Kali Linux
54.8K subscribers
1.26K photos
101 videos
13 files
1.24K links
@linux_kal наш чат

По всем вопросам- @workakkk

@ai_machinelearning_big_data - машинное обучение

@itchannels_telegram - 🔥 главные ресурсы для хакера

@programming_books_it - бесплатные it книги

@pythonl -🐍

РКН: clck.ru/3Fmszy

#VRHSZ
Download Telegram
🖥 Сервисы крутятся. Прод вроде живой. Но когда тимлид спрашивает: «почему здесь лучше ValueTask, а не Task?» или «как GC поведёт себя под нагрузкой?» - ты начинаешь плыть.

И дело не в том, что ты плохо пишешь код. Просто большинство курсов заканчиваются ровно там, где начинается настоящий .NET.

Этот курс про то, что обычно остаётся под капотом:

- CLR
- JIT
- GC
- Span
- async state machine
- Source Generators
- lock-free подходы
- OpenTelemetry
- дампы в проде

На практике разбираем, как .NET реально работает внутри: что происходит с кодом после компиляции, как память живёт под нагрузкой, почему async иногда помогает, а иногда ломает производительность, как читать проблемы по дампам и метрикам, а не гадать по логам.

Если хочешь дойти до уровня, где система для тебя не чёрный ящик, а инструмент, который ты понимаешь до IL, - велкам.

Сейчас на stepik доступна скидка 55%: https://stepik.org/a/288694
Please open Telegram to view this post
VIEW IN TELEGRAM
👍53👎1🔥1
Новая supply-chain атака на npm - теперь уже с заходом на ИИ-инструменты разработки.

За пару часов скомпрометировали 57 пакетов и выпустили 286+ вредоносных версий. Это новая версия червя Miasma: он сам расползается по зависимостям, без ручного участия атакующего, и использует техники уклонения, чтобы дольше не светиться.

Цель - не обычные пользователи, а пайплайны и секреты разработчиков. Payload вытаскивает токены GitHub Actions, облачные ключи, Vault, SSH, npm, GitHub и даже хранилища менеджеров паролей. Один заражённый npm install в CI может отдать доступ к инфраструктуре.

Отдельно неприятная часть - атака трогает конфиги ИИ-инструментов: .claude, .cursor, .gemini, .vscode. Если агент читает локальные настройки, инструкции или MCP-серверы из репозитория, такой файл превращается в канал управления прямо внутри среды разработки.

Что стоит сделать сейчас:

- запинить зависимости по хешам
- проверить затронутые пакеты
- перевыпустить токены в CI
- убрать секреты из окружения раннеров
- добавить конфиги ИИ-инструментов в обязательное ревью
👍205🔥5
⚡️ Дуров жёстко прошёлся по идее блокировок и «суверенного интернета».

Создатель Telegram заявил, что запреты не приближают Россию к цифровому суверенитету, а наоборот - отбрасывают её назад. По его словам, независимую цифровую инфраструктуру невозможно построить одними блокировками, если из страны уезжают специалисты, способные делать собственные ОС, сервисы и платформы.

В качестве примера Дуров привёл удаление MAX из App Store: когда доступ к ключевым цифровым площадкам зависит от внешних игроков, говорить о настоящем суверенитете сложно.

Самая жёсткая цитата:

«Российский чиновник, который сломал интернет и отбросил страну на десятилетия назад под предлогом “цифрового суверенитета”, заслуживает медаль национальной безопасности - от США».

По сути, Дуров говорит простую вещь: цифровой суверенитет строится не запретами, а сильными инженерами, конкурентными продуктами и нормальной средой, из которой эти инженеры не хотят уезжать.
🔥111👍5016👎10😁6
Linux-инсайт: shell - это просто обычная программа

Ваш терминал не разговаривает с ядром напрямую магическим языком. Shell - это обычная userspace-программа. Просто таких программ целое семейство:

bash, zsh, fish, dash, ksh, ash, встроенный shell из BusyBox.

С точки зрения ядра все они делают примерно одну и ту же работу:

- читают байты из file descriptor
- парсят их как командный язык
- вызывают fork
- вызывают exec
- запускают другие программы

Разница почти вся живёт в userspace: какой синтаксис shell принимает, насколько он удобен в интерактивной работе, насколько строго следует POSIX и какие расширения добавляет сверху.

POSIX описывает shell-язык, который часто называют просто sh. Большинство shell реализуют его как базу, а потом добавляют свои фичи.

Поэтому bash и dash - это не «разные терминалы». Это разные реализации одной идеи.

Небольшой сюрприз: в Debian и Ubuntu /bin/sh обычно не bash, а dash. Он проще, меньше и стартует быстрее. Поэтому скрипт с первой строкой:


#!/bin/sh


может вести себя не так, как вы ожидаете, если вы писали его «как bash-скрипт».

Проверьте у себя:


readlink -f /bin/sh

И вы увидите, какой shell реально стоит за /bin/sh на вашей машине.
👍249🔥3
⚡️ В Linux даже обычный syscall начинается с макроса.

Например:

SYSCALL_DEFINE3(write, unsigned int, fd, const char __user *, buf, size_t, count)

После препроцессора это превращается сразу в несколько функций:

- sys_write
- __se_sys_write
- __do_sys_write

Одна строка описывает системный вызов, а C-препроцессор через макросы и token pasting собирает остальную обвязку автоматически.

Именно поэтому код ядра Linux часто выглядит коротко, пока не начнёшь разворачивать макросы.
Please open Telegram to view this post
VIEW IN TELEGRAM
👍287🔥5
Forwarded from Machinelearning
⚡️ Anthropic готовится представить коммерческую версию Mythos

Компания находится в шаге от релиза Claude Fable 5 - публичной адаптации архитектуры Mythos, которая развивается в рамках закрытого проекта Glasswing.

Оригинальная модель Mythos умеет автономно находить уязвимости нулевого дня и выполнять многоступенчатые хакерские атаки. Чтобы безопасно вывести технологию на рынок, Anthropic разделит релиз.

Базовая версия Mythos останется эксклюзивом для государств и профильных партнеров, а Fable 5 станет общедоступным флагманом для разработчиков.

В публичной Fable 5 будут вшиты строгие системные ограничения на сетевое проникновение и эксплуатацию вредоносного кода, при этом она сохранит возможности Mythos (сложную логику, работу со сверхдлинным контекстом и многоэтапное автономное выполнение задач).

Ожидается, что официальный анонс Fable 5 состоится 10 июня на конференции Code with Claude в Токио.


@ai_machinelearning_big_data

#news #ai #ml
Please open Telegram to view this post
VIEW IN TELEGRAM
16👍9🤔8🔥3👎2😱2
⚡️ Linux Roadmap: подробный практический курс от нуля до уверенного администратора

Это пошаговый маршрут изучения Linux с упором на практику. Каждый раздел содержит объяснение «почему это устроено именно так», разбор команд и обязательные задания, которые нужно выполнить руками в терминале. Чтение без повторения навыка не даёт — держите терминал открытым рядом с этим текстом.

Как работать с этим курсом: идите сверху вниз, не перепрыгивайте разделы; каждую команду набирайте руками, а не копируйте; в конце каждого блока выполняйте задание; специально ломайте систему в виртуалке и чините — это лучший способ учиться.

https://github.com/justxor/linuxfullroadmap/
Please open Telegram to view this post
VIEW IN TELEGRAM
👍19🔥127
➡️Как обнаружить атаку на AD, когда не видно ничего подозрительного?

Изучите техники и методики атак на инфраструктуру Active Directory!

Наша практическая лаборатория содержит более 30 виртуальных машин, которые вам предстоит сломать. Успейте записаться на курс до 18 июня🚗

➡️ Регистрация

Содержание курса:
⏺️AD-сети с миксом Windows/Linux
⏺️Харденинг в AD, добыча критичной информации, развитие по инфраструктуре
⏺️Захват и укрепление позиций внутри инфраструктуры
⏺️Применение и анализ популярных эксплоитов

Авторы курса: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff

😀☺️😚🥲😎Дарим доступ к 20+ заданиям на взлом AD на hackerlab.pro при записи на курс!
Please open Telegram to view this post
VIEW IN TELEGRAM
10👍3🔥2
Линус Торвальдс мог быть богаче Илона Маска. Но он выбрал другой путь.

В 2005 году его команда внезапно потеряла доступ к инструменту, с помощью которого управляла кодом Linux. Один разработчик сделал реверс-инжиниринг этой системы, и компания, которой она принадлежала, просто отключила проект без предупреждения.

Тысячи разработчиков. Никакого нормального способа совместной работы. Никакого запасного плана.

Торвальдс не стал паниковать. Он сел и написал собственную систему контроля версий с нуля.

За 10 дней.

Он назвал её Git. Уже в первый день Git отслеживал собственный исходный код. Через несколько недель на нём управлялся весь проект Linux. К концу 2005 года официально вышел Git 1.0.

А потом Линус просто отдал его бесплатно. Open source. Без компании. Без патентов. Без монетизации.

Через несколько месяцев он передал проект другим людям и вернулся к Linux, будто ничего особенного не произошло.

Зато другие быстро поняли, что он оставил на столе.

На Git вырос GitHub: 100 млн разработчиков, покупка Microsoft в 2018 году за $7,5 млрд. GitLab вышел на биржу в 2021 году с оценкой почти $12 млрд. Сегодня Git контролирует больше 85% рынка систем контроля версий.

Каждое приложение в вашем телефоне. Каждый сайт, который вы открываете. Почти всё это создаётся с помощью Git.

Торвальдс не заработал на этом $0.

Он создал самый используемый инструмент для разработчиков в истории просто потому, что его достала существующая система.

А потом отдал его бесплатно, потому что считал: такой инструмент должен быть доступен всем.

И он ни разу публично не сказал, что жалеет об этом.
130👍47🔥40😢8👏5
🖥 На stepik обновили курс Python в 2026 - рабочий инструмент для автоматизации, ботов, парсинга, API, данных и разработки с ИИ.

Проблема новичков в том, что они учат Python кусками: синтаксис, пару задач, немного теории - и потом не понимают, как собрать из этого реальный проект.

Этот курс закрывает именно этот разрыв. Здесь вы не просто смотрите уроки, а учитесь писать код, разбирать ошибки и собирать рабочие решения на практике.

Внутри:

- Python с нуля
- много практики без сухой теории
- реальные задачи и проекты
- автоматизация рутины
- работа с файлами, данными и API
- понятная логика программирования
- современная разработка с ИИ
- отдельный блок по вайбкодингу

Вайбкодинг это нормальный навык 2026 года и вас научат- правильно ставить задачу, проверять код, понимать результат и быстрее доводить проект до рабочего состояния.

48 часов скидка 60%: https://stepik.org/course/288218/
Please open Telegram to view this post
VIEW IN TELEGRAM
12👍4🔥3😁2
⚡️ Kali Linux Roadmap: с чего начать в этичном хакинге

Нашёл нормальный roadmap по Kali Linux для тех, кто хочет не просто «поставить Kali и открыть терминал», а постепенно разобраться, как всё это работает.

Внутри маршрут по базовым темам: установка, настройка окружения, работа с терминалом, Linux-команды, сеть, безопасность, инструменты Kali и практика.

Это полезно тем, кто только заходит в кибербезопасность и не понимает, за что браться первым. Kali часто выглядит как набор страшных утилит, но без базы по Linux, сетям и правам доступа эти инструменты быстро превращаются в хаос.

Хороший подход здесь простой: сначала понять систему, потом сеть, потом инструменты, и только после этого переходить к практике в легальных лабораториях и CTF.

Такой roadmap удобно проходить как чек-лист: открыл раздел, разобрал команды, повторил руками, закрепил на тестовом окружении.

Для старта в Kali Linux это намного лучше, чем хаотично смотреть ролики и копировать команды без понимания.

https://github.com/justxor/Kalilinuxroadmap/tree/main
🔥21👍145🥰2
✔️ Claude Code превращают в баг-хантинг машину

Claude-BugHunter - skill bundle для Claude Code, который добавляет готовую методологию для легального bug bounty, security audit и authorized red-team задач.

Это не один промпт в стиле «найди баги». Внутри целый набор рабочих навыков и команд:

- 51 skill и 15 slash-команд
- 574+ паттерна из раскрытых security-репортов
- 24 класса уязвимостей
- workflow для поиска, валидации, триажа и оформления findings
- шаблоны под enterprise-цепочки для M365, Okta, VMware и VPN-appliances
- scaffold папок под engagement: scope, notes, evidence, findings, reports
- интеграция с Burp через MCP

Проект: https://github.com/elementalsouls/Claude-BugHunter
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥2114👍11🥰2👎1😁1
400+ AUR-пакетов скомпрометировали через infostealer и rootkit

В AUR произошёл серьёзный supply chain-инцидент: новый мейнтейнер, выдававший себя за доверенного участника, «усыновил» и заразил более 408 пакетов.

По данным IFIN, вредоносные изменения уже удалены, но сама история неприятная: атака затронула не один пакет, а сразу сотни пакетов из пользовательского репозитория Arch Linux.

Схема была такой:

- атакующий брал заброшенные AUR-пакеты;
- добавлял вредоносные preinstall-скрипты;
- через них подтягивались npm/Bun-зависимости;
- среди payload были atomic-lockfile и js-digest;
- поведение включало infostealer и признаки eBPF-rootkit.

Особенно опасно здесь не само количество пакетов, а уровень атаки. Это не просто «скрипт что-то скачал». В отчёте упоминаются подозрительные eBPF maps вроде:

- hidden_pids
- hidden_names
- hidden_inodes

То есть речь может идти о попытках скрывать процессы, имена и inode на уровне системы.

Для пользователей Arch важно, если недавно обновляли пакеты из AUR, особенно через yay -Syu или похожие AUR-helper’ы, стоит проверить список затронутых пакетов, посмотреть индикаторы компрометации и при подозрении относиться к системе как к недоверенной.

Официальные репозитории Arch через pacman не то же самое, что AUR. Этот инцидент ещё раз показывает: AUR удобен, но это пользовательский репозиторий, где PKGBUILD нужно читать так же внимательно, как shell-скрипт из интернета.

Источник:
https://discourse.ifin.network/t/400-aur-packages-compromised-with-infostealer-and-rootkit/577
👍2011🔥5🤔4😁2
CF-Hero: инструмент для проверки, не светит ли ваш origin IP за Cloudflare

Cloudflare часто воспринимают как щит, который полностью прячет реальный сервер. Но на практике всё ломается о старые DNS-записи, забытые поддомены, TXT-записи, сторонние индексы и следы в Shodan, Censys или SecurityTrails.

CF-Hero как раз собирает такие сигналы в одном месте. Это OSINT-инструмент на Go, который ищет потенциальные origin IP у веб-приложений за Cloudflare и затем проверяет найденные адреса по ответам, чтобы снизить количество ложных совпадений.

Что использует:

- активный DNS-перебор
- Censys, Shodan и ZoomEye
- исторические записи SecurityTrails
- корреляцию связанных доменов
- анализ ответов найденных адресов

Если реальный IP где-то уже засветился, CDN перестаёт быть полноценным барьером: сервер могут пытаться атаковать напрямую, в обход правил, WAF и rate limiting.

Lang: Go
GitHub: https://github.com/musana/CF-Hero
👍195🔥2
Что мощнее — S3 или локальные диски?
Разбираем сценарии использования S3-хранилища в связке с Postgres Pro

На вебинаре узнаете о лучших практиках эксплуатации в продакшн-средах. Эксперты Selectel и Postgres Pro разберут все: от резервного копирования через pg_probackup и S3 Selectel до хранения паркетных данных с Postgres Pro AXE и результатов TPC-тестов. Особенно интересно будет архитекторам, техлидам и всем, кто отвечает за надежность и экономику хранения данных.

📍 Онлайн
25 июня в 12:00


Регистрируйтесь ➡️ https://slc.tl/h6m2i

Больше мероприятий для ИТ-специалистов в канале @selectel_events. Подписывайтесь!

Реклама. АО "Селектел". erid:2W5zFK39Zkd
5👍2👎2😁1
Forwarded from Golang
restic - кроссплатформенный инструмент для бэкапов, который сохраняет зашифрованные снапшоты в 12 разных типах хранилищ.

* Поддерживает Linux, macOS, Windows, FreeBSD и OpenBSD
* Среди бэкендов: локальное хранилище, SFTP, S3, B2, Azure и GCS
* Использует дедупликацию и шифрование для эффективных и безопасных резервных копий
* Позволяет восстанавливать данные напрямую или через FUSE-mount

https://github.com/restic/restic
👍209🔥1
Апдейт по Fable 5 / Anthropic: компания отправила своих ведущих специалистов по безопасности в Вашингтон. Экспортные ограничения всё ещё

Anthropic и администрация Трампа завершили переговоры в понедельник без результата: экспортные ограничения на Claude Fable 5 остаются в силе. Когда их снимут - непонятно.

Компания несколько дней убеждала Вашингтон, что опасения вокруг модели преувеличены. Ту же позицию Anthropic повторила перед исследователями из Министерства торговли США.

Министр торговли Говард Лютник подключился к встрече по телефону с саммита G7 в Эвиане, Франция. Кибердиректор Шон Кэрнкросс в переговорах не участвовал.

Со стороны Anthropic обсуждение вели сооснователь Том Браун и глава внешних связей Сара Хек. Руководитель red teaming Логан Грэм и исследователь безопасности Николас Карлини специально прилетели в Вашингтон для этих переговоров.

Главный спор - можно ли снять защитные ограничения Fable 5 и открыть более мощные возможности Mythos, которые находятся «под капотом». NSA считает, что да. Anthropic утверждает, что риск преувеличен.

Пока нет ясного понимания, какими будут следующие шаги.

@linuxkalii
13🤔10👍5🔥4😁3😱1