#Статья

Как я нашел RCE через загрузку файла

👉 В статье автор делится кейсом, как при помощи хитрого обхода серверных ограничений удалось заполучить RCE через загрузку файлов, и объясняет, какие меры безопасности помогут предотвратить подобные атаки.

⏱ Время чтения: 4 минуты

🔥 Еженедельный дайджест: что ты мог пропустить? 🔥

Привет, друзья! 👋 Совсем недавно неделя подошла к концу и я тут подумал, что стоило бы попробовать добавить еженедельный дайджест, как вам идея? Накидайте реакций🫶

📄 Статьи:

1️⃣ Как простой эксплойт может принести $500 — Cache Deception
Охота на уязвимость веб-кеша завершилась успешной находкой! Как баг превратился в $500? Узнай все детали. 💵
👉 Читать статью

2️⃣ XSS на домене вне скоупа? CORS — ваш лучший друг!
Атаковать домен, который даже не входит в скоуп? Это возможно с правильным подходом и CORS! 🔐
👉 Читать статью

3️⃣ Недостаточная аутентификация: как она может подорвать безопасность аккаунтов
Распространенные ошибки в аутентификации могут открыть дверь для злоумышленников. Как этого избежать? Читай здесь! 🔑
👉 Читать статью

4️⃣ Как я нашел RCE через обычную загрузку файла
Всё началось с загрузки файла... и закончилось удаленным выполнением кода на сервере. Узнай, как это было. 🚨
👉 Читать статью

🎮 Викторины:

🧩 Викторина по Web Cache Deception
Закрепи свои знания и посмотри, насколько хорошо ты усвоил материал!
👉 Пройти викторину

🔎 Читай, участвуй в викторинах и следи за новыми публикациями!

#Статья #Викторина

Техники обхода WAF: как профессионально эксплуатировать уязвимости SQL-инъекций

👉 В статье автор раскрывает техники обхода WAF для эксплуатации уязвимостей SQL-инъекций, включая методы кодирования, обфускации запросов и использование метода HTTP Parameter Pollution.

⏱️ Время чтения: 4 минуты

С Новым годом, друзья)❤️🎄

Желаю каждому из вас провести этот год офигенно и продуктивно. Доставайте из списка всё то, что откладывали, и выполняйте, этот год полностью ваш. Главное — начните, доверьтесь процессу и помните, что в году у вас есть 365 возможностей, и если что-то не получилось, попробуйте снова, будьте упорными!✊

Хотел бы вас поблагодарить за то, что вы были и остаетесь вместе со мной. Да, контента на канале стало меньше, аж затишье почти на 3 месяца, но, несмотря на это, вы не отписываетесь и остаетесь, это очень ценно и приятно, спасибо вам!

Канал жив, постараюсь в этом месяце выпустить перевод одной небольшой книжки. Остальной контент тоже скоро будет, до встречи!✌️

#Ent_BooksIB

Книга: Чеклист по цифровой безопасности

Описание:
В современном цифровом мире защита личных данных становится всё более актуальной. Эта книга предлагает практические советы по обеспечению вашей цифровой безопасности и конфиденциальности. Вы узнаете, как, например, создавать и управлять надёжными паролями, защищать свои устройства от различных угроз, настраивать двухфакторную аутентификацию, безопасно работать с публичными сетями Wi-Fi, а также минимизировать риски утечек данных. Особое внимание уделено безопасности при использовании веб-браузеров, электронной почты, мессенджеров и социальных сетей. Книга подходит как для новичков, так и для тех, кто уже разбирается в вопросах информационной безопасности.

Страниц: 60
Формат: PDF

Чеклист по цифровой безопасности

#Статья

Не лгите на собеседованиях по кибербезопасности

👉 В статье автор рассказывает, почему не стоит лгать на собеседованиях по кибербезопасности, приводя реальный кейс кандидата, который преувеличил свои навыки и потерял возможность трудоустройства. Также даются практические советы, как грамотно признавать пробелы в знаниях, демонстрировать адаптивность и укреплять свою профессиональную репутацию.

⏱️ Время чтения: 6 минут

#Статья #Викторина

Тактики SQL-инъекций: достижение выполнения кода для OSCP

👉 В статье разбирается, как превратить SQL-инъекцию в полный захват системы. Автор пошагово демонстрирует атаку через MSSQL: от поиска уязвимой точки инъекции и выполнения команд с xp_cmdshell до получения реверс-шелла.

⏱️ Время чтения: 8 минут

#Статья

Почему я бросил Bug Bounty :(

👉 В статье автор делится личным опытом работы в Bug Bounty и объясняет, почему решил уйти из этой сферы. Он рассказывает о жесткой конкуренции, высоких затратах времени, выгорании и своем желании сосредоточиться на других направлениях кибербезопасности, таких как SOC и реагирование на инциденты. Также дает советы новичкам, с чего лучше начинать поиск уязвимостей.

⏱️ Время чтения: 4 минуты

#Статья

Дорожная карта SOC-аналитика на 2025 год: Пошаговое руководство для самостоятельного изучения

👉 В статье представлена дорожная карта SOC-аналитика на 2025 год, которая поможет новичкам и практикующим специалистам самостоятельно освоить ключевые навыки. Рассматриваются основы сетей, операционных систем (Windows, Linux), анализ фишинговых писем, веб-трафика, Threat Hunting и работа с MITRE ATT&CK. Включены рекомендации по книгам, курсам, инструментам и практическим заданиям.

⏱️ Время чтения: 6 минут

#Статья

Лучшие гаджеты для хакеров в 2025 году

👉 В статье представлены лучшие хакерские гаджеты 2025 года, необходимые для тестирования на проникновение, анализа безопасности и исследований. Разбираются топовые инструменты, такие как Flipper Zero 2.0, Bash Bunny Mark II, WiFi Pineapple VII, Rubber Ducky 3.0, HackRF One Ultra, Proxmark3 RDV4 и другие. Рассмотрены их возможности, области применения и обновления.

⏱️ Время чтения: 5 минут

#Статья

Топ-8 книг по Bug Bounty на 2025 год: обязательные к прочтению для этичных хакеров

👉 В статье представлен топ-8 лучших книг по Bug Bounty на 2025 год, которые помогут как новичкам, так и опытным баг-хантерам развить навыки тестирования на проникновение. В списке книги, охватывающие Red Teaming, API-хакинг, Web-взлом, поиск уязвимостей в IoT, пентестинг облачных сервисов и автоматизацию разведки. Отличный гид для всех, кто хочет научиться находить уязвимости, зарабатывать на Bug Bounty и прокачивать навыки этичного хакинга.

⏱️ Время чтения: 5 минут

#Статья

Как скрытый GitHub-токен принес $50 000 в Bug Bounty

👉 В статье рассказывается, как скрытый GitHub-токен в публичном приложении привел к критической уязвимости, за которую исследователь получил $50 000 Bug Bounty. Исследователь обнаружил хардкоденный персональный токен доступа (PAT) в Electron-приложении, который давал чтение и запись в приватные репозитории компании. Это открывало путь для кражи кода, внедрения бэкдоров и компрометации инфраструктуры.

Представляю лицо баг-хантеров😁

⏱️ Время чтения: 6 минут

#Статья

Как я заработал $2000 на простой уязвимости

👉 В статье рассказывается, как исследователь обнаружил критическую уязвимость обхода OTP в известном сервисе такси и заработал $2000 Bug Bounty. Приложение принимало "0000" как валидный OTP, позволяя злоумышленнику сменить номер телефона в аккаунте без верификации. Это открывало возможность для захвата учетных записей, удаления аккаунтов и мошенничества с поездками.

⏱️ Время чтения: 4 минуты

#Статья

Google допустил ошибку: простой IDOR, оцененный в $3,133.7

👉 В статье рассказывается, как простая уязвимость IDOR в сервисе Google позволяла получить доступ к приватным файлам в Google Drive, просто изменяя file ID в запросе. Google повысил приоритет уязвимости до P2 и спустя три недели выплатил исследователю $3,133.70.

⏱️ Время чтения: 4 минуты