CodeGuard: PySec Edition

🌍 Web-check — рентген вашего веб-сайта Web-check — это открытый инструмент для анализа сайтов, который помогает быстро получить исчерпывающую информацию о любом веб-ресурсе. Что анализирует Web-check? ➡️IP Info ➡️ SSL цепочку сертификатов ➡️ DNS записи и TXT записи ➡️ Cookies и правила обхода (Crawl Rules) ➡️ HTTP заголовки и статус сервера ➡️ Локацию сервера и связанные хосты ➡️ Цепочку редиректов ➡️ Открытые порты и трассировку (Traceroute) ➡️ Carbon Footprint сайта (углеродный след) ➡️ Whois информацию и безопасность DNS ➡️ Особенности сайта и социальные теги ➡️ Конфигурацию электронной почты и firewall ➡️ Защиту HTTP и TLS-сертификатов ➡️ Историю архива сайта ➡️ Детектирование вредоносного ПО и фишинга ➡️ Скриншоты страницы и многое другое — Можно использовать через бесплатное API для интеграций — Исходники доступны, и сервис легко развернуть на собственном сервере 🔗 Репозиторий на GitHub 😈 CodeGuard | Chat | #OSINT #WebAnalysis #infosec

🛡 Как обнаружить и нейтрализовать MITM-атаки в домашней сети MITM (Man-in-the-Middle) — атака, при которой злоумышленник встает «посередине» вашего соединения и перехватывает, а иногда и изменяет передаваемые данные. В домашних условиях такие атаки чаще всего реализуются через ARP-спуфинг или поддельные Wi-Fi сети. 🔍 Как обнаружить MITM: ➡️1. Следите за ARP-таблицей:

arp -a

Если вы видите несколько IP с одним MAC или подозрительные изменения — возможен ARP-спуфинг. ➡️ 2. Используйте специализированные инструменты для мониторинга: - arpwatch — отслеживает появление новых MAC и изменения ARP в сети. - mitmcanary — интеллектуальный инструмент, который делает контрольные запросы и проверяет, не изменился ли трафик. ➡️ 3. Проверьте сертификаты HTTPS: Если браузер предупреждает о недействительном или измененном сертификате — это сигнал MITM. ➡️ 4. Необычная сетевая активность: Задержки, пропадание соединений или резкий рост трафика могут свидетельствовать о вмешательстве.

⚙️ Как нейтрализовать MITM: - Используйте WPA3 на роутере и меняйте пароль Wi-Fi регулярно. - Отключите WPS и UPnP на роутере — они облегчают доступ злоумышленникам. - Включите статическую ARP на критичных устройствах или используйте DHCP Snooping и Dynamic ARP Inspection, если роутер это поддерживает. - Шифруйте трафик — предпочтение HTTPS, SSH, VPN. - Используйте средства обнаружения сетевых аномалий (IDS), например Snort или Suricata. - Регулярно обновляйте прошивку роутера и ПО устройств.

📌 Пример команды постоянного мониторинга ARP в Linux:

watch -n 10 arp -a

Это позволит видеть изменения каждые 10 секунд. Безопасность домашней сети начинается с понимания угроз и проактивной защиты. Применяйте эти рекомендации и проверяйте сеть) 😈 CodeGuard | Chat | #MITM #сеть #безопасность #ARPспуфинг

⚡️ Программирование, DevOps и Linux в карточках! Ребята сделали мощный канал про разработку и инфраструктуру — короткие гайды, понятные объяснения и настоящая практика без воды: утилиты, советы и фишки, которые реально помогают в работе. Подписывайтесь: @recura_tech

🔫 Продолжаем сливать курсы по этичному хакингу и пентестингу 2024–2025 🔹 Этический хакинг с помощью Metasploit (2024)

Это практикоориентированный курс, направленный на изучение возможности платформы Metasploit для тестирования на проникновение. Включает настройку лабораторной среды с Kali Linux и Windows, отработку методов сканирования, эксплуатации уязвимостей, внедрения троянов и управления системами.

🔹 Полный курс по сетевому взлому - от начинающего до продвинутого (2024)

Освещает все этапы сетевого взлома: от базовой теории сетевых протоколов и сканирования до сложных техник обхода межсетевых экранов и эксплуатации. Используются реальные инструменты и техники, которые применяются на практике.

🔹 Освойте этичный веб-хакинг в реальном мире - XSS и SQLi (2024)

Специализированный курс для углублённого изучения атак на веб-приложения. Основное внимание уделяется XSS и SQL-инъекциям с демонстрацией практических примеров. В курсе показывается, как находить и эксплуатировать эти уязвимости, а также способы их предотвращения.

🔹 Живой баг-баунти и этический хакинг 2025 (2024)

Курс посвящён современным методам bug bounty, включая социальную инженерию, сложные техники разведки и этичные атаки. Есть упор на актуальные инструменты и кейсы из практики баг-баунти. Важен для тех, кто хочет участвовать в программах bug bounty.

🔹 Курс Мобильный хакинг и безопасность - Android и iOS (2023)

Покрывает особенности мобильной безопасности, хакерские методики для Android и iOS. От установки среды тестирования до эксплуатации реальных уязвимостей в мобильных приложениях и ОС.

⚡️ Ребята, все бесплатно для моих Сабов. Если не сложно подпишись на наш архив, там полезные ресурсы, каждый день. 😈 CodeGuard | Chat | #pentesting #ethicalhacking #infosec

💻 Библия пентестера — PENTESTING-BIBLE PENTESTING-BIBLE — это огромный репозиторий с тысячами практических заметок, гайдов и полезных ссылок по этичному хакингу и тестированию на проникновение. ⚡ Что внутри? — Чеклисты для пентестинга — Полезные и свежие ссылки на инструменты — Идеи для аудита и эксплойты из реальной практики — Руководства по сбору информации, анализу уязвимостей — Советы по нахождению и эксплуатации веб-уязвимостей — Информация для начинающих и опытных специалистов одновременно

⚙️ Для кого? - Для начинающих пентестеров, которые хотят быстро освоить базу - Для инженеров безопасности и аудиторов - Для тимлидов, которые курируют команды Red Team - Для всех, кто хочет поддерживать знания в актуальном состоянии

⚠️ Напоминаем: материалы предназначены для обучения и повышения осведомленности в вопросах безопасности. Используйте знания этично и ответственно. 📱 Репозиторий на GitHub 😈 CodeGuard | Chat | #pentesting #infosec #hacking

📘 На Stepik вышел курс — «DevOps-инженер: От основ до продакшена» Хотите автоматизировать деплой, управлять инфраструктурой как кодом и выстраивать надёжные CI/CD процессы? Этот курс — полный путь DevOps-инженера. • CI/CD: Jenkins, GitLab CI/CD, GitHub Actions, стратегии развёртывания (Blue-Green, Canary), rollback • Контейнеризация: Docker (образы, Compose, networking), Podman, оптимизация и безопасность контейнеров • Kubernetes: архитектура, Pods, Services, Deployments, Helm, RBAC, Service Mesh (Istio/Linkerd) • Infrastructure as Code: Terraform, Ansible (playbooks, vault), Packer, ArgoCD и Flux для GitOps • Облака: AWS (EC2, EKS, Lambda), GCP, Azure, Yandex Cloud, cost optimization• Мониторинг: Prometheus, Grafana, ELK Stack, Jaeger, OpenTelemetry, SLI/SLO/SLA • Безопасность: SAST/DAST, Vault, Zero Trust, Policy as Code, incident response • Продакшен практики: High Availability, Disaster Recovery, Chaos Engineering, on-call management 🎓 Сертификат — добавьте в резюме или LinkedIn 🚀 Скидка 25%, действует 48 часов 👉 Пройти курс на Stepik

🤔 Книга: «Хакерство. Физические атаки с использованием хакерских устройств» Автор: Андрей Жуков Год: 2023

Эта книга раскрывает методы физического взлома — от дампа памяти с помощью обычной флешки до атак на беспроводные сети и уличные IP-камеры с использованием самодельных хакерских устройств. Подробно описаны атаки BadUSB, организация доступа через 4G-модем, использование дронов и Wi-Fi Pineapple, а также способы защиты от этих угроз. 👨‍💻 Что внутри: - Дамп памяти и перехват трафика «крокодилами» - Атаки на Active Directory и heap-уязвимости - Взлом протекторов и создание DDos-утилит - Тестирование сетевых протоколов OSPF, EIGRP, DTP - Эксплуатация уязвимости Log4Shell - Превращение мобильного в хакерское устройство Для пентестеров и специалистов по ИБ, кто хочет расширить арсенал практических техник. 💠 Бери книгу → [Archive] 😈 CodeGuard | Chat | #book #hacking #pentest

🐳 glibc-hwcaps и GLIBC_TUNABLES: как включить x86-64-v3 для ваших CLI Обычно я за то, чтобы не усложнять рантайм лишний раз, но здесь случай приятный: можно включить у своих CLI автоматический выбор библиотек под реальные возможности CPU и не ломать обратную совместимость. Механизм называется glibc-hwcaps, появился в glibc 2.33, и он позволяет динамическому загрузчику подбирать lib’ы из специальных поддиректорий по уровню x86-64-v2/v3/v4. Это ровно те уровни, что определены в x86-64 psABI, без частных расширений конкретных вендоров. На практике достаточно положить собранный под v3 lib рядом с обычным, соблюсти SONAME, и ld.so сам подхватит оптимизированный вариант на новых процессорах. На старом железе всё продолжит работать на базовой сборке. 😵‍💫 Можно глянуть позже 😈 CodeGuard | Chat

❗️Внимание, хакеры и разработчики! У нас для вас новость и куча задач! Канал про кибербезопасность и разработку 🐞 БАГодельня запустил сайт с CTF-задачами для вашей практики! 📌 Вас ждут категории задач по: 🔹OSINT 🔹Web 🔹Misc 🔹Rev 🔹Stegano 📌 Помимо тасков, на канале вас ждут: 🔹Регулярные посты и руководства по разработке 🔹 Подробные разборы решений и ошибок 🔹 Описания алгоритмов и подходов 🔹 Код-ревью реальных проектов Всё для вашего роста в IT можно найти тут: @bug_makers

📱 Браузера, которые НЕ сливают тебя ФСБ | Выбираем браузер для хакера Твой браузер — это дыра в твоей безопасности. Пока ты читаешь это, он может передавать твои данные и создавать цифровой портрет для тебя же на убой. В этом видео я покажу тебе три типа браузеров, которые не сливают твои данные, а работают на тебя. Мы разберем главную ошибку, из-за которой вычисляют даже опытных, и я дам тебе готовую схему по созданию своей системы анонимности. 🔹https://www.youtube.com/watch?v=3c60v9ZUb2k 😈 CodeGuard | Chat

🤨 Пассворк: управление секретами и автоматизация доступа для DevOps-инженеров В современной корпоративной среде количество паролей и ключей стремительно увеличивается, и управление секретами становится одной из основных задач в области кибербезопасности. По своей сути, управление секретами — это набор правил и инструментов, позволяющих контролировать доступ к конфиденциальной информации. В более точном определении, это процесс централизованного хранения, управления и ротации конфиденциальных данных, которые приложения и сервисы используют для доступа к критически важным ресурсам. К таким секретам относятся пароли, SSH-ключи, API-ключи и ключи шифрования, токены доступа, сертификаты и любые другие параметры, обеспечивающие безопасность инфраструктуры. По мере роста бизнеса ИТ-отделы и DevOps-команды сталкиваются с ситуацией, когда секретов становится слишком много, их сложно структурировать, контролировать и защищать. В реальных проектах секреты живут в конфиг-файлах, переменных окружения, скриптах, иногда в открытых репозиториях. В этой статье мы расскажем, как на практике решали эти задачи с помощью Пассворка, и как теперь автоматизируем всё: от ротации до интеграции с пайплайнами. 👉 Если интересно 😈 CodeGuard | #cybersecurity

🛡Все тонкости обхода двухфакторной аутентификации (2FA) Двухфакторная аутентификация — важная защита, но у неё есть слабые места. Рассмотрим основные методы обхода и как защититься от них. 🔥 Фишинг с MITM — Man-in-the-Middle атаки через фальшивые сайты и прокси, перехватывающие коды 2FA. Типичные инструменты: Modlishka, SEToolkit, NecroBrowser. 😓 MFA bombing (атака усталости) — злоумышленник спамит множество запросов на подтверждение входа, утомляя пользователя, чтобы тот случайно подтвердил атаку. 🔑 Захват сессий и cookie — украденные cookie позволяют получить доступ без второго фактора. 📱 SIM-jacking — контролируем номер телефона через социальную инженерию и смену SIM-карты. 🔐 Использование резервных кодов — компрометация запасных кодов 2FA снижает защиту. ⛔️ Эксплуатация исключений — обход "быстрых путей" 2FA при снижении безопасности или недоступности сервисов.

⚠️Защищайтесь: — Используйте аппаратные токены и приложения для генерации OTP, а не SMS — Храните резервные коды в безопасности — Внимательно реагируйте на пуш-уведомления — Обучайте сотрудников распознавать фишинг и социальную инженерию — Внедряйте строгие политики безопасности и мониторинг

2FA — важный, но не абсолютный барьер. Зная способы обхода, можно усилить защиту и минимизировать риски. 😈 CodeGuard | Chat | #2FA #infosec #security

👩‍💻 PythonCrafting — погружение в код без паники Хватит зубрить синтаксис — научись думать как настоящий программист и создавать решения там, где другие видят хаос. 🔹 Новые уроки и реальные задачи 🔹 Лайфхаки, фишки и мощные трюки 🔹 Сообщество, где помогут и поддержат 🚀 Готов выйти за рамки? PythonCrafting

👩‍💻 Следите за уязвимостями с удобными агрегаторами и базами данных Если нужно быть в курсе актуальных угроз и уязвимостей — поможет Fedi Sec Feeds. Это удобный агрегатор обсуждаемых CVE из соцсетей типа Fediverse. Он показывает CVSS оценки, количество обсуждений, ссылки на PoC и шаблоны detections для Nuclei. 🚀 Несколько дополнительных полезных ресурсов для быстрого поиска и мониторинга уязвимостей:

⭐️ MITRE CVE — официальный каталог ⭐️ opencve.io — CVE поисковик ⭐️ Vulnerability Database — поиск по угрозам ⭐️ sploitus — инструменты для pentest. ⭐️ CVE Trends — уязвимости в реальном времени. ⭐️ GitHub Advisory Database — база уязвимостей ⭐️ Exploit DB — архив эксплойтов ⭐️ Cloudvulndb — база проблем безопасности облаков. ⭐️ osv.dev, VulDB — индикаторы компрометации и угрозы. ⭐️ Mend Vulnerability Database — базы OSS-уязвимостей. ⭐️ Rapid7 DB — база с метасплойт-эксплойтами.

⚡️ Все эти сервисы отлично дополняют друг друга: используйте Fedi Sec Feeds как быстрый обзор, а из других возьмите расширенный поиск, оповещения и эксплойты. 😈 CodeGuard | Chat | #vulnerabilities #CVE #infosec

👁 Alfred — удобный open-source OSINT инструмент для поиска пользователей Alfred — это инструмент, похожий на Sherlock, который быстро ищет имена пользователей на популярных веб-сайтах: Twitch, Anilist, Codecademy, Gaia Online, PC Gamer, Hacker News и многих других. 🐱 Уровень успеха поиска — около 80-90%, что делает его хорошим помощником для начинающих программистов и пентестеров, делающих первые шаги в OSINT. 🚀 Как запустить Alfred: 1. Клонируйте репозиторий:

git clone https://github.com/alfredredbird/alfred

2. Установите зависимости:

cd alfred
sudo pip3 install -r requirements.txt

3. Запустите скрипт:

python3 alfred.py

🖥 Alfred работает на Windows, macOS, Linux (включая Kali, Parrot, Ubuntu), а также на Android (Termux) и iOS (iSH). Это отличный инструмент для быстрой и удобной разведки по открытым источникам. 🔗 Репозиторий Alfred Все просто — с тебя 👍, с меня топ посты 😈 CodeGuard | Chat | #OSINT #infosec #pentesting

😒 Подборка каналов по ИБ Проверенные каналы по безопасности, которые реально помогают расти. 👍 ZeroDay — Уроки, эксплуатация уязвимостей с нуля 👍 Белый Хакер — Свежие новости из мира ИБ 😎 Арсенал Безопасника — Все необходимые инструменты 😎 Бункер Хакера — Статьи, книги, шпаргалки и хакинг 👨‍💻 Серверная Админа — Настройка и уроки по компьютерным сетям 📂 Подписывайся

🌐 Автоматический сбор субдоменов и поиск уязвимостей с Sublist3r и dnsrecon В пентестинге и разведке субдомены — как тёмные углы сети, где часто прячутся уязвимости. Быстро и эффективно собрать эту информацию помогут инструменты Sublist3r и dnsrecon. Давайте разберёмся, как ими пользоваться пошагово. 🔹 Шаг 1. Установка Sublist3r и dnsrecon Для Kali Linux и большинства дистрибутивов инструменты уже есть в репозиториях. Для остальных — можно установить так:

git clone https://github.com/aboul3la/Sublist3r.git
cd Sublist3r
pip install -r requirements.txt

Для dnsrecon:

git clone https://github.com/darkoperator/dnsrecon.git
cd dnsrecon
pip install -r requirements.txt

🔹 Шаг 2. Сбор субдоменов с помощью Sublist3r Sublist3r собирает субдомены из десятков источников — поисковиков, баз и сертификатов.

python sublist3r.py -d example.com -o subdomains.txt

- -d example.com — домен для сбора - -o subdomains.txt — файл вывода с найденными субдоменами Можно добавить опцию -v для вывода в реальном времени. 🔹 Шаг 3. Просмотр и базовый анализ с dnsrecon Теперь возьмём список из Sublist3r и проверим его на DNS-уязвимости и дополнительные данные. Пример сканирования с dnsrecon по домену:

dnsrecon -d example.com -t std -a -n 8.8.8.8 -o dnsrecon_report.txt

- -d example.com — цель - -t std — стандартный тип сканирования (DNS-запросы, зона и т.д.) - -a — выполнить определенные дополнительные проверки - -n 8.8.8.8 — использовать DNS-сервер Google для резолвинга - -o dnsrecon_report.txt — сохранить отчет 🔹 Шаг 4. Совмещение результатов. Чтобы проверить найденные субдомены, передать список в dnsrecon можно так:

dnsrecon -d example.com -t brt -f subdomains.txt -a

- -t brt — брутфорс по списку (будет проверять, живы ли субдомены) - -f subdomains.txt — файл с субдоменами из Sublist3r - -a — дополнительные проверки

✅ Полезные рекомендации: - Начинайте с Sublist3r для быстрого сбора, потом углубляйте проверку dnsrecon. - Обратите внимание на типы уязвимостей в отчетах dnsrecon — например, зоны без ограничения, перенаправления, неправильные записи. - Автоматизируйте процесс через скрипты и cron для регулярного мониторинга. - Собирайте данные — атакуйте осознанно!

Так можно быстро и просто получить картину инфраструктуры домена и потенциальных точек атаки. C тебя 👍 , с меня топ посты 😈 CodeGuard | #Sublist3r #dnsrecon #Subdomains #pentesting

👩‍💻 Как сделать из старого телефона Linux сервер Задача: не ломать Android, а аккуратно запустить полнофункциональное Linux окружение поверх системы. Это проще, безопаснее и часто удобно, особенно если нет root-доступа. 🛠 Инструменты и шаги: - Установка Termux — терминал и среда для запуска Linux-команд на Android - Установка пакетов proot и proot-distro — они создают изолированное Linux пространство (Debian или Ubuntu) в пользовательском режиме без рута - Запуск дистрибутива через proot-distro login с возможностью установки OpenSSH и легкого веб-сервера - Настройка автоматического запуска, сети и охлаждения для устойчивой работы 🔺 Что нужно сделать:

pkg update && pkg upgrade
pkg install proot proot-distro
proot-distro install debian
proot-distro login debian

🔺Дальше внутри системы:

apt update && apt upgrade
apt install openssh

💡Плюсы: - Можно использовать старый телефон или планшет как удалённый сервер - Не нужен root, не ломается основная ОС - Debian/Ubuntu со знакомыми инструментами - Интеграция с сетью и автозапуском

📎 Полная статья и гайд 😈 CodeGuard | Chat | #LinuxOnAndroid #Termux #infosec

Минцифры могло бы стать лидером в создании системы рейтингования отечественного ПО На форуме ЦИПР–2025 летом этого года, снова встал вопрос о качестве российского ПО и системе его рейтингования. Эту тему поднял в своем докладе директор по развитию бизнеса UserGate Эльман Бейбутов. По его мнению, внедрение независимой системы оценки упростит заказчикам выбор надежного ПО и поможет разработчикам ориентироваться на единые стандарты качества. Отечественный рынок программных решений неоднороден, что затрудняет выбор, тормозит развитие и мешает оперативному запуску проектов. Корень многих ошибок в разработке ПО — в нарушенном балансе приоритизации. Стремясь как можно быстрее выпустить продукт, компании делают ставку на функциональность, забывая о стабильности, производительности и безопасности. Дополнительный риск — широкое использование open source-компонентов без должной верификации. В итоге компании вынуждены самостоятельно выстраивать процесс оценки и выбора ПО. Эту задачу значительно упростила бы единая система рейтингования. Инициатором ее создания могли бы стать как государственные структуры, включая Минцифры, так и крупные IT-компании или объединения рынка.

👩‍💻 Список инструментов Kali Linux. Девять кругов Данте? 😈 Нет, девять проверенных инструментов для поддержки доступа: 1. backdoor-apk Создание apk с обратной дверью для Android 2. Ncat, Netcat, nc Универсальный TCP/UDP клиент и сервер для создания туннелей и связи 3. PhpSploit Мощный PHP-фреймворк для удалённого контроля и эксплуатации 4. PoisonTap Атаки на USB-порты, создание вредоносных прокси и перехват 5. PowerSploit Набор скриптов PowerShell для пост-эксплуатации Windows-систем 6. Pupy Кроссплатформенный RAT с поддержкой Windows, Linux, macOS, Android 7. shellter Динамический инжектор шеллкода в exe-файлы для обхода антивирусов 8. Webshells Коллекция веб-шеллов для удалённого контроля 9. Weevely Мощный PHP-веб-шелл с расширенным функционалом 😈 CodeGuard | Chat