📄 Шпаргалка по инструментам тестирования XSS

XSS — уязвимость, позволяющая выполнить произвольный JavaScript в браузере пользователя через некорректно обработанный ввод.

🔤 Шпаргалка объединяет инструменты для:

• reflected / stored / DOM-based XSS
• blind-XSS и отслеживания коллбеков
• анализа sources / sinks и payload’ов

Автоматизация ускоряет поиск, но ключевое — понимание контекста и логики браузера. Шпаргалка помогает быстро выбрать нужный инструмент под задачу.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet

🧬 «Это не шифр. Это следы.»

В дампе нашли строку. Она не зашифрована, но и не читается. Её уже кто-то трогал. Несколько раз. Каждый раз — «чтобы было удобнее передать».

🏮 Что известно:

— данные прошли несколько стандартных преобразований
— ни одного кастомного алгоритма
— итог — обычный ASCII
— флаг имеет формат: flag{...}

🏮 То, что осталось:

Vm0wd2QyUXlWa1pPVldoV1YwZG9WRmx0ZUdGV01XeHlVMGRHYWxKdGVEQmFSbEpYVmpKS1ZXSkdjR0ZTYXpWVVZsZDRXRmxVU205aVJscFlZbGh3

🎯 Ваша задача:

Не «подобрать кодировку». А восстановить цепочку действий, которые с ней сделали. Каждый шаг — стандартный. Порядок — нет.

🐸 Библиотека хакера

#ctf_challange

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#hack_humor

🕵️ ezXSS — контроль blind XSS

Blind XSS срабатывает не сразу и не там, где его ждут. ezXSS решает эту проблему: вы вставляете payload, а инструмент сам отслеживает момент его выполнения — админом, модератором или фоновым процессом.

При триггере ezXSS собирает контекст страницы, браузер, cookies, storage, DOM, время выполнения и скриншот.

🔗 Ссылка на GitHub

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🖥 Триллион на «советский Intel»

Государство решило собрать микроэлектронику в один кулак. Появится Объединённая микроэлектронная компания — до 2030 года туда зальют около 1 трлн ₽ (бюджет + Сбербанк).

На словах — «свои процессоры». По факту — контроль и выживание отрасли.

28 нм — это не гонка с Intel и не про массовый рынок. Это уровень, на котором можно стабильно делать чипы для гос-ИТ, промышленности и критической инфраструктуры — без зависимости от внешних поставок.

🔤 Но есть нюанс: всё сводят в одну точку. Производство, кадры, поставщиков, деньги. С точки зрения ИБ это классическая точка максимального риска. Если что-то ломается или компрометируется — падает сразу весь контур. И именно такие системы чаще всего становятся целью атак через цепочки поставок, оборудование и подрядчиков.

Деньги тоже не «бесплатные»: с 2026 вводят техсбор с электроники — рынок сам оплачивает этот эксперимент. При этом отрасль уже в минусе, производство падает, оборотки не хватает.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

💳 Must-have инструменты пентестера

1️⃣ Burp Suite (Pro / Community) — de-facto стандарт веб-пентеста, используется в bug bounty и enterprise.

— proxy, repeater, intruder
— ручное тестирование логики и auth
— расширения под OWASP Top 10 и beyond

2️⃣ Caido — активно вытесняет Burp у solo-исследователей за счёт UX и скорости.

— современный HTTP proxy
— удобный UI для ручного анализа
— активное развитие под pentest / bounty

3️⃣ httpx — используется в большинстве публичных recon-скриптов.

— проверка живых хостов
— TLS, headers, status codes
— база для recon-пайплайнов

4️⃣ Nmap — стандарт индустрии, без альтернатив по зрелости.

— discovery, port-scan, service detection
— NSE-скрипты под CVE и misconfig

5️⃣ Nuclei — основа автоматизации infra/web-сканирования.

— шаблонный vulnerability scanner
— CVE, misconfig, exposures
— легко кастомизируется

6️⃣ CrackMapExec — must-have для internal pentest и red team.

— AD / SMB / WinRM
— lateral movement
— credential reuse

7️⃣ Prowler — используется security-командами и пентестерами для cloud-review.

— AWS / Azure / GCP
— CIS Benchmarks
— IAM и cloud-misconfig

8️⃣ ScoutSuite — популярен для black-box cloud-assessments.

— multi-cloud security auditing
— граф связей ресурсов
— отчёты для клиентов

9️⃣ CloudSploit (open-source rules) — база для понимания cloud-risk без CSPM-комбайнов.

— поиск dangerous cloud-configs
— читаемые правила

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_vs_tool