Форум информационной безопасности - Codeby.net
Статья CVE-2026-41940: обход аутентификации cPanel — session file injection от preauth до root-доступа WHM
Четыре HTTP-запроса. Ноль валидных паролей. Полный root WHM. CVE-2026-41940 в cPanel — не buffer overflow, а логическая ошибка в сессионной модели, эксплуатируемая curl'ом. CISA KEV, «ransomware use: known», EPSS 0.8437 (Top 1%), два месяца zero-day до патча.Три дефекта в цепочке: санитайзер filter_sessiondata() не вызывается в обработчике Basic Auth → ob-сегмент cookie можно убрать и отключить шифрование → raw-файл и JSON-кэш парсят \n по-разному. CRLF-инъекция в поле pass создаёт строки user=root, hasroot=1, tfa_verified=1 как самостоятельные ключи при перечитывании через nocache.
Затронуто 1.5 млн интернет-инстансов по Shodan. Nuclei-шаблон в репозитории. Grep-команды для triage на живом сервере. Признак компрометации: сессия с method=badpass + hasroot=1.
Opt-in санитизация — рецидивирующая проблема. Закрыли конкретный баг, но паттерн никуда не делся.Статья Python для пентеста: пишем инструменты для автоматизации разведки, эксплуатации и пост-эксплуатации
За два года сотня Python-скриптов для Red Team-проектов. Ровно три заменили существующий инструмент. Остальные делали то, чего готовые тулзы не умеют: парсили нестандартный API, обходили кастомный rate-limiting, автоматизировали специфические цепочки атак.SYN-scan через scapy с пояснением почему ядро Linux отправит RST и как это исправить через iptables. Async перебор поддоменов на aiohttp с aiodns для реальной конкурентности и фильтрацией wildcard DNS. Сессионный brute-force с CSRF-токеном — почему простой requests.post() в цикле не сработает. Impacket для перечисления SMB-шар с рекурсивным поиском файлов-кандидатов.
Таблица: какую библиотеку выбрать под задачу по этапам kill chain. Что видит IDS/SIEM при каждой технике — сетевой уровень, EDR, WAF.
Скрипт для пентеста — не продакшн-код. Работает, не палится, экономит время — этого достаточно.де.Статья CVE-2026-31431 «Copy Fail»: разбор Linux privilege escalation без race condition
732 байта Python-кода, один промпт ИИ-системе — и детерминистический root на каждом крупном дистрибутиве Linux после 2017 года. CVE-2026-31431 (Copy Fail): Metasploit-модуль опубликован в день раскрытия, CISA KEV через двое суток, EPSS 0.0257 при вердикте Act.Три компонента ядра создали бомбу: AF_ALG доступен без привилегий → splice() передаёт страницы page cache по ссылке → in-place оптимизация 2017 года позволяет authencesn записать 4 scratch-байта в page cache read-only файла. Форензик-след минимальный: на диске нет изменений, хеши не меняются, файловый мониторинг слеп.
Сравнение с Dirty COW и Dirty Pipe: Copy Fail детерминистический, без per-distro offsets, покрывает 9 лет ядер. Container escape через shared page cache валидирован на EKS, GKE, Alibaba ACK.
Пять дней между публикацией Metasploit-модуля и первым патчем RHEL. Следующий Copy Fail — вопрос месяцев.есять секунд.Статья Реверс-инжиниринг для начинающих: разбираем бинарники с Ghidra и IDA Free
Первый crackme отнял четыре часа — три из них ушло на блуждание по интерфейсу Ghidra, один на собственно анализ. Второй crackme той же сложности занял двадцать минут. Разница — в методологии: куда смотреть, какие окна открывать, какие вопросы задавать бинарнику.Decision tree для незнакомого бинарника: внешняя разведка через file и strings, проверка препятствий (пакеры UPX, антиотладка ptrace, stripped символы, junk code), навигация от строк «Wrong password» через xref к целевой функции, восстановление логики проверки или патч условного перехода.
Ghidra vs IDA Free: когда выбирать каждый. Ключевые окна Code Browser, декомпилятор, Defined Strings. Разбор crackme на паттернах IOLI — от открытого пароля в strcmp до XOR-цикла с CRC32 (полином 0xEDB88320 — запомните).
Порог входа в реверс — искусственный. Контекст порождает мотивацию к теории, а не наоборот.Статья Кибербезопасность банков: векторы атак, техники пентеста и защита банковской инфраструктуры
Большинство банков узнают о компрометации не из алертов SOC, а из звонка регулятора. Между точкой входа и обнаружением — недели. За это время Cobalt и Silence проходят полный kill chain: от фишингового письма до управления SWIFT-терминалом.Карта предметной области из 11 тем: kill chain банковских атак по четырём фазам, 8 векторов от фишинга до ransomware, пентест в форматах black/grey/white box, SWIFT и HSM, уязвимости банковских API (BOLA, IDOR, rate limiting), ATM-jackpotting и shimming, банковские трояны, обход антифрод-систем, threat hunting в SOC.
Регуляторный стек: ГОСТ Р 57580, PCI DSS 4.0, 683-П и 821-П, ФЗ-187, ГосСОПКА. Технический стек защиты: микросегментация, EDR, WAF, SIEM с detection engineering.
Банки, которые сейчас инвестируют в реальный пентест вместо compliance-отчёта — окажутся в выигрыше. Остальные узнают о взломах из новостей.Статья Copy Fail (CVE-2026-31431): Linux privilege escalation без race condition — разбор 9-летней уязвимости ядра
732 байта Python-кода. Один запуск. Из непривилегированного пользователя — в root. Без компиляции, без race condition, без подбора офсетов. CVE-2026-31431 (Copy Fail) — детерминированная логическая ошибка в криптоподсистеме ядра. Девять лет в коде. CISA KEV, решение Act, патчить немедленно.Три коммита за 6 лет собрали бомбу: authencesn пишет scratch-байты в destination → in-place-оптимизация 2017 года сделала destination = page-cache-страницы целевого файла → AF_ALG доступен любому пользователю. Изменения только в RAM. Файл на диске не тронут, FIM молчит, auditd по умолчанию слеп, AppArmor не блокирует AF_ALG.
Сравнение с Dirty COW и Dirty Pipe. Контейнерный побег через shared page cache в Kubernetes/EKS/GKE. Чеклист митигации с командами modprobe.d и таблицей патчей по дистрибутивам.
На трёх пентестах за первую неделю после раскрытия — применим на всех хостах. Ноль алертов от auditd, AIDE, AppArmor.Статья LLM для поиска уязвимостей в коде: практический workflow от SAST до PoC
За $28.50 в API-кредитах LLM-агент скомпрометировал четыре из пяти хостов в AD-лаборатории. RapidPen получает shell за 200–400 секунд при стоимости $0.30–$0.60 за цель. Тот же класс моделей уверенно описывает use-after-free в коде, который вообще не работает с динамической памятью.LLM в аудите кода — не сканер, а прослойка между Semgrep и ручным review. Пошаговый workflow: Semgrep фильтрует паттерны → LLM прослеживает dataflow с контекстом типов → ручная верификация гипотез. False positive rate без верификации — 30–70%. Три прогона с вариациями промпта вместо одного — обязательный минимум.
Пять антипаттернов GPT vulnerability scanner: весь репозиторий в один промпт, один прогон как финальный вердикт, облачный API для NDA-кода. Кастомное правило Semgrep + YAML. Таблица сравнения LLM vs Semgrep vs CodeQL vs ручной аудит.
Разрыв в семь раз между лабораторным бенчмарком (87%) и реальностью (13%). Закрывают слайдами, а не методологией.Статья Уязвимости MCP-серверов: RCE, SSRF и инъекции через один POST-запрос
На трёх внутренних пентестах подряд — MCP-серверы на хостах разработчиков. Cursor с aws-mcp-server, Claude Desktop с filesystem-сервером, кастомный MCP-прокси к внутреннему API. Ни один не в скоупе. Ни один не проходил security review. Каждый — прямой доступ к файловой системе, env и shell.43% протестированных MCP-серверов содержат command injection, 30% — SSRF, 22% — path traversal (Equixly). Три CVE в официальном mcp-server-git от Anthropic складываются в цепочку: создание репозитория в произвольной директории → обход ограничения --repository → перезапись файлов через argument injection. Три MEDIUM — один RCE.
Prompt injection как усилитель: payload в base64 в комментарии Python-файла, zero-click через Google Docs MCP. Consent fatigue и allow-list в IDE делают остальное.
MCP-сервер — неаутентифицированный API с доступом к файловой системе и shell. Аутентификация в протоколе опциональна.Статья Privilege escalation Linux через PackageKit: разбор CVE-2026-41651 (Pack2TheRoot)
На внутреннем пентесте Fedora Workstation pkcon install выполнялся без запроса пароля. Зафиксировал как potential finding — в апреле 2026 Deutsche Telekom Red Team подтвердили: CVE-2026-41651 (Pack2TheRoot), CVSS 8.8, TOCTOU в PackageKit. Двенадцать лет уязвимого кода на миллионах Linux-машин.Три бага в pk-transaction.c: безусловная перезапись флагов транзакции, молчаливое отклонение обратных переходов состояний и позднее чтение флагов планировщиком. Детерминистический порядок событий в GLib event loop превращает гонку состояний в гарантированную последовательность — AC:L вместо привычного AC:H.
Затрагивает Ubuntu 18.04–26.04, Debian, Fedora 43, RockyLinux. Эксплуатация — секунды. Оставляет IoC: assertion failure в journald. Patched в PackageKit 1.3.5.
Любой D-Bus-сервис от root с «безопасными» флагами — потенциальная точка LPE.Статья JWT bypass уязвимость через kid header: разбор эксплуатации и защита
На аудите финтех-API три дня копал IDOR в платёжных эндпоинтах — critical обнаружился в JWT-заголовке. Параметр kid подставлялся напрямую в SQL-запрос. UNION-инъекция, контроль ключа верификации, токен с "role": "admin" за 20 минут. Два предыдущих аудита промахнулись мимо заголовка.Kid (Key ID) — необязательный параметр JWT-заголовка, полностью контролируемый клиентом. Если сервер подставляет его в SQL — UNION SELECT заменяет ключ верификации. В файловый путь — path traversal на /dev/null, подпись null-байтом. В shell-команду — command injection прямо в RCE.
Decision tree для выбора вектора по реакции сервера на фаззинг kid. Безопасная реализация key resolver через словарь (Node.js). Слепые зоны WAF: Authorization: Bearer в base64url — за пределами стандартных сигнатур ModSecurity/Cloudflare.
Зрелая библиотека JWT обнуляется одним конкатенированным SQL-запросом в собственном keyResolver.