг без классических маркеров (dark-LLM без guardrails), обход CAPTCHA через CV-модели и поведенческую эмуляцию, data poisoning с бэкдором в модели, дипфейки в схемах synthetic identity fraud.
OWASP LLM Top 10 (2025) — список дыр, которые уже эксплуатируются. NeMo Guardrails блокирует до 99% jailbreak-атак. Для дипфейков — Reality Defender, Sensity AI, TrueMedia.org.
Единственного «волшебного» детектора нет. Нужна эшелонированная защита: SPF/DKIM/DMARC → sandbox → AI-детектор → ручная проверка.Вакансия Специалист испытательной лаборатории СКЗИ - Москва, офис
Экспертная организация ищет специалиста по оценке влияния прикладных систем на СКЗИ. Требования жёсткие: высшее по прикладной математике, криптографии или ИБ, опыт от 15 лет — в 8 Центре ФСБ России или в организациях с правом проведения работ по оценке влияния.В задачи входит разработка технических заданий и методик испытаний по оценке влияния, консультирование разработчиков прикладных систем по требованиям регулятора, содействие руководителю испытательной лаборатории в тематических исследованиях. Работа ведётся в рамках ПКЗ-2005 и нормативной базы 8 Центра.
Оформление по ТК РФ, гибкий график, два офиса в Москве. Уровень дохода — по результатам собеседования с индексацией. Командировок нет.
Обязательное условие — готовность к допуску по 3 форме государственной тайны и отсутствие оснований для отказа в нём.
Статья Беспроводной пентест в 2025: атаки на Wi-Fi, Bluetooth и ZigBee
Red Team-проект для розничной сети. WPA3 в документации, Cisco WLC на площадке. Все AP — WPA3 Transition Mode. Три минуты hcxdumptool, PMKID без единого deauth-фрейма, 40 минут hashcat — PSK подобран, корпоративный VLAN открыт.Дальше: 14 BLE-замков на складских дверях без аутентификации на GATT-запись. ZigBee-датчики с дефолтным ключом шифрования в том же сегменте, что и СКУД. Один объект — три радиопротокола — три незакрытых вектора initial access.
PMKID-атака проходит мимо любого WIPS. Evil Twin на WPA2-Enterprise — перехват MSCHAPv2. WPA3 Transition Mode обесценивает миграцию. BLE GATT-enumeration и ZigBee-дамп через CC2531 — вне поля зрения стандартных средств мониторинга.
Беспроводной пентест, заканчивающийся на Wi-Fi — это проверка трети attack surface.Статья Бинарный анализ уязвимостей: полное руководство для пентестера и CTF-игрока
Conficker, Stuxnet, EternalBlue — каждый начинался с ошибки в нативном коде, которую атакующий нашёл раньше защитников. Бинарный анализ уязвимостей отделяет того, кто запускает готовый эксплойт из Metasploit, от того, кто вскрывает проприетарный бинарь без исходников.Карта направления из 8 гайдов: статический анализ в Ghidra и IDA, динамический через GDB/x64dbg/WinDbg и DBI-фреймворки, 6 классов бинарных уязвимостей от stack overflow до tcache poisoning, coverage-guided фаззинг, символьное исполнение через angr.
NX, ASLR, Canary, Full RELRO — что каждая защита закрывает и как обходится. Trade-off таблица инструментов. Decision tree выбора метода под задачу: CTF pwn, аудит бинарника, прошивка IoT, упакованная малварь.
Один человек с навыками бинарного анализа в красной команде меняет результат проекта радикальнее, чем ещё два веб-пентестера.Статья Как попасть на стажировку по кибербезопасности в 2026 году: разбор программ, требования и советы
340 резюме на стажировку в SOC. Оффер получили 8 человек. Ни у одного не было коммерческого опыта. Зато у каждого было что-то конкретное: разобранный CTF-таск на GitHub, write-up'ы с TryHackMe, самостоятельно развёрнутый ELK-стек.Восемь активных программ стажировок в ИБ в России на 2026 год — с оплатой, форматом и направлениями. Summ3r of Hack, Solar Start, ВТБ, Angara Security. Что реально спрашивают на отборе и чего не требуют вообще (коммерческий опыт, сертификаты, высокий GPA).
Roadmap подготовки на 3–6 месяцев с разбивкой по месяцам. Портфолио для SOC и для пентеста: что конкретно положить в GitHub. Таблица ошибок при поиске стажировки — пять штук из реальных отборов.
Три write-up'а и один работающий скрипт — уже больше, чем у 80% кандидатов из последней выборки.Статья Атаки на SCADA системы: разбор взломов водоочистных станций и detection-playbook для OT-сети
Январь 2024. CARR зашла в системы управления водоснабжением в Muleshoe, Техас. Перенастроила параметры, вызвала перелив водонапорной башни, выложила видео в открытый доступ. Не zero-day, не кастомный эксплойт — просто VNC с дефолтными кредами.Modbus TCP из 1979 года не предусматривает ни аутентификации, ни шифрования. FC6 меняет уставку процесса без пароля, без токена, без логирования на уровне протокола. ПЛК доверяет всем. Всегда. Патч-менеджмент в OT — окно обслуживания раз в квартал, потому что остановка процесса хлорирования воды угрожает здоровью людей.
Kill chain по MITRE ATT&CK for ICS: дефолтные учётки, открытый remote access, сканирование промышленных портов. Правила корреляции для SIEM, Suricata-правило на запись в Modbus-регистры с нештатного адреса.
Только 20% водных систем в США внедрили базовые меры защиты. Volt Typhoon сидел в инфраструктуре пять лет.