Разборы

В первые полгода в offensive security я кинулся ломать CTF-машины на HTB - результат: четыре рутнутых бокса за месяц, нулевое понимание методологии и отчёт...

По неподтверждённым публикациям, Project Zero портировал полную 0-click цепочку с Pixel 9 на Pixel 10 менее чем за сутки. Пусть это осядет: менее чем за...

В штатах пентестеры, получившие контракт на проверку физической безопасности объекта, периодически оказываются в наручниках - потому что в authorization...

Четыре AppSec-инженера на 47 продуктовых команд - с такого расклада я начинал строить программу security champions в компании с тремястами разработчиками...

Понедельник, 9:17. SOC получает алерт: эндпоинт в бухгалтерии установил исходящее соединение с подозрительным IP. Postmortem покажет - сотрудница открыла...

Финтех-компания на 1200 человек. Первая "слепая" фишинговая симуляция - click rate 41%. При том что полгода назад все до единого прошли обязательный...

В декабре 2024 года Citizen Lab задокументировала установку шпионского ПО Monokle на Android-устройство российского программиста Кирилла Парубца - телефон...

Прежде чем говорить о рисках, стоит понимать техническую суть документа. МЧД оформляется в формате XML по утверждённой ФНС схеме и обязательно подписывается...

29 апреля 2026 года ФСТЭК опубликовал проект изменений в Указ Президента РФ №250 "О дополнительных мерах по обеспечению информационной безопасности РФ" (от...

Семь RE-задач PicoCTF 2024 - UPX-packed бинарь на 100 очков, три уровня антиотладки через IsDebuggerPresent с эскалацией до 400 очков и Classic Crackme с...

По данным IBM X-Force Threat Intelligence Index 2025, среднее время между публикацией CVE и её устранением в организации - 29 месяцев. Два с половиной года...

CVSS 8.8, вектор AV:A - один из тех случаев, когда adjacent-network RCE в Android получает статус Critical от Google. И знаете, что самое обидное? Корневая...

На пентесте инфраструктуры логистической компании основная цель была Active Directory, но первый foothold случился через Mattermost - самохостируемый...

29 из 281 протестированного бесплатного VPN-приложения для Android сливают пользовательский трафик мимо зашифрованного туннеля - включая DNS-запросы, по...

Понедельник, 9:15. Первый день assumed breach в компании с действующим сертификатом ISO 27001, SOC из пяти аналитиков и ИБ-стратегией на 120 страниц. К...

На одном из engagement'ов команда за 72 часа получила Domain Admin через Kerberoasting и lateral movement по плоской сети без сегментации. Отчёт на 80...

На risk assessment подстанции 110 кВ мы нашли historian-сервер, маршрутизируемый напрямую в корпоративную сеть. VLAN существовали, ACL между Level 3 и Level...

195 411 промптов за три дня. Одно соревнование. И всего 1.3% из них заставили чат-бота выдать секретный флаг. Это не гипотетика - реальные цифры AI Hacking...

На своём третьем ивенте я убил две недели на web-таск с цепочкой из SQL injection, bypass фильтрации и чтения файлов через LFI. Красивая многоходовка. Через...

За два года на Hack The Box я прошёл около 70 машин - от Starting Point до Hard-уровня, добрался до ранга Pro Hacker. Первую машину Meow решал три часа...

На gap-анализе химического предприятия в прошлом году мы нашли контроллер SIS (Safety Instrumented System) Triconex, подключённый к корпоративной сети через...

На аудите мобильного арсенала финтех-компании из топ-30 мы нашли iPhone финансового директора, который три недели сливал записи микрофона на C2-сервер через...

В январе 2024 года из одной российской организации утекло 500 млн записей. Роскомнадзор подтвердил факт, но ни название компании, ни вектор компрометации до...

За последние полтора года при форензике мобильных устройств я всё чаще нахожу артефакты коммерческого шпионского ПО в контекстах, не имеющих отношения к...

В марте 2021 года Citizen Lab начала ковырять iPhone саудовского правозащитника. В директории Library/SMS/Attachments нашлись 27 одинаковых файлов с...

Citizen Lab задокументировал FORCEDENTRY (CVE-2021-30860, в каталоге CISA KEV) - zero-click эксплойт NSO Group. Integer overflow в CoreGraphics при...

На форензике Android-устройства жертвы домашнего насилия я обнаружил три APK без иконок в launcher. Два маскировались под системные сервисы, третий прятался...

Кандидат с тремя ИБ-сертификациями и пятью годами коммерческого опыта не выстроил цепочку от path traversal до выполнения команд за 40 минут на CTF-задаче...

DownUnderCTF 2023 обслужил больше 2000 команд на 68 заданиях, выдержал пиковые 32 100 запросов в секунду и обошёлся в $876 AUD за две недели на Google Cloud...

На аудите REST API одного европейского автопроизводителя был подменён VIN в GET /vehicles/{vin}/status - и получены GPS-координаты, уровень топлива и статус...