Разборы

Понедельник, 9:15 утра. В очереди алертов - 47 сработок за ночь. 43 из них - false positive на легитимных клиентах, которые платили за отели и такси в...

На одном из внутренних пентестов мы попали на GNU/Linux-хост с Python 3.10 и пользователем www-data - ни nmap, ни masscan, ни возможности протащить бинари...

На пентесте финтех-площадки в прошлом квартале subfinder за 40 секунд вытащил 312 субдоменов в passive-режиме. Amass с настроенными API-ключами добавил 180...

Средняя стоимость утечки данных в 2023 году $4.45 млн (IBM Cost of a Data Breach Report, цифру приводит Kiteworks в обзоре governance-практик). Число...

Понедельник, 9:15. Финтех на 400 сотрудников заказал gap-анализ по CIS Controls v8 - «подтвердить уровень для аудитора и показать совету директоров». Через...

Что вас ждет в статье: Введение 1. Развертывание сервера Wazuh в Docker 1.1. Установка и запуск Docker Desktop 1.2. Загрузка манифестов и запуск...

Атакующий подставил чужой идентификатор в запрос, сервер вернул данные. Без эксплойта, без обхода WAF - просто GET /api/orders/1254 с чужим ID. По данным...

На пентесте телеком-оператора в прошлом году я убил два дня на периметр - WAF, минимальная поверхность, стандартная история. Точка входа нашлась там, где не...

На последнем внутреннем пентесте финтех-компании 14 из 18 рабочих станций оказались на macOS Sequoia с чипами M3. Cobalt Strike beacon, SharpHound, Rubeus -...

На последнем внешнем пентесте для финтех-компании скоуп содержал 12 доменов. После passive recon я насчитал 47 поддоменов, о которых заказчик не подозревал...

По данным IBM X-Force Threat Intelligence Index 2025, 70% расследованных инцидентов затронули объекты критической инфраструктуры - общую карту угроз и...

Утро. Grafana показывает 340 Gbps входящего UDP-трафика на пограничных маршрутизаторах финтех-компании, где полгода назад настраивали эшелонированную...

На assessment'е устойчивости к ransomware одного производственного объекта мы стартовали с assumed breach - скомпрометированная учётка инженера АСУ ТП на...

На объекте нефтехимии в 2024 году задача звучала конкретно: проверить, доберётся ли атакующий из корпоративной сети до ПЛК, управляющих ректификационной...

Заголовок: Теоретический концепт DAVP-атаки: Обход MFA через AitM с использованием DoS-компонента и динамической VPN-ротации Введение На сегодняшний день...

Персональный токен доступа (PAT), случайно слитый в историю чата ChatGPT, оставался валидным несколько месяцев и давал admin-доступ к...

Прежде чем разбирать механику атаки, стоит отметить: большинство материалов о Fake CAPTCHA сходятся в одном — сама технология проверки «Я не робот» не...

На последнем пентесте API финтех-сервиса каждый запрос требовал HMAC-подпись в заголовке X-Signature - вычислялась из тела, текущего timestamp и сессионного...

Telegram остаётся одним из самых популярных мессенджеров, несмотря на блокировки, ограничения и высокий уровень мошеннической активности. Платформа активно...

Постановка задачи и архитектура приложения Всего один некорректно настроенный параметр URL может позволить злоумышленнику использовать запросы на стороне...

На bug bounty в финтехе я потратил три минуты на обнаружение CRLF injection в эндпоинте редиректа - и два часа на эскалацию до XSS через HTTP response...

По данным IBM X-Force Threat Intelligence Index 2025, infostealers вышли на первое место среди всех типов малвари - 32%, обогнав ransomware. Рост атак с...

На аудите финтех-API осенью 2024-го мы три дня копали IDOR в платёжных эндпоинтах - а critical обнаружился в JWT-заголовке. Значение параметра kid...

Эволюция XSS и современные защиты Скорее всего, вы уже знаете что такое XSS, но давайте для полноты картины повторим. XSS (от англ. Cross-Site Scripting) -...

На пентесте API одного банка мы подменили account_id в GET-запросе к /api/v2/accounts/{id}/balance - и получили баланс чужого счёта. Без повышения...

1. Введение: proactive phishing monitoring Забудьте про времена, когда просто ждали, пока клиент пришлет скриншот фейковой формы в саппорт. Если сидите и...

«В каждой профессии есть ритуал инициации, о котором не принято говорить вслух. У хирургов — первая ночная смена с тяжёлым пациентом. У пилотов — посадка...

Что вас ждёт в статье: 1. Введение: Bug Bounty в 2026 1.1. Рынок: $300M+ выплат 1.2. Реальная статистика заработков 2. Необходимые навыки 2.1. Minimum...

Подключиться к публичному Wi-Fi можно за пару кликов и так же легко — потерять данные карт, пароли и другую конфиденциальную информацию. Открытые точки...

SSRF давно перестал быть багом из разряда низкого приоритета. В микросервисной архитектуре он работает как прокси к тому, что из интернета обычно не видно...