Форум информационной безопасности - Codeby.net
Hackerlab Неделя 1: Кто там? - port scan и banner grabbing на nmap
Recon начинается со стука. Неделя 1 — nmap в четырёх режимах.Прежде чем эксплуатировать что-либо, нужно знать: какие порты открыты, что за сервисы, какие версии. На эксплойт уходит 30 минут, на recon с нуля — 2 часа, и большинство новичков пропускают первый шаг.
Задача «Кто там?» на HackerLab — разбираемся с SYN scan, полным сканом 65535 портов, детектом версий через NSE-скрипты и OS fingerprinting. Запоминаем не команды, а что делает каждый флаг.
Дедлайн — воскресенье, 7 июня. После него — открытые writeup'ы и рекап с разбором ошибок.
Первая неделя марафона «Сетевая разведка за 30 дней» — мерч от Codeby для топ-3 solver'ов.Резюме Руководитель ИТ / ИБ
Руководитель IT / ИБ / Data Science — 20+ лет опыта от инженера-программиста до директора по развитию. Управление проектами стоимостью до 700 млн руб., коллективами до 150 человек. Ожидаемый доход — от 250 тыс. руб./мес.Ключевые направления: кибербезопасность (финансы, фармацевтика, госструктуры), разработка ПО и систем анализа больших данных, прикладная компьютерная лингвистика и ML. Опыт взаимодействия с ФОИВ, регуляторами и государственными заказчиками. Выполнено более 20 НИОКР на сумму свыше 250 млн руб.
Текущие позиции: научный консультант ФГУП НТЦ (защита информации, ВОЛС) и начальник отдела разработки ПО. Образование — мехмат МГУ. Английский — разговорный/письменный.
Открыт к предложениям на позиции руководителя подразделения IT, ИБ или R&D.Статья Обход ML-детекторов в IDS: adversarial-атаки и тестирование робастности моделей
Тестировал adversarial-устойчивость ML-модулей в коммерческих IDS — минимальные пертурбации статистических признаков flow'ов стабильно снижали detection rate на десятки процентных пунктов. Модель с 97% accuracy на тестовой выборке видит C2-канал как «легитимный HTTPS».FGSM-атака на NSL-KDD в 20 строк Python: градиент loss-функции по входу, сдвиг фичей в сторону максимальной ошибки классификатора. Как перевести пертурбацию обратно в реальные единицы (байты, миллисекунды) через scaler.inverse_transform(). Transferability: adversarial-примеры с surrogate DNN переносятся на целевую модель, но для tree-based (Random Forest, XGBoost) это непредсказуемо.
Что не ломается: protocol-aware фичи (TCP flags consistency, TLS handshake order) — атакующему нечего крутить. Где слепые зоны: DPI параллельно с ML, JA3-отпечаток TLS, concept drift.
97% accuracy на holdout-выборке — это не robustness. Это accuracy на данных того же распределения, что обучающие.Статья Аудит безопасности Telegram-ботов
Telegram-бот принимает user_id без проверки и возвращает данные любому — IDOR в одну строку. Токен лежит в публичном репозитории — token theft без взлома. Webhook не проверяет источник — любой желающий шлёт «обновления». Безопасность ботов ломают не APT-атаками, а потому что базовые вещи сделаны на скорую руку.Четыре точки атаки: Bot API, Webhook, Mini Apps, user input. Типовые уязвимости: token theft через открытый репозиторий, IDOR через user_id, SQL injection из callback_data, webhook spoofing без secret_token. Защита: env/Vault для токенов, IP whitelist + TLS + secret_token для webhook, initData validation через HMAC-SHA256 для Mini Apps.
DevSecOps-чеклист: bandit и semgrep в CI/CD, secret scanning, security regression tests на pytest. Защита от фишинговых дублёров: уникальное имя, регистрация вариантов с похожими символами.
Безопасность бота — не ритуал после релиза, а часть обычного цикла разработки.Статья Обход защиты BIOS: отключение Secure Boot на залоченных прошивках
На red team-проекте достался корпоративный ThinkPad с полностью залоченным BIOS. За три часа с программатором CH341A и UEFITool удалось сбросить пароль и обнаружить в прошивке подписанный Microsoft DXE-драйвер, позволяющий загрузку произвольного кода. Secure Boot формально включён — реальной защиты нет.CVE-2024-7344 (CVSS 8.2): Microsoft подписал UEFI-приложение с кастомным PE-загрузчиком вместо стандартных LoadImage/StartImage — грузит любой бинарь из cloak.dat, игнорируя Secure Boot. BootHole (CVE-2020-10713): переполнение в GRUB2 при парсинге grub.cfg — подпись валидирует бинарь, но не данные которые он парсит. SMM exploitation в Ring -2 невидим для любого software-based мониторинга.
CHIPSEC для аудита: common.spi_lock [FAILED] = прошивку можно перезаписать программно без вскрытия корпуса. Decision tree выбора вектора по условиям. Чеклист защиты из десяти пунктов.
Secure Boot без Intel Boot Guard + актуального dbx + мониторинга...Статья Эмуляция прошивок embedded Linux: QEMU, Firmadyne и динамический анализ без устройства
Три месяца назад получил прошивку промышленного роутера на MIPS — устройство стояло на закрытом объекте за двумя периметрами. Через 40 минут после binwalk -e работал lighttpd в QEMU user-mode, через два часа — command injection в CGI-обработчике. Физическое устройство не понадобилось.QEMU user-mode vs system-mode: когда chroot достаточно, а когда нужен полный стек. Firmadyne — автоматизированный пайплайн из пяти шагов: extractor.py → getArch.sh → makeImage.sh → inferNetwork.sh → run.sh. Где ломается: NVRAM-зависимости, вендорские модули ядра, привязка к MMIO-периферии SoC. Как чинить: заглушки через LD_PRELOAD, NOP проверок оборудования в Ghidra, nandsim для MTD-партиций.
Сравнительная таблица шести инструментов: QEMU, Firmadyne, FirmAE, Qiling, Renode — с границами применимости. Минилаб на прошивках D-Link DIR-822 и NetGear WN604.
Статический анализ закрывает 30% поверхности атаки. Остальные 70% — runtime-баги, которые видны только при...Статья Patch diffing: анализ бинарных патчей с BinDiff и Diaphora на реальных CVE
Microsoft закрыла CVE-2023-29361 одной строкой advisory: «Elevation of Privilege Vulnerability». Ни root cause, ни PoC. Два файла с Winbindex, BinExport в Ghidra, сортировка по similarity в BinDiff — через 40 минут изменённые базовые блоки показали, где объект освобождался до повторного использования.Patch diffing — рабочий инструмент n-day research: патч вышел, публичного эксплойта нет, diff даёт root cause и input surface. Workflow Ghidra + BinExport + BinDiff: загрузка PDB-символов, перебазирование на 0x0, экспорт, сравнение. Фильтры первого прохода: similarity < 0.95, confidence > 0.7, basic blocks changed > 0.
Сигнатуры security fix по классам: OOB write — новый block с compare + conditional jump, integer overflow — MAX-constant comparison перед аллокацией, UAF — перестановка блоков или новый ref-count call. BinDiff для первого прохода, Diaphora для stripped бинарей и batch-автоматизации.
Здесь 30–60 минут на конкретную цель с...Статья Взлом медицинского оборудования: от fingerprinting до lateral movement через DICOM
Из 200 000 инфузионных насосов, проанализированных Unit 42, 75% содержали хотя бы одну известную уязвимость. 52% уязвимы к двум CVE с CVSS 9.8 — раскрытым в 2019 году. Шесть лет назад. На стенде картина та же: открытый текст, дефолтные пароли, прошивки без обновлений.Медицинская сеть — другая реальность: DICOM не требует аутентификации по дизайну, HL7 v2 передаёт клинические данные открытым текстом, плоские сети без сегментации, VxWorks вместо Windows. CVE-2019-12255 в TCP/IP стеке VxWorks (CVSS 9.8, EPSS Top 1%, EDB-47233) затрагивает МРТ, инфузионные насосы, мониторы пациентов — всё что работает на этой RTOS.
EDR не ставится на насосы и МРТ — несовместимая ОС. SIEM не парсит DICOM/HL7. Трафик на порту 104 воспринимается как нормальный. Чеклист пентеста из девяти шагов.
Вопрос не в том, обнаружит ли кто-то слабости — они давно каталогизированы. Вопрос — кто окажется в сети первым.Статья ML IDS обнаружение атак без сигнатур: слепые зоны поведенческого детектора
Isolation Forest с F1 0.97 на CICIDS 2017 пропустил DNS-туннель на 800 КБ: feature vector оставался в двух стандартных отклонениях от нормы. Модель с отличными метриками на датасете в продакшене оказалась слепой. После этого каждый ML-детектор проходит adversarial-тестирование до включения в боевую инфраструктуру.Mimicry-атака: fingerprinting baseline → адаптация C2-beacon под профиль легитимного трафика. Low-and-slow: exfiltration по 50 КБ раз в 10 минут через DNS, lateral movement 1–2 соединения в час, jitter 30–50% против LSTM-детекторов. Poisoning: «растягивание» границы нормы в период переобучения модели.
Decision table: какой сценарий какая модель ловит и что делать атакующему. Python-код детекции distribution shift через KS-тест для выявления poisoning. Ensemble-подход и adversarial validation как единственные работающие контрмеры.
Тихий оператор, настроивший C2 под baseline, проходит через большинство коммерческих...Статья Identity-based атаки APT 2026: как группировки уходят от эндпоинтов в облако и почту — Red Team и Detection гайд
APT29 вошли в Microsoft через password spraying тестового tenant без MFA. Два месяца читали почту руководства через OAuth-приложение с full_access_as_app к Exchange Online. EDR не выдал ни одного алерта: вся цепочка прошла в identity-плоскости, минуя эндпоинты. 75% вторжений — через valid credentials.Kill chain identity-атаки: password spray → MFA fatigue → Golden SAML через AD FS token-signing certificate → OAuth Application Access Token → Account Manipulation с client secret к Service Principal. Каждый этап маппирован на MITRE ATT&CK с конкретным detection-сигналом.
KQL-запросы для Sentinel: password spray через корреляцию ResultType + дедупликация UPN, MFA fatigue через join отклонённых push с успешным входом. Sigma-правила из SigmaHQ по T1078.
SOC строил detection вокруг эндпоинтов. APT сместились в плоскость, где этих сигналов просто нет по дизайну — один OAuth grant и месяцы тихого доступа.EM.