Whitehat Lab

🎸 Вышел Prowl 1.4.0 Продолжаю ковырять свой сканер секретов. В этот раз хотелось сделать так, чтобы им было проще пользоваться и слегка улучшил логику с правилами. А, ну и пару фишечек 🐈️️ Главное в обновлении: 🔵 быстрый запуск через prowl ./src и режим --ci для пайплайнов 🔵 сканирование staged-файлов: можно проверить то, что собираетесь закоммитить, включая частично добавленные изменения 🔵 если сканирование прошло не полностью, это видно в отчёте. Пустой список находок больше не приходится трактовать на кофейной гуще 🔵 восстановление поддерживаемых js/ts-выражений и улучшенная обработка json, toml, yaml и Base64 🔵 сопоставление одного секрета между разными источниками и проверка устранения находок 🔵 --ml теперь работает в статических сборках без Python и отдельного sidecar 🔵 обновил MCP: структурированные результаты, отмена сканирования и поддержка новых клиентов. Можно подключить к агенту и попросить его проверить проект 🐈 Обновиться через Homebrew:

brew upgrade Lercas/tap/prowl

Релиз и готовые бинарники - ТЫК P.S. а также маленький спойлер ии агента

💻 NTLMRain v0.1.19 Инструмент и веб сервис для восстановления NT хэшей из перехваченных ответов NetNTLMv1 (для фиксированного challenge 1122334455667788) с использованием технологии радужных таблиц 🔗 Web 🔗 NetNTLMv1 Is Dead. Long Live NetNTLMv1 😹 Repo #ntlm #rainbow #windows ✈️ Telegram 🔗 whlab.ru 💬 MAX

⚙ Rustinel v1.10.0 Движок для обнаружения угроз (EDR) Использует нативную телеметрию операционной системы и позволяет применять для анализа популярные форматы правил обнаружения, не отправляя данные в облако ⭐️ Основные возможности:

Поддержка правил обнаружения: умеет работать с правилами Sigma (для поведенческого анализа), YARA (для проверки исполняемых файлов и памяти процессов), а также со списками IOC (хеши, IP-адреса, домены и пути) Кроссплатформенность: один движок и единый формат конфигурации для Windows, Linux и macOS, использующий схожие с Sysmon имена полей Локальная работа и контроль данных: агент не отправляет информацию на сторонние серверы. Все оповещения (алерты) сохраняются локально в формате ECS NDJSON, который легко интегрируется с Elastic, Splunk или другими SIEM-системами Тестирование правил: Есть возможность один раз записать активность на конечной точке (capture), а затем воспроизводить её (replay) для проверки и отладки правил без необходимости повторять атаку

😹 Repo #rust #rustinel #edr ✈️ Telegram 🔗 whlab.ru 💬 MAX

🔄🐉 Kali Linux 2026.3 В этом релизе основное внимание уделено трем ключевым направлениям: значительному упрощению процесса сборки дистрибутива, обновлению рабочего стола (KDE Plasma 6.7) и добавлению новых инструментов Ядро обновлено с версии 6.19 до 7.1.5

🐥 dalfox 🐥 katana 🐥 qsreplace 🐥 rustscan 🐥 sdrangel 🐥 snaffler-ng

Для перехода на новый релиз:

sudo apt update && sudo apt -y full-upgrade

Проверяем:

grep VERSION /etc/os-release
VERSION="2026.3"

🔗 Blog #kali #update ✈️ Telegram 🔗 whlab.ru 💬 MAX

🤖 SkillSpector v2.13.1 Сканер безопасности навыков (skills) AI агентов от NVIDIA

Исследование NVIDIA показало, что в проанализированной выборке из 31 132: 🐥 26,1% содержат уязвимости. 🐥 5,2% демонстрируют вероятные вредоносные намерения. SkillSpector является частью пайплайна NVIDIA Verified Skills, который сканирует и подписывает навыки перед публикацией в каталоге NVIDIA

❗️ Проверяет репозиторий или директорию, оценивает по куче параметров и выставляет оценку от 0 до 100: ▪️ 0...20 - безопасно ▪️ 21...50 - обращаем внимание ▪️ 51...80 - НЕ ставим ▪️ 81...100 - НЕ ставим

⭐️ Ключевые возможности: Поддержка различных форматов ввода: может сканировать Git-репозитории, URL-адреса, zip-архивы, директории или отдельные файлы (например, SKILL.md) Обширная база уязвимостей: обнаруживает 71 паттерн уязвимостей в 17 категориях. Среди них - внедрение промптов (prompt injection), эксфильтрация данных, повышение привилегий, риски цепочки поставок, злоупотребление инструментами, отравление инструментов MCP и другие Двухэтапный анализ: сочетает быстрый статический анализ с опциональной семантической оценкой с помощью LLM Проверка уязвимостей в реальном времени: запрашивает базу данных OSV.dev для получения актуальной информации о CVE с автоматическим переходом в офлайн-режим при необходимости Гибкий вывод результатов: формирует отчеты в форматах Terminal, JSON, Markdown и SARIF (для интеграции с CI/CD) Подавление ложных срабатываний: позволяет принять известные находки через базовые правила или отпечатки, чтобы при повторном сканировании отображались только новые проблемы

Установка и проверка на основе репозитория anti-slop с флагом --no-llm проведет статический анализ без использованию llm

uv tool install git+https://github.com/NVIDIA/skillspector.git
skillspector scan https://github.com/miqdadbadjuber/anti-slop --no-llm

😹 Repo #ai #skills #security ✈️ Telegram 💬 MAX 🔗 whlab.ru

📣 Интересное за эту неделю 😀 Инструмент для исследования логов 😒 Плагин YesWeHack Claude Kit 〰️ Платформа, которая объединяет инструменты радиоразведки 🖥 PHP2Shell 💻 Набор образцов Windows логов ⚙ NTLM relay #digest #useful #posts ✈️ Telegram 🔗 whlab.ru 💬 MAX

В сентябре Майкрософт по-тихому прикрыли недоработку в протоколе SMB, что позволяло релеить SMB в SMB (reflection тоже) даже при активном signing. Подробно в блоге: https://blackfield.ch/blog/defeating-enforced-smb-signing/ И вот уже в октябре Майкрософт патчит релей SMB в LDAP, и он тоже возможен при активной подписи... https://specterops.io/blog/2026/10/23/ldap-signing-bypass-ntlm-relay/ Ссылки на скрипты есть в блогах. А вот чего нет?! Нет CVE... как говорится "by design"😁😁 #ad #pentest #relay

💻 Windows Events Attack Samples Набор образцов Windows логов, связанных с конкретными методами атак и пост эксплуатации

git clone https://github.com/sbousseaden/EVTX-ATTACK-SAMPLES.git

uv run python zircolite.py -e EVTX-ATTACK-SAMPLES/ -r rules/rules_windows_merged.json

😹 Repo #dfir #forensics #logs #evtx #windows ✈️ Telegram 🔗 whlab.ru 💬 MAX

⚙ PHP2Shell Написали уже все, держите проверялку Но так то, PHP за опыт не считаем 😅 🔗 https://securetheweb.org #php #cve ✈️ Telegram 🔗 whlab.ru 💬 MAX

ФРИИ инвестирует от 3 до 200 млн ₽ в российские IT-компании Фонд развития интернет-инициатив (ФРИИ) инвестирует в IT-компании на разных стадиях развития — от ранних проектов с первыми продажами до зрелого бизнеса, готового к масштабированию. 💰 Объём инвестиций — От 3 до 35 млн ₽ для компаний на ранних стадиях, за долю от 5% до 25%. — До 200 млн ₽ для более зрелых компаний, за долю до 49%. ⚡️Что ещё получают портфельные компании? — Бесплатную трёхмесячную акселерационную программу. — Работу с трекерами и отраслевыми экспертами. — Поддержку в росте, масштабировании и подготовке к следующему инвестиционному раунду. 🔗 Ознакомиться с критериями отбора и оставить заявку на сайте https://invest.iidf.ru/ Реклама. О рекламодателе

〰️ iNTERCEPT v2.33.79 Платформа, которая объединяет инструменты радиоразведки (SIGINT) в единый веб-интерфейс. Проект предназначен для работы с программно-определяемым радио (SDR) и позволяет декодировать, отслеживать и анализировать различные радиосигналы 📡 Поддерживает широкий спектр задач - от декодирования пейджеров до отслеживания спутников и дронов:

Декодирование пейджеров: приём сообщений POCSAG/FLEX Датчики 433 МГц: приём данных от погодных станций, датчиков давления в шинах (TPMS) и IoT-устройств Отслеживание самолётов: приём сигналов ADS-B с отображением на карте в реальном времени Отслеживание судов: приём сигналов AIS и мониторинг бедствия VHF DSC. Спутники погоды: Декодирование изображений с NOAA APT и Meteor LRPT Сканирование WiFi и Bluetooth: обнаружение устройств и трекеров GPS-трекинг: отслеживание местоположения в реальном времени Противодействие слежке (TSCM): обнаружение угроз на основе сравнения RF-базовой линии Интеллект о дронах: обнаружение БПЛА по Remote ID (WiFi/BLE) и RF-сигналам Радиостанции-шпионы: база данных номерных станций и дипломатических HF-сетей Космическая погода: данные о солнечной и геомагнитной активности Меш-сети Meshtastic: интеграция с LoRa-сетями Удалённые агенты: распределённый SIGINT с удалёнными сенсорными узлами Оффлайн-режим: работа в изолированных сетях и полевых условиях

🔗 Web 😹 Repo #sigint #sdr #intercept ✈️ Telegram 🔗 whlab.ru 💬 MAX

Помните я 100 раз говорил, что сертификаты это вопрос доверия, а не сложности технической реализации - https://github.com/Fluepke/emudrahahahahaha #cert #trust ✈️ Telegram 🔗 whlab.ru 💬 MAX

😒 YesWeHack Claude Kit Плагин для Claude Code. Помогает баг-хантерам писать отчеты, которые триаж-команда сможет быстро проверить и валидировать, не возвращая на доработку P.S. Этот не проверял и видимо заточен под отчет на англ. языке, возможно взять за основу и подглядеть что-то полезное 🔗 Анонс 😹 Repo #ai #claude #bugbounty ✈️ Telegram 🔗 whlab.ru 💬 MAX

🔄 😀 Zircolite v4.6.0 Отличный инструмент для исследования логов, особенно крайне кривых и неудобных 💻 Windows EVTX Changelog Кроссплатформенный, есть готовые бинарники

🐥 MS Windows EVTX 🐥 Auditd logs 🐥 Sysmon for Linux 🐥 EVTXtract 🐥 CSV and XML logs 🐥 JSON Array logs

Установка:

git clone https://github.com/wagga40/Zircolite.git
cd .\Zircolite\
uv sync
uv run python zircolite.py -e System.evtx

Примеры:

zircolite --evtx System.evtx
zircolite --evtx ./logs/ --ruleset rules/rules_windows_merged.json
zircolite --events auditd.log --ruleset rules/rules_linux.json --auditd

Обновление правил:

python3 zircolite.py -U

🗂 Тестовый EVTX 😹 Repo 😹 Sigma 📕 Documentation #dfir #forensics #zircolite #soft #blueteam ✈️ Telegram 🔗 whlab.ru 💬 MAX

📣 Интересное за эту неделю ▫️ Бенчмарк моделей - llmfit 💻 Инструмент для управления KeyCredentialLinks 👩‍💻 GitMCP 🎩 Взломали Dodo Pizza и спалились на мелочи 🛠 REA: Reverse Engineer Anything 👦 Решение PWN в 2026 выглядит так 💻 Harden Windows Security 🎥 FFmpeg Pentest Guide 🖥 CVE-2026-99999 - PwnEscape: Guest-to-Host KVM Escape #digest #useful #posts ✈️ Telegram 🔗 whlab.ru 💬 MAX

📣 Интересное за эту неделю ▫️ Бенчмарк моделей - llmfit 💻 Инструмент для управления KeyCredentialLinks 👩‍💻 GitMCP 🎩 Взломали Dodo Pizza и спалились на мелочи 🛠 REA: Reverse Engineer Anything 👦 Решение PWN в 2026 выглядит так 💻 Harden Windows Security 🎥 FFmpeg Pentest Guide 🖥 CVE-2026-99999 - PwnEscape: Guest-to-Host KVM Escape #digest #useful #posts ✈️ Telegram 🔗 whlab.ru 💬 MAX

🖥 CVE-2026-99999 - PwnEscape: Guest-to-Host KVM Escape

Критическая уязвимость в ядре Linux, которая получила прозвище PwnEscape Находится в сетевом стеке IPv4 ядра Linux. Проблема в том, что при обработке IPv4-пакета ядро не проверяет значение checksum_start до того, как завершить вычисление контрольной суммы CVSS 3.0: 9,3 («Критическая»)

❗️ Вариант исправления только один, обновляем ядро хоста и перезагружаемся в него, это одно изменение, коммит 6785011f8b16, написанный Майклом С. Циркиным из Red Hat и включенное в основное ядро 🔗 PwnEscape: Guest-to-Host KVM Escape #cve #linux #kernel ✈️ Telegram 🔗 whlab.ru 💬 MAX

🎥 FFmpeg Pentest Guide Отличный research от FaLLenSkiLL

Вступление Вы знали, что использование FFmpeg является индустриальным стандартом в мобильных приложениях, которым требуется обработка аудио и видео? А ещё под FFmpeg на момент написания статьи существует 543 зарегистрированных CVE. И да, эти уязвимости встречаются на bugbounty

🔗 pentestnotes.ru ✈️ @pentestnotes #ffmpeg #pentest #guide ✈️ Telegram 🔗 whlab.ru 💬 MAX

🔄💻 Harden Windows Security v1.0.96 Комплексный набор инструментов и руководств с открытым исходным кодом, предназначенный для безопасного и надежного усиления защиты операционной системы Windows Установка в Winget:

winget install --id 9p7ggfl7dx57 --exact --accept-package-agreements --accept-source-agreements --force --source msstore

winget install --id 9PNG1JDDTGP8 --exact --source msstore

😹 Repo 🔗 Web 📕 Docs #windows #hardening #security ✈️ Telegram 🔗 whlab.ru 💬 MAX

👦 Решение PWN в 2026 выглядит так Лично мне было не сложно 😅 Взял свежий таск с HackerLab, средне-сложный, решило всего 13 человек (наверное человек😭), ну теперь уже 14 Ghidra не понадобилась, даже Linux (отдельный) не понадобился, ai сам подключил pwntools и gdb в WSL Морали не будет, но грустно 😅 🛠 Разбор от самого агента:

Корневая причина прошлой неудачи (подтверждена эмпирически) Два чанка 0x500, освобождённые в unsorted bin, переиспользуются последующими malloc(0x400) через split. Поэтому раскладка слотов (A = адрес чанка slot0, он же fd, который отдаёт view(2)): | слот | адрес | прошлая сессия | |------|-------|----------------| | slot4 (fake FILE) | A + 0x550 | A + 0xA90 ❌ | | slot5 | A + 0x10 | — | | slot6 | A + 0xA90 | — | A+0xA90 — это slot6, заполненный 'C'*0x100, отсюда и наблюдавшееся «`'C'*8`». Проверено `probe_layout.py`: чтение `apples[]` прямо из памяти процесса через `/proc/<pid>/mem` (PIE base из `/proc/<pid>/maps`, смещение `apples=0x4080`), а не расчётом по макету кучи Второе препятствие glibc 2.43: мангация cookie-колбэков `_IO_cookie_read/write/seek/close` в 2.43 делают PTR_DEMANGLE: `ror rax,0x11; xor rax, fs:0x30`. Значит cookie-путь требует pointer-guard и не годится. Раскладка `_IO_cookie_file` (на будущее): vtable 0xd8, `__cookie` 0xe0, read 0xe8, write 0xf0, seek 0xf8, close 0x100 Рабочий путь: House of Apple 2 `_IO_wdoallocbuf` (libc+0x92080) вызывает `[[fp->_wide_data + 0xe0] + 0x68](fp)` — без мангации и без валидации vtable, аргумент = fp. Достаточно: - fp (0x400-чанк slot4 = A+0x550): `_flags = " /bin/sh\0"`, write_ptr>write_base, `_mode=0`, `_wide_data` → внутренняя область, `vtable = _IO_wfile_jumps` (libc+0x211228, реальный vtable → проходит проверку); - fake `_IO_wide_data`: write_ptr=0, buf_base=0, `_wide_vtable` → внутренняя область; - fake wide-vtable: `+0x68 = system` (libc+0x5c560). Триггер — `exit` (меню «5») → `_IO_cleanup` → `_IO_flush_all_lockp(0)` → `_IO_wfile_overflow` → `_IO_wdoallocbuf` → `system(" /bin/sh")`. Запись `_IO_list_all` — через tcache poisoning (safe-linking, `next = (fp>>12)^_IO_list_all`) Офсеты (libc 2.43-2ubuntu2 = libc.so.6 из задания) main_arena+0x60 (unsorted fd) = 0x212ac8 _IO_list_all = 0x213480 _IO_file_jumps = 0x211030 _IO_wfile_jumps = 0x211228 <- используем system (__libc_system) = 0x5c560 "/bin/sh" = 0x1db799 chall: apples = .bss 0x4080, PIE, Full RELRO Эффект - локально: `PWNED_exited3n` (fake flag `C0DEBY{FAKE_FLAG}`); - удалённо: `PWNED_ctf` + `CODEBY{y............gl1bc}` Артефакты - `solve.py` — финальный эксплойт (`local`/`remote`). - `probe_layout.py` — эмпирическая проверка адресов слотов. - `vtabs.py`, `cookie_jumps.py`, `cookie_region.py`, `find_cookie.py`, `wfile.py`, `wdoalloc.py` — разбор таблиц vtable и cookie/wide-путей

#reverse #pwn ✈️ Telegram 🔗 whlab.ru 💬 MAX