По данным BlackFog (цитируется в обзоре Vectra AI за 2024 год), 93% атак с развёртыванием ransomware включали предварительную эксфильтрацию данных -...
На пентесте Azure-инфраструктуры финтех-клиента в начале 2026 года я нашёл SSRF в кастомном API-прокси за 40 минут: параметр source_url в...
Пятнадцать коммерческих тактильных сенсоров от восьми производителей - направленная EMI-инъекция поражает каждый из них со стопроцентным результатом. Без...
Три года назад на проекте по физическому пентесту банковского офиса охрана приняла меня на втором этаже - с Proxmark3 в рюкзаке и клонированным пропуском в...
На физическом пентесте дата-центра одного финтех-клиента три двери серверной были закрыты на штифтовые замки Kwikset. Бюджет компании на безопасность ушёл...
На assessment для финтех-клиента я клонировал бейдж охранника за 40 секунд - Proxmark3 RDV4 считал EM4100 прямо через ткань куртки в курилке. Прошёл через...
Замените одну цифру в API-запросе - и вы читаете чужую банковскую выписку. Без инструментов, без эксплойт-чейнов, без zero-day. Просто другое число в URL...
Отдельный вопрос, который часто остаётся за скобками методических материалов — сама форма подачи знаний. Помимо содержания сценариев, на усвоение материала...
На CTF-финале задача по web стоила 500 очков - решили её 2 команды из 40. Связка nginx + gunicorn, HTTP/1.1, connection reuse включён. Нужно было подбросить...
На физическом пентесте офиса финтех-компании я клонировал бейдж EM-Marin через карман куртки сотрудника у турникета - Flipper Zero считал метку за 8 секунд...
На IoT-CTF задача выглядела стандартно: BLE-замок, рядом смартфон-контроллер, нужно перехватить unlock-команду и повторить. Ubertooth One терял каждый...
На последних CTF с радио-треком половина команд приехала с одинаковым набором: HackRF в картонной коробке, штатная телескопическая антенна, ноутбук на 40%...
При аудите зависимостей fintech-сервиса я наткнулся на пакет, мейнтейнер которого привязал npm-аккаунт к email на домене со статусом pendingDelete в whois...
CVSS 10.0, один неаутентифицированный GET-запрос, приватный EC-ключ подписи JWT прямо в теле ответа. CVE-2026-40965 в Cloud Foundry UAA - из тех багов...
Разработчики из команды RTF LABS STUDIO успешно реализовали алгоритм автоматического прохождения одной из самых сложных и продвинутых поведенческих защит на...
Статья построена как гипотетический учебный сценарий patch diffing прошивки тормозного ECU на архитектуре S12X. За основу взяты реальные уязвимости...
Взлом patrolpolice.gov.ua 09.08.2026 были проведены мероприятия по проникновению во внутреннюю инфраструктуру интернет-ресурса patrolpolice.gov.ua —...
В 2025 году атакующие компрометировали GitHub-репозитории через инъекцию в workflow-файлы, POST-запросами отправляя credentials на внешние эндпоинты. Ноль...
Понедельник, 9:15 утра. CloudTrail показывает 47 вызовов sts:GetCallerIdentity от IAM-ключа, который по документам принадлежит сервисному аккаунту Jenkins...
На аудите fintech-проекта, где OpenBao крутил ротацию database credentials и API-ключей облачных провайдеров, я ковырял OIDC-аутентификацию через Burp Suite...
Многофакторная аутентификация перестала быть опцией и превратилась в обязательное требование для защиты ключевых активов. Корректное внедрение MFA гораздо...
Десятки перевёрнутых битов из миллиардов параметров - и accuracy модели на математических бенчмарках проседает на десятки процентных пунктов. Текст на...
139 000 последовательных активаций строки DRAM - и бит переворачивается. Это не теория: Kim et al. показали это ещё в 2014 году (ISCA, "Flipping Bits in...
В 2016 году ребята из Ohio State University (Xiao, Zhang, Zhang, Teodorescu) показали на USENIX Security штуку, от которой у облачных провайдеров дёрнулся...
30 мая 2025 года на Global AppSec EU в Барселоне OWASP выкатил ASVS v5.0.0 - первый мажорный релиз Application Security Verification Standard за шесть лет...
Понедельник, 9:15 утра. В Slack-канал SOC прилетает алерт GuardDuty: UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS. Кто-то вытащил...
31 марта 2026 года один украденный npm-токен превратил axios - HTTP-клиент с ~100 миллионами загрузок в неделю и 174 000 зависимых пакетов - в платформу...
На пентесте интернет-банка мне попалась blind SQL-инъекция в cookie-параметре TrackingId. Ручная верификация заняла три часа - ответы сервера различались...
Подписанный валидным сертификатом разработчика бэкдор, месяц раздававшийся с официального сайта вендора. Не модель угроз на слайде - реальная кампания...
По данным GitGuardian State of Secrets Sprawl Report 2024 (данные за 2023 год) - 12,8 миллионов новых секретов на публичном GitHub. И значительная часть...
