CTF и практические задания
Хакерский CTF построен на правилах классического Capture the Flag
Hackerlab 🎯 Сетевая разведка за 30 дней — 4 недели практики на HackerLab
4 недели — 4 инструмента сетевой разведки. Recon — самая недооценённая фаза пентеста. 80% реальных engagement'ов начинаются с банального nmap и gobuster. Кто умеет читать вывод сканера — находит уязвимости.Серия задач на HackerLab.pro: 1–7 июня — nmap port scan и banner grabbing (200 очков), 8–14 июня — service enumeration через SSH и FTP (200 очков), 15–21 июня — web reconnaissance с gobuster и ffuf (400 очков), 22–28 июня — полная цепочка recon → exploitation с Burp и hydra (500 очков).
Все задачи retired — writeup'ы после дедлайна приветствуются. Еженедельные треды с обсуждением инструментов. Топ-3 первых solver'ов каждой недели — мерч от Codeby.
К концу июня — свой стартовый чек-лист «что делать, когда увидел новый IP».Статья Attack-Defense CTF организация: от gameserver до автоматизации SLA
Attack-Defense CTF изнутри: чекер с race condition на 40-й минуте, gameserver под нагрузкой и ферма флагов против ручного curl — побеждает инфраструктура, не навык взлома.Gameserver: controller + checker master + submission + web на PostgreSQL. NAT masquerading — без него команда закрывает все IP кроме gameserver одним правилом iptables. Vulnbox: Docker Compose, первый час — бэкап до любых изменений, иначе сломанный патч без отката.
Написание чекеров: рандомизация данных обязательна, race condition в PUT/GET убивается нагрузочным тестом на 50 тиков до старта. Ферма флагов S4DFarm или DestructiveFarm: эксплойт в stdout, ферма сама раскидывает на все команды. Tulip для перехвата чужих эксплойтов из PCAP.
Таблица ролей команды и статусы SLA: OK / DOWN / FAULTY / FLAG_NOT_FOUND.Статья Организация CTF соревнований: форматы, скоринг и античит на практике
Скорборд лёг на 40-й минуте: SQLite под нагрузкой динамического скоринга и 300+ участников. Организация CTF — инженерная задача, а не «закинул таски и открыл регистрацию».Три формата — три разных инфраструктуры. Jeopardy: CTFd на PostgreSQL, per-team флаги через соль, rate limit 10 попыток в минуту. Attack-Defense: VLAN + WireGuard, gameserver с чекерами на каждый тик, Ansible для деплоя vulnbox — и если gameserver в одной сети с vulnbox, атакующий правит себе очки напрямую.
Динамический скоринг: формула decay в CTFd, таск за 500 очков после 30 решений стоит 65. Античит: per-team флаги делают шаринг очевидным, синхронные сабмиты с разницей менее 30 секунд — эвристика для расследования. Чеклист из 8 пунктов перед стартом.
Начинайте с Jeopardy на 20 тасков — три соревнования до первого Attack-Defense.Заметка AITU CTF Cyber Range 2026
Международный турнир Cyber Range в Астане: команда HackerLab берёт 2-е место и 500 000 тенге — с XXE, IDOR, SSRF и цепочками SSTI+RCE в финале.Два дня в режиме Cyber Range в университете AITU: Active Directory, Red Team, Bug Bounty по OWASP Top 10. День 1 — топ-10. День 2 — в 17:00 стоп, мы на первом месте. В 17:30 команда Team1337 из Узбекистана сдаёт отчёт на 5000 Risk-баллов, который висел с первого дня необработанным. Главный орг принял решение засчитать — итого второе место.
XXE, IDOR, SSRF, RCE, LPE, SSTI и цепочки раскрутки — всё это за два дня в Burp Suite под прямым казахстанским солнцем. Нетворкинг, шоколадные пироги и светлые впечатления от города.
Спасибо команде и @n1ggaa за организацию — без вас не было бы этой поездки.Статья XSS уязвимость на практике: поиск, эксплуатация и обход фильтров
Классический <script>alert(1)</script> давно не работает на реальных целях: WAF режет его на подлёте, htmlspecialchars экранирует скобки, CSP блокирует инлайн. Но XSS от этого не умирает — он мутирует.Три типа через призму HTTP-запросов: reflected — контекст вставки определяет пейлоад (HTML / атрибут / JavaScript — разные векторы); stored blind XSS поражает админку через тикет поддержки и ждёт три дня; DOM-based обходит WAF полностью — пейлоад не покидает браузер. CVE-2024-45801 (CVSS 7.3): DOMPurify < 3.1.3 обходится через Prototype Pollution — загрязнение Number.isNaN роняет depth-checker санитайзера. onscrollsnapchanging + base64 в data-атрибутах:
WAF видит безобидный обработчик, браузер исполняет произвольный JS.
Аудит CSP через Google CSP Evaluator и маппинг цепочки на MITRE ATT&CK T1539→T1185.Статья CTF Web Writeup: SQL injection, SSRF и десериализация — разбор реальных задач
Веб — самая популярная CTF-категория. Тут нет формулы «запустил скрипт — получил флаг». Побеждает тот, кто быстрее находит отклонение от нормы.Три устойчивых столпа: SQLi (blind в cookie — sqlmap не нашёл, ручная проверка за минуту), SSRF через Next.js middleware (CVE-2025-57822) → Jenkins без пароля → Groovy RCE, PHP-десериализация через __destruct и phar:// без явного unserialize(). Обёртки меняются, ядро — нет.
Чейнинг на реальных задачах: IDOR → утечка credentials → XSS → кража сессии → LFI → RCE (шесть звеньев, HTB Guardian). Обходы фильтров localhost: http://127.1, decimal IP, gopher://, редиректы.
Пятишаговый чеклист разбора любого веб-таска и четыре ошибки, которые стабильно ломают новичков.Статья CTF для начинающих: как выбрать категорию и не убить мотивацию на первом соревновании
Мой первый CTF: открыл задачу PWN, четыре часа пялился на декомпилированный код в Ghidra — ноль флагов и желание больше не возвращаться. Проблема была не в знаниях. Я начал не с той категории.Misc и Crypto начального уровня — первые флаги за 15 минут через CyberChef. Web — главный приоритет для карьеры в ИБ. Reverse и PWN — не трогать первые три месяца. Jeopardy-формат — единственный выбор на старте, Attack-Defense — минимум через полгода.
30-дневный план по дням: Bandit → PicoCTF → Burp Suite → первое живое соревнование. Таблица инструментов по категориям и метод трёх проходов для чтения writeup-решений.
Шесть ошибок, которые совершают все новички — и почему 30 минут без прогресса = сигнал переключиться.Hackerlab ⚠️ Сертификаты в HackerLab
В HackerLab запускается сертификация. На текущий момент сертификат доступен участникам, успешно завершившим курс SQL Injection Master и сдавшим итоговый экзамен.
Экзамен представляет собой практическую эксплуатацию уязвимостей в изолированной инфраструктуре. Вы не отвечаете на вопросы - вы атакуете систему, находите уязвимости и шаг за шагом развиваете атаку.
Это не просто «галочка», а результат, подтверждённый практикой.
В честь запуска сертификации дарим промокод на скидку 20% для подписки PRO. Действует до 30 апреля: PRO20
Подробности и программа курсаCTF ⚠️Новая про-лаборатория — Shadow Pipeline
Крупная технологическая корпорация, закрытая внутренняя сеть, подозрительное хранилище данных и минимальная точка входа. Ваша задача — проникнуть в инфраструктуру и выяснить, что скрывается в глубине сети.
Что внутри:
- 3 ВМ, 6 этапов
- сценарий с постепенным развитием доступа
- отличный формат для тренировки логики, разведки и работы во внутренних сетях
Лаборатория доступна по подписке ПРО вместе с сотнями CTF-задач и курсами:
- Введение в информационную безопасность
- SQL Injection Master
Залетай и проверь, насколько хорошо ты умеешь двигаться по сети
https://hackerlab.pro/Hackerlab На HackerLab появилась новая категория задач — Pro-лаборатории
Pro-лаба: не одна машина — целая сеть под твоим контролем.Устал от задач «взломал — получил флаг — забыл»? Пора выйти на новый уровень.
Pro-лаба — это сеть машин с уязвимостями, где нужно ориентироваться в инфраструктуре, разбирать нестандартные протоколы и выстраивать цепочки атак. Часть флагов ведёт глубже, часть — открывает неочевидные ветки.
Доступно по подписке Pro вместе с сотнями CTF-задач и курсами SQL Injection Master и Введение в ИБ.🚀 Первый раз на Codeby?
Гайд для новичков: что делать в первые 15 минут, ключевые разделы, правила
Начать здесь →
🧭 Навигатор · ИБ 2026
Не знаешь, какой трек твой?
5 направлений ИБ, реальные зарплаты и точка входа для каждого — в одном треде.
JuniorSenior+
100K → 600K+ ₽ /мес
Категории
💼 Вакансии и заказы в ИБ
Pentest, SOC, DevSecOps, bug bounty — работа и проекты от проверенных компаний
Карьера в ИБ →
Команда онлайн
-
DzenHackerLab