Разборы

Здравствуйте, коллеги! Найдено на гитхабе. Генератор лицухи и лоадер для BurpSuite Pro. хттps://github.com/RebootEx/burp Всё работает. Проверено.

Приветствую дорогих читателей данного форума! Сегодня я расскажу о Content Security Policy (CSP) — мощном инструменте для защиты веб-приложений от атак...

Между регистрацией на платформе и первым принятым репортом у меня прошло четыре месяца, три дупликата и одно предупреждение за случайный выход за scope. За...

По данным OWASP, 94% протестированных веб-приложений содержат ту или иную форму нарушения контроля доступа. Но вот что не попадает в статистику: большинство...

На пентесте SaaS-платформы с SSO через Keycloak я обнаружил, что авторизационный сервер принимает redirect_uri с path traversal...

Что вас ждёт в статье: 1. Введение: Telegram как OSINT-источник 2. Архитектура Telegram 2.1. Каналы, группы, боты 2.2. Username vs User ID 2.3. Public vs...

В прошлом году на проекте по внедрению SOC для логистической компании - около 800 хостов, гибридная инфра Windows Server 2019 + Ubuntu 22.04 - я развернул...

На пентесте интернет-банка мне попалась blind SQL-инъекция в cookie-параметре TrackingId. Ручная верификация заняла три часа - ответы сервера различались...

Кстати, помимо DevTools, curl и полного отключения JavaScript, в сети часто советуют еще один трюк - javascript-букмарклет. Это обычная закладка браузера, в...

51 секунда - рекордное время lateral movement после initial access, зафиксированное CrowdStrike в Global Threat Report 2025. Среднее по инцидентам - 62...

18,8 миллиардов IoT-устройств подключены к сети прямо сейчас - по данным IoT Analytics, к 2030 году их станет 41 миллиард. У большинства последнее...

Четверг, 14:30. На пентесте интернет-банка - 800 тысяч клиентов-физлиц, Java-бэкенд с REST API - перехватываем запрос к GET /api/v2/accounts/{id}/statements...

Каждый второй отчёт на HackerOne с пометкой «Resolved» - это XSS. Не потому, что уязвимость сложная, а потому, что разработчики раз за разом недооценивают...

В современном мире нейросети везде: от чат-ботов до RAG-систем и аналитики. Миллионы запросов в день — звучит круто, но хакеры уже потирают руки. Давайте...

API сегодня - это фактически основа большинства приложений. Мобильные клиенты, веб-интерфейсы, микросервисы внутри инфраструктуры - всё общается через...

Что вас ждёт в статье: 1. Ландшафт bug bounty 2025 1.1. Российские платформы 1.1.1. Standoff 365 1.1.2. BI.ZONE 1.2. Международные платформы 1.2.1...

Мошенники постоянно придумывают новые схемы. Одна из самых хитрых и сложных для обнаружения сегодня — это создание “цифровых фантомов”, или синтетическое...

🔄 Обновлено: 24.06.2026 Три редакции Kali NetHunter: какую выбрать Kali NetHunter - бесплатная open-source платформа мобильного пентеста на базе Kali Linux...

Понедельник, 9:15 утра. SOC-аналитик L2 открывает дашборд после выходных - 847 новых алертов. Первый в очереди: сработка Sigma-правила на запуск...

На пентесте API-сервиса, стоявшего за nginx, административная панель /admin была закрыта стандартным location /admin { deny all; }. Прямой запрос к /admin -...

Когда advisory появился на oss-security 27 апреля 2026 года, я первым делом стянул исходники camel-coap из Maven-репозитория и открыл класс...

14 сентября 2026 года CISA добавила CVE-2026-76461 в каталог Known Exploited Vulnerabilities и дала федеральным агентствам три дня на патчинг - дедлайн 17...

CISA добавила CVE-2026-41091 в каталог Known Exploited Vulnerabilities 20 мая 2026 года - дедлайн 3 июня, две недели на патч для федеральных агентств. EPSS...

На корпоративном CTF для финтех-компании юрист из compliance-отдела обошла трёх middle-разработчиков в OSINT-категории. Без терминала, без скриптов -...

На KnightCTF 2024 пять задач из категории networking крутились вокруг одного .pcap-файла: определить IP атакующего, опознать уязвимую службу vsFTPd 2.3.4...

Каждый раз, когда на пентесте вижу параметр timeZone в REST API - первым делом подставляю одинарную кавычку и смотрю на ответ. В семи из десяти...

На пентесте внутренней инфраструктуры финтеха я получил реверс-шелл и полез читать логи веб-приложения через less. Через минуту терминал начал вести себя...

По данным The Shadowserver Foundation, более 8300 серверов Gitea с непропатченной CVE-2026-60004 торчат в интернет - большинство в Китае, Германии и США. В...

На последнем внешнем пентесте я потратил полтора часа на склейку цепочки Subfinder -> httpx -> naabu -> nuclei bash-скриптами. Четыре утилиты, четыре...

Один исследователь за март зарепортил четыре бага в GPU-подсистеме Chrome, включая потенциальный sandbox escape. Четыре CVE за месяц от одного человека в...