Безопасники тут? 👀 Отмечаемся✌️
Иногда самые простые “решения” работают лучше всего 😏

#funny #mem #pentest

ИИ заменит кибербезопасников? Ну-ну. Посмотрите на OWASP Top 10 для LLM

Пока диванные эксперты рассуждают о том, как нейросети уволят всех пентестеров, реальность такова...: внедрение больших языковых моделей (LLM) создало такое количество дыр, что работы в AppSec стало в два раза больше.

Если вы думали, что LLM - это просто чат в браузере, поздравляю: вы только что открыли огромную дверь для атак.

OWASP уже выпустил отдельный топ уязвимостей специально для этих моделей.

Вот список того, на чем сейчас ломают системы с ИИ:
- Prompt Injection (LLM01): Прямая или непрямая манипуляция моделью через хитрые промпты. Вы заставляете ИИ игнорировать системные инструкции и выполнять ваши.

- Insecure Output Handling (LLM02): Когда приложение слепо доверяет тому, что сгенерировал ИИ. Результат - XSS, CSRF или даже SSRF через ответы бота.

- Training Data Poisoning (LLM03): Засорение обучающей выборки. Если хакер подсунет свои данные на этапе обучения, модель будет выдавать предвзятые или опасные ответы.

- Model Denial of Service (LLM04): Отправка таких запросов, которые вызывают аномальное потребление ресурсов. Дорого, долго, и ваш сервис ложится под счетами от провайдера ИИ.

- Supply Chain Vulnerabilities (LLM05): Уязвимости в сторонних библиотеках, датасетах и плагинах. Весь стек ИИ сейчас - это одна большая цепочка поставок.

- Sensitive Information Disclosure (LLM06): Модель случайно отдает конфиденциальные данные, на которых её обучали или которые ей дали в контексте.

- Insecure Plugin Design (LLM07): Плагины для LLM часто имеют избыточные права и не проверяют ввод. Идеальный путь для выполнения команд на сервере.

- Excessive Agency (LLM08): Когда модели дают слишком много власти (например, право удалять письма или менять пароли) без подтверждения человеком.

- Overreliance (LLM09): Чрезмерное доверие. Разработчики не проверяют код, написанный ИИ, и деплоят уязвимости прямо в прод.

- Model Theft (LLM10): Кража самой модели или её параметров через API. Интеллектуальная собственность улетает конкурентам.

Итог прост: ИИ не заменяет кибербезопасность. Он расширяет поверхность атаки до невероятных масштабов. Чтобы защищать современные приложения, вам уже мало знать SQL инъекции. Вам нужно понимать, как думает модель и где она ошибается.

В 2026 году специалист, который умеет проводить аудит LLM-решений - это самый высокооплачиваемый игрок на рынке. Пока остальные боятся автоматизации, мы изучаем новые векторы.

Вопрос к коллегам: Кто уже сталкивался с Prompt Injection на реальных проектах? 👇

По обучению безопасности пишите в Телеграм @faroeman

Всем хорошего вечера 👋

Напоминаю про наш чат — там периодически поднимаем действительно острые и интересные темы.

Сейчас как раз обсуждаем неприятную, но важную ситуацию
Буллинг через опубликованное видео в TikTok.

Мы всё-таки про этичный хакинг и «светлую сторону», поэтому хочется не просто обсуждать, а реально помогать и убирать подобный трэш из сети.

❗️ Ситуация:

В TikTok выложено видео с использованием чужого фото, и по сути это форма травли.

⚠️ Важно:
Ломать аккаунт — не вариант (и не наш путь).

📌 Что уже пробовали:
— на видео жаловались уже ~20–30 аккаунтов
— отправляли репорты
— указывали, что используется фото человека без его разрешения

👉 Ответ от TikTok один и тот же:

«Нарушений не обнаружено»

💭 Вопрос к вам:
Кто сталкивался с подобным?

Работают ли:
— жалобы на видео?
— массовые репорты?
— обращения в поддержку?
— может есть более эффективные способы повлиять на удаление?


👇 Напишите, плис, в комментах.
Нужно понять, как в таких ситуациях реально добиваться результата

Периодически в личку прилетают запросы:

«проконсультируйте», «подскажите», «помогите разобраться» и т.д.

И кажется что у нас уже накопилось достаточно опыта, который можно было бы систематизировать и упаковать в что-то полезное для всех, а не раздавать точечно.


📌 Мы уже пробовали делать закрытое сообщество с эксклюзивными материалами,
но честно — не получили того эффекта, на который рассчитывали.
Поэтому пока поставили эту историю на паузу.

💡 Сейчас думаем:

чем мы реально можем быть вам полезны?

Не просто «контент ради контента»,
а то, что действительно помогает расти и решать задачи.

❓Что бы вам было интересно внутри сообщества?

И за что вы реально были бы готовы заплатить, если это даёт ценность?

Например:
— чек-листы (разведка, тестирование, методология)
— разборы кейсов
— еженедельные стримы / Q&A
— помощь с обучением / входом в профессию
— юридические консультации в сфере ИБ

👇 Напишите в коментах или сразу в лс

PS Хочется собрать что-то действительно сильное, а не «очередной инфо-продукт»

Завтра утром будет разбор с пояснениями!
А пока можешь написать в комментариях свой результат и выбрать смайлик к посту)

5/5 — уже опасный 😎
3–4 — уверенно идешь😄
0–2 — есть куда расти (и это нормально)🤔

Делам разбор прошлого поста. Всем спасибо за активность. Так мы понимаем уровень нашего сообщества и в каком направлении нам развиваться😎

1 — B
👉 -sS — это SYN scan (полуоткрытое сканирование).
Отправляется SYN → если приходит SYN-ACK, порт открыт, но соединение не завершается. Менее заметно, чем полный connect.

2 — C
👉 Gobuster — классика для brute-force директорий и файлов.
Burp больше про проксирование и анализ, Wireshark — про трафик, Metasploit — эксплуатация.

3 — C
👉 403 = доступ запрещён.
Сервер понял запрос, но не даёт доступ (в отличие от 401 — там нужна авторизация).

4 — B
👉 XSS (Cross-Site Scripting) — это выполнение JS-кода в браузере жертвы.
Часто используется для кражи cookies, сессий и т.д.

5 — B
👉 whoami показывает текущего пользователя.
Часто используется при повышении привилегий, чтобы понять, под кем ты сейчас.

🔎 Пассивная разведка сайта: как собрать инфу, не трогая цель разбираем тему, как и как и обещали в чате

Большинство думает, что пентест начинается со сканеров.
На деле — всё начинается с пассивной разведки.

👉 Пассивная разведка — это сбор информации БЕЗ взаимодействия с целью
(ты не отправляешь запросы на сервер)

Почему это важно?
— тебя не видно в логах
— можно найти уязвимости ещё до атаки
— формируется картина цели

📦 Что можно узнать:

• домены и поддомены
• IP-адреса
• используемые технологии
• открытые данные (утечки, репозитории)
• почты сотрудников

🛠 Инструменты:

— Amass
— theHarvester
— Shodan
— Censys

💡 Пример:

Ты находишь поддомен вида:

dev.example.com

А там — тестовая среда без защиты. Уже можно черпать очень много информации.

Также, хотел бы вам посоветовать отличный репозиторий, содержащий перечень инструментов и ресурсов для сбора информации из открытых источников (OSINT).

🪧Информация о компании, которая может быть полезной:

Услуги — чем занимается компания?
Местоположение — где расположена компания?
Размер — какого размера компания?
Структура — какова структура компании и как взаимодействуют различные отделы?
Известность — насколько хорошо известна компания в мире?
Целевая аудитория — кому компания предоставляет свои услуги?
Маркетинг — как компания рекламирует свои услуги?
Активы — все ресурсы компании (офисы, веб-сайты, сетевая инфраструктура и т. д.).
Безопасность — какие меры безопасности предусмотрены для защиты активов компании?
Партнёры — с кем сотрудничает компания?
Вакансии — открыты ли вакансии в компании?

Полезная информация о сотруднике:

Должность — какие роли и обязанности выполняет сотрудник?
Зависимости — какие функциональные или рабочие зависимости существуют у сотрудника?
Контактные данные — номер телефона, адрес электронной почты, место проживания, псевдонимы и т.д.
Операционная система — какую операционную систему использует сотрудник для работы?
Активы — есть ли у сотрудника веб-сайт, блог, аккаунты в социальных сетях или какие-либо специфические приложения?
Интересы — какие у сотрудника личные увлечения, хобби или области интересов вне рабочих обязанностей?
Связи — с кем связан сотрудник?

🎯 Итог:

Пассивная разведка — это не просто этап «перед началом»,
это фундамент всей дальнейшей атаки.

Чем лучше ты собрал информацию на старте —
тем меньше тебе придётся «шуметь» дальше.

👉 Здесь решает не количество инструментов,
а умение связывать факты:

один поддомен → один email → один сотрудник → одна точка входа

💡 кто хорошо делает OSINT —
тот уже на шаг впереди ещё до первого запроса к цели.

Мини-алгоритм пассивной разведки 👇

#osint #recon #пассивнаяраздведка

🔎 Мини-алгоритм пассивной разведки (OSINT)

Чтобы не тонуть в инструментах — я постарался обобщить все в мини-роудмап:

1️⃣ Определи цель
— домен / компания / ник
— зафиксируй все варианты (зеркала, поддомены, похожие названия)

2️⃣ Собери поверхность атаки
— домены и поддомены
— IP и хосты
— связанные сервисы

(через Amass, Censys)

3️⃣ Определи технологии
— CMS / фреймворки
— версии сервисов
— сторонние интеграции

4️⃣ Ищи открытые источники
— репозитории
— утечки
— документы
— кэш поисковиков

(через theHarvester, Shodan)

5️⃣ Собери людей и доступы
— сотрудники
— почты
— роли
— соцсети

6️⃣ Найди слабые точки
— dev / test / staging
— старые версии сайтов
— забытые сервисы
— лишняя информация в открытом доступе

7️⃣ Сделай pivot
— email → аккаунты
— домен → поддомены
— человек → компания → инфраструктура

🎯 Итог:

Пассивка — это не просто сбор данных,
а последовательная сборка пазла.


#osint #recon #пассивнаяраздведка

⚔️ Активная разведка сайта: когда ты начинаешь “стучаться” в цель

Если пассивка — это наблюдение,
то активная разведка — это уже действие.

👉 Активная разведка — это взаимодействие с целью
(ты отправляешь запросы → система может тебя заметить)

Почему это важно?

— получаешь реальные ответы от сервера
— находишь уязвимости, которые не видны в OSINT
— проверяешь гипотезы, собранные на пассивке

⚠️ Но есть нюанс:

— ты оставляешь следы в логах
— можешь триггернуть WAF / IDS
— без разрешения это может быть незаконно


📦 Что сюда входит:

• сканирование портов
• перебор директорий и файлов
• fuzzing параметров
• анализ ответов сервера
• поиск точек входа

🛠 Инструменты:

— Nmap
— Gobuster
— ffuf
— Burp Suite

💡 Пример:

Ты находишь поддомен через пассивку →

test.example.com

Дальше:

— сканируешь порты
— находишь admin-панель
— проверяешь параметры

И вот тут уже начинаются реальные уязвимости

🎯 Важно:

Активка без пассивки = стрельба в темноту
Активка после пассивки = точечный удар

#osint #активнаяраздведка

🔎 Мини-алгоритм активной разведки (OSINT)

1️⃣ Берёшь данные с пассивки
— домены, поддомены
— IP и сервисы
— найденные dev/test точки

2️⃣ Проверяешь доступность
— какие хосты отвечают
— какие порты открыты
— какие сервисы реально доступны

👉 Отсекаешь всё лишнее

3️⃣ Определяешь сервисы
— сайт, API, админка?
— какие технологии используются
— есть ли WAF / защита

👉 Понимаешь, с чем имеешь дело

4️⃣ Ищешь скрытые директории
— /admin
— /login
— /api
— /backup
— /dev

👉 Очень часто здесь лежит самое интересное

5️⃣ Анализируешь ответы сервера
— коды ответов (200/403/404)
— размер ответа
— заголовки
— поведение при разных запросах

👉 Ищешь аномалии

6️⃣ Проверяешь точки ввода
— формы
— параметры
— API
— загрузки файлов

👉 Смотришь, как система обрабатывает данные

7️⃣ Тестируешь поведение
— нестандартные значения
— разные методы
— изменение запросов

👉 Ловишь ошибки логики

8️⃣ Выделяешь точки входа
— админки
— авторизация
— API
— старые сервисы

👉 Формируешь векторы атаки


🎯 Вывод:

Активная разведка — это не “запустить сканер и ждать”.

Это последовательная работа с гипотезами,
где каждый шаг сужает область поиска.

#osint #активнаяраздведка

🛠 Gobuster: как находить скрытые директории и поддомены

Одна из самых частых ошибок новичков —
думать, что если страница не видна, значит её нет.

👉 На практике — она просто скрыта.

📌 Gobuster:

— перебирает директории (/admin, /backup, /dev)
— ищет скрытые файлы
— может находить поддомены

💡 Пример:

gobuster dir -u http://target.com -w wordlist.txt

📦 Что можно найти:

• админ-панели
• тестовые разделы
• резервные копии
• скрытые API
• забытые страницы

⚡️ Важно:

— хороший словарь = 50% успеха
— не все 200 ответы полезны
— обращай внимание на размер ответа
— фильтруй мусор


💣 Частая ошибка:

Запустить Gobuster “в лоб” без пассивки

👉 Запомни:
сначала собрать поддомены →
потом уже брутить директории точечно

🔥 Мини-лайфхаки:

— проверяй /robots.txt перед запуском
— используй разные словари
— смотри не только на статус, но и на контент
— ищи нестандартные ответы


🎯 Вывод:

Gobuster — это не просто перебор слов,
а инструмент для поиска скрытых точек входа.

#tools #gobuster

🌐 Shodan: поисковик, который показывает “внутренности” интернета

Большинство ищет через Google.
Но обычно этого мало.

Shodan — это поисковик устройств, подключённых к интернету

Не сайты.
А сервера, камеры, роутеры, базы, IoT и сервисы.

👉 Shodan активно используется на этапе пассивной разведки

ты не взаимодействуешь с целью и не оставляешь следов

💡Находим:

• открытые порты
• версии сервисов
• базы данных
• устройства без защиты

Примеры запросов:

port:22
nginx
apache 2.4.49
"login"
country:RU port:3389

👉 Можно искать конкретные уязвимые версии сервисов

📦 Что это даёт нам как пентестерам:

— понимание внешней инфраструктуры
— поиск забытых сервисов
— выявление уязвимых версий
— точки входа ещё до активной разведки

🧠 Лайфхаки:

— комбинируй фильтры (port + country + product)
— ищи по заголовкам (title, http.html)
— проверяй старые версии сервисов
— используй это как старт перед активкой

#tools #shodan

🧠 Всё учишься? Может уже хватит…

Сколько можно:

— смотреть курсы
— читать статьи
— сохранять “на потом”
— проходить лабу за лабой

👉 А реального опыта — ноль

Правда, которая многим не нравится:

📌 Ты не станешь пентестером, просто обучаясь

Навыки появляются только тогда, когда ты:

— сам ищешь уязвимости
— сам тупишь и разбираешься
— сам ломаешь и понимаешь “почему”

💡 Обучение — это безопасная среда
Но реальный рост начинается за её пределами

📌 Что делать вместо бесконечного обучения???

1️⃣ Иди в bug bounty
2️⃣ Бери реальные цели (разрешённые)
3️⃣ Пиши отчёты
4️⃣ Общайся с реальными системами
5️⃣ Получай отказы — это тоже опыт

💣 Ошибка новичков:

“Вот ещё один курс пройду — и начну”

👉Я отвечу тебе как практик с пятилетним стажем:

НЕ НАЧНЕШЬ!

Работодателю не интересно, сколько ты учился
Ему важно:

— что ты находил
— что ты умеешь
— какие у тебя кейсы

Поэтому напоминаю, для тебя у нас есть отдельный канал с вакансиями, куда периодически тоже заглядывай🤨

Пятничное настроение😁