Кибербезопасность | Пентестинг & AppSec

Только мы придумали, что-то интересно и сразу бан!🫤 Telegram заблокировал наш чат предзаписи. Мы подали апелляцию и ждём ответа. Из-за чего тоже непонятно, возможно кто-то пожаловался🤔 Пока вопрос не решён, запуск клуба ставим на паузу. Если у кого-то были похожие ситуации напишите, пожалуйста, в лс. А канал работает как обычно: теория, задачи и разборы выходят по плану 💪 Спасибо всем, кто записался и поддержал 🔥 Это показало, что клуб вам нужен, и мы к идее ещё вернёмся.

Ну что ребят - задачка. Дано: интернет-магазин. При регистрации вам на почту приходит ссылка для подтверждения: site . com/verify?token=abc123 Вопрос: где тут можно украсть чужой аккаунт? Ответ покажется тупым, но ... Разбор тестовой лабы: Я заметил 2 вещи: Токен в ссылке живет 24 часа После того как ты подтвердил почту, токен НЕ СГОРАЕТ. Он все еще валидный. А дальше классика: Я регаю аккаунт на свою почту vitali@test.com Подтверждаю его, все ок Иду в настройки профиля и меняю почту на admin@victim.com (почту жертвы) Сайт снова шлет письмо с подтверждением на НОВУЮ почту. С ТЕМ ЖЕ САМЫМ токеном abc123 Я не подтверждаю. Я просто жду. Что делает жертва? Она хочет зарегаться на admin@victim.com, но сайт ей пишет "такая почта уже занята". Она идет делать "Забыли пароль?" -> ей на почту приходит письмо -> она меняет пароль и заходит. И вот в этот момент мой старый токен abc123 все еще работает. Я перехожу по site. com/verify?token=abc123 и сайт пишет: "Почта admin@victim.com успешно подтверждена. Вы владелец аккаунта". Я только что угнал ее аккаунт после того, как она сменила пароль. Это называется ЗАХВАТ АККАУНТА!!!. Очень !!!редкий!!! и очень простой баг. Как надо было фиксить: 1 правило: Любой токен на почту должен сгорать сразу после использования. Один раз кликнули - все, в мусорку. Проверьте свои проекты.  . Нашли бы сами? По менторству security testing (для QA) / AppSec - пишите в телеграм @faroeman (укажите откуда вы) #bugbounty #infosec #appsec #для_начинающих

Всем спасибо за активность!) Вижу реакции, а значит тема вас действительна интересна! Поэтому заходим по ссылке ниже, вступаем, обсуждаем! И не выходите из чата до старта, иначе пропустите цену early bird 😉 Вступить

🔐 Думаем запустить закрытый клуб пентестеров. Нужно ваше мнение Читать про XSS и найти XSS — разные вещи. Мы хотим сделать место, где практика каждую неделю: 🧪 уроки с лабами: полный курс по XSS и Bash для пентестера, а также другие именные курсы, которые мы еще не рекламировали здесь, будут выходить по расписанию 🔍 глубокие разборы: обходы фильтров, CSP, IDOR, методология 📄 разборы реальных отчётов bug bounty 💬 закрытый чат и «Вопросы недели»: задаёте вопрос, автор темы отвечает сразу в комментариях да и много других идей, которые будем обсуждать уже с вами😎 🎁 курс «JSON с нуля до профи» в подарок сразу при входе плюс «Карта пути пентестера» (что учить и в каком порядке). Клуб будет платным, по подписке: цену пока еще определяем Если хотели бы вступить, поставьте 🔥 под этим постом. Если интересно, но пока сомневаетесь, поставьте 🤔.

🔐 Думаем запустить закрытый клуб пентестеров. Нужно ваше мнение Читать про XSS и найти XSS — разные вещи. Мы хотим сделать место, где практика каждую неделю: 🧪 уроки с лабами: полный курс по XSS и Bash для пентестера, а также другие именные курсы, которые мы еще не рекламировали здесь, будут выходить по расписанию 🔍 глубокие разборы: обходы фильтров, CSP, IDOR, методология 📄 разборы реальных отчётов bug bounty 💬 закрытый чат и «Вопросы недели»: задаёте вопрос, автор темы отвечает сразу в комментариях 🎁 курс «JSON с нуля до профи» в подарок сразу при входе, а также Клуб будет платным, по подписке: цену пока еще определяем Если хотели бы вступить, поставьте 🔥 под этим постом. Если интересно, но пока сомневаетесь, поставьте 🤔.

🚀BeconVPN — интернет без лишних ограничений Надоели зависания, медленная загрузка и постоянные обрывы соединения? Попробуй BeconVPN — VPN-сервис для комфортного использования интернета каждый день. ⚡️ 🐂 Почему BeconVPN? 🌐 Быстрое соединение — смотри видео, загружай файлы и пользуйся любимыми сервисами. 🟢 Конфиденциальность — защити свой интернет-трафик и пользуйся сетью с большим спокойствием. 💬 Подключение в пару кликов — удобное управление прямо через Telegram, без сложных настроек. 🛡 Современная технология VLESS — протокол, разработанный для эффективного и гибкого подключения. 💻 До 5 устройств — используй VPN на нескольких своих устройствах в рамках одной подписки. 💰 Попробуй бесплатно! Активируй пробный период на три дня, протестируй подключение и оцени BeconVPN самостоятельно. 🗓 Начни пользоваться прямо сейчас: ➡️ ПОДКЛЮЧИТЬ BECONVPN

Разбор задачки про tcpdump В задачке приняло участие не так много участников, как хотелось бы, но будем думать, что эта тема всем понятна😄 читаем сам дамп:

Порт 22: S → S/ACK → R → open Порт 23: S → R/ACK → closed Порт 80: S → тишина, повторный S → filtered

🔐 22 — open. Сервер ответил SYN/ACK ([S.]): порт слушает. 🚪 23 — closed. Хост жив, но на порту никто не слушает, и он ответил RST/ACK ([R.]). 🛡 80 — filtered. Ответа нет, Nmap повторил SYN. Скорее всего, пакеты дропает файрвол. ⚙️ Тип скана: SYN (half-open), -sS. Получив SYN/ACK, клиент не отправил ACK, а оборвал соединение через RST. Connect-скан (-sT) довёл бы рукопожатие до конца. Зачем RST: соединение не доходит до приложения, а запись о полуоткрытом соединении быстро освобождается. Но IDS такой скан всё равно видит. Проверяем:

sudo nmap -sS -p 22,23,80 --reason 10.0.0.10

22/tcp open     ssh     syn-ack
23/tcp closed   telnet  reset
80/tcp filtered http    no-response

🧠 Главная мысль: open, closed и filtered — это три разных реакции на один и тот же SYN. Различаешь их по ответу, а не по цвету в терминале. Спасибо всем, кто пишет в комменты и ставит реакции! 🙌 #разбор #network #nmap #pentest

Как делать DDOS через SYN-FLOOD? Рассказал в новом видео Что такое SYN-FLOOD? Какие виды бывают? (показал на диаграме) Как защититься С вас лайк подписка - спасибо! https://youtu.be/9XystfX1qv0?si=KmJtvpxWwyGkVsOH

Я живу в 1 км от того места, где в 2007 году Эстонию отключили от интернета. Апрель 2007. Бронзовая ночь. Правительство переносит Бронзового солдата из центра Таллинна. Через 2 дня начинается первая в мире кибератака на целую страну. 130 DDoS-атак за 3 недели. Легли: сайт парламента, президента, 2 крупнейших банка, все газеты. Люди не могли снять деньги. Скорая не могла дозвониться. Трафик шел из Перу, Вьетнама, США - с ботнетов Пик был 9 мая. Чем били? Самой тупой атакой в мире - SYN-flood. АТАКА: Как работает SYN-flood за 20 секунд: Ты хочешь подключиться к сайту - шлешь SYN Сайт отвечает SYN-ACK и ждет твой ACK, оставляя для тебя место в памяти Ты не отвечаешь. Никогда. Сайт ждет 30-60 секунд, держа место. А теперь 100,000 ботов делают это одновременно. Память сервера забивается "полуоткрытыми" соединениями. Это не взлом. Это забивание памяти мусором по сути ... ЗАЩИТА: Как это чинят в 2026 и чему я учу: В 2007 Эстония выжила потому что отфильтровала трафик за границей. Сейчас защита - 1 строчка в Linux (хотя конечно не спасет всегда): SYN Cookies - сервер не хранит место, а шифрует его в ответе. Нет памяти - нет атаки. И rate limit + Anycast в Cloudflare. Почему я об этом рассказываю в курсе по AppSec? Потому что 90% джунов думают что AppSec - это только XSS. А AppSec - это понимание как работает сеть. ОБУЧЕНИЕ: Я учу этому в E4 Base модуле. Асинхронно. Ты не привязан к созвонам. Ты в Таллинне, в Берлине, в Тбилиси - не суть - кидаешь мне лабу когда застрял, я разбираю в течение дня. Отвечаю на вопросы - помогаю. Пиши в личку - Буду рад помочь -цены адекватные. @faroeman #appsec #estonia #cybersecurity #synflood #bronzenight

🧪 Мини-задача перед выходными: читаем дамп С хоста 10.0.0.5 просканировали 10.0.0.10. Вот что показал tcpdump:

10.0.0.5.51234  > 10.0.0.10.22: Flags [S],  seq 1000
10.0.0.10.22    > 10.0.0.5.51234: Flags [S.], seq 5000, ack 1001
10.0.0.5.51234  > 10.0.0.10.22: Flags [R],  seq 1001

10.0.0.5.51235  > 10.0.0.10.23: Flags [S],  seq 2000
10.0.0.10.23    > 10.0.0.5.51235: Flags [R.], seq 0, ack 2001

10.0.0.5.51236  > 10.0.0.10.80: Flags [S],  seq 3000
10.0.0.5.51237  > 10.0.0.10.80: Flags [S],  seq 3500   (через ~1 сек)

❓ Вопросы Какой статус у портов 22, 23 и 80? Какой это тип скана? Почему на порту 22 клиент отправил [R], а не [.] (ACK)? Обращаем внимание на на флаги и на то, что ответил (или не ответил) сервер. Пиши ответы в комментарии. Разбор в понедельник. 🕕 #практика #network #nmap #pentest

🔗 TCP/IP: как устроена передача данных (и при чём тут nmap) В прошлых постах мы разобрали IP, MAC и ARP. Теперь соберём всё в одну модель. TCP/IP — это набор протоколов, по которому работает весь интернет и почти любая корпоративная сеть. 🧱 4 уровня модели TCP/IP

4. Прикладной     → HTTP, DNS, SMB, SSH
3. Транспортный   → TCP, UDP
2. Межсетевой     → IP, ICMP
1. Канальный      → Ethernet, Wi-Fi, ARP

Каждый уровень решает свою задачу: ↓ приложение формирует данные ↓ TCP режет их на сегменты и следит за доставкой ↓ IP знает, куда отправить пакет ↓ канальный уровень знает, кому в локальной сети передать кадр (MAC) 🤝 TCP-рукопожатие (3-way handshake) Прежде чем передавать данные, TCP устанавливает соединение:

Клиент  ── SYN ──────────▶️  Сервер
Клиент  ◀️───── SYN/ACK ──  Сервер
Клиент  ── ACK ──────────▶️  Сервер

Только после этого начинается обмен данными. Именно поэтому TCP называют надёжным: он гарантирует доставку, порядок пакетов и переотправку потерь. 🚩 Флаги TCP, которые нужно знать — SYN: хочу соединиться — ACK: подтверждаю — RST: сброс, «здесь никого нет» или «уходи» — FIN: корректное завершение соединения 🎯 Почему это важно пентестеру Сканирование портов — это просто игра с рукопожатием.

nmap -sS 10.0.0.5

SYN-скан отправляет только SYN и смотрит на ответ:

SYN/ACK      → порт открыт ✅
RST          → порт закрыт ❌
тишина       → порт фильтруется 🧱 (файрвол)

После SYN/ACK nmap не завершает рукопожатие, а отправляет RST. Поэтому такой скан быстрее и меньше светится в логах приложений. Для сравнения:

nmap -sT 10.0.0.5

Connect-скан проходит рукопожатие полностью. Он работает без root-прав, но зато оставляет следы в логах сервиса. 📌 Главная мысль Когда nmap пишет open, closed или filtered, он просто пересказывает тебе, как сервер ответил на SYN. Понимаешь рукопожатие — понимаешь, что на самом деле показывает сканер и почему он иногда «врёт». #network #base

Ну не могу я нормальные комменты в коммитах писать 😂 У кого еще такая проблема? 😁

Разбираем прошлую задачку🤔 Большинство ответило правильно😃 Внутри локальной сети устройства находят друг друга не по IP, а по MAC-адресам. IP нужен, чтобы дойти до нужной сети через интернет. А внутри своей сети кадр едет от карты к карте по MAC. Но твой комп знает только IP шлюза. Чтобы отправить кадр, ему нужен MAC шлюза. Эту связку «IP → MAC» делает ARP:

— Хост: «У кого IP 192.168.1.1? Скажи свой MAC»
— Шлюз: «Это я, мой MAC — aa:bb:cc...»

Ответ записывается в ARP-кэш, и дальше кадры летят на этот MAC. ⚠️ Дыра в том, что ARP никого не проверяет. Кто ответил — тому и верят. Можно без спроса сказать жертве «шлюз теперь по моему MAC» — и она поверит. Атака: Атакующий врёт обеим сторонам: — жертве: «шлюз — это мой MAC» — шлюзу: «жертва — это мой MAC» Теперь весь трафик жертвы идёт через атакующего. Он его читает и передаёт дальше, оставаясь незаметным. Это и есть MITM. 🎯 Почему именно L2: IP-адреса не меняются, сессии не рвутся, приложение ничего не замечает. Меняется только одно — на чью сетевую карту попадает кадр. Чистая механика канального уровня. Почему только в локалке: ARP-запросы широковещательные, а через роутер они не проходят. Значит, атаковать можно только из своего сегмента — надо быть в той же сети (тот же коммутатор или Wi-Fi). 🛡 Защита (тоже на L2): статические ARP-записи, Dynamic ARP Inspection, port security. Плюс TLS — перехват не остановит, но данные сделает нечитаемыми. 📌 Главное: атака всегда привязана к уровню. Знаешь уровень — знаешь и её границы (только локалка), и почему верхние уровни её не видят, и где ставить защиту. #network #теория #ad

Многие QA мечтают повысить свои скиллы и уйти в автоматизацию или безопасность ... Пентест - одно из направлений, которое отлично подходит тестировщикам. Я просмотрел около 100 вакансий и собрал список того, что нужно знать пентестеру, кто хочет тестировать уязвимости . Вот видео на 8 минут С вас лайк - подписка - коммент. С меня больше видео. Хорошо вечера. https://youtu.be/3okGsfq3ni4?si=MT5iquLnMF9hKCIc

🛡 Вся наша движуха по ИБ в одном месте Теория, практика, разборы, новости и вакансии — всё для старта и роста в пентесте. Выбирай, что тебе ближе 👇 🎯 Пентест и разборы → @pentesting_channel 🧠 Квизы «Проверь себя» → @cybersecurity_quizz 😂 Мемы про ИБ → @cybersec_memes 📰 Новости и атаки → @cybersecs_news 💼 Вакансии в ИБ → @cybervacancies_channel 💬 Чат → @pentesting_channel_chat 📁 Добавь все каналы в отдельную папку — одним нажатием, чтобы не потерялись в ленте: [Забрать папку]

🌐 Модель OSI и стек TCP/IP — карта, по которой работает пентестер Когда ты отправляешь запрос, данные проходят через несколько уровней — от кабеля до приложения. Понимать эти уровни важно не ради теории: на каждом из них своя атака. Есть две модели.

OSI — теоретическая, 7 уровней, по ней удобно учиться. TCP/IP — реальная, 4 уровня, по ней работает интернет.

Ниже — OSI, а рядом где на нём «ломается»: 7. Прикладной (HTTP, DNS, FTP, SMB) Здесь живут веб-уязвимости: SQLi, XSS, IDOR. Большая часть твоей работы — тут. 6. Представления (шифрование, кодирование) TLS, Base64. Тут — перехват до/после шифрования, downgrade-атаки. 5. Сеансовый (сессии) Session hijacking, кража токенов, фиксация сессии. 4. Транспортный (TCP, UDP, порты) Сканирование портов (nmap), SYN-флуд. Отсюда начинается разведка. 3. Сетевой (IP, ICMP, маршрутизация) IP-спуфинг, разведка через ping/traceroute. 2. Канальный (MAC, ARP, коммутаторы) ARP-спуфинг, MITM в локальной сети, перехват трафика. 1. Физический (кабель, Wi-Fi, сигнал) Физический доступ, снифинг, Rogue AP. 📌 Как это ложится на TCP/IP (4 уровня): Приложение (7–5) → Транспорт (4) → Интернет (3) → Доступ к сети (2–1). 🎯 Зачем это пентестеру Модель — не схема для экзамена, а чек-лист поверхностей атаки. Видишь цель — мысленно проходишь по уровням: где сниффить, где спуфить, где инъекции. Ни один вектор не упустишь. #network #теория

🌐 Что такое TCP/IP? Объясняем простыми словами Когда мы отправляем сообщение, открываем сайт или смотрим видео — данные не летят целиком одним большим файлом. Они разбиваются на маленькие части и отправляются через сеть. За это отвечает набор протоколов TCP/IP. 📌 IP (Internet Protocol) — это как адрес на конверте. Он отвечает за: куда отправить данные; какой у устройства IP-адрес; через какие сети пройти. Например: 💻 Компьютер → 192.168.1.10 🌍 Сервер сайта → 8.8.8.8 IP помогает найти путь от отправителя к получателю. 📌 TCP (Transmission Control Protocol) — это как проверка доставки. Он отвечает за: — разбивку данных на части; — проверку, что всё дошло; — повторную отправку потерянных частей; — сборку данных обратно в правильном порядке. Представь, что ты отправляешь книгу по почте: IP говорит: «Вот адрес получателя». TCP проверяет: «Все страницы книги дошли? Ничего не потерялось?» 📦 Пример работы: Ты открываешь сайт: 1️⃣ Браузер получает IP-адрес сервера. 2️⃣ TCP устанавливает соединение с сервером. 3️⃣ Данные сайта отправляются маленькими пакетами. 4️⃣ TCP проверяет доставку. 5️⃣ Браузер собирает страницу. ⚡️ А если нужна скорость, а не идеальная доставка, используются другие протоколы — например UDP. #network

🛡 Друзья, пробуем новый формат! Только вопросы — по сетям, веб-безопасности, OSINT и защите инфраструктуры. Прорешай викторины и узнай, на что ты способен! Новые вопросы — каждый день. Заходи, отвечай и тренируйся вместе с нами!

Path Traversal - уязвимость из-за которой джуны не проходят собес в AppSec. Спрашивают почти всегда. Отвечают почти всегда плохо. Суть за 20 секунд: У вас есть API: GET /api/files?filename=report.pdf Бэкенд делает: open("./files/" + filename) Что отправит атакующий? filename=../../etc/passwd И если нет защиты - он читает системные файлы. На Linux это /etc/passwd, на Windows - ..\..\windows\win.ini. В лабе на localhost это выглядит так: Поднимаешь простой Node/Express сервер с отдачей файлов Отправляешь ../../../etc/passwd и получаешь 200 OK вместо 403 В одном (пока одном) из аудитов эта дыра была в проде у одного стартапа из Эстонии. Не потому что девелоперы глупые. А потому что они думают что фреймворк сам защитит. Как закрыть правильно - и что ждут на собесе: -Никогда не конкатенируй путь. Используй path.resolve() + проверку что итоговый путь внутри разрешенной директории. -Белый список файлов / UUID вместо имени файла от юзера. -WAF - это костыль, а не защита. Если ты хочешь в AppSec - ты должен уметь: Найти это за 15-30 минут хотя бы И за 2 минуты объяснить как закрыть проблему Этому не учат на курсах по веб-разработке. Этому учат на практике. Кому интересно обучение - пишите в тг @faroeman #appsec #cybersecurity #pathTraversal #career #owasp