Инструменты пентестера
Статья Обнаружение Shadow IT при пентесте: от забытого поддомена до initial access
Jenkins без аутентификации на ci-old.client.tld — и за два часа reverse shell во внутреннюю сеть финтех-компании. Сервер развернули три года назад, забыли выключить, в реестре активов его не существовало.Атакующий мыслит внешней поверхностью атаки, а не CMDB. Certificate Transparency логи через crt.sh, passive DNS в SecurityTrails и favicon-хеш в Shodan (`http.favicon.hash`) — три слоя разведки, которые вскрывают поддомены вроде dev-api, old-admin, test-2021 до первого пакета к цели. MITRE T1596 и T1590 в чистом виде.
Shadow-активы почти никогда не накрыты WAF, EDR-агентом или SIEM.
Сканер уязвимостей не найдёт то, чего нет в инвентаре. Shadow IT живёт именно там.Статья Persistence на macOS: техники закрепления для Red Team — от LaunchAgents до dylib hijacking
LaunchAgent с именем com.apple.metadata.mdworker-helper.plist пережил перезагрузку и частичную remediation от SOC — 11 дней в финтех-компании с 200 MacBook под Jamf, без единого алерта в SentinelOne и BlockBlock.Четыре техники закрепления на macOS Ventura/Sonoma — LaunchAgents (T1543.001), LaunchDaemons (T1543.004), Login Items и dylib hijacking — разобраны с позиции оператора Mythic Poseidon. Разбор включает OPSEC-правила именования plist, обход MDM-политик Kandji и условия, при которых Apple Silicon + SIP меняют kill chain.
SOC смотрит на новые plist-файлы — но Label внутри старого файла после Plist Modification (T1547.011) остаётся невидимым.Статья Пентест менеджера паролей: атаки и харденинг 1Password, Bitwarden и CyberArk
Bitwarden vault — 340 записей, AWS, PostgreSQL, Jira — слит за 40 минут через CDP при работающем EDR и включённом MFA. Вектор: разблокированное расширение Chrome и отладочный порт, который ни один алерт не покрывал.Foothold через Responder + NTLM relay на рабочей станции бухгалтера — и дальше T1555.005 вместо часов Kerberoasting. CDP-подключение к background page расширения, вызов Runtime.evaluate, CipherService.getAllDecrypted() — ключи расшифровки живут в памяти разблокированного vault.
EDR молчит, SIEM чист — vault уже открыт. CDP работает в контексте пользователя без admin-прав.Статья Лаборатория для Wi-Fi пентеста: от адаптера с monitor mode до detection-стенда
ALFA AWUS036ACH, направленная антенна в сторону офиса — за 35 минут airodump-ng взял WPA2-PSK handshake, hashcat за ночь вскрыл пароль. Гостевой VLAN не изолирован: утром пятницы — полный доступ к корпоративному сегменту.Статья разбирает полный стенд: от выбора чипсета (RTL8812AU vs MT7612U vs MT7921AUN) до kill chain по MITRE ATT&CK — T1669, T1040, T1557.004. Разбор драйверов, monitor mode, packet injection через aireplay-ng и mdk4, PMKID-атаки и beacon flooding.
Detection-сторона: как WIDS закрывает три этапа деаутентификации, которые SOC пропустил полностью. Корреляция алертов в SIEM, IOC беспроводных атак, hardening — изоляция VLAN, контроль rogue AP по T1200.
SOC мониторит эндпоинты — атака живёт в эфире. WIDS отсутствовал, Windows Event Log молчал всё время.Статья Subdomain enumeration инструменты: полный маппинг внешней поверхности атаки через amass, subfinder и dnsx
Subfinder за 40 секунд вытащил 312 субдоменов финтех-площадки в passive-режиме. Amass добавил 180 уникальных. DNS brute-force через dnsx с wordlist-ом Assetnote — ещё 47, включая staging с открытым Jenkins без аутентификации.Полный recon-пайплайн: subfinder -d target.com -all → amass enum --passive → dnsx-брутфорс. Passive-фаза покрывает T1596.001 и T1595.003 по MITRE ATT&CK, не генерируя трафика к цели. API-ключи Censys, SecurityTrails и VirusTotal в provider-config.yaml увеличивают выдачу в 2–3 раза.
Subfinder и amass пересекаются на 60–70% — остальное уникальные находки каждого.
Staging-сервер не в scope документации — но он в DNS. Jenkins без авторизации не попадёт в Shodan, зато попадёт в wordlist-брутфорс.Статья Credential Stuffing атаки и Password Spraying: от утёкшего дампа до захвата аккаунтов
Без единого эксплойта — за четыре часа: дамп Exploit.In (593 млн пар email
assword), фильтрация по домену OWA, прогон через OpenBullet 2 — 23 валидные учётки, семь без MFA. MITRE T1110.004 в действии.Credential stuffing и password spraying — два маршрута к одному результату: initial access без CVE. Первый берёт объёмом — combo list из утечек, нормализация через grep и дедупликацию, конверсия 1–3% даёт десятки живых аккаунтов. Второй работает low-and-slow: Kerbrute по AD, пароли вида Winter2025! — ниже порога lockout, тишина в логах.
SOC смотрит на failed logins — stuffing даёт одну попытку на аккаунт, счётчик блокировки не срабатывает.Статья Развертывание SIEM-системы Wazuh в Docker и установка агента на macOS
Многие думают: купил Mac — можно расслабиться. Но стандартная установка macOS заточена под удобство, а не безопасность. Встроенный брандмауэр по умолчанию выключен, контроль конфигурации никто не настраивает.Wazuh — бесплатный Open Source SIEM, который собирает события с хоста и проверяет его на соответствие CIS Benchmarks. Три компонента в Docker: Indexer (база логов), Manager (правила и анализ), Dashboard (веб-интерфейс). Развёртывание через git clone официального репозитория, генерация TLS-сертификатов командой docker compose, запуск в фоне через -d.
Агент устанавливается автоматически: Wazuh генерирует команду под вашу ОС и архитектуру, остаётся указать IP-адрес сервера. После подключения Configuration Assessment выявил 25 проблем — в том числе отключённый брандмауэр (ID 41005) и выключенный stealth mode (ID 41006). Включили оба, перезапустили агент — проверки пройдены.
CIS Benchmarks для macOS содержит ~200 правил. Wazuh показал верхушку айсберга — но уже это полезно.Статья Уязвимости ITSM систем: SSRF, SSTI и атаки через интеграции Jira, ServiceNow и Freshservice
Jira Service Management выставлена для подрядчиков — SSRF через batch endpoint Mobile Plugin (CVE-2022-26135) отдаёт IAM-токены за 40 минут. SOC получил алерт через шесть часов.Self-registration на Service Desk — аккаунт за три минуты, затем POST на `/rest/nativemobile/1.0/batch` с payload `@169.254.169.254`. OkHttpClient интерпретирует часть до `@` как userinfo и уходит на внутренний хост. CVSS 6.5, CWE-918, EPSS 0.84 — требует аутентификации, которую закрывает публичная регистрация.
ITSM хранит CMDB, OAuth-токены интеграций GitHub/Slack/PagerDuty и тикеты с кредами в аттачах — T1213, T1552.001, T1199.
ITSM в scope пентеста добавляют последней — а это CMDB, доверенные интеграции и карта всей инфры.Статья Пентест macOS в 2026: kill chain от fingerprinting до persistence на Apple Silicon
На финтех-пентесте 14 из 18 хостов оказались macOS Sequoia на M3 — Cobalt Strike beacon и Rubeus не запустились вообще. Весь kill chain пришлось перестраивать с нуля под Apple Silicon.Fingerprinting начинается с uname -m и csrutil status — без знания arm64 vs x86_64 и статуса SIP потеряешь часы на payload'ы, которые не стартуют. Rosetta 2 проверяется через arch -x86_64 /usr/bin/true, а не pgrep oahd — тот даёт false negative. Gatekeeper молчит, если файл доставлен через curl или корпоративный файловый сервер: quarantine-атрибут просто не выставляется.
Большинство пентестеров пропускают macOS в scope — именно поэтому там нет EDR и детектов.Статья Управление поверхностью атаки: как инвентаризировать внешние активы и находить забытые точки входа
На пентесте финтех-компании скоуп содержал 12 доменов — passive recon вскрыл 47 забытых поддоменов: staging-API без аутентификации, Jenkins с дефолтными кредами, три dev-окружения с debug-режимом. Два актива дали initial access без единого эксплойта.ASM-подход меняет логику работы: вместо nmap по выданному скоупу вы сами строите карту внешних активов через MITRE T1590, T1596, T1595. Subfinder агрегирует 40+ источников CT-логов и DNS-дампов, Amass строит граф связей через ASN и WHOIS — разница между ними 15–30% дополнительных поддоменов.
Пентестер закрыл 12 доменов из скоупа — и не тронул 47 реальных точек входа. ASM — это не сканер, это смена вопроса.