Информационная безопасность *

Приветствую и приглашаю всех на увлекательное путешествие в мир сложнейшей лабы от Hack The Box этого сезона - Eloquia!

Меня зовут Ян, я пентестер с многолетним опытом. Вот мой профайл на HTB. Сегодня я решил поделиться прохождение лабы Insane (высшей) сложности Eloquia. Мне всегда хотелось написать такое прохождение, но обычно меня останавливало уже наличие множества гайдов сети. А в этом случае, после решения, я не нашел ни одного полного решения и вобще никаких вариантов на Хабре. Поэтому, я делюсь с вами своими наработками.

Но это не только гайд для продвинутых, для самых новеньких я буду делиться трюками, как эффективно проходить лабы в HTB. Кроме самого решения буду рассказывать про полезные утилиты, о том чем отличаются лабы на HTB от реального пентеста и как становиться лучше.

Поэтому запасайтесь орешками и любимыми напитками, и приступим к делу!

В сети интернет можно увидеть множество советов по тому как составлять пароль, но у каждого есть свои плюсы и минусы, какой-то легко взламывается, какой-то сложно запомнить

В этой статье мы разберем все популярные формулы составления пароля, сопоставим их плюсы и минусы и выберем самый лучший.

Хабр, привет!

Наша киберёлочка горит, шарики с киберитогами на ней висят, а мы завершаем серию статей историей про уязвимости в железе и программном обеспечении. Ранее мы рассказали про технологические тренды, ланшдшафт киберугроз, расследования и киберразведку, а также прожитый в кибершторме год.

Чем заняться в праздники, как не интересными экспериментами. На днях у меня случилась спонтанная покупка аренда зарубежного сервера. Пока еще могу себе позволить потратить несколько сотен рублей на такое. :-)

За прошедший год с разных сторон я многократно слышал "ты же айтишник, чего не развернешь себе свой сервер с ...PN? для себя, для семьи, ну и с друзьями поделился бы".

Но, как говорится, сапожник без сапог. До последнего я старался избегать зависимости от виртуальных сетей. Перестал пользоваться ...граммом. Видео прекрасно смотрел с помощью питоновского скрипта, взятого из одной замечательной хабрастатьи. Некоторые ссылки открывал в ...OR. А больше ничего особо и не было нужно.

Но маразм крепчал. Причем со всех сторон. Дело даже вообще не в спорном политическом контенте. К примеру, из РФ уже нельзя почитать форумы FreeCAD и LightBurn, которые частенько нужны для моей хоббийной движухи...

Короче, хватит это терпеть. В статье расскажу, как решаю вопросы конфигурирования такого личного сервера. Но не в контексте конкретных конфигураций, а о том, как я использую нейросети для этой дичи. Начну с простых вопросов к Qwen, продолжу уже более комплексно в Cursor AI.

Бегло погуглив, не нашел подобных экспериментов в сети. Возможно чтение этой статьи натолкнет вас на новые мысли по еще более нетрадиционному использованию инструментов ИИ-разработки.

802.1x и двери по картам — это должно быть надёжно. Пентестер зашёл в банк ночью, «обманул» ИК-датчик баллончиком, стал принтером в сети и нашёл заполненные чеки. Это не теория. Это отчёт по реальному тесту на проникновение.

Современные подходы к безопасности ИИ часто сводятся к внешним запретам и попыткам заставить системы выглядеть «этичными». Однако системный анализ и опыт биологической эволюции указывают на то, что подобные методы прямого ограничения могут оказаться неэффективными при масштабировании систем до уровня искусственного интеллекта общего назначения (AGI).

В данной статье анализируется переход от биологических основ принятия решений к математическим моделям кооперации искусственного интеллекта. Мы рассмотрим, почему для стабильности ИИ-систем необходим контролируемый хаос, как парадокс бессмертия ведет к когнитивной ригидности и почему истинная безопасность ИИ лежит в плоскости проектирования среды, а не в попытках тотального контроля над кодом.

Вступление

После успешной сдачи OSCP и CRTP, я начал поиск вакансий в сфере пентестинга и заметил, что большинство работодателей ищут веб- и моб-пентестеров. Хваленый и суперпопулярный OSCP очень слабо покрывает направление веб-пентеста, а CRTP - это все про AD.

После неудачного поиска работы я решил дальше учиться, чтобы подтянуть свои навыки в вебе и в будущем заняться баг-хантингом. Несмотря на мой список сертификатов (OSCP, CRTP, PNPT, PJPT, CompTIA A+, Network+, Security+), меня так никуда и не позвали на собеседования :) Без подходящего опыта работы и знакомств пробиться оказалось очень сложно, поэтому я решил делать упор на специализацию в вебе и получить опыт в баг-хантинге.

Я люблю получать сертификаты, так как это подтверждение моих знаний. Иначе после прохождения обучения очень сложно доказать работодателю при просмотре резюме, что я что-то действительно знаю.

После небольшого исследования мой выбор пал на два сертификата: Certified Web Exploitation Specialist (HTB CWES) от HTB и Burp Suite Certified Practitioner (BSCP) от PortSwigger.

Ранее, во время подготовки к OSCP, я проходил различные обучающие модули от HTB (AD, SQLi и прочее). Мне тогда контент очень сильно зашел, поэтому я решил взяться именно за этот сертификат.

Для получения этого сертификата нужно выполнить три условия:

Так уж случилось, что из разработки железа и встроенного ПО я постепенно ушел в безопасность. А в дальнейшем и в пентест. Мой первый заказ по чтению залоченной прошивки.

«Нет никакой защиты, есть только количество времени и знаний, необходимых для достижения цели.»

Всем салют! Продолжаем рассказывать про киберитоги и киберпрогнозировать. Поговорим про технологические тренды, меняющие правила игры в сфере ИБ.

Использование технологий AI и ML в средствах защиты является ключевым трендом 2025 года. Цель — повысить качество ключевых функций продуктов (детектирования угроз, выявления наиболее слабых мест инфраструктуры), снизить количество рутинных операций, сократить время реакции на инциденты. Помимо этого, большие языковые модели (LLM), например, могут собирать дополнительный контекст, позволяющий сократить время анализа инцидентов ИБ.

Расширения браузера давно перестали быть просто вспомогательными инструментами. Благодаря широким правам и постоянному фоновому выполнению они стали удобной средой для скрытой реализации сложной логики, в том числе вредоносной. Под видом полезных утилит такие расширения могут получать удалённое управление, динамически изменять своё поведение и выполнять код, не представленный при установке. Ниже приведён разбор одного из подобных случаев.

Разбираем архитектуру, не пугаем. LLM — полезный инструмент при адекватном использовании. Но если марафоните сутками — это сигнал.

Кризисная линия: 8-800-2000-122 (анонимно, 24/7).

Проник в банк не через вайфай и не через фишинг — а просто пристроился к аудиторам с улицы. Никто не спросил имени. Никто не проверил. А через час уже сидел у них в сети с рабочим пропуском. Как это случилось — и почему «следовать инструкции» не спасло — в новой статье.

С инженерной точки зрения поиск работы — это процесс с низкой энтропией. Есть входящий поток данных (JSON с вакансиями) и есть необходимость отправить ответный сигнал (POST-запрос с откликом). Задача кажется тривиальной для автоматизации: написал парсер, настроил cron, пошел пить кофе.

Однако, если вы попробуете автоматизировать отклики на крупных job-board платформах (особенно на hh.ru) в 2026 году, вы столкнетесь с серьезным противодействием. WAF (Web Application Firewall), анализ TLS-отпечатков, поведенческая биометрия и теневые баны — это реальность, которая убивает скрипты на requests за пару часов.

В этой статье разберем архитектуру решения, которое позволяет автоматизировать процесс отклика, используя подходы RPA (Robotic Process Automation), мимикрию под поведение пользователя (Human Mimicry) и LLM для обхода смысловых фильтров.

(Дисклеймер: Статья носит исследовательский характер. Мы не призываем нарушать правила площадок, а разбираем технические методы эмуляции браузера).

Tor — это не только браузер. Его можно использовать как транспортный уровень анонимности для всей домашней сети, проксируя HTTP и SOCKS5-трафик через Tor.

Это альтернатива использованию VPN для доступа к заблокированным зарубежным ресурсам.

Tor в связке с Privoxy это позволяет:

В быстро меняющихся условиях ведения бизнеса проектировщики решений и бизнес девелоперы часто оказываются перед лицом новых явлений, которые трудно осознать. Приходится прилагать значительные усилия, чтобы удерживать целостную картину мира. Поначалу для этого нового целого нет даже названия, и когда в голову приходит какой-то образ, хочется его здесь опробовать для представления результатов нашего анализа.

В корпоративном блоге невозможно, да и не нужно выдерживать полностью объективную и беспристрастную точку зрения на любой сколько-нибудь сложный предмет. Для того эти блоги и придуманы, чтобы продвигать определенный нарратив или повестку, интересные для компании, в который ты работаешь или с которой сотрудничаешь. За год с небольшим существования этого блога фокус компании IDX был неоднократно представлен − удостоверение (верификация) персональных данных (ПД), как часть целой системы мер защиты ПД, предотвращение похищения ПД, противодействия злонамеренному использованию ПД, в том числе похищенных (в дальнейшем будем использовать общепринятую кальку «фрод» английского термина fraud). Довольно быстро мы поняли, что наша миссия – это не просто аутсорсинг бизнес-сервисов. Верификация ПД – это часть гораздо более широкой картины в отрасли информационной безопасности (ИБ).

При этом мы прекрасно отдаем себе отчет в том, что в условиях быстро меняющегося технологического и регуляторного ландшафта задача удостоверения ПД не может оставаться неизменной. Поэтому мы внимательно следим за текущими событиями, чтобы все время удерживать актуальную картину мира и проактивно адаптироваться к ней.

Теневой рынок киберпреступности не страдает от корпоративной бюрократии и не пытается продать клиенту «ощущение безопасности». Он построен на принципах экстремальной эффективности, где каждый участник от разработчика эксплойта до оператора ботнета мотивирован только конечной прибылью. В то время как легальная индустрия ИБ усложняет защиту.

Вендор приходит с решением. SIEM-система, которая сама разберётся в хаосе. Покупают. Система требует полгода на настройку правил корреляции. Нанимают консультантов. Консультанты уходят через три месяца, оставив конфигурацию, которую никто не понимает. Система продолжает работать. Генерирует отчёты. Отчёты никто не читает, потому что они написаны на языке, понятном только тем консультантам.
Индустрия продаёт не защиту. Она продаёт ощущение, что вы что-то делаете. Разница огромная.

Праздники в ИТ часто выглядят одинаково — независимо от десятилетия. Меньше людей в офисах, меньше изменений в инфраструктуре, меньше внимания к мелочам. И сегодня мы воспринимаем это как очевидную истину: длинные выходные — время повышенного риска.

Но в конце 1980-х эта мысль ещё не была частью профессионального мышления (по крайней мере, в практике академических и корпоративных сетей). Компьютерные сети того времени казались чем-то устойчивым, почти «институциональным». Они были дорогими и медленными. Пользователи часто знали друг друга лично, а саму сеть воспринимали как продолжение научного сообщества — но не как потенциально враждебную среду.

В такой атмосфере доверие не считалось уязвимостью. И именно в этой среде появились одни из первых широко заметных сетевых инцидентов, которые заставили операторов думать категориями «инцидент / реагирование / процедуры». Оба случились в праздничный сезон. Оба были замаскированы под безобидные шутки. И оба показали, что даже самые доброжелательные системы могут навредить сами себе.

Статья подготовлена по мотивам материала IEEE Security & Privacy, публикации Брайана Хэмэна и отчёта команды безопасности SPAN (NASA).

Home Assistant позиционирует себя как локальную систему. Но я столкнулся с ситуацией, когда локальная функция (Samba) не работает из-за облачного сбоя. При этом я вообще не использую облако. В статье описываю как обошёл эту проблему за 5 минут, когда за день разобрался в причине.

Мне очень нравится Home Assistant как система управления умным домом, потому что она позволяет не зависеть от облаков и от падений интернета. Это не просто слова - с 2017 года я использую умный дом в обычной двухкомнатной хрущевке, и в основном всё работает. Но это скорее тестовый полигон для меня - я сам там не живу и поэтому очень ценю то что Home Assistant можно настроить один раз и если не обновлять, то несколько лет всё может спокойно проработать. А на этих новогодних каникулах у меня было время и я решил полностью обновить все дополнения и прошивки. Как оказалось зря - паранойя безопасности ломает определение Home Assistant как автономного сервиса, который можно использовать локально.

Любое действие рождает противодействие. Любая защита, порождает способы обхода этой защиты. Способы обхода, порождают новые способы защиты, что приводит нас на новый виток этого бесконечного цикла.

В первой части я коротко рассказал, о новой ловушке, на которую попался. В этой хочу поделиться неожиданным и эффективным способом борьбы с такими жуликами.

В телеграмме есть способ раскрыть IP собеседника в 1 клик, не скидывая ему никаких файлов, картинок и даже не заставляю его переходить по сомнительным ссылкам.

Телеграм даже не предупреждает о том, что вас скамят. Но как?