Разборы

За два года на Hack The Box я прошёл около 70 машин - от Starting Point до Hard-уровня, добрался до ранга Pro Hacker. Первую машину Meow решал три часа...

24 декабря 2024 года расширение Cyberhaven - ИБ-инструмент, установленный у порядка 400 000 пользователей и наверняка включённый в корпоративный allowlist...

Введение: WebSocket в современном вебе WebSocket — это протокол связи, обеспечивающий канал двусторонней передачи данных поверх одного соединения TCP...

Кандидат с тремя ИБ-сертификациями и пятью годами коммерческого опыта не выстроил цепочку от path traversal до выполнения команд за 40 минут на CTF-задаче...

DownUnderCTF 2023 обслужил больше 2000 команд на 68 заданиях, выдержал пиковые 32 100 запросов в секунду и обошёлся в $876 AUD за две недели на Google Cloud...

По данным OWASP, 94% протестированных веб-приложений содержат ту или иную форму нарушения контроля доступа. Но вот что не попадает в статистику: большинство...

Атакующий подставил чужой идентификатор в запрос, сервер вернул данные. Без эксплойта, без обхода WAF - просто GET /api/orders/1254 с чужим ID. По данным...

Утро. Grafana показывает 340 Gbps входящего UDP-трафика на пограничных маршрутизаторах финтех-компании, где полгода назад настраивали эшелонированную...

Заголовок: Теоретический концепт DAVP-атаки: Обход MFA через AitM с использованием DoS-компонента и динамической VPN-ротации Введение На сегодняшний день...

Персональный токен доступа (PAT), случайно слитый в историю чата ChatGPT, оставался валидным несколько месяцев и давал admin-доступ к...

Прежде чем разбирать механику атаки, стоит отметить: большинство материалов о Fake CAPTCHA сходятся в одном — сама технология проверки «Я не робот» не...

На последнем пентесте API финтех-сервиса каждый запрос требовал HMAC-подпись в заголовке X-Signature - вычислялась из тела, текущего timestamp и сессионного...

Telegram остаётся одним из самых популярных мессенджеров, несмотря на блокировки, ограничения и высокий уровень мошеннической активности. Платформа активно...

Постановка задачи и архитектура приложения Всего один некорректно настроенный параметр URL может позволить злоумышленнику использовать запросы на стороне...

На пентесте SaaS-платформы с SSO через Keycloak я обнаружил, что авторизационный сервер принимает redirect_uri с path traversal...

На bug bounty в финтехе я потратил три минуты на обнаружение CRLF injection в эндпоинте редиректа - и два часа на эскалацию до XSS через HTTP response...

По данным IBM X-Force Threat Intelligence Index 2025, infostealers вышли на первое место среди всех типов малвари - 32%, обогнав ransomware. Рост атак с...

На аудите финтех-API осенью 2024-го мы три дня копали IDOR в платёжных эндпоинтах - а critical обнаружился в JWT-заголовке. Значение параметра kid...

Эволюция XSS и современные защиты Скорее всего, вы уже знаете что такое XSS, но давайте для полноты картины повторим. XSS (от англ. Cross-Site Scripting) -...

Четверг, 14:30. На пентесте интернет-банка - 800 тысяч клиентов-физлиц, Java-бэкенд с REST API - перехватываем запрос к GET /api/v2/accounts/{id}/statements...

На пентесте API одного банка мы подменили account_id в GET-запросе к /api/v2/accounts/{id}/balance - и получили баланс чужого счёта. Без повышения...

Восемь часов, 24 команды, пять уязвимых сервисов - и чекер, который на каждом втором тике возвращал CORRUPT из-за race condition в собственном коде...

На прошлогоднем Jeopardy с 300+ участниками скорборд лёг на 40-й минуте. Динамический скоринг в CTFd пересчитывал стоимость тасков при каждом сабмите, а...

1. Введение: proactive phishing monitoring Забудьте про времена, когда просто ждали, пока клиент пришлет скриншот фейковой формы в саппорт. Если сидите и...

«В каждой профессии есть ритуал инициации, о котором не принято говорить вслух. У хирургов — первая ночная смена с тяжёлым пациентом. У пилотов — посадка...

Веб - самая популярная и самая непредсказуемая категория в CTF. Тут нет формулы «запустил скрипт - получил флаг». Каждый таск - мини-приложение со своей...

Я помню свой первый CTF. Открыл задачу из категории PWN, увидел бинарник без исходного кода, загрузил в Ghidra - и следующие четыре часа пялился на что-то...

Последние два года я собирал солверы для CTF на pwntools и angr - ручная работа, скрипт за скриптом. А потом на одном университетском CTF LLM-агент набрал...

Что вас ждёт в статье: 1. Введение: Bug Bounty в 2026 1.1. Рынок: $300M+ выплат 1.2. Реальная статистика заработков 2. Необходимые навыки 2.1. Minimum...

Подключиться к публичному Wi-Fi можно за пару кликов и так же легко — потерять данные карт, пароли и другую конфиденциальную информацию. Открытые точки...