Исследую роутеры с «вечным VPN» с российских маркетплейсов: admin:admin, открытые порты и доступ к соседям

#статья #vpn #полезное

Недавно наткнулся на интересное предложение на российских маркетплейсах — роутеры с предустановленным «пожизненным» VPN. Звучит заманчиво: купил, включил и сразу получаешь безлимитный доступ к виртуальной частной сети, причем без подписки.

Но, как говорится, бесплатный сыр бывает только в мышеловке. Я решил разобраться, что на самом деле скрывается за красивыми обещаниями продавцов. Приобрел три роутера из разных ценовых категорий — от бюджетного Cudy за 3000 рублей до топового Xiaomi за 7000. Спойлер: если вы ожидали хеппи-энд, то вы зашли не в тот блог.

В процессе исследования обнаружил несегментированные сети, где можно получить доступ к устройствам других покупателей, пароли admin:admin, хранящиеся в открытом виде, и SSH-доступ для продавцов. А еще выяснил, что «пожизненные» серверы работают на дешевом хостинге за 2,5 доллара.

В этой статье расскажу, какие угрозы скрываются за яркой рекламой и почему экономия на сетевой безопасности может обойтись слишком дорого.

🔗 Ссылка на статью

LH | News | OSINT | AI

BgSub

#AI #photo #полезное

Нейросеть, которая убирает задний план. Просто загружайте свои изображения в сервис, и они моментально преобразуются в PNG без фона.

🔗 Ссылка на сервис

LH | News | OSINT | AI

Server-Side XSS → SSRF → Компрометация облачной инфраструктуры: как одна картинка стоила целого облака

#статья #bugbounty #pentest #xss #ssrf

В этой статье разберем атаку, начавшуюся с уязвимости XSS в генераторе изображений и завершившуюся получением полного доступа к облачной инфраструктуре. Рассмотрим пошагово, как происходило проникновение, какие ошибки допустили разработчики, и что можно было сделать, чтобы этого избежать.

🔗 Ссылка на статью

LH | News | OSINT | AI

GitHub Backdoor Scanner

#scan #malware #полезное

Этот сервис помогает находить вредоносные файлы проектов MSBuild. Такие файлы часто содержат бэкдоры и могут заразить вашу систему при сборке. Если вы скачиваете исходники программ типа RAT или похожих программ (не доверяя источнику), проверьте их через “GitHub Backdoor Scanner” для своей безопасности.

🔗 Ссылка на сервис

LH | News | OSINT | AI

Как инфоцыгане отравили IT

#статья #маркетинг

Поговорим о том, как инфоцыгане захватили IT-курсы, обещали зарплаты по 300К за три месяца и сломали рынок. IT-образование начиналось с желания помочь, но закончилось спамом, разочарованием и враньём в резюме.

🔗 Ссылка на статью

LH | News | OSINT | AI

Pussh

#admin #полезное

Инструмент для параллельного SSH, который позволяет эффективно выполнять команды на нескольких хостах одновременно, выводя результаты с указанием имени каждого хоста. Пользователи могут загружать списки хостов из файла или стандартного ввода.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

В айти не войти или о бедном стажёре замолвите слово…

#статья #карьера #полезное

Наверное, каждый слышал громогласные вопли IT-менеджеров и госчиновников о «кадровом голоде» в отрасли, о нехватке айтишников (назывались цифры даже в миллион человек!), об угрозах цифровой независимости и тому продобное. Но при этом те же компании в случае чего не стесняются увольнять специалистов, экономят на обучении, «оптимизируют» расходы и ищут «идеальных кандидатов», которых одновременно:
• не надо учить,
• не надо растить,
• не надо мотивировать,
• и желательно, чтобы они немедленно были готовы работать.

Повторюсь, пресловутый «кадровый голод» (хотя я не люблю это выражение) — это не нехватка желающих работать, а нехватка мидлов, согласных трудиться под вывеской джуна или стажёра за копеечную зарплату... Ясно, что это жестокий абсурд, но решать проблему никто даже не пытается. Как же так могло случиться?

🔗 Ссылка на статью

LH | News | OSINT | AI

autoMate

#полезное #pentest #admin

Инструмент для автоматизации, сочетает в себе искусственный интеллект и роботизированную автоматизацию процессов. Освобождает пользователей от рутинных задач, позволяя сосредоточиться на более важных аспектах работы.

Он использует технологии распознавания содержимого экрана и языковые модели для автоматизации сложных рабочих процессов без необходимости в программировании.

Ключевые возможности autoMate включают автоматическое управление интерфейсом, интеллектуальное понимание экрана, автономное принятие решений и локальную установку для защиты данных.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Радиолокационный радар — менее чем за 400 рублей: на базе esp32 и wi-fi

#статья #wifi #полезное

Приходило ли вам в голову, что ваша любимая esp32 может использоваться в роли самого натурального радиолокационного радара?

Если не приходило, то добро пожаловать под кат, так как кое-кому это пришло:-))

🔗 Ссылка на статью

LH | News | OSINT | AI

🙌🙌🙌🙌

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять):

1. Предыдущий топ статей
2. Полезный инструмент, который позволяет конвертировать Docker-образ в исполняемый файл
3. Инструмент шифрования на основе эллиптических кривых, что обеспечивает надежную защиту данных
4. Как устроены LLM-агенты: архитектура, планирование и инструменты
5. Коллекция модулей Microsoft PowerShell для тестирования на проникновение
6. Исследую роутеры с «вечным VPN» с российских маркетплейсов: admin:admin, открытые порты и доступ к соседям
7. Нейросеть, которая убирает задний план

#подборка #лучшиестатьи #информационнаябезопасность #ИБ #хакинг

LH | News | OSINT | AI

Nanobrowser

#AI #bugbounty #pentest #admin #llm

Бесплатный и открытый инструмент для автоматизации веб-заданий с поддержкой ИИ, который работает прямо в браузере и предлагает альтернативу OpenAI Operator. Он позволяет автоматизировать повторяющиеся задачи, поддерживает множество LLM и функционирует локально для обеспечения конфиденциальности.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Нарушение контроля доступа (IDOR) в функционале «Забыли пароль» позволяет атакующему менять пароли всех пользователей

#статья #bugbounty #idor #перевод

В этом посте я расскажу, как обнаружил уязвимость, которая позволяет злоумышленнику менять пароли других пользователей, что может привести к захвату аккаунтов. Также я обнаружил, что токен восстановления пароля не аннулируется после использования.

🔗 Ссылка на статью

LH | News | OSINT | AI

Embassyworld

#OSINT #полезное

Онлайн-каталог и поисковая система, предназначенная для поиска посольств и консульств по всему миру. Этот ресурс предлагает полный перечень дипломатических представительств, предоставляя пользователям контактную информацию, такую как адреса, номера телефонов, электронные почты и веб-сайты.

Кроме того, Embassyworld.org часто включает карты местоположения, ссылки на социальные сети, а также сведения о предоставляемых услугах. Это удобный инструмент для поиска необходимой информации о зарубежных представительствах.

🔗 Ссылка на сервис

LH | News | OSINT | AI

Мой первый P1 на Bugcrowd

#статья #перевод #bugbounty

На прошлой неделе я решил испытать возможности iScan.today, так как видел о нем много положительных отзывов. Скоро я получил уведомление о том, что iScan.today нашёл GitHub токен. Из любопытства, я проверил токен с помощью secrets.ninja — он был активен… во мне проснулись хакерские инстинкты.

🔗 Ссылка на статью

LH | News | OSINT | AI

ImageColorizer

#полезное #OSINT #photo

Бесплатный онлайн-инструмент на основе ИИ, который может автоматически раскрашивать и восстанавливать старые черно-белые фотографии. Кроме раскрашивания фотографий, есть возможность для масштабирования и улучшения качества изображения, ретуширования лиц, устранения повреждений и удаления нежелательных объектов.

🔗 Ссылка на сервис

LH | News | OSINT | AI

О троице, которая хакнула настоящий поезд. Даже целых 30 поездов

#статья #взлом #RE

Поезд, сделанный польской компанией, внезапно сломался во время техобслуживания. Специалисты были беспомощны — поезд был в порядке, только никак не хотел ехать. Доведённые до отчаяния, они вызвали на помощь команду Dragon Sector, члены которой нашли такие чудеса, о которых машинисты даже и не мечтали.

В этой истории мы отправимся в необычное путешествие. Путешествие, полное неожиданных открытий и событий, путешествие под давлением времени и больших денег, а также необычных технологий. Путешествие, в котором поезд играет самую важную роль — хотя, к сожалению, он не едет, а должен был бы. Пристегнитесь — или, по крайней мере, сядьте поудобнее, потому что дальше будут крутые повороты.

🔗 Ссылка на статью.

LH | News | OSINT | AI

Whisper

#AI #полезное

Инструмент распознавания речи с открытым исходным кодом, созданный OpenAI. Обучен на большом наборе разнообразных аудиоданных и является многозадачной моделью, способной распознавать речь, переводить и определять язык. Прост в настройке и может обрабатывать как аудиофайлы, так и живой поток из микрофона.

🔗 Ссылка на GitHub

LH | News | OSINT | AI

Разбор заданий AI CTF на Positive Hack Days Fest. Часть 1

#AI #CTF #статья #ML #pentest

Машинное обучение применяется везде: модели советуют врачам лекарства, помогают банкам ловить мошенников и пишут код вместо программистов. Проблемы с безопасностью в таких системах могут стоить денег, данных и репутации. Поэтому с 2019 года на конференции по безопасности PHDays мы проводим отдельный AI Track, а в рамках него — AI CTF, соревнование по взлому ML-систем.

Месяц назад мы провели AI CTF 2025 и хотим рассказать, какие задания мы придумали для участников, и какие атаки на AI и ML в них нужно было провернуть.

🔗 Ссылка на статью

LH | News | OSINT | AI

Wi-Fi Cracking

#WiFi #redteam #pentest #полезное

Краткое руководство, которое иллюстрирует, как взламывать Wi-Fi сети, защищённые слабыми паролями. Оно не является исчерпывающим, но содержит достаточно информации, чтобы вы могли протестировать безопасность вашей сети. Описанная ниже атака полностью пассивна (только прослушивание, с вашего компьютера ничего не передаётся) и является недетектируемой, если только вы не используете фактически взломанный пароль.

🔗 Ссылка на GitHub

LH | News | OSINT | AI