Пустая страница Apache — и четыре минуты до флага

Представьте: вы подключаетесь к тренировочной машине на HackTheBox. Nmap показал единственный открытый порт 80, браузер — пустую страницу. Тупик. Одна команда gobuster dir со словарём common.txt — и через 35 секунд найден /robots.txt. Внутри — путь к админке. В исходном коде — забытые тестовые креды. Четыре минуты от запуска до флага. Без dirbusting эту машину можно было ковырять часами.

Перебор директорий — это первое, что делает пентестер после сетевого скана. Вы знаете, что порт открыт, но структура приложения — тёмный лес. Gobuster берёт словарь с типовыми именами путей, подставляет каждое в URL и анализирует HTTP-ответ. Просто, грубо, эффективно.

🔍 Что реально находят при dirbusting:

• .env, config.php.bak, db_backup.sql — файлы с учётными данными, которые разработчик забыл убрать
• Директории .git/ и .svn/ — раскрывают исходный код проекта
• Панели phpMyAdmin без пароля, Tomcat Manager с дефолтными tomcat:tomcat
• Забытые веб-шеллы вроде cmd.php — прямой путь к RCE

По данным Verizon DBIR 2025, около 26% подтверждённых утечек приходится на атаки на веб-приложения. Немалая часть начинается именно с обнаружения эндпоинтов, которые никто не планировал показывать миру.

⚙️ Gobuster написан на Go, потребляет минимум памяти и работает быстро. В Kali Linux он предустановлен — просто набираете gobuster в терминале. Словари SecLists ставятся одной командой: sudo apt install seclists. После установки они лежат в /usr/share/seclists/.

Лайфхак из практики: если ставите через go install, сразу пропишите export PATH=$PATH:$HOME/go/bin в .bashrc. Иначе после перелогина команда «пропадёт», и вы потратите минут пять на выяснение причин.

Режим dir — основной. В CTF-контексте 90% работы — именно он. Минимальная команда требует всего два параметра: URL цели и путь к словарю. Остальные режимы (dns, vhost, fuzz, s3) решают другие задачи и в веб-задачах встречаются реже.

📌 Для тренировки поднимите OWASP Juice Shop в Docker — уязвимое приложение с десятками скрытых эндпоинтов. Идеальный полигон, чтобы прощупать Gobuster без риска что-то сломать.

Нельзя эксплуатировать то, чего не обнаружил. Dirbusting — не опциональный шаг, а фундамент любой веб-атаки. Полный разбор флагов, словарей, фильтрации ответов и практические примеры — в развёрнутом материале.

https://hackerlab.pro/blog/gobuster-perebor-direktoriy-i-poisk-skrytyh-faylov-v-veb-zadachah-ctf

Павел Никитин, один из авторов курса, пятикратный победитель The Standoff и специалист с многолетним опытом в Red Team и коммерческих пентестах, рассказывает, как создавалась программа и какой практический опыт авторы вложили в обучение.

Делимся архивной записью и напоминаем, новый поток стартует 7 сентября.

 За 4,5 месяца на курсе отработаем в практической лаборатории полный сценарий атаки на домен: от разведки и получения первого доступа до повышения привилегий, атак на Kerberos, перемещения по сети и захвата Active Directory.

Практика — с первого занятия, 180 ак.ч.
Доступна поэтапная оплата — от 8 995 ₽/мес

Смотрите видео от автора курса и узнайте, что заложено в основу программы курса «Атаки на Active Directory».

➡️Посмотреть программу и записаться

Новый дизайн codeby.net теперь стоит по умолчанию.

Мы собирали его с конца июня, месяц он жил в переключателе стилей, и вчера я включил его для всех.

Главное изменение не в цвете. Поверх разделов встали шесть витрин, которые собирают материалы по смыслу: Разборы, Практика, Инструменты, Карьера, Обсуждения и Лента с фильтрами под себя. Раньше сильный разбор трёхлетней давности найти было сложнее, чем свежий флуд на первой странице. Теперь у каждого направления своя страница с сортировками и пагинацией.

Мобильная версия наконец работает как надо: до фикса гость на телефоне видел пустую полосу вместо шапки. Светлая тема доведена до нормального контраста и запоминает твой выбор. Согласие на cookie стало карточкой в углу и больше не съедает клики по низу экрана.

Что ещё не готово, я расписал там же честно: часть срезов Ленты помечена «Скоро», каталог инструментов пока пустой, витрины показывают не все темы раздела. Чиню по порядку, и этот порядок двигают замечания в теме.

Если новый вид не зашёл, прежний стиль никто не удалял: https://codeby.net/misc/style, переключение мгновенное.

Разбор всех изменений и место для замечаний:
https://codeby.net/threads/novyi-dizain-foruma-stal-osnovnym-chto-izmenilos-i-kak-vernut-prezhnii.95467/

Заходи, потыкай и напиши в теме, что мешает: страница, разрешение экрана, светлая или тёмная тема. По таким сообщениям правки выходят в тот же день.

Сразу на платформу решать таски или сначала полгода учить сети и Linux?

Один лагерь говорит: без фундамента ты просто копируешь команды из райтапов. Другой: без быстрых результатов мотивация умрёт раньше, чем дойдёшь до практики.

Оба подхода работают, но для разных людей. Интересно, какой сработал именно у тебя.

🔽 Делимся опытом здесь:

https://codeby.net/threads/platformy-i-ctf-ili-snachala-seti-i-linux-s-chego-nachinat-v-ib.95651?utm_source=tg&utm_medium=engage&utm_campaign=forum_engage

Ты ставишь таймер на разведку или копаешь, пока не уверен в полноте скоупа?

Два часа в разведке, поверхность атаки шире, чем казалось. Поддомены тянут новые сервисы, каждый сервис открывает ветку. Можно копать дальше, а можно остановиться и ломать то, что уже есть.

Жёсткий таймбокс дисциплинирует, но иногда ключевой вектор лежит именно в той части скоупа, которую не успел покрыть. Без таймера разведка раздувается на полпроекта, зато ничего не пропускаешь.

🔍 Обе позиции рабочие, и обе больно кусаются. Разбираем в теме:

https://codeby.net/threads/taimboks-na-kazhdyi-etap-pentesta-distsiplina-ili-poterya-nakhodok.95653?utm_source=tg&utm_medium=engage&utm_campaign=forum_engage

Python или сразу C: с чего начинать путь в ИБ?

Один лагерь говорит: без указателей и стека ты не поймёшь ни один таск по pwn. Другой: сегфолты убьют мотивацию раньше, чем ты напишешь первый эксплойт. А кто-то берёт оба языка параллельно и не видит в этом проблемы.

Аргументы у каждой стороны сильные. Быстрый результат на Python или глубокое понимание машины через C: что на старте важнее?

Расскажи свой путь

Ты начинал с конкретной специализации или сначала пробовал всё подряд, пока не зацепило?

Один совет: бери OWASP Top 10, разворачивай DVWA и ломай. Другой: пентест это одно из десятка направлений, и если выберешь не то, потеряешь полгода. Оба звучат разумно, и именно поэтому новичок застревает между ними.

🔹 Если ты уже прошёл этот этап, хватит одного абзаца.

Расскажи, с чего начинал

Ты начинал с задачи или просто ковырял Kali наугад?

Открываешь меню: Nmap, Burp, Metasploit, Hydra, ещё сотня названий. Хочется попробовать всё. Через час закрываешь терминал с ощущением, что не понял ничего.

На форуме разделились: одни говорят «бери конкретную задачу и учи только нужные инструменты», другие «сначала разберись в структуре дистрибутива, потом выбирай направление». Оба подхода рабочие, но у каждого свои ловушки.

🔹 Что сработало у тебя? Один абзац, две минуты.

Расскажи, с чего начинал

Какую нейросеть ты реально используешь в пентесте?

Два лагеря: одни гоняют всё через универсальную LLM, другие ищут агентов, заточенных под кибербез. Первые получают галлюцинации в критический момент. Вторые упираются в границы ниши.

Один абзац, две минуты: модель, задача, честная оценка.

Назови свой стек

UDP-сканирование: ты доверяешь zenmap или запускаешь nmap руками?

Дефолтный профиль zenmap не трогает UDP. Коллега советует создать кастомный и не мучиться. Формально он прав: под капотом тот же движок.

Но второй коллега запускает nmap -sU из терминала, выставляет --max-retries и --host-timeout вручную. Говорит, что графическая обёртка прячет статусы вроде open|filtered, и на нестабильном канале ты просто не заметишь потерянные порты.

Час до дедлайна, подсеть большая, отчёт утром.

Кто теряет порты, а кто время?

14 резюме за три дня. Где вакансии?

За месяц работодатели не разместили на форуме ни одной. А специалисты по ИБ пришли сами: SOC, пентест, AppSec, Red Team, сети. Девять джунов, четыре мидла, один тимлид. Шестеро готовы выйти через неделю или сразу.

Если ты нанимаешь безопасников, конкурентов у тебя сейчас нет. Кто разместит вакансию первым, окажется на вкладке один.

Посмотреть, кто пришёл →

Открыл райтап через час или через три?

Задача на учебной площадке. Час крутишь, два крутишь, перебрал очевидное. Рядом лежит райтап, оплаченный вместе с подпиской. Одни говорят: открыл, повторил команды, флаг сдан, но в голове пусто. В реальном пентесте подсказки не будет. Другие: застревать на три вечера подряд это не обучение, а фрустрация, после которой площадку бросают.

Замечено: если открываешь слишком рано, задача забывается через день. Если упираешься сам, запоминаешь надолго. Но «слишком рано» у каждого своё.

Где твоя граница списывания?

Восемь часов без прогресса: ты ещё учишься или уже просто сидишь?

Третий час над задачей. Очевидные подходы кончились, гугл молчит, условие перечитано трижды. И вот развилка: одни говорят, что после восьми часов без движения пора признать пробел в знаниях и взять подсказку. Другие уверены: именно многодневная борьба формирует мышление, которое никакой writeup не заменит.

Оба лагеря звучат разумно. Иногда после мучительного вечера решение приходит утром за минуту. А иногда три дня впустую, и один абзац теории решает всё.

Сколько часов даёшь себе?

Шесть шагов в веб-пентест: в каком порядке ты бы их расставил?

Спор не утихает. Одни кричат: «Ставь Burp Suite и ломай DVWA прямо сейчас». Другие: «Без понимания TCP/IP ты просто тыкаешь кнопки вслепую».

На форуме выложили шесть конкретных шагов: от модели OSI до первого CTF. Задача: расставить буквы в своём порядке и объяснить логику одним предложением на шаг. Можно выкинуть лишнее, можно добавить своё.

Два лагеря уже сцепились. Правильного ответа пока нет.

Покажи свою последовательность

Wireshark в виртуалке ловит только свои пакеты?

Классика первой лабы: запускаешь захват, а в дампе тишина. Только собственный трафик виртуалки. Чужие хосты как будто не существуют.

Одни говорят: проблема в выборе интерфейса. Слушаешь NAT, а нужен bridged. Другие уверены: всё дело в promiscuous mode, который VirtualBox по умолчанию ставит в «Deny». А бывает, что оба пункта исправлены, а пакетов всё равно нет: драйвер, права, тип подключения.

Deny, Allow All или вообще мимо?

Ты читаешь доки на английском каждый день, но язык не остаётся?

README, man-страницы, RFC, описания API. Глаза бегут, смысл вроде понятен. Через месяц ты не можешь пересказать абзац своими словами. Ни одного нового термина в голове.

Одни говорят: без выписанных слов и пересказов вслух ничего не работает. Другие годами просто читали Stack Overflow и однажды поняли доклад без субтитров. Без единой карточки.

Карточки или Stack Overflow?

apt или pip: ты уже выбрал сторону?

Ставишь инструмент через apt, а через полгода pip тянет другую версию той же библиотеки. Они конфликтуют, что-то ломается, и ты полчаса выясняешь, какой пакет лежит в системном site-packages, а какой в пользовательском.

Один источник через apt: предсказуемо, но половины нужного нет в репозитории. Всё в venv: чисто, но десяток окружений обновлять вручную никто не хочет.

Опиши свою схему одним абзацем

Через сисадминство или через сетевую инженерию приходят к проектированию сетевой архитектуры?

Сетевой инженер каждый день живёт в маршрутизации, сегментации, ACL. Он строит сеть, но может не представлять, что происходит выше L3.

Сисадмин отвечает за всё: от коммутаторов до файрвола, от домена до бэкапов. Он видит инфраструктуру целиком, но тратит время на десяток задач, далёких от сетевого дизайна.

У обоих путей свои слепые зоны. Вопрос в том, какую зону проще закрыть самому.

Какая слепая зона оказалась твоей?

Ты за изоляцию или за дисциплину без прослоек?

Одни выстраивают схему: незнакомые ссылки открываются через облачный браузер, файлы проходят песочницу, и даже если ссылка ведёт на эксплойт, он отрабатывает в чужом контейнере. Настроил один раз и забыл.

Другие возражают: любая прослойка замедляет работу. Через неделю ты начнёшь её обходить «только разочек». Проще держать браузер обновлённым, не запускать бинарники из непонятных источников. Бесплатно и не ломает процесс.

Оба подхода звучат разумно, пока не столкнутся с твоим реальным рабочим днём.

Песочница или привычки?

Ты поднимаешь чистую виртуалку под каждое расследование или обходишься профилями браузера?

Одни разворачивают чистый образ на каждую задачу: куки, кеш, файлы не пересекаются физически. Снапшот, откат, а если что-то пошло не так, машину удаляешь целиком. Цена: время, ресурсы хоста, хранилище под образы.

Другие запускают профиль браузера за секунды и говорят, что для веба этого хватает. Цена: DNS-запросы, метаданные файлов, локальные утилиты остаются общими. Один неаккуратный шаг, и контексты двух расследований смешиваются.

Чем чувствительнее источники, тем дороже такая ошибка. Чем больше коротких проверок в день, тем дороже каждая лишняя минута на развёртывание.

Ответить в треде →