Форум информационной безопасности - Codeby.net
Статья Bug bounty программы Россия: обзор платформ, условия и путь к первой выплате
Standoff Bug Bounty выплатила 242 млн рублей за три года — а активных багхантеров в России всего 300–330 человек. Рынок открыт, но ошибка в выборе первой платформы стоит недель впустую.Три публичные платформы — Standoff Bug Bounty, BI.ZONE Bug Bounty и Bugbounty.ru — работают по разной логике. Standoff даёт максимальные выплаты (до 4 млн руб. за классический баг, до 60 млн — за недопустимое событие в инфраструктуре PT) и кибертесты в формате red team: нужна полная цепочка атаки, а не единичный XSS.
BI.ZONE строит прогрессивный рейтинг — первые 3–5 отчётов открывают приватные программы с меньшей конкуренцией.
300 багхантеров на сотни программ — конкуренция ниже, чем на HackerOne. Момент входа лучше, чем кажется.Статья Как написать bug bounty репорт: от структуры до максимальной выплаты
Хантер с Bugcrowd получил выплату за три дубликата — не потому что нашёл первым, а потому что его репорт с PoC и описанием импакта убедил заказчика заплатить повторно. Шесть часов на поиск, пять минут на отчёт — и деньги остаются на столе.Статья разбирает анатомию bug bounty репорта: заголовок по формуле «тип + актив + импакт», описание с CWE-идентификатором, шаги воспроизведения с raw HTTP-запросом для Burp Repeater — всё, чтобы триажер не закрыл тикет со статусом «Cannot Reproduce».
Отдельно — как писать PoC, который не отправят в N/A: воспроизводимость в чистом окружении, минимальный пейлоад, скриншоты с аннотациями.
Русские гайды по баг-репортам — это QA-документация для Jira. С bug bounty у них общего только слово «репорт».Статья Скрытие процессов Linux через bind mount: от атаки до forensics-обнаружения
Одна команда mount --bind поверх /proc/31337 — и C2-агент исчез из ps, top, htop и lsof. SOC не обнаружил его 48 часов. Без LKM-модуля, без dmesg-алертов, без патчей ядра — только root и штатный mount.На внутреннем пентесте 2024 года после эскалации через кривой sudoers на Ubuntu 22.04 атакующий смонтировал пустой каталог поверх /proc/<PID>. VFS стал отдавать пустоту вместо stat, cmdline и fd/ — весь userland-мониторинг ослеп. MITRE T1564.013, тактика Defense Evasion, работает на ядрах с modules_disabled=1.
Для forensics-обнаружения — парсить /proc/*/mountinfo по всем PID, искать аномальные записи bind поверх procfs.
SOC смотрит на dmesg и модули ядра — bind mount не трогает ни то ни другое.Статья AI-Generated PowerShell Active Directory разведка: от промпта до карты домена
Huntress задокументировал первую реальную атаку с AI-generated PowerShell: злоумышленник зашёл по RDP, запустил Untitled1.ps1 — и за минуты получил полную карту AD без BloodHound и SharpHound.Скрипт с заголовком «100% Working AD Information Gathering Script – FULLY FIXED» собрал пользователей, группы, OU, трасты и подсети — упаковал в ZIP, затем s5cmd.exe слил архив на Amazon S3. MITRE-цепочка: T1059.001 → T1087.002 → T1069.002 → T1482 → T1018. Стейджинг в C:\ProgramData\, отчёты в C:\AD_Reports_.
LLM-маркеры в коде: пять фоллбэков для поиска DC, плейсхолдер $dc = "Server1.HR.local" из обучающих данных, радуга Write-Host и незапрошенный HTML-отчёт.
AI не изобрёл новых техник — он убил сигнатурный детект и обнулил порог входа для оператора.На проверке ShareFile уязвимость CVE-2023-24489: от fingerprinting до RCE на корпоративном хранилище
CVE-2023-24489 в Citrix ShareFile StorageZones Controller: CVSS 9.8, RCE без аутентификации — от fingerprinting через /documentum/upload.aspx до загрузки ASPX web shell за 40 минут.Уязвимость живёт в AES-CBC/PKCS7 — StorageZones Controller проверяет паддинг, но не валидирует семантику расшифрованного plaintext. Атакующий конструирует ciphertext с path traversal внутри параметров parentid и filename, POST-запрос принимается как легитимный — и произвольный файл уходит на диск под IIS.
CISA добавила CVE-2023-24489 в KEV 16 августа 2023, EPSS percentile 0.9985 — Top 1%.
SOC не видел инстанс в инвентаре — EPSS 0.95 и 1070 дней активной эксплуатации в тишине.Статья Обфускация LDAP-запросов Active Directory: от evasion до детекта SOC
SharpHound сгенерировал алерт в Defender for Identity через 34 секунды — и пентестер переключился на ручные ldapsearch-запросы с разбивкой фильтров, чтобы не светить T1087.002 и T1558.003 паттерны.LDAP-разведка сидит между initial access и lateral movement. DC пишет Event 1644 с фильтром, scope и временем выполнения — но по умолчанию отключён. Клиентский ETW Event 30 (wldap32.dll) показывает PID и хост-источник, однако Impacket со своей Python-реализацией в этот лог не попадает.
Ключевой evasion: OID 1.2.840.113556.1.4.803 в отправляемом фильтре DC транслирует в оператор «&» при записи в Event 1644.
SOC ловит SharpHound, но пропускает ручные ldapsearch-запросы — Event 1644 выключен на 80% DC в проде.Статья CVE-2026-56451: JWT Algorithm Confusion в Siemens Opcenter X — обход аутентификации и захват MES
CVE-2026-56451 (CVSS 10.0) в Siemens Opcenter X: неаутентифицированный атакующий меняет alg в JWT-заголовке, подделывает токен администратора MES и получает полный контроль над производственными операциями — без привилегий, без взаимодействия пользователя.Algorithm Confusion через CWE-347: сервер берёт алгоритм из самого токена вместо захардкоженного на бэкенде. Два вектора — alg:none (пустая подпись принимается парсером) и RS256→HS256 confusion, где публичный RSA-ключ с JWKS-эндпоинта используется как HMAC-секрет. Инструментарий: jwt_tool + Burp JWT Editor.
Патч — Opcenter X V2604+, верифицировать через Siemens ProductCERT SSA.
Публичных эксплойтов нет — но класс воспроизводится стандартным jwt_tool. OT-среда молчит, пока MES уже скомпрометирована.На проверке Утечка Sound Radix: как атакующие скомпрометировали платформу поддержки клиентов
Sound Radix: 292 993 записей утекло не через дыру в периметре — атакующие скомпрометировали стороннюю helpdesk-платформу, обойдя EDR и файрвол через легитимный HTTPS к доверенному домену.Вектор — T1213.004 (CRM Software): штатный API экспорта тикетов вызван с валидным токеном скомпрометированного агента. CrowdStrike Falcon и SentinelOne молчат — с точки зрения endpoint-агента это обычный браузерный трафик. Имена, email и пароли ушли через документированный endpoint без единого exploit.
EDR покрывает эндпоинты — но весь kill chain прошёл внутри SaaS. В Windows Event Log тишина.На проверке SpiderFoot на Windows: установка, настройка и OSINT-разведка без Kali Linux
SpiderFoot 4.0 закрыл полный OSINT-профиль финтех-компании за 22 минуты на Windows 11 Enterprise — без Kali, без WSL, без гипервизора, заблокированного GPO.Корпоративный аудит, два часа на сбор поддоменов, email-адресов, SSL-цепочек и упоминаний в утечках. Python venv изолирует зависимости, `Set-ExecutionPolicy RemoteSigned` снимает блок активации, `netsh advfirewall` открывает порт 5001/tcp — три типичных грабли Windows, которые типичный гайд из четырёх строк не упоминает.
200+ модулей, YAML-корреляционный движок с 37 правилами, CLI-режим с флагом `-o json` для интеграции в пайплайн.
Open source версия не имеет аутентификации — `0.0.0.0:5001` без reverse proxy отдаёт интерфейс всей локальной сети.Статья DoSQ: атака на 5G NR планировщик ресурсов через side-channel PDCCH
DoSQ превращает открытый PDCCH в оружие: USRP B210 декодирует DCI без ключей, вычисляет C-RNTI жертвы через CRC-перебор и глушит её PRB-аллокации точечной интерференцией — YouTube Live деградирует, соседний UE не замечает ничего.Атака работает в два режима. Пассивный — синхронизация с SSB, извлечение PCI и SCS, построение карты аллокаций всех UE в соте через DCI-поток. Активный — таргетированная передача на PRB жертвы в том же слоте: HARQ-ретрансмиссии растут, MCS падает, scheduler сам транслирует деградацию обратно в PDCCH.
Wideband jammer виден сразу — DoSQ работает в пределах шумового порога, пока scheduler сам не выдаст атаку через DCI.