Разборы

На проекте по пентесту среднего банка за два рабочих дня удалось собрать список из 23 сотрудников ИТ-отдела с рабочими email, восстановить схему внутренней...

Ноутбук бухгалтера, с которого предположительно ушли платёжки на подставные реквизиты. 72 часа на снятие образа через dd, восстановление удалённой переписки...

Три месяца подготовки к OSCP, 47 захваченных машин в лабораторной среде PEN-200 - и полный ступор на privilege escalation в экзаменационной цепочке, хотя по...

На одном из проектов по оценке внешней атакующей поверхности мне хватило трёх часов, чтобы от забытого staging-поддомена выйти на конкретного разработчика...

По данным CrowdStrike Global Threat Report 2025, 75% вторжений в 2024 году начинались с действительных учётных данных. IBM X-Force добавляет масштаба: в...

Два года в госструктуре инженером ИБ. 14 моделей угроз по методике ФСТЭК, 6 аттестаций информационных систем, ни одного запуска nmap. Когда на сервере...

Что вас ждёт в статье: 1. Введение 2. Инструментарий: фреймворки, правила, hayabusa 3. Разработка стенда 3.1 Подготовка Windows 3.2 Развертывание Sliver...

На техническом интервью кандидат с двумя годами пентеста подробно описал эксплуатацию IDOR через подмену user_id в API платёжного сервиса - Burp Suite...

На пентесте финтех-компании нашёл IDOR в API личного кабинета - подмена идентификатора открывала доступ к чужим транзакциям. Классический Broken Access...

Антон Субботин - топ-1 русскоязычный исследователь на HackerOne на начало 2022-го - публично сообщал о заморозке порядка $50 000 за уже принятые и...

На внутреннем пентесте в 2024 году после эскалации до root на Ubuntu 22.04 через кривой sudoers нужно было удержать C2-агент незамеченным на...

На одном из проектов по оценке защищённости для логистической компании с 1200 сотрудниками мы запустили фишинговую кампанию через GoPhish - письмо от имени...

На проекте по профилированию инфраструктуры перед внешним пентестом финтех-компании я параллельно запустил SpiderFoot и theHarvester на один домен...

175 000 инстансов Ollama и больше 8 000 MCP-серверов торчат в публичном интернете - это данные Bishop Fox (vendor report, требует независимой верификации)...

Большинство организаций не знает, чем владеет. Не в философском смысле - в буквальном. Для пентестера это подарок: в 9 из 10 проектов заказчик не видит...

Понедельник, 9:15. SOC получает DLP-алерт: менеджер отдела продаж экспортировал клиентскую базу CRM в CSV и отправил архив на личную почту. Заявление об...

На внешнем пентесте прошлой осенью мы получили scope из трёх доменов и запрет на активное сканирование до согласования с SOC заказчика. За первые четыре...

disclaimer: финальное обрамление и лингвистические корректировки для статейного тона делал с помощью ИИ, само же насыщение исследования производил...

Понедельник, утро. SOC фиксирует алерт: сервер Ubuntu 22.04 в DMZ инициирует исходящие соединения на IP из TI-фида, связанного с C2-инфраструктурой. За 48...

На одном IR-кейсе в финтех-компании мы снимали дамп RAM через WinPmem - RAT на рабочей станции разработчика обнаружили в четверг утром, полный образ памяти...

В 2024 году я сдал OSCP со второй попытки. Первый раз вышел с 60 баллами из 70 нужных - AD-сет прошёл за два с половиной часа, две standalone-машины забрал...

За последние два года я прошёл три платных курса по кибербезопасности. Параллельно работал - сначала разгребал алерты в SOC, потом перешёл во внутренний...

Три года назад я сидел перед терминалом Kali Linux и не понимал, почему Nmap не находит открытые порты на учебной машине. Оказалось, я сканировал не ту...

Содержание Реальный кейс: Junior → Middle Pentester за 6 месяцев CTF-экосистема 2025: где играть, сколько платят, как попасть Пошаговый Roadmap: от нуля до...

Приветствую читатель! Ну что, вот-вот подойдет к концу 4-й год развития в офенсиф секурити с полного ноля. Как и обещал в прошлый раз, эта статья будет...

Ищу человека кто поможет раскриптовать файл после сбоя Vera Crypt Суть такая: У меня был зашифрован диск Vera Crypt-ом После неудачного размонтирования...