Форум информационной безопасности - Codeby.net
Статья Сетевая разведка и сканирование портов: практическое руководство по nmap и masscan
Без разведки нет атаки: полный цикл сканирования сети — от masscan по /16 до NSE-скриптов на уязвимости.За пять лет пентестов ни один эксплойт не сработал «вслепую». Сначала ты должен знать, что торчит в сети, на каком порту и какой версии — и только потом выбирать вектор. Сканирование top-1000 без `-p-`? Значит треть поверхности атаки ты уже не видишь.
Разбираем полный цикл: ARP и ICMP host discovery, SYN/UDP/ACK-сканирование на уровне пакетов, связка masscan → nmap для больших сетей, fingerprinting сервисов через `-sV` и banner grabbing, NSE-скрипты под EternalBlue и BlueKeep, stealth-техники с `-T0` и decoy.
Пошаговый сценарий пентеста с командами от разведки до поиска уязвимостей — и разбор типичных ошибок, которые стоят вектора атаки.Статья Пентест корпоративного Wi-Fi: атаки на 802.1X через evil twin и перехват EAP
Злой близнец на парковке: как ломают корпоративный Wi-Fi с ноутбука и адаптером.WPA2/WPA3-Enterprise с RADIUS выглядит неприступно — пока Evil Twin AP не перехватывает EAP-хэндшейк ещё до того, как вы вошли в здание. Проблема не в криптографии, а в том, что клиенты не проверяют сертификат RADIUS-сервера.
Разбираем атаку на 802.1X от разведки эфира до крека MSCHAPv2-хэшей: настройка hostapd-wpe, фазы PEAP/EAP-TTLS, типичные мисконфиги Android, Windows и BYOD — всё с командами из реальных ассессментов.
Практический разбор для пентестеров, которые хотят понять, почему «корпоративный» Wi-Fi сдаётся с парковки.Статья Гипервизорный руткит обнаружение: Blue Pill, EPT-abuse и практические техники детекции subverted hypervisor
Охранник смотрит в камеру, а там — запись вчерашнего дня: как гипервизорный руткит прячется ниже ядра и EDR.Привыкли искать хуки в SSDT и аномалии в Ring 0? Гипервизорный руткит работает в Ring -1 — он перемещает всю ОС в виртуальную машину, и ядро продолжает считать себя хозяином. EDR сканирует «чистую» память, PatchGuard видит неизменённый код — оба смотрят в подставную картинку через EPT split-view.
Разбираем архитектуру Blue Pill и EPT-hooking, почему антивирусы слепы к VMM-компрометации, и четыре рабочих метода детекции: timing-анализ RDTSC, CPUID fingerprinting, поиск VMCS-артефактов через Volatility и аппаратная аттестация TPM.
Пошаговый алгоритм обнаружения subverted hypervisor для red team — с командами, Python-скриптом и маппингом на MITRE ATT&CK.Статья UEFI буткит и защита Secure Boot: разбор BlackLotus, CosmicStrand и атак на цепочку загрузки
Ниже ядра, ниже EDR: как BlackLotus и CosmicStrand живут там, куда защитники никогда не заглядывают.Привыкли работать на уровне ring 0? BlackLotus обходит Secure Boot на полностью обновлённой Windows 11, а CosmicStrand прописывается в SPI-флеше материнской платы — переустановка ОС и замена диска ему безразличны. Persistence ниже всего, что ты привык мониторить.
Разбираем boot flow от SEC до TSL, точки внедрения в цепочку загрузки, механику CVE-2022-21894 и почему патч Microsoft не помог. Плюс практика: CHIPSEC, UEFITool, мониторинг ESP и TPM attestation — с командами из реального стенда.
Пошаговый чеклист обнаружения firmware-угроз для тех, кто готов заглянуть глубже классического EDR.Статья Социальная инженерия: методы атак и практическая защита
Взлом без кода: как пентестер проходит через проходную с поддельным бейджем и уходит с доменными паролями.Компании тратят миллионы на файрволы и EDR — и ломаются на сотруднике, который придержал дверь курьеру с коробками. Социальная инженерия бьёт туда, где не работают патчи: в психологию.
Разбираем полный арсенал — фишинг через GoPhish, вишинг-сценарии, претекстинг, байтинг с флешками и дипфейк-звонки уровня $25 млн. Реальные кейсы, команды и чек-лист защиты от пентестера, который делает это легально.
Практическое руководство для тех, кто хочет понять атаку изнутри — и выстроить защиту, которая реально работает.Статья ConnectWise ScreenConnect уязвимости: разбор CVE, цепочки атак и практическая защита RMM
ConnectWise ScreenConnect: один запрос — и тысячи эндпоинтов в чужих руках.На момент раскрытия CVE-2024-1709 в феврале 2024 года в интернете висело 18 188 уязвимых ScreenConnect-инстансов, почти 8 800 из них — без патча. Для MSP это не worst-case, это game over: один торчащий наружу сервер превращается в точку входа во всю управляемую инфраструктуру.
В статье — разбор трёх ключевых CVE: auth bypass через path confusion в SetupWizard.aspx (CVSS 10.0), zip slip в InstallExtension для RCE и ViewState injection 2025 года. Полный kill chain от Shodan-разведки до ransomware, кейсы Kimsuky и ToddlerShark, готовые Sigma-правила и Sysmon-фильтры для детекта.
Практический материал для SOC-аналитиков, MSP-инженеров и red team операторов, работающих с RMM-платформами.Статья Написание C2 фреймворка на Python: от архитектуры до обхода EDR
C2 фреймворк на Python с нуля: почему ваш Sliver палится за три секунды.YARA-правила для Sliver публикуются на следующий день после релиза. Beacon Cobalt Strike разобран до байта. Mythic ловится одним Suricata-правилом по паттерну JSON-трафика. Любой публичный C2 — это IoC, который вендор уже добавил в сигнатуры.
В статье — пошаговая разработка собственного command and control: Team Server с очередью задач и CLI оператора, агент с beacon loop и jitter, расширяемый диспетчер задач через декораторы, обфускация трафика под легитимный JS, маскировка через Cookie и malleable profiles. Плюс лабораторный стенд с Defender, Elastic EDR, Suricata и Zeek для итеративного тестирования.
Практический гайд для red team операторов и offensive-разработчиков, которые хотят понимать как устроена C2-инфраструктура, а не запускать чужие бинарники.Статья Обход AMSI и антивирусных хуков: практическое руководство для offensive-разработчика 2025–2026
Обход AMSI и антивирусных хуков 2026: почему один трюк больше не работает.Бикон ожил — и через тридцать секунд тишина. EDR срезал соединение, в SOC уже смотрят на алерт. В 2026 году стандартный набор «AMSI patch + Invoke-Mimikatz» — билет в один конец: Defender ловит патчинг по сигнатурам, CrowdStrike мониторит ETW из ядра, SentinelOne анализирует stack trace.
В статье — четыре слоя защиты Windows и актуальные техники обхода: hardware breakpoints вместо классического AMSI-патча, AMSI Write Raid через writable entry в CLR, indirect syscalls со stack spoofing и BYOVD для kernel callbacks. С рабочим кодом на C/C++ и сравнением против Defender, CrowdStrike и SentinelOne.
Практический гайд для red team операторов, которые хотят понимать, почему срабатывает детект, а не слепо копировать bypass-ы с GitHub.Статья Форензика Windows: пошаговый разбор артефактов при расследовании инцидента
Форензика Windows: как по следам в системе восстановить полный сценарий атаки.Event Log покажет факт логона, но промолчит про запущенный бинарник. Prefetch подтвердит запуск, но не скажет, откуда файл взялся на диске. MFT хранит временные метки, но без контекста из реестра они — просто цифры. Ни один артефакт сам по себе полной картины не даёт.
В статье — пошаговый разбор пяти ключевых артефактов Windows: Event Logs, $MFT, реестр, Prefetch и Amcache/ShimCache. С конкретными командами Eric Zimmerman Tools (EvtxECmd, MFTECmd, PECmd, AmcacheParser), сценарием реконструкции lateral movement через PsExec, super timeline в Plaso и бонусом — артефакты, о которых молчат русскоязычные гайды: SRUM, PCA, WDI StartupInfo.
Практическое руководство для DFIR-аналитиков, SOC-специалистов и red team операторов, которым нужно видеть инцидент с обеих сторон баррикад.Статья Атаки на Active Directory аутентификацию: Kerberoasting и AS-REP Roasting от разведки до детекта
Kerberoasting и AS-REP Roasting: как выпотрошить Active Directory без единого эксплойта.В восьми из десяти внутренних пентестов обычная доменная учётка даёт прямой путь к повышению привилегий. Ни один антивирус не пикнет — всё, что делает атакующий, это легитимные запросы к KDC, предусмотренные самим протоколом Kerberos. Штатная функция, а не уязвимость.
В статье — полный цикл атак на AD-аутентификацию: разведка SPN через LDAP и BloodHound, запрос TGS через Impacket и Rubeus, офлайн-крекинг в Hashcat (режимы 13100, 18200, 19700), связка с DCSync и Golden Ticket. Плюс Purple Team-часть: детект по Event ID 4769/4768 с готовыми Splunk-запросами и honeypot SPN с нулевым false positive.
Практический гайд для пентестеров, Red Team и SOC-аналитиков, которые хотят видеть атаку с обеих сторон — от запроса билета до алерта в...