现已上线！2025 年 Telegram 研究 — 年度关键洞察 
Hacker Lab
前往频道在 Telegram
Канал платформы hackerlab.pro Hacker Lab — Платформа для практического обучения кибербезопасности Чат - @hackerlab_chat ❗️Техподдержка: @CodebyFeedbackBot
显示更多3 405
订阅者
+524 小时
+147 天
+4930 天
数据加载中...
相似频道
标签云
进出提及
---
---
---
---
---
---
吸引订阅者
六月 '26
六月 '26
+18
在1个频道中
五月 '26
+107
在2个频道中
Get PRO
四月 '26
+218
在2个频道中
Get PRO
三月 '26
+107
在2个频道中
Get PRO
二月 '26
+107
在1个频道中
Get PRO
一月 '26
+101
在1个频道中
Get PRO
十二月 '25
+762
在3个频道中
Get PRO
十一月 '25
+177
在1个频道中
Get PRO
十月 '25
+95
在1个频道中
Get PRO
九月 '25
+79
在2个频道中
Get PRO
八月 '25
+158
在1个频道中
Get PRO
七月 '25
+70
在0个频道中
Get PRO
六月 '25
+57
在1个频道中
Get PRO
五月 '25
+76
在0个频道中
Get PRO
四月 '25
+87
在1个频道中
Get PRO
三月 '25
+81
在1个频道中
Get PRO
二月 '25
+35
在0个频道中
Get PRO
一月 '25
+49
在0个频道中
Get PRO
十二月 '24
+1 451
在4个频道中
Get PRO
十一月 '24
+192
在1个频道中
Get PRO
十月 '24
+52
在0个频道中
Get PRO
九月 '24
+113
在4个频道中
Get PRO
八月 '24
+78
在0个频道中
Get PRO
七月 '24
+14
在1个频道中
Get PRO
六月 '24
+32
在1个频道中
Get PRO
五月 '24
+41
在1个频道中
Get PRO
四月 '24
+130
在1个频道中
Get PRO
三月 '24
+38
在0个频道中
Get PRO
二月 '24
+22
在0个频道中
Get PRO
一月 '24
+193
在0个频道中
Get PRO
十二月 '23
+817
在3个频道中
| 日期 | 订阅者增长 | 提及 | 频道 | |
| 06 六月 | +3 | |||
| 05 六月 | +5 | |||
| 04 六月 | +2 | |||
| 03 六月 | +2 | |||
| 02 六月 | +4 | |||
| 01 六月 | +2 |
频道帖子
Открытие летнего сезона и новые задания на платформе HackerLab!
Сезонный рейтинг:
С сегодняшнего дня вы можете побороться за лидирующие позиции рейтинга в новом сезоне. Не упустите шанс провести лето с пользой, прокачать свои навыки и стать лучшим!
Призы: 🥇 1 место — 2 месяца подписки PRO на HackerLab + 30% скидка на любой курс Академии Кодебай + эксклюзивный бейдж на платформе 🥈 2 место — 1 месяц PRO + 20% скидка + эксклюзивный бейдж 🥉 3 место — 1 месяц PRO + 10% скидка + эксклюзивный бейдж 🏅 4–10 место — 1 месяц PLUS + 5% скидка + эксклюзивный бейдж📆 Сезон завершается 31 августа —————————————— Новые задания: 👩💻 Категория Pentest Machines — Графический PDF Приятного хакинга!
| 2 |  ☀️ Скидка 20% на подписку HackerLab!
Летом наконец есть время порешать задачки в удовольствие - полный доступ к заданиям, курсам и про-лабораториям.
Промокод: Summer2026
Только до 14 июня — не упусти
👉 https://hackerlab.pro/subscription | 1 904 |
| 3 |  🔍 Неделя 1 — nmap: Recon начинается со стука
Стартовала первая неделя серии «Сетевая разведка за 30 дней». Задача — «Кто там?» на HackerLab, 200 очков.
На эксплойт уходит 30 минут, на recon с нуля — 2 часа. Большинство новичков начинают сразу со второго шага. Эта неделя — про первый.
Один инструмент, четыре режима:
📌 nmap -sS — TCP SYN scan, быстрее полного соединения 📌 nmap -p- — все 65535 портов, чтобы не пропустить нестандартные сервисы 📌 nmap -sV -sC — детект версий + дефолтные NSE-скрипты 📌 nmap -O — fingerprint ОС для выбора цепочки эксплуатации
Запоминаем не команды, а что делает каждый флаг. Команды можно нагуглить, понимание — нельзя.
⚙️ В weekly-треде обсуждаем подходы и ошибки без спойлеров. После дедлайна — открываем writeup'ы.
🎁 Топ-3 первых solver'ов — мерч от Codeby.
⚠️ Участвовать могут только те, кто ранее не решал это задание.
📅 Начало 1 июня в 20:00. Дедлайн — воскресенье, 7 июня, 23:59 МСК
👉 https://codeby.net/threads/nedelya-1-kto-tam-port-scan-i-banner-grabbing-na-nmap.93752/ | 852 |
| 4 |  🚩 Итоги весеннего сезона на платформе HackerLab
Сезон подошёл к концу, а это значит, что пришло время объявить победителей!
Призы:
🥇Term1nal - 2 месяца подписки PRO на HackerLab + 30% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
🥈segnetik - 1 месяц подписки PRO на HackerLab + 20% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
🥉Ar1se4101 - 1 месяц подписки PRO на HackerLab + 10% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
4-10 место - 1 месяц подписки PLUS на HackerLab + 5% скидка на любой курс Академии Кодебай, эксклюзивный бейдж на платформе
Убедительная просьба к победителям сезона: в настройках профиля пользователя указать свой Telegram для связи.
Благодарим всех за участие! | 800 |
| 5 |  🚩 Новые задания на платформе HackerLab!
🎢 Категория Разное — Капсула времени
Приятного хакинга! | 3 366 |
| 6 |  🔓 В реальных пентестах мы чаще заходим через забытый роутер, чем через фишинг
18,8 миллиарда IoT-устройств подключены к сети прямо сейчас. У большинства из них последнее обновление прошивки было единственным — заводским. А окно от публикации критической уязвимости до первого рабочего эксплойта сжалось до 24–72 часов. Задумайтесь: ваш роутер, IP-камера или NAS — это, возможно, уже чья-то точка входа.
Почему так происходит? Потому что на роутере нет ни антивируса, ни логов, ни человека, который за него отвечает. Это идеальная мишень.
⚡️ Какие уязвимости эксплуатируют чаще всего?
Анализ каталога CISA KEV за 2024 год рисует чёткую картину. Вот топ проблем в сетевом оборудовании:
• Command Injection (CWE-78) — абсолютный лидер. CGI-бинарь в веб-интерфейсе роутера берёт параметр из HTTP-запроса и передаёт его напрямую в system() или popen(). Без фильтрации. Вообще. Результат — RCE от имени root.
• Дефолтные и жёстко зашитые пароли (CWE-287) — классика, которая никуда не делась. Камеры, NAS, SOHO-роутеры — полный доступ к устройству одним запросом.
• Out-of-bounds Write (CWE-787) — переполнение буфера в сетевых сервисах. Реальный пример: уязвимость в Captive Portal PAN-OS позволяла получить root-шелл на файрволе Palo Alto.
• Path Traversal (CWE-22) — чтение произвольных файлов через веб-панель управления. Конфиги, ключи, хеши — всё как на ладони.
🛡 Отдельная история — персистентность. Бэкдор FIRESTARTER на Cisco ASA показал, что даже после установки патча вредонос может пережить обновление. Патч закрывает дыру, но не выкидывает того, кто уже внутри. Это меняет саму парадигму патч-менеджмента для embedded-систем: мало обновить, нужно ещё убедиться, что устройство чисто.
📋 Что проверить прямо сейчас:
1. Telnet и HTTP на ваших роутерах — отключены? Если нет, у вас открытый вход без шифрования.
2. Прошивка — когда обновлялась последний раз? Если ответ «не помню» — это и есть проблема.
3. UPnP, SSDP, debug-порты — всё, что не нужно, должно быть закрыто.
Мы собрали полную карту атак на IoT: от классификации уязвимостей и разбора реальных CVE до готового чеклиста аудита и стратегии патч-менеджмента для устройств, которые обычно никто не патчит. Подробности — в полной статье.
https://codeby.net/threads/uyazvimosti-iot-ustroistv-kriticheskaya-karta-atak-i-patch-menedzhment.93797/ | 683 |
| 7 |  🔑 Анатомия реестра Windows: SAM, BootKey и извлечение NTLM-хэшей
«Для доступа к SAM нужны права SYSTEM, а хэши — только через дамп lsass». Все это повторяют, но это не совсем так.
Заключительная часть серии по внутренним особенностям реестра. На этот раз — практический разбор того, как Mimikatz, Hashcat и PassRecovery вытаскивают пароли из учётных записей Windows.
Что внутри:
📌 Как устроена база SAM — аутентификация, SID, политики безопасности и связь с lsass.exe
📌 BootKey — сборка 16-байтного ключа шифрования из скрытых полей ClassName четырёх ключей LSA (JD, Skew1, Data, GBG)
📌 Недокументированные структуры параметров F (fixed) и V (variable) — где лежат хэши NTLM, имена учёток, даты входа и счётчики
📌 Почему Credential Guard и RunAsPPL блокируют дамп lsass, но не закрывают доступ через реестр
⚙️ Практика — рабочий код на FASM, который из пользовательской сессии с привилегией SeBackup читает ветку SAM через RegCreateKeyEx + REG_OPTION_BACKUP_RESTORE. Без дампов памяти, без обращения к lsass.
Флаг не наследуется, документации на структуры нет с времён WinXP, а различия между Win7 и Win10+ ломают все старые парсеры. Автор нашёл актуальные структуры и показывает всё на живой системе.
👉 https://codeby.net/threads/anatomiya-reyestra-windows-3-baza-dannykh-sam-i-kheshi-paroley.93745/ | 0 |
| 8 |  🚩 Новые задания на платформе HackerLab!
🎢 Категория Разное — Анонимизатор
——————————————
🗂 В архив добавлены задания + райтапы:
🔵PWN - Piece of cake
Приятного хакинга! | 4 121 |
| 9 |  🔍 Сетевая разведка за 30 дней — 4 недели практики на HackerLab
80% реальных пентест-engagement'ов начинаются с nmap и gobuster, а не с экзотических эксплойтов. Кто умеет читать вывод сканера — находит уязвимости. Кто пропускает recon — стоит на брутфорсе вечно.
С 1 по 28 июня — бесплатная серия из 4 задач на hackerlab.pro. Одна неделя = один инструмент, сложность растёт:
📌 Неделя 1 — nmap: port scan + banner grabbing
📌 Неделя 2 — nmap -sV, ssh-audit: service enumeration
📌 Неделя 3 — gobuster, ffuf, wfuzz: web recon, directory + vhost
📌 Неделя 4 — nmap + Burp + hydra: полная цепочка recon → exploitation
Всё решается прямо на платформе — никаких VPN, регистраций, скачиваний.
⚙️ Каждый понедельник — новый weekly-тред с intro, ссылками и discussion prompts. До дедлайна обсуждаем подходы и ошибки без спойлеров, после — открываем writeup'ы.
🎁 Топ-3 первых solver'ов каждой недели — мерч от Codeby + упоминание в рекапе. Лучшие writeup'ы закрепляются в треде.
Подходит всем уровням: от первого запуска nmap до «code review» recon-привычек для middle.
К концу июня — свой чеклист «что делать, когда увидел новый IP» и публичные writeup'ы в портфолио.
📅 Старт — 1 июня. Первая машина — «Кто там?»
👉 https://codeby.net/threads/misen-setevaya-razvedka-za-30-dnei-4-nedeli-praktiki-na-hackerlab.93740/ | 1 276 |
| 10 |  🟢 НОВЫЙ виджет «Обсуждение» — теперь под каждым CTF заданием
Под текстом любого задания на hackerlab.pro появился блок обсуждения, привязанный к ветке форума. Задать вопрос, попросить подсказку, ответить другому игроку — всё в одном месте, без перехода на codeby.net.
Зачем: чтобы опыт жил рядом с задачей. Тонкости стека, нетривиальные подходы, вещи которые не гуглятся — делитесь.
Одно правило: подсказки — да, флаги — нет.
⚠️ Не получается отправить сообщение
Виджет свежий, шероховатости есть. Самая частая проблема решается так:
1. Выйти из аккаунта
2. Зайти заново через Codeby ID
🆘 Другие баги, странности, идеи
Напишите мне в Telegram: @The_Codeby или на форуме в ЛС — приложите скриншот и опишите что делали и что увидели. Чем подробнее — тем быстрее починим.
Пробуйте, ломайте, репортите. Без фидбэка инструмент мёртвый. | 1 291 |
| 11 |  57% компаний узнают о взломе не от своего SOC. Почему?
Mandiant M-Trends 2025 фиксирует неприятную реальность: больше половины организаций получают новость о компрометации от внешней стороны — партнёра, регулятора, иногда журналиста. Не от собственного SIEM, не от EDR, не от аналитика на смене.
🔍 Медиана присутствия атакующего в сети до обнаружения — 11 дней. Звучит как исторический минимум, и формально так и есть. Но за 11 дней злоумышленник проходит полный kill chain: фишинг → закрепление → боковое перемещение → выгрузка данных или шифрование инфраструктуры. Когда вы узнаёте об атаке, ущерб уже нанесён.
Почему так происходит? Потому что SIEM ловит сигнатуры, а не контекст. Атакующий, который использует валидные учётные записи и штатные инструменты вроде powershell.exe или wmic, не триггерит стандартные правила корреляции. Он выглядит как легитимный администратор.
📊 Ещё одна цифра от IBM X-Force 2025: самый распространённый тип малвари сегодня — инфостилеры (32%), они обогнали шифровальщиков. А среднее время между публикацией CVE и устранением уязвимости в организации — 29 месяцев. Два с половиной года. Атакующим не нужны zero-day, когда окно открыто настолько широко.
⚙️ Расследование кибератаки — управляемый процесс с чёткими фазами. Два основных фреймворка — NIST SP 800-61 и SANS — описывают одну и ту же логику разными словами:
1. Подготовка — IR-план, playbook, инструменты наготове
2. Обнаружение и анализ — triage алерта, определение скоупа
3. Сдерживание — изоляция хоста, сегмента, учётки
4. Устранение и восстановление — очистка, пересоздание, возврат в продакшн
5. Разбор полётов — отчёт, timeline, IOC-приложения
Ключевое различие: NIST объединяет шаги 3-4, потому что на практике они идут параллельно. Вы изолируете один сегмент и тут же чистите соседний. SANS разбивает их последовательно, что удобнее для команд, которые строят процесс с нуля.
Но выбор фреймворка вторичен. Критично другое — сам факт наличия документированного плана. Без него каждый инцидент превращается в импровизацию, где теряются артефакты, затираются логи и уничтожаются доказательства.
🎯 Практический чеклист на первые 30 минут:
• Подтвердить алерт — это true positive?
• Определить скоуп — один хост или сегмент?
• Изолировать, не выключая — сохранить содержимое RAM
• Зафиксировать время — таймлайн начинается сейчас
Мы собрали полную карту Incident Response — от первого алерта до финального отчёта, с разбором форензики, анализа памяти, threat hunting и реальных кейсов. Все детали — в полной статье.
https://codeby.net/threads/rassledovaniye-kiberataki-polnaya-karta-incident-response-ot-obnaruzheniya-do-otcheta.93680/ | 810 |
| 12 |  🚩 Новые задания на платформе HackerLab!
⚙️ Категория Реверс-инжиниринг — Черемша
Приятного хакинга! | 3 934 |
| 13 | 🔐 Единая система входа Codeby ID — как пользоваться
Codeby ID — это один аккаунт для входа на форум codeby.net и на платформу hackerlab.pro. К одному Codeby ID можно привязать несколько способов входа: email, Google, GitHub, Telegram. Куда бы вы ни заходили — это будет ваш один и тот же аккаунт.
---
❓ Сценарий 1 — у меня только Telegram и аккаунт на HackerLab
Цель: добавить email и получить доступ к форуму с тем же аккаунтом.
1. Зайдите на hackerlab.pro через кнопку «Войти через Telegram» (как раньше)
2. Откройте свой Профиль → Настройки
3. Нажмите кнопку «Привязать email» (или подобную в блоке «Способы входа»)
4. Откроется страница Codeby ID — введите свой реальный email и нажмите «Сохранить»
5. На указанный email придёт письмо с подтверждением — перейдите по ссылке внутри письма
6. Готово ✅ — теперь у вас два способа входа (Telegram + email)
После этого вы автоматически сможете зайти на форум codeby.net через Codeby ID — система создаст для вас аккаунт или найдёт существующий по email.
---
❓ Сценарий 2 — у меня только email/Google/GitHub и аккаунт на форуме
Цель: привязать Telegram и зайти на HackerLab в свой существующий аккаунт.
1. Зайдите на codeby.net через ваш обычный способ (email/Google/GitHub)
2. Откройте «Безопасность аккаунта» — https://codeby.net/account/security
3. Нажмите кнопку в блоке «🔐 Управление способами входа»
4. Откроется страница Codeby ID — раздел «Способы входа»
5. Нажмите «Привязать Telegram» — откроется виджет Telegram, подтвердите вход в Telegram
6. Готово ✅ — теперь Telegram привязан к вашему Codeby ID
Теперь зайдите на hackerlab.pro через «Войти через Telegram» — попадёте в свой существующий HackerLab-аккаунт со всем прогрессом (если у вас уже был аккаунт на HL под этим Telegram).
---
❓ Сценарий 3 — связать существующие аккаунты Форум + HackerLab
Связь происходит автоматически, если все способы входа привязаны к одному Codeby ID.
Проверка: зайдите на https://id.codeby.net/if/user/ → раздел «Способы входа» — здесь должны быть все ваши способы (Telegram, email, Google, GitHub — те что используете).
Если способа не хватает — привяжите по инструкциям из Сценария 1 или 2.
После того как все способы привязаны:
- Логин на форум по email/Google/GitHub → ваш форумный аккаунт
- Логин на HL по Telegram → ваш HL-аккаунт со всеми задачами
- Это один и тот же Codeby ID на обоих сайтах
---
⚠️ Чего НЕ нужно делать
- ❌ Не регистрируйтесь через разные email на разных сайтах — система воспримет это как разных людей
- ❌ Не используйте одноразовые email (mailinator, cock.lu и подобные) — они блокируются как спам, письмо подтверждения не дойдёт
- ❌ Если что-то пошло не так — не создавайте новый аккаунт повторно, напишите CTO (контакт ниже). Лишние аккаунты только усложнят восстановление
---
🆘 Куда писать о проблеме
Если:
- Видите пустой аккаунт вместо своего старого (нет ваших задач CTF / нет постов на форуме)
- Не получается привязать email или Telegram
- Письмо с подтверждением не приходит
- Кнопка «Войти через X» не работает или показывает ошибку
- Любая другая проблема со входом
Напишите в Telegram: [@The_Codeby] или на mail@codeby.email — приложите скриншот и опишите что делали и что увидели. Чем подробнее — тем быстрее починим. | 939 |
| 14 |  Почему 75% директоров по ИБ не устраивают свой бизнес
Свежие данные SuperJob и Positive Education за 2026 год: каждый второй CISO считает, что справляется хорошо. Но высокую оценку от генерального директора получают только 25%. Полуторакратный разрыв между самооценкой и восприятием бизнеса — не проблема самомнения. Это системный баг перехода.
Инженер, который закрывает уязвимости быстрее всех, проваливает первое совещание с CFO, потому что не умеет конвертировать CVSS 9.8 в рубли ущерба. Система образования этому не учит. Вообще.
🔹 Вот что реально стоит на кону. Разрыв в зарплатах между специалистом по ИБ и CISO уровня топ-менеджмента — шестикратный: от 230 тысяч до 1,3–2 млн рублей в месяц. Медиана для CISO в Москве — 520 тысяч, верхняя граница в финтехе и госкорпорациях доходит до 1,5 млн плюс бонус 30–50% годового дохода. Поиск подходящего кандидата затягивается на 4–6 месяцев — рынку остро не хватает людей, которые одновременно разбираются в технике, умеют управлять и понимают регуляторику.
🔹 Путь от инженера до директора по ИБ в российских реалиях занимает 7–12 лет. Три этапа, на каждом из которых ломается большинство.
Этап 1 — техническая база (0–3 года). Работаете руками: SIEM, SOC, DLP. Принципиальный навык — не просто закрывать тикеты, а копать глубже: почему инцидент произошёл и какой бизнес-процесс допустил уязвимость. Привычка думать «почему» вместо «что» потом отличает будущего CISO от вечного L2-аналитика.
Этап 2 — руководитель направления (3–7 лет). Перелом. Перестаёте настраивать SIEM и начинаете решать, какие логи вообще собирать и сколько это будет стоить компании. Мозг сопротивляется, руки тянутся к консоли. Если не отпустить — останетесь тимлидом с завышенным титулом. Критичные проекты для резюме на этом этапе:
• Категорирование объектов КИИ по ФЗ-187
• Соответствие требованиям ЦБ (683-П, 757-П)
• Прохождение проверок Роскомнадзора
• Получение лицензий ФСТЭК/ФСБ
Этап 3 — выход в C-suite. Тут всё решает одно умение: перевести киберриски на язык бизнеса. Не 40-страничная презентация со статистикой файрволов — одна страница с тремя метриками. Те, кто задерживается на позиции дольше, делают так: первый месяц — встречи один на один с CFO, COO, CTO. Второй — аудит. Третий — первый отчёт совету директоров с конкретным запросом на решение.
🎯 Полный roadmap с зарплатными вилками, списком сертификаций и конкретными KPI для каждого этапа — в развёрнутой статье.
https://codeby.net/threads/ciso-kar-yera-roadmap-ot-inzhenera-do-direktora-po-ib-v-2026-godu.93049/ | 1 128 |
| 15 | Создал issue — получил токены. Как LLM-агенты в CI/CD превращают комментарий в supply chain атаку
Представьте: кто-то открывает issue в публичном репозитории на GitHub. Обычный текст, никакого подозрительного кода. Через пару минут агентский workflow автоматически подхватывает описание, скармливает его LLM, а та послушно вызывает run_shell_command и gh issue edit — сливая GITHUB_TOKEN, облачные ключи и всё, до чего дотянется. Человек в цепочке не участвует вообще.
Это не теория. Два свежих исследования — JAW и TaintAWI — просканировали более 13 тысяч агентских workflow и описали новый класс уязвимостей: Agentic Workflow Injection (AWI). По заявлениям авторов, TaintAWI нашёл 496 подтверждённых уязвимостей, из которых 343 — ранее неизвестные zero-day. JAW продемонстрировал перехват более 4 000 workflow, затронув 15 популярных GitHub Actions от Google, Anthropic и OpenAI.
🔥 Почему это не обычная prompt injection?
Классическая инъекция промптов — это атака на саму модель. AWI работает иначе. Атакующий контролирует лишь фрагмент входа — заголовок issue, тело PR, комментарий. Но цель не LLM, а привилегированные инструменты, которые агент вызывает в контексте CI/CD. Никакого '; rm -rf /;' — вместо этого осмысленные инструкции на естественном языке, которые агент исполняет добровольно. Семантическое влияние вместо синтаксического взлома.
Два паттерна атаки:
• Prompt-to-Agent — вредоносный текст из issue попадает в промпт, модель интерпретирует его как инструкцию и вызывает привилегированный инструмент напрямую.
• Prompt-to-Script — хитрее. Атакующий формирует ответ модели, который потом интерполируется в shell-команду или API-вызов следующего шага workflow. LLM тут — невольный посредник.
⚙️ Масштаб проблемы
TaintAWI проанализировал 1 033 AI-assisted Actions с GitHub Marketplace. Только 21 из 1 033 предлагает хоть какой-то механизм контроля доступа для вызывающего. Два процента. Остальные 98% — открытая дверь: любой зарегистрированный пользователь GitHub, создавший issue в публичном репозитории, потенциально запускает агента с полными привилегиями.
Среди уязвимых — Gemini CLI от Google (доступ к run_shell_command и секретам), Claude Code Actions от Anthropic (при конфигурации allowed_non_write_users: "*" проверка прав отключается полностью), OpenAI Codex Actions (дефолт безопасен, но ошибки конфигурирования ломают всё).
🛡 Что делать прямо сейчас?
1. Проверьте, какие агентские Actions используются в ваших репозиториях и какие триггеры у них настроены
2. Ограничьте permissions в workflow до минимально необходимых
3. Никогда не ставьте allow-users: "*" в production-репозиториях
Полная анатомия AWI с разбором цепочек атак и конкретных Actions — в статье на форуме.
https://codeby.net/threads/in-yektsiya-promptov-v-github-actions-anatomiya-agentic-workflow-injection.93649/ | 0 |
| 16 |  75% вторжений в 2024 году — без единого эксплойта. Атакующие просто вошли.
Не через уязвимость. Не через zero-day. Через дверь — с валидным логином и паролем. Среднее время от входа до латерального перемещения по сети — 62 минуты, а рекорд — 51 секунда. Identity стала главным вектором атак, и вот почему это касается каждого.
🔑 Мы привыкли думать, что MFA решает проблему. Но в реальности второй фактор — это замедлитель, а не стена. AiTM-прокси вроде Evilginx2 перехватывают сессионные cookie в реальном времени, пока жертва вводит свой одноразовый код. Push-усталость заставляет человека нажать «Подтвердить» в три часа ночи, лишь бы уведомления прекратились. SIM-свопинг вообще убирает телефон из уравнения.
⚡️ Цепочка атаки выглядит как лестница из четырёх ступеней:
1. Учётные данные — credential stuffing из утёкших баз, password spraying, покупка логов у инфостилеров. По Verizon DBIR 2025, 38% утечек начинаются именно так.
2. Обход MFA — AiTM-фишинг, перехват OTP, push-бомбинг.
3. Токены и билеты — OAuth-токены, Kerberos TGT/TGS, Primary Refresh Token в Azure AD. Всё это работает без пароля и без MFA. Pass-the-Ticket, Pass-the-Cookie, token replay — атакующий действует от имени легитимного пользователя.
4. Закрепление — Golden Ticket, долгоживущие refresh tokens, скомпрометированный Identity Provider. Сброс пароля жертвы на этом этапе уже ничего не даёт.
🎯 Отдельная боль — Kerberos. Протоколу больше 30 лет, но он по-прежнему ядро аутентификации Active Directory. Kerberoasting не требует привилегий Domain Admin. Любой доменный пользователь запрашивает сервисный билет, зашифрованный хэшем пароля сервисной учётки, и крекает его офлайн. KDC при этом видит абсолютно легитимный запрос. AS-REP Roasting ещё проще — для аккаунтов с отключённой преаутентификацией доменная учётка даже не нужна.
И ещё одна цифра, которая должна не давать спать спокойно: медианное время исправления утёкшего секрета на GitHub — 94 дня. Три месяца API-ключ или токен лежит в открытом доступе. Понятие «учётные данные» давно вышло за рамки логина и пароля — теперь это JWT, API-ключи, CI/CD-секреты, сервисные аккаунты облаков.
🛡 Что делать прямо сейчас? Проверьте AD на Kerberoastable-аккаунты и учётки без преаутентификации. Внедрите FIDO2 вместо SMS и push. Мониторьте аномальные запросы TGS-билетов. Это минимум, который закрывает самые массовые векторы.
В полной статье — детальная карта атак на identity с разбором каждой техники, инструментов и методов детекта.
https://codeby.net/threads/ataki-na-autentifikatsiyu-polnyi-razbor-tekhnik-komprometatsii-oauth-mfa-kerberos-i-identity-infrastruktury.93646/ | 810 |
| 17 |  11 минут на одной RTX 4090 — и корпоративный Wi-Fi сдался
На недавнем Red Team проекте для крупного ритейлера точку входа во внутренний периметр нашли не через VPN, не через фишинг — а через Wi-Fi с WPA2-PSK. Пароль был вида Company2024! — название компании, год, восклицательный знак. Hashcat со словарём rockyou и правилом best64 разобрался за считанные минуты. Итог: три этажа офиса, двести сотрудников, VLAN-сегментация — всё доступно с парковки через направленную антенну.
И это не единичный случай. Компании вкладывают миллионы в WAF, EDR, SIEM, а беспроводной вектор остаётся слепым пятном. Wi-Fi — один из самых недооценённых путей initial access в реальных пентестах.
🔑 Почему это работает так легко?
WPA2-PSK уязвим к офлайн-перебору. Атакующему достаточно перехватить PMKID (даже без подключённых клиентов!) или классический 4-way handshake после деаутентификации. Дальше — дело GPU. На RTX 3090 Hashcat выдаёт около 1 MH/s на WPA-PBKDF2, на RTX 4090 — до 1.8 MH/s. Словарь rockyou с мутациями (~1 млрд кандидатов) прогоняется за 10–15 минут. Восьмизначный цифровой пароль падает ещё быстрее.
Но есть нюанс: 12+ случайных символов со спецсимволами — вне досягаемости любого текущего железа. Разница между "взломали за 11 минут" и "не взломали вообще" — буквально в качестве пароля.
📡 А что с WPA3?
WPA3-SAE убирает офлайн-перебор — протокол Dragonfly не отдаёт хеш для брутфорса. Звучит надёжно. Но на практике большинство корпоративных сетей работают в Transition Mode (WPA2 + WPA3 одновременно), чтобы не ломать совместимость со старыми устройствами. А это значит — атакующий просто принудительно даунгрейдит клиента до WPA2 и работает по старой схеме. Transition Mode — это иллюзия безопасности, а не реальная защита.
⚙️ Ещё один мощный вектор — Evil Twin. Поднимаешь поддельную точку доступа с тем же SSID, деаутентифицируешь клиентов от настоящей — и они переподключаются к тебе. Для WPA2-Enterprise это вообще золотая жила: инструмент eaphammer поднимает фейковый RADIUS и собирает доменные учётки в открытом виде, если клиенты не валидируют сертификат сервера.
Что из этого следует? Беспроводной пентест — не экзотика, а обязательная часть аудита. И техники, и инструменты давно зрелые. В полном гайде — пошаговые команды, выбор адаптеров, разведка эфира и разбор каждого вектора с примерами.
https://codeby.net/threads/vzlom-wifi-ataki-na-wpa2-i-wpa3-prakticheskii-gaid-dlya-pentestera.93030/ | 753 |
| 18 |  ML-движок за миллионы рублей пропускал платежи без единого алерта. Почему?
На одном из red team-проектов против платёжного шлюза команда за четыре часа прошла три уровня антифрода: velocity checks, device fingerprinting от коммерческого вендора и поведенческую биометрию. Card-not-present транзакции до 150 000 рублей улетали без единого срабатывания — ручная проверка включалась только выше порога. И это не уникальный случай, а системная проблема.
Почему так происходит? Бизнес давит на антифрод-команды: каждый ложный блок — потерянный клиент. Пороги калибруют так, чтобы минимизировать false positives, и если транзакция выглядит «достаточно нормально», она проходит. Именно этот зазор и эксплуатируют атакующие.
🔍 Как устроена защита
Антифрод работает в два слоя. Транзакционный — анализирует суммы, частоты, географию, типы карт. Сессионный — собирает цифровой отпечаток устройства и поведенческие сигналы ещё до момента оплаты. Решение принимается за миллисекунды: JS-коллектор снимает fingerprint, rule engine проверяет жёсткие правила, ML-модель выдаёт вероятность фрода от 0.0 до 1.0, и система решает — пропустить, отправить на ревью или заблокировать.
⚙️ Обход fingerprint'а: консистентность решает всё
Device fingerprinting — первый барьер. Система собирает десятки параметров: Canvas hash, WebGL renderer, AudioContext output, список шрифтов, WebRTC local IP, разрешение экрана, таймзону. Вместе они формируют уникальный отпечаток, который отслеживает пользователя даже при смене IP.
Антидетект-браузеры вроде Multilogin или Dolphin Anty создают изолированные профили с уникальными отпечатками. На red team-проектах иногда патчат Chromium напрямую — подменяют Canvas rendering pipeline, WebGL vendor string, AudioContext sample rate.
Но главная ловушка — не отдельные параметры, а их согласованность. Canvas hash указывает на Intel HD Graphics, а WebGL возвращает NVIDIA GeForce? Флаг. Таймзона Москва при Accept-Language: en-US? Флаг. Разрешение 1920×1080 при заявленном iPhone SE? Флаг. Один рассогласованный параметр — и маскировка рушится.
Ещё один критичный момент: datacenter IP убивает любую маскировку. SEON, Kount, ThreatMetrix ведут базы серверных адресов и отклоняют их почти автоматически. Residential proxy — минимальное требование для прохождения первого слоя.
🧠 А что с поведенческой биометрией? Системы анализируют не только что пользователь делает, но и как: траектории курсора, ритм набора, паттерны скролла. Боты четвёртого поколения уже умеют имитировать человеческую динамику, но timing side-channels и graph analysis остаются серьёзным препятствием.
По данным FTC, потребители в США потеряли от мошенничества более 5,8 млрд долларов за 2021 год. Антифрод проектируется под массовый фрод, а целевые атаки с грамотным OPSEC проскальзывают через все слои.
Полный разбор техник обхода, конкретных инструментов и слепых зон защиты — в развёрнутой статье на форуме.
https://codeby.net/threads/obkhod-antifrod-sistem-kak-atakuyushchiye-uklonyayut-sya-ot-frod-monitoringa-i-gde-zashchita-slepa.93004/ | 1 148 |
| 19 | Всем привет.
10 и 11 мая проводятся работы по внедрению единого входа в экосистему Codeby
Сейчас на хакерлаб невозможно зарегистрироваться, авторизоваться через почту и сбросить пароль. Ориентировочно до конца дня перечисленный функционал заработает.
Авторизация телеграм работает
Если вы авторизованы в аккаунте, не меняйте пароль и почту, иначе выкинет из аккаунта.
Важно:
Мы не высылаем пароль. После фикса вы самостоятельно можете это сделать. Если не помните почту, мы ее вам вышлем, если пришлете ссылку на свой профиль.
По всем вопросам обращайтесь ко мне в ЛС @the_codeby | 1 276 |
| 20 |  🚩 Новые задания на платформе HackerLab!
🔎 Категория OSINT — Ну, погоди!
——————————————
🗂 В архив добавлены задания + райтапы:
🔵Разное - Предатель
Приятного хакинга! | 1 381 |
