Разборы

На корпоративном CTF для финтех-компании юрист из compliance-отдела обошла трёх middle-разработчиков в OSINT-категории. Без терминала, без скриптов -...

На проекте по пентесту среднего банка за два рабочих дня удалось собрать список из 23 сотрудников ИТ-отдела с рабочими email, восстановить схему внутренней...

На финале регионального attack-defense CTF наша команда из шести человек слила 200 очков за три раунда. Не из-за слабых эксплойтов - потому что никто не...

На BSidesSF 2026 автономный AI-агент решил все 52 задания и занял первое место. Не ассистировал команде - победил в одиночку. И это не приговор формату CTF...

В 2023 году Cushman & Wakefield - один из крупнейших мировых операторов коммерческой недвижимости - сообщил об инциденте с компрометацией данных. По...

На внешнем аудите финтех-сервиса через crt.sh нашёлся staging-поддомен GitLab, не фигурировавший ни в одном реестре активов компании. Сертификат выпустили...

На одном из проектов по оценке внешней атакующей поверхности мне хватило трёх часов, чтобы от забытого staging-поддомена выйти на конкретного разработчика...

По данным CrowdStrike Global Threat Report 2025, 75% вторжений в 2024 году начинались с действительных учётных данных. IBM X-Force добавляет масштаба: в...

В первые полгода в offensive security я кинулся ломать CTF-машины на HTB - результат: четыре рутнутых бокса за месяц, нулевое понимание методологии и отчёт...

На одном из первых корпоративных расследований я собрал досье на контрагента клиента: открытый профиль ВКонтакте, данные из ЕГРЮЛ, упоминания на форумах...

23,8 миллиона захардкоженных секретов - API-ключи, строки подключения к базам данных, токены аутентификации - залиты в публичные GitHub-репозитории за 2024...

Рутинный мониторинг Censys - самоподписанные SSL-сертификаты на нестандартных портах - иногда подкидывает подарки. VPS с открытым directory listing, на...

Один домен - sempersim[.]su - засветился в фиде ThreatFox как C2 для LokiBot. Через четыре DNS-пивота от этого единственного индикатора я вышел на кластер...

На проекте по профилированию инфраструктуры перед внешним пентестом финтех-компании я параллельно запустил SpiderFoot и theHarvester на один домен...

При разборе инфраструктуры одной Cobalt Strike-кампании ключевой зацепкой оказался не сэмпл и не IP из фида, а CNAME-запись субдомена скомпрометированной...

На своём третьем ивенте я убил две недели на web-таск с цепочкой из SQL injection, bypass фильтрации и чтения файлов через LFI. Красивая многоходовка. Через...

За два года на Hack The Box я прошёл около 70 машин - от Starting Point до Hard-уровня, добрался до ранга Pro Hacker. Первую машину Meow решал три часа...

175 000 инстансов Ollama и больше 8 000 MCP-серверов торчат в публичном интернете - это данные Bishop Fox (vendor report, требует независимой верификации)...

Huntress фиксирует рост злоупотребления RMM-инструментами - заметная доля инцидентов связана с легитимным софтом для удалённого администрирования в руках...

Большинство организаций не знает, чем владеет. Не в философском смысле - в буквальном. Для пентестера это подарок: в 9 из 10 проектов заказчик не видит...

ИТ-отдел уверенно называет 100–150 хостов. Запускаешь connectorless-перечисление из публичных источников - получаешь 300+. Разница - dev-стенды...

На внешнем пентесте прошлой осенью мы получили scope из трёх доменов и запрет на активное сканирование до согласования с SOC заказчика. За первые четыре...

На pre-engagement фазе пентеста промышленной компании я загрузил корневой домен в crt.sh и получил 47 субдоменов. ИТ-отдел знал о 28. Среди оставшихся 19 -...

По данным IBM X-Force Threat Intelligence Index 2025, среднее время между публикацией CVE и её устранением в исследованной выборке - 29 месяцев. Два с...

Кандидат с тремя ИБ-сертификациями и пятью годами коммерческого опыта не выстроил цепочку от path traversal до выполнения команд за 40 минут на CTF-задаче...

CVE-2025-5777 - CitrixBleed 2 - попала в каталог CISA KEV 10 июля 2025 года. Due date для федеральных агентств: следующий день, 11 июля. CVSS 9.3...

Threat intelligence для начинающих: с чего начать без бюджета Разведка угроз (TI) - это не отчёты об APT на 200 страниц, а практика: узнать о фишинге или...

Восемь часов, 24 команды, пять уязвимых сервисов - и чекер, который на каждом втором тике возвращал CORRUPT из-за race condition в собственном коде...

На прошлогоднем Jeopardy с 300+ участниками скорборд лёг на 40-й минуте. Динамический скоринг в CTFd пересчитывал стоимость тасков при каждом сабмите, а...

Я помню свой первый CTF. Открыл задачу из категории PWN, увидел бинарник без исходного кода, загрузил в Ghidra - и следующие четыре часа пялился на что-то...