🐸 Библиотека хакера

#hack_humor

😎 Что посмотреть на выходных: The Story of the Hacktivists

Документальный фильм о Anonymous — самой известной хакерской группе в истории интернета.

🔴 От троллинга на 4chan до кибервойн против корпораций и правительств. История людей в масках Гая Фокса, которые превратили DDoS-атаки в форму политического протеста.

🔴 Операция против Саентологии, поддержка WikiLeaks, участие в Арабской весне — всё это Anonymous. Фильм показывает реальных участников движения и объясняет, почему они делали то, что делали.

Обязателен к просмотру для всех, кто интересуется хакерской культурой и цифровым активизмом.

"We are Anonymous. We are Legion. We do not forgive. We do not forget. Expect us."

🐸 Библиотека хакера

#resource_drop

😨 Operation Chanology — когда тролли стали армией

Утром рассказывали про фильм о Anonymous. Теперь — про операцию, с которой всё началось.

В 2008 году Церковь Саентологии попыталась удалить из интернета видео с Томом Крузом. Плохая идея.

🔤 Что произошло:

Anonymous объявили войну саентологам — первую в истории организованную хакерскую операцию. DDoS-атаки на сайты церкви, факсы-спам, заказ пицц на адреса офисов, телефонный троллинг.

Но главное — реальные протесты.
10 февраля 2008 года сотни людей в масках Гая Фокса вышли на улицы у офисов саентологов по всему миру. Впервые анонимы из интернета стали видимыми.

⭐️ Operation Chanology не уничтожила саентологию, но изменила Anonymous. Из разрозненной толпы троллей на 4chan они превратились в движение с идеологией.

Маска Гая Фокса стала символом. Фраза "We are Anonymous. We are Legion" — гимном.

Всё началось с одного удалённого видео. Эффект Стрейзанд в действии.

🐸 Библиотека хакера

#zero_day_legends

🏆 $12,500 за одну строку кода в GraphQL

Цель: HackerOne — собственная платформа для баг-баунти.

🔤 Как это работало:

Исследователь редактировал свои сертификаты (OSCP, CEH) в профиле и перехватил GraphQL запрос в Burp Suite. В мутации createOrUpdateHackerCertification передавался параметр id сертификата.

Он изменил свой ID на чужой и отправил запрос — сертификат другого пользователя был успешно удалён. Платформа не проверяла, кому принадлежит объект.

Через простой enumeration можно было зачистить профессиональные credentials любого хакера на HackerOne: OSCP, CISSP, CEH и другие лицензии, подтверждающие квалификацию.

💥 Последствия:

Массовое удаление лицензий разрушает репутацию специалистов и подрывает доверие к платформе. Для HackerOne это был критический удар по собственному имиджу.

🛡️ Что сделали:

Добавили проверку ownership в GraphQL resolver — теперь перед любой операцией сервер проверяет

cert.user_id === current_user.id

💡 GraphQL мутации часто пропускают авторизацию. Если видишь ID в запросе — всегда подставляй чужой.

📎 Источник

🐸 Библиотека хакера

#breach_breakdown

🚩 Whisper Leak: новая атака на AI-чаты

Microsoft обнаружила атаку, позволяющую определять темы разговоров с AI, даже если трафик зашифрован HTTPS.

Атакующий анализирует размеры пакетов и временные интервалы при стриминге ответов — классификатор определяет тему с точностью >98% для моделей Mistral, xAI, DeepSeek и OpenAI.

✅ OpenAI, Microsoft и Mistral уже внедрили защиту.

📎 Источник

🐸 Библиотека хакера

#cve_bulletin

🐧 Шпаргалка по Linux-командам

Все основные команды на одном листе: работа с файлами, системой, сетью, правами доступа, пакетами и мониторингом.

Удобно держать под рукой при работе в терминале или пентесте 💻

🐸 Библиотека хакера

#cheat_sheet

🚶‍♂️ Свежие CVE — 9 ноября 2025

🎥 CVE-2025-0977 — use-after-free в Rust openssl crate (bpfman)

Критическая дыра в связке Rust + OpenSSL. Use-after-free при обработке SSL-объектов → потенциальный RCE. Затрагивает проекты с bpfman и старыми версиями openssl.

Фикс: обновить crate openssl и bpfman. Проверить зависимости в CI/CD.

🎥 CVE-2025-54399 / CVE-2025-54402 — командные инъекции в сетевом оборудовании

Цепочка уязвимостей: command injection + buffer overflow в прошивках. RCE с системными правами или DoS. Активной эксплуатации пока нет, но дело времени.

Фикс: обновить прошивки, закрыть админки извне, включить логи.

🐸 Библиотека хакера

#cve_bulletin

🔥 Когда вы последний раз проверяли, что бэкапы реально восстанавливаются

A) На прошлой неделе (параноики)
B) Месяц-два назад (норм)
C) Полгода+ назад (жить опасно)
D) Никогда (узнаем на инциденте)

🔤 Пишите в комментах, что пошло не так, когда проверяли

🐸 Библиотека хакера

#ask_the_community