Дневник Комбеза
Kanalga Telegram’da o‘tish
История одного Кибер Безопасника из маленького города в Сибири
Ko'proq ko'rsatishMamlakat belgilanmaganToif belgilanmagan
784
Obunachilar
Ma'lumot yo'q24 soatlar
+37 kun
+830 kun
Ma'lumotlar yuklanmoqda
O'xshash kanallar
Ma'lumot yo'q
Muammo bormi? Iltimos, sahifani yangilang yoki bizning qo'llab-quvvatlash boshqaruvchimizga murojaat qiling>.
Taglar buluti
Kirish va chiqish esdaliklari
---
---
---
---
---
---
Obunachilarni jalb qilish
Noyabr '26Noy '26
Noyabr '260
0 kanalda
Oktabr '26
+23
0 kanalda
Get PRO
Sentabr '26
+50
0 kanalda
Get PRO
Avgust '26
+62
0 kanalda
Get PRO
Iyul '26
+79
2 kanalda
Get PRO
Iyun '26
+48
1 kanalda
Get PRO
May '26
+21
0 kanalda
Get PRO
Aprel '26
+66
0 kanalda
Get PRO
Mart '26
+69
0 kanalda
Get PRO
Fevral '26
+28
1 kanalda
Get PRO
Yanvar '26
+15
0 kanalda
Get PRO
Dekabr '25
+12
0 kanalda
Get PRO
Noyabr '25
+24
1 kanalda
Get PRO
Oktabr '25
+19
2 kanalda
Get PRO
Sentabr '25
+194
2 kanalda
Get PRO
Avgust '250
0 kanalda
Get PRO
Iyul '25
+46
0 kanalda
Get PRO
Iyun '250
1 kanalda
Get PRO
May '25
+148
1 kanalda
| Sana | Obunachilarni jalb qilish | Esdaliklar | Kanallar | |
| 03 Noyabr | 0 | |||
| 02 Noyabr | 0 | |||
| 01 Noyabr | 0 |
Kanal postlari
| 2 |  Оставлю это тут ... | 200 |
| 3 |  Больше правил богу Semgrep-a
Тут мой хороший друг Рома посмотрел на меня и решил написать свой набор правил для своих проектов. И я не имею права с вами ими не поделиться 👉
Вот как Рома мне об этом сообщил:
Я тут у тебя идею позаимствовал единых правил и источники. Правда делал ручками и в качестве основы взял правила от mastg, дальше просто их расширял для Kotlin и брал из других источников которых нет, чтобы уменьшить число дубликатов.
Короче пользуйтесь: https://github.com/Stormtrooperroman/MobSec-Semgrep-Mobile-Rules | 427 |
| 4 | Bypassing Android Hardware Attestation from the Analyst's Chair
Статья про обход Android Hardware Key Attestation без взлома TEE/StrongBox и без подделки сертификатов. Авторы показывают relay-атаку: rooted-устройство, на котором проводится анализ приложения, «одалживает» валидную hardware attestation у второго, чистого телефона с locked bootloader и Verified Boot. | 498 |
| 5 | Очень полезная статья для тех кто хочет понять как работает атестация мобил и на чём она базируется | 495 |
| 6 | Год почти прошёл....
Надо че-то написать.
Ну вообщем тут одна замечательная команда, самых лучших людей (включая меня). Сделала совместными усилиями проект от ctfеров для ctfеров. И носит он прекрасное название dev-c.tf
Что там можно делать?
1. Задачи TB разных уравней сложностей.
2. Пред подготовка перед АД.
3. NEW NEW NEW!!! СОБСТВЕННЫЕ, ПОЛНОЦЕННЫЕ АД ТРЕНЕРОВКИ НА РЕАЛЬНЫХ МАШИНАХ В 3 КЛИКА.
4. Дальше больше.
Подробнее + саб -> @devctf
По вопросам @devctfbot | 604 |
| 7 | Ну кто я такой чтобы отказаться от репоста разработки моих прекрасных знакомых 😉 | 508 |
| 8 | Нейронки Нейронки Нейронки ...
Последнее время приходится очень много вещей в рамках своей работы автоматизировать с помощью ИИ.
Хочется поделиться с вами, наверное, одним из самых интересных каналов в ТГ на эту тему — @nedyrov
Автор рассказывает про свой опыт автоматизации различной рутины, и в некоторых моментах мне удалось почерпнуть полезную для себя информацию.
В принципе, интересная подача без лишнего мусора + иногда Лёша в канале плюшки раздаёт для тех, кто хочет что-то потестить. Мелочь, а очень приятно 🙂
Что сейчас автоматизирую я и по каким направлениям было бы круто, если бы вы поднакинули ресурсов или посоветовали что-нибудь попробовать:
1) Реверс различных приложений
Тема почти побеждена, но хороших плагинов для агентов пока маловато. Сейчас использую OpenCode + [скилл для реверса приложений](https://github.com/newliver666/apk-reverse) + параллельно дописываю свой скилл.
Кстати, это, наверное, самая простая тема, основная задача которой — помогать командам автоматически доставать из всяких мобильных троянов полезную информацию по типу доменов и т. д.
Сейчас тема достаточно неплохо показывает себя в ручном режиме: агент легко за 2–3 итерации расшифровывает разные троянцы.
Тут стоит отметить, что для противодействия нам не нужно много информации. Достаточно вытащить домены и IP, к которым приложение обращается, чтобы в дальнейшем на них пожаловаться.
2) Автоматизация проверок по MASVS
Я пытаюсь автоматизировать проверки по MASVS, по крайней мере те, что доступны для статического анализа. Вот в этом плане сейчас достаточно большой затуп.
Понятно, что есть Semgrep + MobSFScan, но это вообще не показательные продукты. Если дополнительно запускать агента, то он чаще всего просто подтверждает находки от SAST.
Тут есть задумка пойти в сторону каких-нибудь навороченных автоматизаций, когда агент проверяет код только частично, но как будто дополнительного прогресса тут особо не ожидаю.
Если будут идеи — пишите, буду рад обсудить.
3) Автоматизация динамических проверок
У меня ещё со времён вуза лежит куча наработок по динамическому анализу в виде проекта [MAP](https://github.com/Sib-Coder/MobileDAST).
К этому публичному репозиторию я успел написать достаточно много новых проверок и автоматизаций(пока в привате - не хочу публиковать так как вижу что продукт в текущем виде мне не нравится), но пока есть явное ощущение, что, если пытаться анализировать результаты динамических тестов с помощью ИИ, результативность инструмента можно достаточно сильно повысить.
Теперь немного про мои ощущения от всего этого.
ИИ реально облегчает работу, но я бы сказал, что системы на базе ИИ могут снимать с нас лишь часть рутины. По последним моим подсчётам, это облегчение не превышает 10–15% работы.
То есть ИИ — это не дополнительный сотрудник, которого вы наняли в команду. Это штука, которая может быстро нахеровертить скрипт или помочь вам быстрее отдебажить деплой, но она не делает работу за вас.
Нейронка буквально заставляет вас думать, а где я могу с помощью этого инструмента срезать углы? Но возможности языковых моделей не бесконечны.
Да, из-за них часть людей считает, что разработка и безопасность умрёт. Нет, она не умрёт, просто превратится в очень быстрый конвейер, в котором инженер будет последним звеном, несущим ответственность за результат. Так что учимся работать быстрее и качественнее. | 513 |
| 9 |  KazHackStan
Вот и съездил я на KazHackStan — наверное, пора рассказать, как оно.
Если честно, у самой конференции есть проблемы. И у меня ощущение, что часть из них связана с тем, как отбирали спикеров. Хотя несколько докладов всё-таки были действительно годными.
Больше всего запомнились ребята, которые решили продавать AppSec как простой способ разработчику перекатиться в безопасность и заодно апнуть зарплату 😂
А вот всё остальное было очень хорошо: нормальная площадка, прикольные люди, ребята сидят над CTF, страдают — всё как положено.
Если бы сейчас выбирал, на какую из крупных конференций ехать, мой личный рейтинг был бы примерно такой:
1. ZeroNights
2. BI.ZONE
3. KazHackStan
4. PHDays
Отдельным впечатлением стала Астана. Офигенный город, очень понравилась урбанистика. Вообще не ожидал, что настолько зайдёт.
Надеюсь, в следующий раз заскочить на AppSec Fest и заодно посмотреть Алматы. | 583 |
| 10 |  +1Ну что же ловите меня тут😁 | 658 |
| 11 |  Безопасность для самых маленьких прочитана
Очень крутое выступление не смотря на очень быструю и спонтанную подготовочку.
Спасибо всем кто пришёл - был рад повидаться :)
А кто не пришёл не увидел как я его проекты рекламировал 😮
Удалось даже про PT Maze пару слов сказать (ох зря тот новогодний видос не показал) | 824 |
| 12 |  Когда малярный скотч — часть диагностики ПК
Кто-нибудь когда-нибудь думал, что ПК можно починить, перемотав корзину с дисками малярным скотчем?
Нет? Тогда эта история вам понравится :)
Я давно искал себе ПК в дополнение к своему N100. Но отдавать почти 100к за машину, которая большую часть времени будет сервером для моих пет-проектов, мне вообще не хотелось.
И тут мне попался довольно интересный вариант — Lenovo Legion C730.
Сам по себе комп прикольный, но со своими нюансами: проприетарный БП, проприетарная плата и платформа на LGA1151 v2. Хотя последнее сейчас для меня скорее плюс.
В общем, купил я этого красавца. Сразу в сервисе, где его брал, доплатил за апгрейд до 32 ГБ ОЗУ, привёз домой, установил Proxmox — и буквально через пару часов начались приколы.
Комп перестал нормально включаться.
Запускается — и почти сразу выключается.
Ехать обратно и сдавать его было лень, поэтому начался ресёрч.
Разобрал ПК, проверил компоненты, собрал обратно — заработал.
Но потом обнаружилась интересная закономерность: любое движение корзины с дисками превращало запуск компьютера в полный хаос.
Я уже подумал, что корзина где-то коротит на корпус. Поэтому сделал то, что сделал бы любой уважающий себя инженер:
заизолировал её малярным скотчем.
И оно заработало.
Комп спокойно прожил так сутки в режиме 24/7, прошёл тесты, пережил установку моего боевого конфига Proxmox.
Я уже обрадовался. Думал: ну всё, проблема решена.
Разумеется, нет.
На момент покупки у меня не было свободного M.2 SSD. На следующий день приехал диск, я снова разобрал корпус, установил SSD…
И компьютер опять перестал запускаться.
Начались полноценные танцы с бубном.
И тут я решил вспомнить своё сисадминское прошлое и уже внимательно посмотреть, что вообще находится внутри этого Legion.
И вот тут я сильно удивился.
Во-первых, внутри стоял обычный блок питания, а не родной проприетарный.
Во-вторых, материнская плата оказалась не на Z-чипсете, что окончательно убивало мою идею поставить туда CC150 — собственно, ради этого эксперимента машина во многом и покупалась.
А самое смешное — фирменный разъём Lenovo кто-то перепаял под обычный формат.
Причём сделал это настолько аккуратно, что при первом осмотре у меня вообще не возникло подозрений.
На этом моменте я уже окончательно решил, что ПК поедет обратно. Лезть дальше в эту Франкенштейн-сборку желания не было.
Но раз уж начал — хотелось понять, почему он всё-таки не работает.
И причина оказалась максимально прекрасной.
Планки памяти, которые мне добавили при покупке, были на 3200 МГц, и конкретно в этой конфигурации компьютер с ними то запускался, то нет.
Блок питания живой.
Материнка живая.
Память живая.
Процессор живой.
Всё по отдельности работает. Вместе — вся эта конструкция стабильно работать не хочет.
Ставишь другие планки — всё прекрасно.
Но после всех сюрпризов, перепаянных разъёмов, непонятной платы и ремонта корзины малярным скотчем я решил больше судьбу не испытывать.
В итоге вернул эту поделку обратно и пришёл к простой мысли:
наверное, всё-таки лучше собрать обычный ПК из нормальных стандартных компонентов, чем пытаться строить домашний сервер из чужого инженерного творчества.
Вот такой вот Legion C730, собачка 😂 | 663 |
| 13 |  Анонс встречи Tomsk Mobile Community
▼ Что будет:
Безопасность мобильных приложений для самых маленьких
— Зачем нужна безопасность и кто ей занимается?
— Статический и динамический анализ
— Уязвимости в коде
— Как проверить безопасность приложения?
— Workshop: уязвимости, инструменты и атаки на приложение с помощью динамической инструментации.
▼ Спикеры:
— Симон Франциско, Android Developer, KTS
— Даниил Синицын, Mobile AppSec Lead
▼ Когда: 27.09.26 (воскресенье) в 18:00
▼ Где: Офис Т-Банк, ул Советская, д.78, этаж 4
В конце программы будет нетворкинг, чтобы обменяться опытом, пообщаться с коллегами из индустрии и просто приятно провести время с комьюнити.
Присоединиться к сообществу в Томске можно в группе сообщества
Mobile Broadcast | Томск
#анонс #Томск | 598 |
| 14 | Тут неожиданно я в это воскресенье в Томске выступаю | 530 |
| 15 | Домашняя почта
Полезная статья про то как дома поднять свой личный почтовый сервер и для функции антиспама использовать локальные ИИ модели
https://blog.haschek.at/2026/you-should-selfhost-your-mail.html
Мне очень понравилось и вам советую к прочтению | 595 |
| 16 | Самохостинг
Почему я считаю self-hosting и подобного рода развлечения одними из самых полезных вещей, которые вы вообще можете придумать.
Во-первых, вы так или иначе поддерживаете и развиваете open source.
Пользуетесь Proxmox, Docker, OpenWrt или другим open-source тулингом — находите баги, репортите их, предлагаете новые фичи, иногда сами что-то допиливаете. Даже просто активное использование таких проектов уже помогает системам жить и развиваться.
Во-вторых, в какой-то момент начинаешь понимать, что за огромное количество сервисов совсем не обязательно постоянно платить.
У меня домашний сервер уже частично заменяет:
— VPS;
— облачное хранилище;
— агентскую инфраструктуру;
— небольшое количество сборщиков;
— всякую мелкую автоматизацию.
В-третьих, у вас появляется настоящая тестовая среда.
Хотите поднять старую Windows и потыкать в ней уязвимости — в добрый путь.
Хотите собрать какой-нибудь странный стенд из нескольких виртуалок, прокси, VPN и тестового приложения — пожалуйста.
Хотите сломать что-нибудь так, чтобы потом несколько часов разбираться, почему оно вообще работало до этого, — тоже отличный сценарий.
Где-то год назад я купил себе мини-ПК на Intel N100 с 16 ГБ RAM и SSD на 512 ГБ.
И оказалось, что это одна из самых полезных железок, которые я покупал за последнее время.
Я, и не только я, пользуюсь этим ПК практически каждый день. Более того, эта штука довольно часто становится очень полезным помощником непосредственно в работе: быстро поднять стенд, проверить гипотезу, собрать что-нибудь для тестов.
Но спустя год N100 и 16 ГБ памяти мне уже становится маловато.
Поэтому сейчас думаю над апгрейдом домашнего сервера.
Один из вариантов — что-то вроде AOOSTAR WTR PRO с Ryzen 7 5825U, возможностью поставить побольше RAM и несколькими отсеками под диски.
Второй вариант — заказать ещё пару миников и постепенно собрать небольшой кластер.
Пока думаю🤔
Если у вас дома живёт похожая инфраструктура или есть интересные варианты железа для homelab — буду рад рекомендациям. | 743 |
| 17 |  #рекомендуююзать
Я тут начал использовать новую и на мой взгляд самую удобную тулзу для передачи любых файлов между устройствами.
https://github.com/localsend/localsend
Я использую версию cli и приложения для android/ios работает очень даже хорошо - как по мне сильно удобнее передавать ipa или всякие тестовые файлы | 680 |
| 18 |  Mobile Security Ninja 2.0
Итак, почему я молчу в последнее время?
Все дело в том, что мы готовили и проводили очередной поток нашего курса по безопасности мобильных приложений.
Из радостного: в этот раз мы гораздо внимательнее подошли к материалам и практическим заданиям. За все время курса у нас не случилось ни одного технического факапа, хотя в прошлом году они были. Еще мы заметно лучше подготовили докладчиков и заранее протестировали инфраструктуру.
В общем, получилось круто. Спасибо всем, кто принимал участие! ❤️
А мы идем дальше: улучшать и развивать другие направления нашей работы 😎 | 672 |
| 19 |  Ладно, React Native не худшее что может быть в мобильной разработке
Мобильные приложения на PHP
https://nativephp.com/
https://developer.vonage.com/en/blog/weird-science-building-android-apps-with-nativephp | 655 |
| 20 | Ну да ) нет ничего хуже php😂 | 662 |
