CodeGuard: PySec Edition

🚨 CVE-2024-3094 — backdoor в XZ Utils, который чуть не взломал весь Linux Март 2024 года. В XZ Utils — библиотеке сжатия, встроенной почти во все дистрибутивы Linux — нашли закладку уровня государственной атаки. Суть уязвимости:

➡️ Злоумышленник (пользователь JiaT75) несколько лет втирался в доверие к мейнтейнерам, а затем добавил в код бэкдор, который подменяет SSH-аутентификацию. Атакующий с определённым ключом мог заходить на сервер без пароля. CVSS: 10.0 (критическая)

Где искать: Проверьте версию XZ Utils:

xz --version

Уязвимы версии 5.6.0 и 5.6.1 (в большинстве дистрибутивов не попали из-за быстрого обнаружения). Но если вы ставили софт из тестовых репозиториев — проверьте. Что искать в логах SSH:

➡️Необычные записи об аутентификации без ключа. Но бэкдор был очень хитрым — мог не оставлять следов.

Как защититься:

🔵Понизить XZ Utils до версии 5.4.6 или ниже 🔵Проверить целостность системных библиотек 🔵Следить за новостями — атака вскрыта, но подобные инциденты могут повториться

Почему это страшно:

Бэкдор добавил один человек, которого долго не проверяли. Это тревожный звонок для open-source экосистемы.

📌 Итог: Обновляйте софт, но не спешите ставить свежие версии из недоверенных источников. 😈 CodeGuard: PySec Edition | Чат

Привет. Вот тебе самые топовые каналы по IT! ⚙️ Dev Boost — Самая огромная коллекция платных курсов, которые можно скачать бесплатно; 👩‍💻 IT Books — Самая огромная библиотека книг; 💻 Hacking & InfoSec Base — Крутой блог белого хакера; 🛡 CyberGuard — Всё про ИБ; 🤔 ИБ Вакансии — Всё, чтобы найти работу в ИБ; 👩‍💻 linux administration — Всё про Линукс; 📲 В Max тоже есть место для линуксоидов; 👩‍💻 Программистика — Python, python и ещё раз python; 👩‍💻 GameDev Base — Всё про GameDev; 😆 //code — Самые топовые мемы по IT: 📲 Мы в Max; Подпишись, чтобы не потерять!

🔍 Maigret — ищем человека по нику на 3500+ сайтах Sherlock хорош, но есть зверь мощнее. 🔧 Тулза: Maigret ⚙️ Как работает: Проверяет юзернейм на 3500+ сайтах (включая торрент-трекеры, даркнет-форумы, архивы). Поддерживает поиск по email и через прокси. Установка:

pip install maigret

Запуск:

maigret username

🔥 Кейс сегодняшний:

➡️ Один HR-специалист по ИБ решил проверить соискателя. В резюме — чистый LinkedIn. Забил ник в Maigret и нашёл аккаунт кандидата на форуме по продаже взломанных баз данных. Тот оставлял комментарии, обсуждал утечку клиентов банка. Соискателю отказали, а HR теперь запускает Maigret перед каждым собеседованием

💡 Вывод: Maigret ищет там, где Sherlock не дотягивается. Запускайте через VPN, чтобы не светить свой IP. 😈 CodeGuard: PySec Edition | Чат

🐙 PayloadsAllTheThings — 68 000 звёзд, которые должен знать каждый пентестер Готовые пейлоады, обходы WAF, шаблоны для Burp Intruder и примеры для CTF — всё в одном месте. 🔗 GitHub Что внутри:

🔵SQL Injection — UNION-based, Error-based, примеры для MySQL, PostgreSQL, Oracle 🔵XSS — обход фильтров, стелы для кражи cookie 🔵Command Injection — готовые векторы 🔵File Inclusion — LFI/RFI эксплойты 🔵Upload Bypass — как загрузить шелл, если проверяют расширение 🔵XXE, SSTI, SSRF, JWT и многое другое

Чем полезен: Каждый раздел — не просто набор пейлоадов, а полноценное руководство с README, описанием уязвимости и методами эксплуатации. Как начать:

git clone https://github.com/swisskyrepo/PayloadsAllTheThings

Бонус: Есть веб-версия для удобного просмотра и смежные проекты — InternalAllTheThings и HardwareAllTheThings 😈 CodeGuard: PySec Edition | Чат

📊 NIST ограничила обработку CVE — что теперь делать пентестерам? Национальный институт стандартов и технологий (NIST) объявил об изменениях в обработке уязвимостей. Причина — количество заявок на CVE выросло на 263% за последние 5 лет. 🔗 Ссылка на статью Что изменилось: С 15 апреля NIST обрабатывает не все CVE, а только:

➡️Уязвимости из каталога KEV (известные эксплуатируемые) ➡️CVE для софта, используемого в федеральном правительстве США ➡️Критически важное ПО согласно указу президента

Остальные получат метку «Не запланировано». Цифры: в 2025 году обработали почти 42 000 CVE — на 45% больше, чем в любой предыдущий год. За первые три месяца 2026-го заявок почти на треть больше, чем в прошлом. Что делать:

Если у вас CVE с высоким риском, но она не попала в приоритет — пишите в NIST на nvd@nist.gov и запрашивайте обработку.

Вывод: База NVD больше не будет содержать 100% CVE с подробным анализом. Придётся чаще проверять другие источники — Exploit-DB, GitHub, блоги вендоров 😈 CodeGuard: PySec Edition | Чат

📘 «Секреты хакеров. Безопасность сетей — готовые решения» — Стюарт Мак-Клар Классика сетевой безопасности, которую советуют в SANS и OSCP. О чём книга: Реальные атаки на сети: сниффинг, спуфинг, взлом Wi‑Fi, перехват сессий, атаки на маршрутизаторы и коммутаторы. Каждая глава — готовый сценарий «атака‑защита» с командами и скриншотами. Почему читать: Вы узнаете, как злоумышленник сканирует сеть, поднимается по привилегиям и заметает следы. А главное — как это предотвратить. ➡️ Ссылка 😈 CodeGuard: PySec Edition | Чат

🐧 Шпаргалка по поиску файлов в Linux — 5 команд find Искать файлы вручную — прошлый век. Вот команды find, которые спасут часы. 1. Найти файл по имени во всей системе

find / -name "config.php" 2>/dev/null

2. Найти все .log файлы, изменённые за последние 7 дней

find /var/log -name "*.log" -mtime -7

3. Найти файлы размером больше 100 МБ

find / -size +100M -exec ls -lh {} \;

4. Найти файлы с правами SUID (потенциальная уязвимость)

find / -perm -4000 2>/dev/null

5. Найти и удалить все пустые папки

find /путь -type d -empty -delete

🔥 Бонус: Искать по содержимому файлов — используйте grep -r "пароль" /home Сохраните в заметки — забудете, будете гуглить 10 минут. 😈 CodeGuard: PySec Edition | Чат

😈 Я запустил команду rm -rf / на тестовой виртуалке (и вы можете) Сегодня без пользы, чистый эксперимент. Все знают страшилку sudo rm -rf / — якобы нельзя никогда запускать. А что будет на самом деле? Эксперимент: Поднял чистую Ubuntu в VirtualBox, дал себе права root и запустил. Что произошло:

➡️Сначала удалялись файлы /bin, /boot, /dev... система начала сыпать ошибками command not found, даже ls перестал работать. ➡️Через 20 секунд терминал завис. Я закрыл окно. Виртуалка даже не перезагружалась — GRUB ругался на отсутствие ядра.

Вывод: rm -rf / реально убивает систему полностью. Восстановить можно только из бекапа (которого у меня не было). Зато проверил на своей — теперь знаю. 📌 Мораль: Экспериментируйте, но только на своих виртуалках. А на боевых серверах даже не думайте. P.S. Час потратил на переустановку. Никому не советую повторять, но если очень хочется — делайте как я, на тестовой. 😈 CodeGuard: PySec Edition | Чат

🐙CyberChef — швейцарский нож хакера в браузере (GitHub) Надоело перекодировать base64 вручную? Складывать шеллкод? Расшифровывать AES без понятного интерфейса? 🔗 GitHub Что это: Веб-приложение от британской разведки GCHQ. Всё работает локально в браузере, ничего не улетает на сервер. Что умеет (коротко):

⚫️Кодировки: Base64, Hex, URL, HTML, JWT ⚫️Крипто: AES, DES, RSA, хеши (MD5, SHA) ⚫️Форматирование: JSON, XML, Regex, SQL ⚫️Сжатие: Zip, Gzip, Bzip2 ⚫️Шеллкод: сборка/разборка ⚫️Датавремя, арифметика, Diff, и ещё 300+ операций

Как юзать: Перетаскиваете операции в цепочку — как в конструкторе. Например: «Input → Base64 → Decode → XOR → Hex → Output». 🔥 Фишка: Можно сохранять рецепты и делиться ссылкой. Идеально для CTF и пентеста Установить можно локально (Docker или npm install), но и онлайн-версия безопасна. 😈 CodeGuard: PySec Edition | Чат

🛠 5 бесплатных инструментов для анализа трафика (без Wireshark) Wireshark — король, но иногда хочется что-то проще и быстрее. Вот пятёрка, которую я использую в разных ситуациях. 1. tcpdump Консольный сниффер для Linux. Легкий, работает без графики. Идеален для серверов.

tcpdump -i eth0 -w capture.pcap

2. Termshark Красивый TUI-интерфейс для tcpdump. Умеет всё как в Wireshark, но в терминале. github.com/gcla/termshark 3. ngrep Грепает по пакетам. Ищет строки в трафике в реальном времени.

ngrep -d eth0 "password"

4. Zeek (бывший Bro) Фреймворк для мониторинга сети. Превращает сырой трафик в структурированные логи. zeek.org 5. Arkime (бывший Moloch) Индексирует PCAP-файлы и даёт веб-интерфейс с поиском. Хранит годами. arkime.com 🔥 Cовет: Начните с Termshark — он самый дружелюбный для новичков. А когда привыкнете, переходите на Zeek для серьёзного мониторинга. 😈 CodeGuard: PySec Edition | Чат

🕸️ Gau — собери все URL с домена за 1 команду Ищете скрытые эндпоинты, админки или забытые .git/config? Wayback Machine и Common Crawl хранят историю сайта — осталось только вытащить. 🔗 GitHub Что это: Надстройка над waybackurls, alienvault, commoncrawl. Gau (get all urls) собирает известные URL для любого домена и фильтрует по расширениям, паттернам и кодам ответа. Возможности, которые ускорят пентест: ➡️ Сбор URL из 3 источников одновременно (AlienVault OTX, Wayback, Common Crawl) ➡️ Фильтрация по расширениям (-ext js,json,php) ➡️ Проверка доступности URL с выводом HTTP-кода (-o) ➡️ Поддержка провайдеров для ускорения (можно подставить ключи API) Пример: выгрузить все JS-файлы и проверить их код ответа:

gau -subs -ext js -o example.com | httpx -mc 200

(нужен httpx в системе) 🔥 Бонус: Если добавить флаг -blacklist png,jpg,css, получите только потенциально уязвимые скрипты и параметры. 📚 Сохраняйте репозиторий. Пригодится на этапе разведки и OSINT. 😈 CodeGuard: PySec Edition | Чат

⚡️ Открыт срочный набор сотрудников с телефоном Доход от 43 000 ₽ в месяц — работайте прямо из дома Удалённая занятость сейчас особенно востребована. Всё больше людей выбирают формат без офиса — удобно, спокойно и без привязки к месту. В Telegram-канале «НаДому» размещаются актуальные предложения для тех, кто хочет зарабатывать онлайн: — гибкий график — выплаты 2–3 раза в месяц — можно оформить официально или выбрать подработку Работа несложная, подходит большинству пользователей ПК. Переходите в «НаДому», выбирайте подходящую вакансию и начинайте зарабатывать из дома уже сейчас. 👉🏻Перейти и выбрать вакансию👈🏻

🗂 NVD — национальная база уязвимостей США (обязательна к закладкам) Нужно быстро проверить, насколько опасна свежая CVE? Забить в поисковик — не вариант. 🔗 Сайт Что это: Национальная база уязвимостей NIST. Самая полная и авторитетная коллекция CVE с детальными метриками CVSS (оценка опасности от 0 до 10). Как пользоваться: Вводите номер CVE (например, CVE-2024-23897) Что ещё полезного на сайте:

⚫️Поиск по продукту (например, «Jenkins 2.4») ⚫️Экспорт в JSON/XML для автоматизации ⚫️RSS-лента новых CVE

Альтернативы на русском: cve.mitre.org (оригинал) и opencve.io (удобный поиск). 📌 Совет: Настройте уведомления на CVE, которые касаются вашего софта. Так вы будете узнавать о критических дырах раньше, чем хакеры. Сохраняйте — пригодится на пентесте и при закрытии уязвимостей. 😈 CodeGuard: PySec Edition | Чат

Совет на 2026 год — переходите в ML. Пока обычные разрабы конкурируют с ИИ-копилотами, ML-инженеры эти самые нейронки создают. В эпоху нейростей это самые востребованые люди в мире программирования. Зарплаты мидлов начинаются от 250 000 ₽, а у сеньоров в BigTech доходят до 700 000 ₽. А чтобы освоить его всего за 4 месяца без лишней суеты — изучите канал Артема Алехина. Его бэкграунд: Руководитель команды в Сбере, валютная удаленка. К 22 годам вышел на доход 1 000 000+ ₽ в месяц. На канале вы найдёте: — Всё про самые востребованные стеки(Python, ИИ-агенты, NLP) и почему математика — это не страшно, если учить только нужное. — Как оформить резюме, чтобы оно пролетало через любые LLM-фильтры и ATS-системы прямо к тимлидам. — Скрипты переговоров, которые помогли его ученикам прыгнуть с 0 до 360к всего за 8 месяцев. Во времена острой нехватки ML-разработчиков, это лучшее время, чтобы перекатиться. Переходи и изучай: https://t.me/+M7ZGVIli6pY5ZDcy

📋 Как найти атаку по логам за 10 минут — гайд по анализу журналов Логи есть у всех, но читать их умеют единицы. А зря — именно там прячутся следы взлома. Показываю пошаговую инструкцию, как быстро найти подозрительную активность на сервере Windows. Шаг 1. Собираем логи в одном месте Если у вас нет SIEM, используйте бесплатный Sysmon + Event Viewer. Установите Sysmon с конфигом от SwiftOnSecurity:

sysmon64 -accepteula -i sysmon-config.xml

Шаг 2. Открываем Event Viewer и фильтруем события Идём в «Просмотр событий» → «Журналы Windows» → «Безопасность». Нас интересуют ID: ⚫️4624 — успешный вход ⚫️4625 — неудачный вход ⚫️4688 — создание процесса ⚫️7045 — установка службы Шаг 3. Ищем брутфорс Фильтр по ID 4625. Если видите десятки неудачных входов с одного IP за минуту — вас ломают. Шаг 4. Ищем несанкционированный доступ Фильтр по ID 4624, где Logon Type = 10 (интерактивный вход через RDP). Смотрите на необычные учётки или IP. Шаг 5. Ищем запуск подозрительных процессов Фильтр по ID 4688. Ищите запуск powershell.exe, cmd.exe, wscript.exe из нестандартных папок (например, C:\Users\Public). Шаг 6. Автоматизируем Сохраните фильтры как пользовательские представления. Для серьёзного анализа используйте Get-WinEvent в PowerShell:

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} | Group-Object -Property Properties[18] | Sort-Object Count -Descending

🔥 Вывод: Логи — лучший детектив. Проверяйте их хотя бы раз в неделю. Настройте отправку критических событий на почту. 😈 CodeGuard: PySec Edition | Чат

🌐 3 сайта по OSINT, которые прокачают вашу разведку OSINT (поиск по открытым источникам) — один из самых востребованных навыков в ИБ. Вот три полезных ресурса, которыми пользуюсь сам. 1. IntelTechniques Сайт Майкла Баззелла — гуру OSINT. Там есть поисковые инструменты, чек-листы, книги и скрипты для поиска людей, email-ов, аккаунтов. Много бесплатного. 2. Osint Framework Интерактивная карта инструментов по категориям: соцсети, архивы, мессенджеры, геолокация. Кликаете на нужную задачу — получаете ссылку на рабочий инструмент. 3. Whatsmyname Проверяет, на каких сайтах зарегистрирован юзернейм. База — больше 500 сервисов. Вводите логин и смотрите, где засветился человек. 🎁 Бонус-тулза: theHarvester — собирает email-ы, поддомены и хосты одной командой:

git clone https://github.com/laramies/theHarvester
cd theHarvester
python3 theHarvester.py -d target.com -b google

Сохраните в закладки. Пригодится и на пентесте, и в жизни. 😈 CodeGuard: PySec Edition | Чат

🔓 Как подобрать пароль по хешу за 5 минут — гайд по Hashcat Допустим, вы нашли хеш пароля из базы данных (например, d41d8cd98f00b204e9800998ecf8427e). Как превратить его обратно в пароль? Легко. Вот пошаговая инструкция по Hashcat — самому быстрому инструменту для подбора паролей. Шаг 1. Устанавливаем Hashcat

sudo apt install hashcat

Шаг 2. Сохраняем хеш в файл

echo "d41d8cd98f00b204e9800998ecf8427e" > hash.txt

Шаг 3. Выбираем тип хеша Список всех типов: hashcat --help | grep MD5 Для MD5 код — 0 Шаг 4. Выбираем атаку Самые частые варианты: ⚫️Словарная атака: -a 0 ⚫️Атака по маске (перебор): -a 3 Шаг 5. Запускаем подбор Словарная атака с rockyou.txt:

hashcat -m 0 -a 0 hash.txt /usr/share/wordlists/rockyou.txt

Шаг 6. Ждём результат Готовый пароль появится в файле hashcat.potfile. Вывести на экран:

hashcat -m 0 hash.txt --show

🔥 Бонус: Если пароль сложный, ускорьте подбор через GPU флагом -O. Для бенчмарка используйте hashcat -b. Что дальше: Экспериментируйте на своих хешах. Никогда не подбирайте чужие пароли без разрешения. 😈 CodeGuard: PySec Edition | Чат

🐙 CVE-Proof-of-Concept — коллекция эксплойтов к реальным уязвимостям Надоело искать рабочий PoC к свежей CVE по всему GitHub? Есть репозиторий, где уже всё собрали. 🔗 GitHub Что внутри: Десятки proof-of-concept эксплойтов к CVE за последние годы. От старых (2017) до свежих (2025). Всё разложено по папкам с номерами CVE. Как пользоваться:

➡️Заходите в нужную папку, например CVE-2024-23897 ➡️Читаете README — там описание уязвимости, версии, которые под ударом, и сам эксплойт (чаще на Python) ➡️Запускаете на своей тестовой виртуалке

Что можно найти: ⚪️RCE в популярных CMS (WordPress, Joomla, Drupal) ⚪️Уязвимости в Jenkins, Apache, Nginx ⚪️Баги в корпоративном софте (VMware, Citrix) ⚪️Эксплойты для Windows и Linux ⚠️ Важно: Используйте только на своих системах или с разрешения владельца. За незаконное проникновение — уголовная ответственность. 🔥 Бонус: Репозиторий регулярно обновляется. Добавьте в закладки — будете первыми узнавать о новых эксплойтах. 😈 CodeGuard: PySec Edition | Чат

🔍 Как искать уязвимости с помощью CodeQL На Хабре вышла практическая статья про CodeQL — инструмент от GitHub для поиска уязвимостей прямо в коде. 🔗 Ссылка на статью: О чём статья: CodeQL позволяет анализировать код как на C++, так и на Python, Java, JavaScript. Автор показывает на примерах, как написать простые запросы, чтобы найти:

⚪️SQL-инъекции ⚪️XSS ⚪️Path traversal ⚪️Опасные вызовы функций

Почему это полезно: Большинство пентестеров тестируют уже собранные приложения. А CodeQL даёт залезть в исходники (если есть доступ) и выловить баги на этапе разработки. 📌 Вывод: Если вы разработчик или девопс — внедряйте CodeQL в CI/CD. Если пентестер — используйте его для белого тестирования, когда дают исходники. 😈 CodeGuard: PySec Edition | Чат

🐙 Awesome-Fuzzing — коллекция словарей для фаззинга Фаззинг без хороших словарей — как стрелять вслепую. Этот репозиторий спасёт часы работы. 🔗 GitHub Что внутри:

🔵Словари для веб-фаззинга (директории, файлы, параметры) 🔵Списки расширений и резервных копий 🔵SQLi, XXE, SSTI, LFI/RFI пейлоады 🔵Словари для API Fuzzing (GraphQL, REST)

Чем полезен: Всё разложено по папкам, берёшь нужный список и подставляешь в ffuf, dirb, gobuster или wfuzz. Пример быстрого старта с ffuf:

ffuf -u https://target.com/FUZZ -w /path/to/raft-medium-directories.txt

Откуда словари: Собраны из реальных проектов, утечек и CTF-задач. Регулярно обновляются. 🔥 Бонус: Отдельная папка с полезными инструментами для фаззинга — от API-тестеров до мутаторов. Сохраняйте себе — будете использовать каждый пентест. 😈 CodeGuard: PySec Edition | Чат