Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность

🔥 Курс «Разработка ИИ-агентов» стартовал, но вы еще успеваете присоединиться! Мы только начали, а первый практический воркшоп пройдет только 23 июля. До этого времени вы спокойно успеете изучить материалы и нагнать группу. 💼 Главная фишка: финальный проект в портфолио:

В финальном проекте вы сможете выбрать один из двух вариантов: реализовать свою идею или решить задачу от партнера курса — крупной российской финтех-компании. Вы будете работать с датасетом, построенным по реальным сценариям, получите бизнес-контекст и продовые ограничения. В результате соберете AI-агента, который станет сильным проектом для портфолио.

🎁 Упомяните менеджеру специальное предложение «3 курса по цене 1»: Берете VIP-тариф — получаете курс «Разработка ИИ-агентов», хардкорный «AgentOps» и ещё один курс на выбор. Выгода 129.000 ₽! Двери потока вот-вот закроются окончательно. Успейте забрать стек курсов и начать работу над реальным проектом 🔗 Занять место и забрать 3 курса

👮‍♀️ Практика для хакера: платформы для отработки навыков Для прокачки offensive-навыков в боевых условиях — подборка отличных бесплатных площадок, с которых стоит начать: ➡️ Hack The Box (HTB): от простых web-апп до реальных AD-лабораторий. Отлично подходит для подготовки к OSCP. ➡️ TryHackMe — Offensive Path: много практики с подсказками. Пошаговый путь: reconnaissance, exploitation, privilege escalation и др. ➡️ picoCTF — отличный CTF для начинающих от Carnegie Mellon. Есть задачи по реверсу, web, крипте и pwn. ➡️ OverTheWire — Bandit & Narnia: мини-игры в терминале: Linux, бинарки, эксплуатация. Идеально для новичков и практики CLI-навыков. ➡️ CTFlearn: платформа с сотнями CTF-задач: web, stegano, reversing, OSINT и др. 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #resource_drop

🔥 Стартуем СЕГОДНЯ! Новый поток курса «Разработка ИИ-агентов» открыт По этому поводу мы решили выложить закрытую запись одного из уроков из программы. Найти её в поиске YouTube нельзя — она доступна только по ссылке и всем, кто будет на курсе. Внутри глубокий разбор LLM от Алексея Яндутова (Senior ML-инженер, развивал ответы «Алисы» и «Нейро» в Яндексе). Учимся получать точный результат без галлюцинаций. Что внутри урока:

- Устройство LLM. - Рабочие шаблоны промптов (Persona, Chain-of-Thought и др.). - Разбор реального кейса Яндекса. Как автоматизировать разметку, обойти качество людей на 5% и срезать косты на 60%.

После просмотра вы поймете, когда хватает промпт-инжиниринга, а когда нужен RAG или fine-tuning. 👉Смотреть закрытый урок на YouTube Понравился урок? Переходите на новый уровень! Оставляйте заявку на курс, чтобы научиться проектировать надежные автономные системы. Обучение началось, но вы еще успеваете присоединиться. 🔗 Занять место на курсе

📍 Навигация: [Вакансии] 🐸 Библиотека хакера #hack_humor

📌 Тест на open redirect через curl Open redirect — уязвимость, позволяющая перенаправить пользователя на внешний сайт (часто для фишинга). Пример проверки:

curl -L "http://<target>/redirect?url=http://evil.com" --max-redirs 10

🔵 -L — следовать за редиректами 🔵 --max-redirs 10 — ограничить переходы, чтобы избежать бесконечного цикла Если приложение не фильтрует URL, произойдёт перенаправление на evil.com, что подтверждает уязвимость. Что тестируем: ➡️ Перенаправление на внешние сайты ➡️ Обработку параметров с URL (next, target, redirect и др.) ➡️ Корректность валидации ссылок ⚡ Советы: — Проверяй разные параметры (next, goto, return, redirect) — Для автоматизации используй Burp Suite, OWASP ZAP или собственные скрипты 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #cheat_sheet

🚀 Уже завтра стартует новый поток курса «ИИ-агенты»! Мы собрали мощнейший состав преподавателей. Учить вас проектировать архитектуру и собирать продакшн-агентов будут инженеры и исследователи из топовых IT-компаний. Старт уже завтра! Сомневаетесь, подойдет ли вам программа и подача? Начните с бесплатного демо-урока! Всего за 2 часа вы заглянете под капот ИИ-агента, поймете, чем мышление модели отличается от ее ответа, и научите систему чинить собственный код. Это идеальный способ протестировать нашу платформу перед покупкой. 🔗 Пройти демо-урок и занять место на курсе

🛡 AI против уязвимостей: разбор реального security review Разработчик проверил своё веб-приложение с помощью AI-агента и получил полноценный список проблем — от stored XSS до отсутствия rate limiting и защитных HTTP-заголовков. В статье показано как эти уязвимости были исправлены: CSP, sandboxed iframe, HMAC, Web Crypto API, защита от brute-force и другие практические митигации. 💡 Изучить применение ИИ в подобных задачах глубже поможет курс «Разработка ИИ-агентов». 🔗 Ссылка на статью 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #resource_drop

🖥 AI-агент, который работает прямо в браузере peerd — экспериментальное расширение для Chrome и Firefox, которое запускает AI-агента внутри браузера и позволяет ему работать с открытыми вкладками и сессиями. Что умеет:

— читать страницы и выполнять действия в браузере; — запускать JS-ноутбуки, WebAssembly-инструменты и Linux VM; — собирать небольшие клиентские приложения; — подключать OpenAI, Anthropic, OpenRouter, Z.ai или локальный Ollama; — координировать несколько изолированных агентов.

Главная особенность — локальная архитектура без собственного backend и телеметрии. API-ключи хранятся в зашифрованном хранилище, а каждый агент работает только со своей вкладкой или средой. ⚠️ Проект пока в экспериментальной beta, поэтому использовать его стоит осторожно. 💡 Разобраться, как проектировать и собирать такие системы, поможет курс «Разработка ИИ-агентов». 🔗 GitHub 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #tool_of_the_week

🔥 Не называйте любого продвинутого чат-бота «ИИ-агентом»! Дмитрий Юдин, руководитель AI/ML-направления в Сloud․ru, наглядно разбирает уровни абстракции ИИ-продуктов и убирает путаницу в понятиях. Что внутри видео: - Почему ассистент и агент принципиально разные сущности; - Как ассистент может быть просто «обёрткой» над LLM, а может скрывать под капотом сложнейшую мультиагентную систему; - Как понимать архитектуру глубже, чтобы проектировать сильные решения. Начните создавать агентные системы с нашего бесплатного демо-урока. Всего за 2 часа разберем внутреннее устройство агента, научим его чинить свой собственный код и сохранять контекст после перезапуска. 🔗 Забрать бесплатный демо-урок

🤨 Как заставить AI-агента не ломать архитектуру, а нормально писать код? Мы привыкли общаться с ИИ промптами, но для автономных систем это путь к бесконечным циклам и сливу бюджета. Чтобы убрать хаос, инженеры переходят на Spec-Driven Development (SDD). Вот как этот подход меняет работу агента на практике: 🔹Контракт вместо текста. Сначала пишется строгая спецификация (JSON-схема/OpenAPI) и автотесты. Агент зажат в рамки интерфейсов, за которые физически не может выйти. 🔹Контроль на шагах. Внутри петли Think-Act-Observe агент сверяет действия со спецификацией. 🔹Саморефлексия. Если ИИ нарушил типы или «додумал» лишнее, тест падает. Агент получает ошибку в контекст и сам правит код, не выходя за рамки ТЗ. Это лишь база того, как укротить ИИ-разработку. Если вы хотите глубоко внедрить эту методологию, научиться проектировать архитектурные контракты и собирать отказоустойчивые системы — оставляйте заявку на наш новый курс по Spec-Driven Development. Стартуем совсем скоро🙂

😁😁 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #hack_humor

📋 7 однострочников для быстрого recon веб-приложения Сохраняйте — пригодится на любом Bug Bounty или пентесте 👇

# 1. Субдомены → живые хосты
subfinder -d target.com -silent | httpx -silent -sc -title | tee live.txt

# 2. URL из Wayback Machine и других архивов
echo target.com | gau --subs --threads 5 | sort -u | tee urls.txt

# 3. Быстрый поиск потенциальных секретов в JS
grep -E '\.js$' urls.txt | httpx -silent | while read url; do
  curl -s "$url" | grep -oiE '(api[_-]?key|secret|token|password|aws_access)["\s]*[:=]["\s]*[^\s"]+'
done

# 4. Все GET-параметры для фаззинга
grep "?" urls.txt | unfurl keys | sort -u | tee params.txt

# 5. Поиск скрытых директорий
dirsearch -u https://target.com -e php,asp,js,html -t 25 --random-agent -q

# 6. Определение технологий
whatweb -a 3 https://target.com --color=never

# 7. Поддомены через Certificate Transparency
curl -s "https://crt.sh/?q=%.target.com&output=json" | jq -r '.[].name_value' | sort -u

💡 Начинайте с пассивной разведки (subfinder, gau, crt.sh), чтобы оценить поверхность атаки. К активному сканированию (dirsearch, ffuf, nuclei) переходите уже после первичного анализа. Методология OWASP Web Security Testing Guide 🔗 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #cheat_sheet

🔥 ИИ-выходные: Собери своего AI-агента за 2 дня Хватит просто читать про ИИ, пора собирать автономные системы руками! 1–2 августа пройдет хардкорный онлайн-интенсив для junior-middle разработчиков. Формат: теория ➡️ сразу практика. Вы будете управлять AI-инструментами. 🛠️ Как всё пройдет:

День 1 (Суббота): разбираем анатомию агента, подключаем инструменты (shell, GitHub, Postgres) и дебажим трейсы. День 2 (Воскресенье): собираем собственного агента под вашу задачу, настраиваем Eval + Guardrails (чтобы бот не галлюцинировал) и проводим демо.

Для кого: Вы пишете на Python, работаете с Git и терминалом. (С нуля не подойдет, темп очень быстрый!) Артефакт на выходе: Рабочий репозиторий с вашим агентом, который не стыдно показать команде. 👨‍💻 Спикер: Алексей Жиряков (Сбер, GenAI). Места ограничены! 👉 Изучить программу и занять место

🖥 Open-source менеджер паролей с локальным шифрованием KeePassXC — кроссплатформенный менеджер паролей, который хранит все данные в локальной зашифрованной базе. Поддерживает не только пароли, но и TOTP-коды, SSH-ключи, passkeys и вложения. Что умеет:

🔹 хранение паролей в зашифрованной KDBX-базе; 🔹 генератор стойких паролей и passphrase; 🔹 поддержка TOTP и passkeys; 🔹 интеграция с Chrome, Firefox, Edge, Brave и другими браузерами; 🔹 SSH Agent, YubiKey и OnlyKey; 🔹 импорт из Bitwarden, 1Password, Proton Pass и других менеджеров.

Поддерживает Windows, macOS и Linux. 🔗 GitHub 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #tool_of_the_week

🦠 Avalon + CrownX: новый модульный фреймворк, который объединяет стилер, постэксплуатацию и ransomware Исследователи Blackpoint Cyber обнаружили ранее неизвестный фреймворк Avalon. Он объединяет сразу несколько этапов атаки: кражу учётных данных, закрепление, горизонтальное перемещение и развёртывание шифровальщика CrownX. ➡️ Что умеет Avalon:

— извлекает данные из браузеров, DPAPI, VPN, SSH, RDP, Wi-Fi и Windows Credential Manager; — собирает данные криптокошельков (MetaMask, Ledger, Electrum); — перемещается по сети через admin shares и штатные Windows-утилиты; — удаляет теневые копии, отключает механизмы восстановления и атакует инфраструктуру резервного копирования; — очищает журналы событий и другие артефакты.

➡️ CrownX

Модуль шифрования использует AES-GCM через BCrypt API, поддерживает эффективное шифрование больших файлов и нацелен на виртуальные машины, базы данных, исходный код и другие ценные данные.

По оценке Blackpoint Cyber, код содержит признаки AI-assisted development. Исследователи считают, что ИИ помог ускорить разработку и объединить множество функций в одном фреймворке. 🔗 Источник 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #breach_breakdown

🔥 Открытое занятие по AgentOps — курс стартовал! Сегодня в 19:00 по МСК пройдет первое занятие нового потока, на которое может прийти каждый. Оцените пользу нашего подхода на ретрансляции урока в VK! 👨‍💻 Спикер: Андрей Носов Тема: Архитектура управления: state machine для AI-агентов Будем разбираться, как использовать State machine в качестве главного оружия против стохастики (непредсказуемости) LLM. Что в программе: ● State machine: инварианты и терминальные состояния; ● Паттерны маршрутизации: Supervisor, ReAct, Plan-and-Solve; ● Детекция циклов и настройка аварийных выходов; ● Абстракция от модели: как сделать каркас, который переживет смену LLM/провайдера; ● Адаптация графов под ограничения локальных моделей; ● Версионирование графов и миграции стейта. Результат занятия: Вы поймете, как спроектировать надежный каркас агента с жестким контролем исполнения и переходов. 👉 Подписывайтесь на нашу группу ВКонтакте, чтобы не пропустить старт трансляции!

🛠 Burp Suite-плагин для проверки ограничений WAF Nowafpls автоматически добавляет в начало тела HTTP-запроса большой объём «мусорных» данных, чтобы проверить, анализирует ли WAF запрос целиком или только его часть. Что умеет: 🈂️ работает с POST, PUT, PATCH и другими запросами с телом; 🈂️ автоматически подбирает формат для JSON, XML и application/x-www-form-urlencoded; 🈂️ позволяет выбрать размер префикса или задать его вручную; 🈂️ интегрируется в Burp Repeater через контекстное меню.

💡 Некоторые WAF ограничивают объём инспектируемого тела запроса. Если полезная нагрузка оказывается за пределами этого лимита, она может не попасть под анализ. Nowafpls позволяет быстро проверить, применим ли такой сценарий к исследуемому приложению.

Поддерживаются Burp Suite (Jython) и версия для Caido. 🔗 GitHub 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #tool_of_the_week

📚 Большая open-source база знаний по Linux Если хотите лучше разобраться в Linux или просто держать хороший справочник под рукой — сохраните этот репозиторий. Внутри: командная строка, файловые системы, WireGuard, hardening, облака, популярные дистрибутивы и многое другое. 🔗 Ссылка 📍 Навигация: [Вакансии] 🐸 Библиотека хакера #resource_drop

🎬 Как ИИ ускоряет разработку и где ломаются архитектуры Мы провели открытый вебинар, где разобрали реальные боли проектирования автономных систем. Ольга Лукьянова на практическом кейсе показала, как использовать ИИ-ассистентов для реальных задач. Вы просили запись встречи — она уже в открытом доступе! Что внутри: — Как с помощью ИИ быстрее разбираться в незнакомом коде и готовить пулл-реквесты; — Критерии выбора между одним агентом и мультиагентной системой; — Разбор популярных архитектурных ошибок и ограничений современных ИИ; — Практические рекомендации по проектированию и внедрению облачных агентов. 👉 Посмотреть полную запись можно тут: ● VK ● YouTube 🚀 Хотите пойти дальше открытого вебинара? Если вы готовы перейти от простых промптов к проектированию надежных, отказоустойчивых ИИ-систем, которые не сливают бюджет компании на API, приходите на курс AgentOps. Поток уже стартовал, но двери еще приоткрыты! 👉 Успеть на курс AgentOps