За последнее десятилетие в контейнерных рантаймах и тулкитах накопилось порядка 27 CVE, связанных с path traversal (цифра из исследования Bulkhead...
В системе есть подмножество защищённых файлов, которые нельзя скопировать для анализа с рабочей машины. Они открываются\создаются функцией ядра...
На физическом пентесте корпоративный ThinkPad с BitLocker и TPM 2.0 лежал в переговорной - сотрудник ушёл на обед, ноутбук в sleep mode. Баллончик с...
195 411 промптов за три дня. Одно соревнование. И всего 1.3% из них заставили чат-бота выдать секретный флаг. Это не гипотетика - реальные цифры AI Hacking...
На своём третьем ивенте я убил две недели на web-таск с цепочкой из SQL injection, bypass фильтрации и чтения файлов через LFI. Красивая многоходовка. Через...
За два года на Hack The Box я прошёл около 70 машин - от Starting Point до Hard-уровня, добрался до ранга Pro Hacker. Первую машину Meow решал три часа...
В 2022 году серверы LastPass скомпрометировали, и атакующие вынесли зашифрованные хранилища пользователей - целиком. Пароли внутри были зашифрованы на...
На red team-операции против macOS-флота одной финтех-компании в начале 2026 года мы получили initial access через credential phishing - и за минуту упёрлись...
На криптоаудите API финтех-сервиса я нашёл TLS 1.0 с RC4 на трёх внутренних эндпоинтах - межсервисное взаимодействие, не обновлявшееся с 2018 года, потому...
Пользователям гораздо удобней работать с программой на своём родном языке, а потому поддержка многоязычного интерфейса "Multilingual User Interface"...
Среда, 10:40. Code review мобильного приложения платёжного сервиса - 200 тысяч транзакций в сутки. Открываю декомпилированный APK в jadx, перехожу к классу...
Понедельник, ранее утро. Grafana заливается красным - 502-е на балансировщике, клиенты не проходят авторизацию, бизнес теряет деньги каждую минуту. Через 40...
В апреле 2025-го Kubernetes v1.33 молча включил гибридный постквантовый обмен ключами X25519MLKEM768 для всех TLS-соединений - просто за счёт перехода на Go...
Кандидат с тремя ИБ-сертификациями и пятью годами коммерческого опыта не выстроил цепочку от path traversal до выполнения команд за 40 минут на CTF-задаче...
DownUnderCTF 2023 обслужил больше 2000 команд на 68 заданиях, выдержал пиковые 32 100 запросов в секунду и обошёлся в $876 AUD за две недели на Google Cloud...
13 августа 2024 года NIST опубликовал три финальных стандарта постквантовой криптографии - FIPS 203, 204 и 205. Восемь лет конкурса, десятки...
В современном мире цифровая подпись играет важную роль. В первую очередь это банковские операции, электронная валюта типа Bitcoin, явно отождествляющий...
На CTF в прошлом году попался дамп базы частного сервера Dragonica - около 40 тысяч аккаунтов, bcrypt-хэши с cost factor 10. Организаторы закладывали на...
В двух из трёх IoT-устройств, которые попадают ко мне на стол, UART-консоль отдаёт root shell без единого запроса пароля. Третье хотя бы спрашивает логин -...
На пентесте IoT-шлюза для промышленного вендора я убил двое суток на попытки вытащить прошивку через UART и JTAG - оба интерфейса залочены, OTP-биты...
На последних трёх проектах по тестированию безопасности IoT я вскрывал корпуса устройств, подключался к UART - и в двух случаях из трёх получал root-шелл...
В июне 2023 года Microsoft закрыла CVE-2023-29361 - use-after-free (CWE-416) в драйвере Cloud Files Mini Filter (cldflt.sys), CVSS 7.0 (HIGH), вектор...
На аудите IP-камеры с чипом Anyka и Tuya Cloud на борту binwalk выдал ноль распознанных сигнатур на весь 8-мегабайтный дамп SPI-флеша. График энтропии -...
Три месяца назад получил прошивку промышленного роутера на MIPS - заказчик хотел проверить веб-интерфейс управления, но само устройство стояло на закрытом...
CERT Polska в апреле 2026 года выложила разбор cifrat - трёхстадийного Android-дроппера, где внешний APK грузил нативную библиотеку, та расшифровывала...
На аппаратном пентесте серверной платформы (общий обзор методологии - в руководстве по аппаратному пентесту IoT и firmware) я снял дамп SPI-flash и...
Это заключительная часть из серии внутренних особенностей реестра, где мы на практике рассмотрим, как утилиты типа Mimikatz, Hashcat, PassRecovery и прочие...
Первый crackme, который я загрузил в Ghidra, отнял четыре часа - три из них ушли на блуждание по интерфейсу, один на собственно анализ. Второй crackme занял...
В работе «Spying Across Chiplets: Side-Channel Attacks in 2.5/3D Integrated Systems» экспериментально показано: RF-чиплет, встроенный в гетерогенную...
IBM X-Force Threat Intelligence Index 2025 фиксирует: infostealers вышли на первое место - 32% всех обнаруженных вредоносных программ в 2024 году, обогнав...
