🧐 CTF-разбор: XOR с однобайтовым ключом

Дано: сообщение зашифровано XOR, ключ — 1 байт.
Известно: plaintext — ASCII, флаг начинается с flag{.

XOR обратим. Если знаем один символ plaintext — сразу получаем ключ.

🔤 Что делаем пошагово:

cipher[0] = 0x3c, 'f' = 0x66
key = 0x3c ^ 0x66 = 0x5A

Далее применяем byte ^ 0x5A ко всем байтам → все символы валидный ASCII. И получаем в результате: flag{xorfun}.

🐸 Библиотека хакера

#ctf_challange

🛡 6 лучших инструментов сканирования уязвимостей

1️⃣ Xygeni — AppSec + supply chain

— SCA, SAST, runtime-анализ
— приоритизация рисков
— нативная интеграция в CI/CD

Хорош для современных DevSecOps-процессов

2️⃣ Aikido Security — код и зависимости

— SAST + SCA
— поиск устаревших фреймворков
— рекомендации и автофиксы

Удобен для разработчиков, «shift left»

3️⃣ Tenable — инфраструктура и облака

— контейнеры, VM, cloud
— ML-приоритизация уязвимостей
— мощные API

Стандарт де-факто для enterprise

4️⃣ Kiuwan — SDLC и качество кода

— анализ безопасности и maintainability
— CI/CD и IDE-интеграции
— отчёты по стандартам

Подходит для regulated-сред

5️⃣ Qualys — VMDR (end-to-end)

— инвентаризация активов
— непрерывный мониторинг
— автоматизация remediation

Сильный cloud-first подход

6️⃣ Acunetix — веб и API

— SQLi, XSS, logic flaws
— автоматизация сканирования
— понятные отчёты для dev’ов

Лучший выбор для web-app security

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_vs_tool

🐸 Библиотека хакера

#hack_humor

📌 Практические лаборатории для хакеров и ИБ-специалистов

40+ hands-on лабораторных работ по offensive/defensive security, анализу инцидентов и пентестингу.

ℹ️ Три направления:

Intro To SOC — Blue Team

- Анализ трафика и памяти (Wireshark, TCPDump)
- Работа с логами (DeepBlueCLI, Domain Log Review)
- SIEM (ELK Stack, Sysmon, Velociraptor)
- Threat hunting (RITA, Nessus)

Intro To Security — Offensive Basics

- Разведка (Nmap)
- Password attacks (cracking, spraying)
- Lateral movement (Responder)
- Web-эксплуатация
- Защитные механизмы (Applocker, Bluespawn)

Cyber Deception — Active Defense

- Honeypots (Cowrie, WebHoneypot, HoneyShare)
- Ловушки (Spidertrap, Canarytokens)
- Обфускация (Portspoof)
- C2 детекция (AdvancedC2, RITA)

🔗 Ссылка на репозиторий

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

📞 Фейковая техподдержка: $10 млн без единого эксплойта

Два человека. Ноль взломов. $10 миллионов прибыли. Пользователю показывали «вирусное» окно и заставляли позвонить в «саппорт». Дальше — страх, давление и платный «ремонт».

Фокус схемы был не в первом разводе, а во втором заходе: жертве звонили снова и обещали вернуть деньги, потом «ошибались суммой» и просили разницу подарочными картами.

Одна база — два чека. Схема работала годами, пока ей не занялось U.S. Department of Justice. Итог — обвинения и до 20 лет тюрьмы.

🔴 Самые надёжные атаки не трогают код. Они ломают доверие.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#zero_day_legends

⚠️ Если ваш VPN висит на «Подключение...» или обрывается через минуту — вы не одиноки

ТСПУ изменили тактику: теперь они не режут соединения через RST, а тихо фризят TCP-сессии. Результат? Прямые подключения к Европе практически мертвы.

Что происходит:

🔤 VLESS + Reality до Амстердама/Германии/Финки — под шейпингом

🔤 После 15-20 КБ данных пакеты просто перестают приходить

🔤 Клиент висит до таймаута, думая что всё ок

Решение — цепочка через российский VPS в белых списках. Для ТСПУ это выглядит как обычный серверный трафик, который фильтруется в разы слабее.

🔗 В гайде:

✅ Пошаговая настройка цепочки Xray-core
✅ Какие облака дают белые IP (Яндекс, VK, EDGE)
✅ Фиксы для iOS, WhatsApp, Instagram
✅ Готовые сервисы для тех, кому лень настраивать

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🚨 Вышел Wireshark 4.6.3

Без новых кнопок и магии — просто навели порядок под капотом.

➡️ Что сделали:

— починили баги
— закрыли уязвимости
— подтянули стабильность на кривом и агрессивном трафике

➡️ Почему это важно:

— меньше крэшей при fuzz / нестандартных протоколах
— дампы открываются стабильнее
— меньше сюрпризов в середине анализа

Сборки инструмента Wireshark 4.6.3 доступны для Windows, macOS и Linux 🔗

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#patch_notes

🐳 Практичная Docker-шпаргалка

Команды, которые реально нужны при разборе инфраструктуры.

Внутри:
— контейнеры и образы
— сети и volume
— быстрый аудит окружения
— отладка и очистка следов

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cheat_sheet #docker

📌 Актуальные CVE и бюллетени безопасности

🔴 Microsoft Patch Tuesday

Основной и самый критичный массив CVE.

• 113 уязвимостей, включая 3 zero-day

• Затронуты: Windows, Office, SharePoint, Azure

• Один zero-day эксплуатируется в реальных атаках

Ключевые CVE:

• CVE-2026-20805 — утечка памяти (DWM), in-the-wild
• CVE-2026-20868 — RCE в RRAS
• CVE-2026-20854 / CVE-2026-20856 — LSASS и WSUS
• SharePoint / Office — RCE через документы

🔴 ServiceNow — критическая уязвимость AI

CVE-2025-12420

• Неаутентифицированная имперсонизация пользователей
• Захват и управление Now Assist AI Agents
• Риск полного компромета корпоративных процессов

Фиксы:
— Исправлено в Utah Patch 5.1.18 / 5.2.19

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#cve_bulletin

🕳 Нет сервера — нет метаданных

Все мессенджеры обещают приватность. Но у всех есть сервер. А значит — логи, связи, время, IP.

🧑‍💻 В статье — личный эксперимент: что будет, если убрать сервер вообще.

Чистый P2P без серверов, аккаунтов и Google Services — никакой точки сбора метаданных. Неудобно, но именно так выглядит реальная приватность, а не обещания.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#resource_drop

🛡 Безопасный менеджер паролей

Bitwarden — open-source решение с упором на проверяемую защиту, прозрачную архитектуру и полный контроль над данными.

Ключевое:

• генерация сложных паролей и автозаполнение
• синхронизация между устройствами
• end-to-end + zero-knowledge шифрование
• облачное или self-host хранение

➡️ Bitwarden подойдёт тем, кто не готов доверять закрытым сервисам и предпочитает безопасность, которую можно проверить и контролировать самостоятельно.

🔗 Ссылка на Github

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#tool_of_the_week

🚨 Критический патч от Cisco

Cisco выпустила обновление для критической RCE-уязвимости в AsyncOS (Secure Email Gateway / SEWM). Уязвимость имеет CVSS 10.0 и, по отчётам, уже использовалась китайскими APT-группами в реальных атаках.

Что важно:

• удалённое выполнение кода
• атакуется почтовая инфраструктура (высокая ценность цели)
• эксплуатация — in-the-wild

🔢 Если у вас используется SEG/SEWM — обновляться немедленно.

📍 Навигация: [Вакансии]

🐸 Библиотека хакера

#patch_notes