Форум информационной безопасности - Codeby.net
Статья Кибербезопасность банков: векторы атак, техники пентеста и защита банковской инфраструктуры
Большинство банков узнают о компрометации не из алертов SOC, а из звонка регулятора. Между точкой входа и обнаружением — недели. За это время Cobalt и Silence проходят полный kill chain: от фишингового письма до управления SWIFT-терминалом.Карта предметной области из 11 тем: kill chain банковских атак по четырём фазам, 8 векторов от фишинга до ransomware, пентест в форматах black/grey/white box, SWIFT и HSM, уязвимости банковских API (BOLA, IDOR, rate limiting), ATM-jackpotting и shimming, банковские трояны, обход антифрод-систем, threat hunting в SOC.
Регуляторный стек: ГОСТ Р 57580, PCI DSS 4.0, 683-П и 821-П, ФЗ-187, ГосСОПКА. Технический стек защиты: микросегментация, EDR, WAF, SIEM с detection engineering.
Банки, которые сейчас инвестируют в реальный пентест вместо compliance-отчёта — окажутся в выигрыше. Остальные узнают о взломах из новостей.Статья Copy Fail (CVE-2026-31431): Linux privilege escalation без race condition — разбор 9-летней уязвимости ядра
732 байта Python-кода. Один запуск. Из непривилегированного пользователя — в root. Без компиляции, без race condition, без подбора офсетов. CVE-2026-31431 (Copy Fail) — детерминированная логическая ошибка в криптоподсистеме ядра. Девять лет в коде. CISA KEV, решение Act, патчить немедленно.Три коммита за 6 лет собрали бомбу: authencesn пишет scratch-байты в destination → in-place-оптимизация 2017 года сделала destination = page-cache-страницы целевого файла → AF_ALG доступен любому пользователю. Изменения только в RAM. Файл на диске не тронут, FIM молчит, auditd по умолчанию слеп, AppArmor не блокирует AF_ALG.
Сравнение с Dirty COW и Dirty Pipe. Контейнерный побег через shared page cache в Kubernetes/EKS/GKE. Чеклист митигации с командами modprobe.d и таблицей патчей по дистрибутивам.
На трёх пентестах за первую неделю после раскрытия — применим на всех хостах. Ноль алертов от auditd, AIDE, AppArmor.Статья LLM для поиска уязвимостей в коде: практический workflow от SAST до PoC
За $28.50 в API-кредитах LLM-агент скомпрометировал четыре из пяти хостов в AD-лаборатории. RapidPen получает shell за 200–400 секунд при стоимости $0.30–$0.60 за цель. Тот же класс моделей уверенно описывает use-after-free в коде, который вообще не работает с динамической памятью.LLM в аудите кода — не сканер, а прослойка между Semgrep и ручным review. Пошаговый workflow: Semgrep фильтрует паттерны → LLM прослеживает dataflow с контекстом типов → ручная верификация гипотез. False positive rate без верификации — 30–70%. Три прогона с вариациями промпта вместо одного — обязательный минимум.
Пять антипаттернов GPT vulnerability scanner: весь репозиторий в один промпт, один прогон как финальный вердикт, облачный API для NDA-кода. Кастомное правило Semgrep + YAML. Таблица сравнения LLM vs Semgrep vs CodeQL vs ручной аудит.
Разрыв в семь раз между лабораторным бенчмарком (87%) и реальностью (13%). Закрывают слайдами, а не методологией.Статья Уязвимости MCP-серверов: RCE, SSRF и инъекции через один POST-запрос
На трёх внутренних пентестах подряд — MCP-серверы на хостах разработчиков. Cursor с aws-mcp-server, Claude Desktop с filesystem-сервером, кастомный MCP-прокси к внутреннему API. Ни один не в скоупе. Ни один не проходил security review. Каждый — прямой доступ к файловой системе, env и shell.43% протестированных MCP-серверов содержат command injection, 30% — SSRF, 22% — path traversal (Equixly). Три CVE в официальном mcp-server-git от Anthropic складываются в цепочку: создание репозитория в произвольной директории → обход ограничения --repository → перезапись файлов через argument injection. Три MEDIUM — один RCE.
Prompt injection как усилитель: payload в base64 в комментарии Python-файла, zero-click через Google Docs MCP. Consent fatigue и allow-list в IDE делают остальное.
MCP-сервер — неаутентифицированный API с доступом к файловой системе и shell. Аутентификация в протоколе опциональна.Статья Privilege escalation Linux через PackageKit: разбор CVE-2026-41651 (Pack2TheRoot)
На внутреннем пентесте Fedora Workstation pkcon install выполнялся без запроса пароля. Зафиксировал как potential finding — в апреле 2026 Deutsche Telekom Red Team подтвердили: CVE-2026-41651 (Pack2TheRoot), CVSS 8.8, TOCTOU в PackageKit. Двенадцать лет уязвимого кода на миллионах Linux-машин.Три бага в pk-transaction.c: безусловная перезапись флагов транзакции, молчаливое отклонение обратных переходов состояний и позднее чтение флагов планировщиком. Детерминистический порядок событий в GLib event loop превращает гонку состояний в гарантированную последовательность — AC:L вместо привычного AC:H.
Затрагивает Ubuntu 18.04–26.04, Debian, Fedora 43, RockyLinux. Эксплуатация — секунды. Оставляет IoC: assertion failure в journald. Patched в PackageKit 1.3.5.
Любой D-Bus-сервис от root с «безопасными» флагами — потенциальная точка LPE.Hackerlab Неделя 4: Секретный кабинет - recon → exploitation chain
Финальная неделя серии «Сетевая разведка за 30 дней». Recon — не отдельная фаза, а непрерывный процесс: на каждом шаге эксплуатации возвращаемся глубже. Один target, четыре инструмента, одна цепочка.Задача: «Секретный кабинет» (500 очков). Маршрут известен, нужен пароль. Классический сценарий: enumeration → discovery → brute force auth → access.
Цепочка недели: nmap -sV -p- находит все сервисы и версии → gobuster dir с расширениями .php/.html обнаруживает нестандартные пути к auth-форме → Burp Repeater разбирает параметры POST-запроса авторизации и поведение при верном/неверном вводе → hydra бьёт по форме с данными из Burp. Если hydra не находит пароль на шаге 4 — шаги 1-3 повторяются с другим вектором.
Старт: 23 июня 10:00 МСК. Дедлайн: 28 июня 23:59. Антиспойлер: подходы без конкретных путей до дедлайна.
Три недели серии складываются в одну задачу — recon → enum → discovery → auth bruteforce.Статья JWT bypass уязвимость через kid header: разбор эксплуатации и защита
На аудите финтех-API три дня копал IDOR в платёжных эндпоинтах — critical обнаружился в JWT-заголовке. Параметр kid подставлялся напрямую в SQL-запрос. UNION-инъекция, контроль ключа верификации, токен с "role": "admin" за 20 минут. Два предыдущих аудита промахнулись мимо заголовка.Kid (Key ID) — необязательный параметр JWT-заголовка, полностью контролируемый клиентом. Если сервер подставляет его в SQL — UNION SELECT заменяет ключ верификации. В файловый путь — path traversal на /dev/null, подпись null-байтом. В shell-команду — command injection прямо в RCE.
Decision tree для выбора вектора по реакции сервера на фаззинг kid. Безопасная реализация key resolver через словарь (Node.js). Слепые зоны WAF: Authorization: Bearer в base64url — за пределами стандартных сигнатур ModSecurity/Cloudflare.
Зрелая библиотека JWT обнуляется одним конкатенированным SQL-запросом в собственном keyResolver.Вакансия Lead / Senior System Developer (Network Security / Highload) — Релокация в ЕС (Голландия / Эстония)
Стартап строит сетевой ИИ-антивирус нового поколения — детекция и блокировка мутирующей ИИ-малвари, фишинга и аномалий на сетевом уровне до проникновения на хост. Стек: Rust/Go/C++ для Data Plane (eBPF/DPDK), Python + gRPC/Redis для ML/LLM слоя.Ищут Lead/Senior System Developer с опытом системного программирования от 4 лет, пониманием OSI и опытом работы с трафиком — pcap, сокеты, IDS/IPS/WAF. Задачи: сверхбыстрый перехватчик трафика с нулевой просадкой latency, интеграция C++/Rust-слоя с аналитическим Python, алгоритмы экспресс-анализа URL и сессий.
Релокация в ЕС полностью за счёт компании. Нидерланды: €7 500–€9 000 + 30% ruling. Эстония: €5 500–€7 000. Equity обсуждается индивидуально. Удалёнки нет — только офис на месте.
Статья Side-channel атаки на чиплеты: новая физическая поверхность атаки в 2.5D/3D системах
RF-чиплет внутри гетерогенной 2.5D-упаковки захватывает электромагнитный сигнал, коррелированный с криптографической активностью соседнего die — без физического пробника на поверхности корпуса. Атакующий больше не снаружи корпуса. Он внутри упаковки, в сотнях микрон от жертвы.Три физических канала утечки, которых нет в монолитных SoC: substrate coupling через интерпозер, TSV coupling через взаимную индуктивность в 3D-стеках, RF/EM coupling через антенный элемент соседнего чиплета. Пассивная атака — жертва работает штатно, аномалий нет.
Confidential computing (AMD SEV-SNP, Intel TDX) строит trust boundary на уровне физического пакета. Если один из die скомпрометирован через supply chain — вся модель рушится. UCIe-консорциум side-channel isolation между чиплетами не адресует вообще.
CPA/CEMA workflow с кодом на Python. SNR при substrate coupling требует от 100k трасс против 10k при прямом probe.🚀 Первый раз на Codeby?
Гайд для новичков: что делать в первые 15 минут, ключевые разделы, правила
Начать здесь →
🧭 Навигатор · ИБ 2026
Не знаешь, какой трек твой?
5 направлений ИБ, реальные зарплаты и точка входа для каждого — в одном треде.
JuniorSenior+
100K → 600K+ ₽ /мес
Категории
💼 Вакансии и заказы в ИБ
Pentest, SOC, DevSecOps, bug bounty — работа и проекты от проверенных компаний
Карьера в ИБ →
Команда онлайн
-
DzenHackerLab