Cyber & Code
Открыть в Telegram
ערוץ סייבר, AI ותכנות. חדשות, מדריכים ואתגרי OSINT. 💬 דיונים: @CyberSecuritycodingchat
Больше676
Подписчики
Нет данных24 часа
-27 дней
+3930 дней
Загружаем данные
Привлечение подписчиков
ноябрь '26нояб. '26
ноябрь '260
в 0 каналах
октябрь '26
+106
в 1 каналах
Get PRO
сентябрь '260
в 0 каналах
Get PRO
август '260
в 0 каналах
Get PRO
июль '260
в 1 каналах
Get PRO
июнь '260
в 0 каналах
Get PRO
май '260
в 0 каналах
Get PRO
апрель '26
+2
в 1 каналах
Get PRO
март '26
+26
в 0 каналах
Get PRO
февраль '26
+10
в 0 каналах
Get PRO
январь '26
+16
в 0 каналах
Get PRO
декабрь '25
+17
в 0 каналах
Get PRO
ноябрь '25
+23
в 0 каналах
Get PRO
октябрь '25
+27
в 2 каналах
Get PRO
сентябрь '25
+53
в 1 каналах
Get PRO
август '25
+76
в 0 каналах
Get PRO
июль '25
+69
в 2 каналах
Get PRO
июнь '25
+18
в 0 каналах
Get PRO
май '25
+50
в 0 каналах
Get PRO
апрель '25
+197
в 3 каналах
Get PRO
март '250
в 0 каналах
Get PRO
февраль '25
+81
в 0 каналах
| Дата | Привлечение подписчиков | Упоминания | Каналы | |
| 06 ноября | 0 | |||
| 05 ноября | 0 | |||
| 04 ноября | 0 | |||
| 03 ноября | 0 | |||
| 02 ноября | 0 | |||
| 01 ноября | 0 |
Посты канала
| 2 |  שאלתם בתגובות על passkeys. אז הנה התשובה, עם הדגמה: אותו אתר מזויף, שתי שיטות התחברות. באחת התוקף נכנס, ובשנייה הוא יוצא בידיים ריקות.
והעיתוי מושלם: לפי הדוח שפרסם השבוע ארגון FIDO, יש כבר 7 מיליארד passkeys בעולם, וכ-36% מההתחברויות בשירותים שנבדקו כבר עוברות דרכם. באמזון לבד יותר מ-500 מיליון לקוחות הפעילו אותם.
למה סיסמה וקוד נופלים:
נכנסתם לאתר מזויף שנראה בדיוק כמו הבנק. הקלדתם סיסמה, הקלדתם את 6 הספרות מהאפליקציה. האתר המזויף מעביר את שתיהן לבנק האמיתי תוך שניות, והתוקף בפנים. הבנק לא יכול לדעת שזה לא אתם.
למה passkey לא נופל:
אין מה להקליד. הטלפון חותם על חידה שהבנק שולח, והדפדפן מכניס לחתימה את הכתובת שבה אתם נמצאים באמת. באתר המזויף לטלפון אין בכלל passkey מתאים, ואפילו חתימה שתיווצר שם תכיל את הכתובת המזויפת, והבנק יזרוק אותה.
בניתי סימולציה שמראה את זה צעד אחר צעד, עם הנתונים האמיתיים שעוברים בכל שלב. הקובץ בהודעה הבאה.
האתגר:
1. פתחו את הקובץ ולחצו "קישור מזויף" בשני הצדדים
2. תראו מה התוקף קיבל בכל אחד
3. ואז תפעילו passkey באמת: בגוגל זה חשבון ← אבטחה ← Passkeys ← יצירה. חצי דקה
כתבו בתגובות באילו חשבונות כבר הפעלתם 👀
הכול רץ אצלכם, בלי רשת. למטרות לימוד והגנה.
ועל מה בא לכם את הפוסט הבא?
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 129 |
| 3 | passphrase-lab.html | 236 |
| 4 |  P@ssw0rd עוברת כמעט כל מד חוזק באתרים. היא גם הופיעה בדליפות 6,421,042 פעמים.
בפוסט הקודם בדקנו אם הסיסמה שלכם דלפה. אז במה מחליפים אותה?
מדי החוזק באתרים סופרים סוגי תווים: אות גדולה, ספרה, סימן. אבל תוקפים לא מנחשים אות אחרי אות. הם מנסים קודם את התבניות שכולם בוחרים: מילה מוכרת, @ במקום a, שנה וסימן קריאה. בדקתי:
Qwerty123! הופיעה בדליפות 184,730 פעמים
P@ssw0rd2024 הופיעה 21,349 פעמים
מה שבאמת עובד זה אקראיות. שש מילים שנבחרות באקראי מתוך 7,776, כמו ember-oyster-clamp-wobbly-unread-stack. קל לזכור, וקשה מאוד לפרוץ:
מול חוות כרטיסי מסך שמנסה טריליון ניחושים בשנייה: כ-3,500 שנה
מול אתר ששומר סיסמאות נכון (bcrypt): כ-3.5 מיליארד שנה
בניתי מחולל שעושה את זה. הקובץ בהודעה הבאה. הוא מראה כמה ביטים יש בכל משפט וכמה זמן ייקח לפרוץ אותו, ויש בו גם מצב לפרנואידים: זורקים קוביות אמיתיות, ושום מחשב לא מעורב בבחירה.
האתגר:
1. צרו משפט של 6 מילים
2. נסו לזכור אותו עד מחר
3. כתבו בתגובות אם הצלחתם, כמובן בלי המשפט עצמו 😄
בונוס: זרקו קוביות אמיתיות ותצלמו את הקוביות, לא את התוצאה.
שני דברים חשובים: לא בוחרים מילים לבד, כי "אני אוהב פיצה" זה לא אקראי. ומשפט חזק אחד הולך למנהל סיסמאות ולמייל הראשי, וכל השאר סיסמאות אקראיות שהמנהל זוכר בשבילכם.
הכול רץ אצלכם, בלי רשת. למטרות לימוד והגנה.
ועל מה בא לכם את הפוסט הבא?
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 233 |
| 5 | totp-lab.html | 229 |
| 6 |  הקוד בן 6 הספרות באפליקציית האימות שלכם לא מגיע מגוגל. הטלפון מחשב אותו לבד, והוא יכול לחשב אותו גם בלי אינטרנט.
כשמפעילים אימות דו-שלבי וסורקים QR, האתר בעצם נותן לטלפון סוד אחד. מאותו רגע גם הטלפון וגם האתר מחשבים את הקוד מתוך שני דברים בלבד: הסוד והשעה. כל 30 שניות יוצא מספר חדש, ושני הצדדים מגיעים לאותה תוצאה בלי לדבר אחד עם השני.
זה אומר שמי שיש לו את הסוד, מייצר את הקודים שלכם. מכל מכשיר, ולתמיד.
בניתי מעבדה שמראה את זה בעיניים. הקובץ בהודעה הבאה. היא מייצרת מפתח דמו, מציגה את הקוד החי, ומפרקת את החישוב צעד אחר צעד: מהשעה, דרך HMAC, ועד שש הספרות.
האתגר:
1. פתחו את הקובץ והעתיקו את מפתח הדמו
2. באפליקציית האימות: הוספה ← "הזנת מפתח הגדרה" ← הדביקו
3. תשוו. אותו קוד, באותה שנייה, בלי שום חיבור ביניהם 👀
כתבו בתגובות אם זה עבד לכם, ובאיזו אפליקציה.
מה לקחת מזה:
יש לכם צילום מסך של QR של אימות דו-שלבי בגלריה? זה המפתח לחשבון. מוחקים, גם מהענן.
קודי הגיבוי הולכים למנהל סיסמאות, לא לגלריה.
והכי חשוב: גם הקוד הזה לא עוצר אתר מתחזה. הקלדתם אותו באתר מזויף, התוקף משתמש בו מיד. Passkey נקשר לכתובת האתר האמיתי, ולכן הוא השכבה החזקה ביותר.
הכול רץ אצלכם, בלי רשת. השתמשו רק במפתח הדמו. למטרות לימוד והגנה.
ועל מה בא לכם את הפוסט הבא?
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 219 |
| 7 | pwned_check.py | 252 |
| 8 |  השבוע דלפו פרטי התחברות של 11.7 מיליון חשבונות Capcom. השאלה האמיתית היא לא אם יש לכם שם חשבון, אלא באיזה עוד אתרים יש לכם את אותה סיסמה.
ככה עובדות רוב הפריצות לחשבונות היום: תוקפים לוקחים סיסמאות שדלפו מאתר אחד ומנסים אותן בכל השאר. ג'ימייל, אינסטגרם, הבנק. מי שממחזר סיסמה, נפרץ בלי שאף אחד פרץ אליו.
אז איך בודקים אם סיסמה שלכם כבר דלפה? הקלדה שלה באתר שמבטיח לבדוק היא בדיוק הטעות. יש דרך חכמה יותר:
1. המחשב שלכם הופך את הסיסמה ל-hash (טביעת אצבע)
2. רק 5 התווים הראשונים של ה-hash נשלחים לשרת
3. השרת מחזיר כ-2,000 hashes של סיסמאות שדלפו ומתחילים באותם 5 תווים
4. ההשוואה קורית אצלכם
השרת לא יודע איזו סיסמה בדקתם, ואפילו לא איזה hash. זה נקרא k-anonymity, וזו השיטה של Have I Been Pwned שבודקת מול מיליארדי סיסמאות שדלפו.
כתבתי סקריפט Python קטן שעושה את זה ומראה בדיוק מה נשלח. בלי התקנות. הקובץ בהודעה הבאה.
האתגר:
1. הריצו python pwned_check.py
2. בדקו את הסיסמה שאתם הכי ממחזרים (ההקלדה מוסתרת)
3. כתבו בתגובות רק אם נמצאה או לא, בלי סיסמאות כמובן 👀
לשם השוואה: password123 הופיעה בדליפות 2,266,543 פעמים.
יצא שנמצאה? מחליפים אותה בכל מקום שהיא קיימת, ומפעילים אימות דו-שלבי. ומנהל סיסמאות פותר את כל הבעיה הזו מהשורש.
הסקריפט פתוח, תקראו לפני שמריצים. בדקו רק סיסמאות שלכם. למטרות לימוד והגנה.
ועל מה בא לכם את הפוסט הבא?
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 236 |
| 9 | startup-check.ps1 | 321 |
| 10 |  תוכנת גיבוי לגיטימית התקינה דלת אחורית למשתמשים שלה. לא פריצה לתוכנה, פשוט עדכון רגיל שהגיע מהשרת הרשמי.
ככה עבדה המתקפה על AOMEI Backupper החודש, לפי מה שחשפו Google ו-Mandiant: תוקפים שינו את קובצי העדכון בשרת של החברה למשך 5 עד 10 דקות בכל פעם. כל מי שהתוכנה שלו בדקה עדכון בדיוק אז, הוריד דלת אחורית. הסיבה שזה עבד: העדכונים לא היו חתומים דיגיטלית, אז לתוכנה לא הייתה דרך לדעת שהקובץ זויף.
החתימה הדיגיטלית היא בדיוק מה שהיה חוסם את זה. היא מוכיחה שני דברים: מי יצר את הקובץ, ושאף אחד לא נגע בו מאז. אם קובץ שונה אחרי החתימה, היא נשברת.
אז כתבתי סקריפט ל-PowerShell שעושה את זה על המחשב שלכם: עובר על כל מה שרץ אוטומטית בהדלקה, ובודק לכל תוכנה אם היא חתומה ומי חתם עליה. הוא מסמן באדום תוכנות לא חתומות, תוכנות ששונו אחרי החתימה, וכאלה שרצות מתיקיות זמניות. הקובץ בהודעה הבאה.
האתגר:
1. הורידו את הקובץ, לחצו עליו ימני ו-"הפעל עם PowerShell"
2. אם חוסם, פתחו PowerShell והריצו:
powershell -ExecutionPolicy Bypass -File .\startup-check.ps1
3. כתבו בתגובות כמה דברים רצים לכם בהדלקה, וכמה סומנו באדום 👀
הסקריפט רק קורא. הוא לא משנה כלום, לא מוחק כלום ולא שולח כלום לרשת. פתוח, תקראו לפני שמריצים.
שורה אחת שחשוב לזכור: חתימה תקינה היא לא אישור. התוקפים של AOMEI התקינו גם כלי שליטה מרחוק שהיה חתום כדין. החתימה עונה על "מי יצר ולא שינו", לא על "אפשר לסמוך".
מצאתם משהו שאתם לא מכירים? אל תמחקו, תחפשו את השם קודם. ועל מה בא לכם את הפוסט הבא?
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 316 |
| 11 | hash-twins.html | 309 |
| 12 |  הורדתי שני חוזים. באחד כתוב 100 ₪, בשני 100,000 ₪. מבחינת ווינדוס זה אותו קובץ בדיוק.
לכל קובץ יש טביעת אצבע דיגיטלית, hash. משנים פסיק אחד, וכל המספר משתנה. ככה בודקים שהורדה לא שונתה, וככה חותמים דיגיטלית על מסמכים. אבל ב-MD5 זה כבר לא עובד: אפשר לייצר שני קבצים שונים עם אותה טביעת אצבע בדיוק.
וזה לא תיאורטי. ב-2012 הנוזקה Flame זייפה ככה חתימה של מיקרוסופט והתחזתה לעדכון של Windows Update. ועכשיו Git מתכוננת להיפרד גם מ-SHA-1 ולעבור ל-SHA-256.
בניתי כלי, הקובץ בהודעה הבאה. יש בו את שני החוזים, תרגיל שבו בית משפט "מאשר" את החוזה המזויף, ובודק hash לכל קובץ שאתם מורידים.
האתגר (אל תאמינו לי, תבדקו):
1. הורידו מהכלי את שני החוזים
2. בסייר הקבצים, בתיקיית ההורדות, כתבו cmd בשורת הכתובת ולחצו Enter
3. הריצו:
certutil -hashfile contract_A.bin MD5
certutil -hashfile contract_B.bin MD5
4. ועכשיו אותו דבר עם SHA256 במקום MD5
כתבו בתגובות מה יצא לכם 👀
במק: md5 contract_A.bin · בלינוקס: md5sum contract_A.bin
הכלל: לבדיקת הורדות ולכל דבר שקשור באבטחה, רק SHA-256. MD5 ו-SHA-1 טובים היום רק למציאת קבצים כפולים.
הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.
תעבירו למי שעדיין בודק הורדות עם MD5. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 297 |
| 13 | 🤖 מתעניינים בבינה מלאכותית (AI)? זה בשבילכם!
רוצים להישאר מעודכנים בעולם ה-AI, להכיר כלים חדשים ולגלות מה חדש בתחום שמתפתח בקצב מטורף? 🚀
מוזמנים להצטרף לקהילת Tech Cyber AI Israel ולעקוב אחרי תכנים בנושא בינה מלאכותית וטכנולוגיה.
🔗 להצטרפות לקהילה:
https://t.me/tech_cyber_ai_israel
🔥 אל תישארו מאחור — העתיד כבר כאן! | 392 |
| 14 | pixel-secret.html | 389 |
| 15 |  התמונה הזאת נראית רגילה לגמרי. בתוך הפיקסלים שלה מוחבאת הודעה, ואי אפשר לראות אותה.
כל פיקסל הוא שלושה מספרים: אדום, ירוק, כחול. תשנו את הספרה הכי קטנה בכל אחד, והצבע זז בצעד אחד מתוך 255. העין לא קולטת הבדל. אבל שם, בביט הקטן, אפשר לכתוב כל דבר. קוראים לזה סטֶגנוגרפיה: לא להצפין הודעה, אלא להסתיר שבכלל קיימת הודעה.
בניתי כלי שעושה בדיוק את זה. הקובץ בהודעה הבאה. בוחרים תמונה, כותבים סוד, ומקבלים תמונה שנראית זהה אבל נושאת את ההודעה. אפשר להוסיף מפתח, ואז בלי המפתח יוצא ג'יבריש.
האתגר:
1. פתחו את הכלי, החביאו מילת קוד בתמונה והורידו אותה
2. שלחו אותה למישהו כאן, והוא יחשוף אותה בלשונית "חשיפה"
3. כתבו בתגובות כמה פיקסלים השתנו. אצלי זה פחות מאחוז
מלכודת אחת וחשובה: שלחו את הקובץ במצב קובץ/Document, לא כתמונה. טלגרם דוחס תמונות ל-JPG, והדחיסה מוחקת את הביטים הנסתרים. בדיוק אותו לקח של "שלח כקובץ" מהפעם הקודמת, רק מהכיוון ההפוך: הפעם הדחיסה דווקא עובדת לרעתכם.
הכול רץ אצלכם, בלי רשת ובלי שמירה. הסתירו רק תוכן שלכם. למטרות לימוד והגנה.
מי מצליח להסתיר הודעה שחבר לא מוצא גם כשהוא יודע שהיא שם? ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 402 |
| 16 | leaky-form.html | 409 |
| 17 |  הקלדת אימייל בטופס, התחרטת, סגרת. מאוחר מדי. האתר כבר קיבל אותו.
רובנו חושבים שכל עוד לא לחצנו "שלח", שום דבר לא יצא. אבל הדפדפן יורה אירוע על כל תו שאתם מקלידים, וכל סקריפט בדף יכול להאזין לו ולקרוא את הערך בזמן אמת. כולל סקריפטים של חברות פרסום ומעקב שהאתר הטמיע.
זה לא תיאוריה. מחקר Leaky Forms סרק 100 אלף אתרים מובילים ומצא שבכ-2,950 מהם האימייל נשלח לחברות מעקב עוד לפני הלחיצה על שלח. ב-52 אתרים דלפה גם הסיסמה.
בניתי הדגמה חיה. הקובץ בהודעה הבאה. מצד אחד טופס הרשמה רגיל, מצד שני בדיוק מה שהדף רואה ומתי "שולח" אותו. תקלידו אימייל ותראו אותו עף החוצה באמצע ההקלדה.
האתגר:
1. פתחו את הקובץ והתחילו למלא את הטופס (אל תשתמשו בסיסמה אמיתית)
2. עצרו רגע לפני הכפתור. תסתכלו ימינה. מה כבר "נשלח"?
3. כתבו בתגובות באיזה שלב האימייל שלכם דלף
בונוס: עברו לשדה הסיסמה וחזרו. מה קרה? 👀
שום דבר בדמו לא יוצא מהמחשב שלכם, הקונסולה מדמה את מה שהיה נשלח. בעולם האמיתי זה חוסם מעקב כמו uBlock Origin שעוצר את זה.
הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.
תעבירו לחבר שבטוח ש"לא שלחתי כלום" אומר שהוא בטוח. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 391 |
| 18 | typing-dna.html | 331 |
| 19 |  ויזה קונה חברה ישראלית ב-2.4 מיליארד דולר. מה היא יודעת לעשות? לזהות אתכם לפי איך שאתם מקלידים.
החברה היא BioCatch מתל אביב. הבנקים שעובדים איתה לא בודקים רק אם הסיסמה נכונה. הם בודקים איך הקלדתם אותה.
לכל אחד יש קצב משלו. כמה זמן האצבע נשארת על כל מקש, כמה זמן עובר בין מקש למקש. אצל אחד th יוצא ב-60 מילישניות, אצל אחר ב-200.
ביחד זו טביעת קצב. מישהו שגנב לכם את הסיסמה עדיין מקליד אותה כמו עצמו, והמערכת שמה לב.
בניתי כלי שעושה בדיוק את זה. הקובץ בהודעה הבאה. מקלידים 6 פעמים hack the planet, הוא לומד את הקצב שלכם ומנסה לתפוס מתחזים.
האתגר:
1. פתחו את הקובץ במחשב והירשמו
2. תנו למישהו בבית להקליד את אותו משפט
3. כתבו בתגובות כמה אחוז התאמה הוא קיבל
בונוס: הכלי מצייר לכם את טביעת הקצב. מי מצליח לחקות חבר ולעבור את הבדיקה? 👀
הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.
תעבירו לחבר שבטוח שסיסמה חזקה זה כל מה שצריך. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.
🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat | 349 |
| 20 |  Нет текста... | 313 |
