Разборы

На корпоративном CTF для финтех-компании юрист из compliance-отдела обошла трёх middle-разработчиков в OSINT-категории. Без терминала, без скриптов -...

На финале регионального attack-defense CTF наша команда из шести человек слила 200 очков за три раунда. Не из-за слабых эксплойтов - потому что никто не...

Последние полтора года я впихиваю LLM в свои терминальные цепочки - результат, мягко говоря, неоднозначный. На одном engagement'е Ollama с mistral:7b...

На BSidesSF 2026 автономный AI-агент решил все 52 задания и занял первое место. Не ассистировал команде - победил в одиночку. И это не приговор формату CTF...

На CTF отправляешь 500 байт в бинарный сервис, в GDB видишь 0x41414141 в EIP - адрес возврата перезаписан, выполнение под контролем. Дальше - segfault за...

ТЕХНИЧЕСКИЙ ОТЧЕТ ПО ПРОЕКТУ «SECOPS GHOST» Статус комплекса: APPROVED (Проверено, FUD 0/60 на VirusTotal) Архитектура: Асинхронная, монолитная...

В первые полгода в offensive security я кинулся ломать CTF-машины на HTB - результат: четыре рутнутых бокса за месяц, нулевое понимание методологии и отчёт...

На прошлом проекте по пентесту финтех-платформы мне достался REST API с 340 эндпоинтами. Первые два часа я тупо перебирал user_id в Burp Repeater -...

На внутреннем пентесте в прошлом квартале я оказался на захваченном GNU/Linux-хосте с Python 3.9 и стандартной библиотекой - ни nmap, ни masscan, ни...

Семь RE-задач PicoCTF 2024 - UPX-packed бинарь на 100 очков, три уровня антиотладки через IsDebuggerPresent с эскалацией до 400 очков и Classic Crackme с...

На своём третьем ивенте я убил две недели на web-таск с цепочкой из SQL injection, bypass фильтрации и чтения файлов через LFI. Красивая многоходовка. Через...

За два года на Hack The Box я прошёл около 70 машин - от Starting Point до Hard-уровня, добрался до ранга Pro Hacker. Первую машину Meow решал три часа...

Кандидат с тремя ИБ-сертификациями и пятью годами коммерческого опыта не выстроил цепочку от path traversal до выполнения команд за 40 минут на CTF-задаче...

DownUnderCTF 2023 обслужил больше 2000 команд на 68 заданиях, выдержал пиковые 32 100 запросов в секунду и обошёлся в $876 AUD за две недели на Google Cloud...

Восемь часов, 24 команды, пять уязвимых сервисов - и чекер, который на каждом втором тике возвращал CORRUPT из-за race condition в собственном коде...

На прошлогоднем Jeopardy с 300+ участниками скорборд лёг на 40-й минуте. Динамический скоринг в CTFd пересчитывал стоимость тасков при каждом сабмите, а...

Я помню свой первый CTF. Открыл задачу из категории PWN, увидел бинарник без исходного кода, загрузил в Ghidra - и следующие четыре часа пялился на что-то...

Пишем свои сетевые инструменты и перестаём плодить одноразовый хлам Я довольно долго относился к самописным пентест-тулзам одинаково: надо быстро решить...

Последние два года я собирал солверы для CTF на pwntools и angr - ручная работа, скрипт за скриптом. А потом на одном университетском CTF LLM-агент набрал...

Как-то мне понадобилось собрать сведения о загруженных драйверах и службах, причём акцент делался на то, сколько их всего, какие активны, а какие нет, и...

🔄 Обновлено: 27.06.2026 Что такое CTF-соревнования: форматы, категории задач и где их искать CTF (Capture The Flag) - это соревнования по кибербезопасности...

Введение Новички в CTF, в основном, после решения какой-либо, пускай даже лёгкой задачи, сразу переходят к следующей - это, конечно, хорошо. Но таким...

Хочешь ворваться в мир пентеста, но не знаешь, с чего начать? Думаешь, что для этого нужны годы универа и куча денег? Забудь про мифы! Я покажу тебе, как...

Ты — пентестер или только собираешься им стать? Тогда у меня к тебе один вопрос: Сколько раз ты чувствовал себя беспомощным, когда любимый инструмент "не...

Прежде чем переходить к массивам, циклам и функциям, стоит держать в голове, зачем всё это нужно именно хакеру. Те же массивы и циклы for/while в реальных...

Прежде чем перейти к синтаксису, стоит понимать, зачем вообще пентестеру или админу безопасности учить bash. Это не просто оболочка для повседневных задач —...

Добрый вечер, амигос)) Прошу не судить строго ибо это моя первая статья на форуме…во-первых, не очень люблю писать, во-вторых, между работой, кодингом и...

Стоит сразу оговориться: писать SCAP-контент «руками» в текстовом редакторе — задача трудоёмкая и требует хорошего понимания спецификаций OVAL и XCCDF, о...

Хранить бэкапы в бесплатных облаках, как показывает практика, занятие довольно рискованное, так как это чревато потерей всех ваших данных в один прекрасный...

Прежде чем переходить к коду, стоит понимать, что honeypot — это не просто «шпионский скрипт для интереса», а инструмент, который требует аккуратного...