За кулисами сайтов: как найти то, что не предназначено для чужих глаз 👀

Любой сайт — это лишь видимая часть айсберга. Гораздо интереснее то, что скрыто в его недрах: забытые админ-панели, резервные копии БД, черновики финансовых отчётов

Dirsearch — мощный OSINT-инструмент, который автоматически сканирует сайты, перебирая тысячи путей. Он находит то, что не видно в интерфейсе и не проиндексировано поисковиками.

В статье разбираем:
✴️Как работает Dirsearch и как читать его находки (коды 200, 403, 301 — это не просто цифры)
✴️Полная инструкция: от установки до настройки кастомных словарей и работы с прокси
✴️Легальные сценарии для бизнес-аналитики, конкурентной разведки и оценки безопасности

Освойте все инструменты разведки на нашем курсе, стартуем 20 октября

✔️По всем вопросам пишите @CodebyManagerBot

💬 В даркнете выставили «ключи от России»: утечка 3 ТБ данных из SMS-сервисов

👺 Хакеры заявили, что взломали два крупнейших SMS-провайдера России и выложили 3 терабайта данных — в базе якобы находятся имена, номера телефонов, IP-адреса, банковские уведомления, коды активации и даже сообщения от госструктур. Если утечка реальна, это может стать одной из крупнейших компрометаций данных в истории РФ.

🕷️ Последствия потенциально катастрофичны: злоумышленники смогут перехватывать SMS-коды, восстанавливать доступ к аккаунтам, взламывать криптокошельки и рассылать фишинг от имени банков и сервисов прямо с официальных номеров.

Пока ни один из сервисов официально не подтвердил утечку, но риски слишком высоки, чтобы ждать.

❗️Что делать прямо сейчас:
🔴 Откажитесь от SMS-аутентификации — используйте приложения вроде Google Authenticator, Authy, Bitwarden или менеджеры паролей с 2FA.
🔴 Проверьте, где привязан ваш номер (почта, банк, соцсети, биржи) и добавьте альтернативы — e-mail или резервные коды.
🔴 Смените пароли на уникальные и сложные, храните их в менеджере паролей.
🔴 Отключите восстановление по номеру, если есть возможность.
🔴 Не переходите по ссылкам из SMS — даже если сообщение выглядит «официально».

Даже если слухи окажутся преувеличенными — повысить цифровую гигиену никогда не поздно.
Информационная безопасность начинается с осознанных привычек.

🚩 Новые задания на платформе HackerLab!

🌍 Категория Веб — Эхо прошлого
——————————————

🗂 В архив добавлены задания с прошлых соревнований + райтапы:

🟠OSINT - All star
🟠Веб - Состояние 0x7F

Приятного хакинга!

🔍MS-RPC Fuzzer - инструмент для автоматизации поиска уязвимостей в интерфейсах и процедурах MS-RPC (Microsoft Remote Procedure Call), позволяющий получить представление о том, какие реализации MS-RPC могут быть уязвимыми с помощью удобной визуализации данных.

MS-RPC — это протокол, используемый в операционных системах Windows для обеспечения взаимодействия между процессами как локально, так и через сеть. Он позволяет клиентам вызывать процедуры в удаленных системах так, как если бы они были локальными функциями.

❓Причины создания инструмента
⏺️Изучение интерфейсов RPC вручную занимает очень много времени.
⏺️Визуализация при изучении MS-RPC может быть запутанной, что может привести к упущению потенциальных проблем с безопасностью.
⏺️Существует несколько отличных инструментов для исследования уязвимостей MS-RPC: RpcView, RpcMon и Rpcinvestigator. Эти инструменты позволяют получить представление о работе служб RPC в режиме реального времени. Однако ни один из этих инструментов не позволяет проводить дальнейшие исследования, например подключаться к конечной точке и вызывать RPC-вызовы.

⬇️Использование
Для начала работы с инструментом необходимо импортировать модуль MS-RPC-Fuzzer.

Import-Module .\MS-RPC-Fuzzer.psm1

Работа инструмента состоит из трёх основных этапов.

1️⃣На первом этапе для указанной цели проводится инвентаризация интерфейсов, конечных точек и процедур RPC и результаты экспортируются в файл JSON.

Get-RpcServerData -target "C:\Windows\System32\efssvc.dll" -OutPath .\output

2️⃣На втором этапе экспортированный файл JSON можно использовать для фаззинга.

'.\output\rpcServerData.json' | Invoke-RpcFuzzer -outpath .\output\ -minStrLen 100 -maxStrLen 1000 -minIntSize 9999 -maxIntSize 99999

3️⃣Третий этап — анализ. Экспортируются файлы JSON, содержащие результаты фаззинга. Пользователь может использовать эти файлы JSON по своему усмотрению. Однако для импорта файлов JSON в базу данных Neo4j необходимо использовать специальную оболочку.

'.\output\Allowed.json' | Import-DatatoNeo4j -Neo4jHost 192.168.178.89:7474 -Neo4jUsername neo4j

❗️Инструмент следует запускать только в изолированной и контролируемой среде.

Хотите работать там, где от решений зависят миллионы?

Мошенничество — это сложные схемы, продуманные алгоритмы, десятки подставных транзакций и тысячи строк логов.
Антифрод-аналитики ловят мошенников до того, как те доберутся до денег.

Кто такой антифрод-аналитик?
Это специалист, который анализирует финансовые операции, выявляет подозрительные паттерны и выстраивает защиту бизнеса от потерь.

Где нужны такие специалисты?
🟧в банках и финтех-компаниях
🟧на e-commerce-платформах
🟧в страховых и онлайн-сервисах.

Средняя зарплата по рынку — от 130 000 ₽, и спрос растёт ежегодно.
Рынку не хватает специалистов, умеющих работать с реальными данными и антифрод-системами.

Ждем вас на первом потоке курса «Антифрод-аналитик»!
➡️ ПОДРОБНЕЕ

Онлайн-программа, созданная экспертами из индустрии.
За 4 месяца вы пройдёте путь от нуля до Junior-специалиста.

Что освоим на практике:
🟧 Аntifraud-анализ и работу с транзакционными данными
🟧 Поиск аномалий и моделирование рисков
🟧 Python, SQL, Tableau и Excel
🟧 Анализ логов и событий безопасности
🟧 Построение антифрод-систем с нуля

Первый поток — выгода до 18%! А также живые вебинары с авторами, реальные кейсы банков и e-commerce.

Старт курса — 24 ноября.

⚡️ Первый поток со скидкой до 18 %: ЗАПИСАТЬСЯ
⚡️ @CodebyManagerBot

Обнаружен новый метод «Pixnapping» для Android, позволяющий злоумышленникам получать доступ к конфиденциальной информации (OTP, личные сообщения) без запроса разрешений, фактически «подглядывая» за экраном.

📌Что такое Pixnapping?
Злоумышленник, используя специальную технику анализа времени рендеринга, может полностью восстановить содержимое экрана жертвы, пиксель за пикселем. На практике это означает, что при помощи Pixnapping можно «сделать скриншот» даже того, что системой считается недоступным без разрешения, — и всё это за счёт анализа сторонних характеристик отображения.

➡️ Суть атаки
Основная идея атаки — запуск вредоносного приложения, которое не требует никаких разрешений и при этом может инициировать запуск активностей целевых приложений (Google Authenticator, Gmail, Signal или Venmo).

Всё это происходит в фоновом режиме, и злоумышленник скрытно, «за кулисами», выводит полупрозрачные наложения (overlay) поверх чувствительных элементов.

Эти overlay используют возможности Android для взаимодействия с Graphical Processing Unit (GPU) и позволяют измерять время отображения каждого пикселя.
🔹Злоумышленник, вставляя полупрозрачные слои, измеряет задержку отображения пикселей, возникающую из-за особенностей рендеринга и сжатия GPU. Анализ задержек позволяет определить цвет пикселя в момент его отображения.
🔹Затем, используя специальное ПО, атакующий собирает информацию о каждом пикселе и восстанавливает исходные данные.

🤩 Исследовательская команда провела тесты на реальных устройствах: Google Pixel (версии 6–9), Samsung Galaxy S (S21, S23 и более новые), и других моделях под управлением Android 13-16. Они подтвердили, что атака работает на всех перечисленных устройствах и не требует разрешений от пользователя.

Технически на вывод: скорость дефектных данных — в среднем 0,6–2,1 пикселей за секунду. Для полного извлечения содержимого, например, входящих сообщений или паролей, требуется примерно10–25 часов непрерывной работы. Несмотря на длительность, это вполне реализуемо для целенаправленных атак.

🔔 Google уже выпустил обновление, которое ограничивает возможность таких атак путём ограничения количества активных действий, вызываемых вредоносным приложением, и уменьшения возможностей вставки overlay.

Тем не менее, исследователи нашли обходные пути, которые позволяют продолжать реализовывать Pixelnap — эти обходы сейчас находятся в стадии разработки и тестирования.

Ожидается, что полноценный патч будет включён в декабрьский бюллетень безопасности Android.

🤖Promptfoo - инструмент с открытым исходным кодом для оценки и тестирования приложений LLM.

Функционал
🔺Автоматическая оценка промптов и моделей
🔺 Сканирование уязвимостей
🔺Сравнение моделей
🔺 Интеграция с CI/CD

Работа в двух режимах:
1️⃣Оценка - осуществляет проверку качества и точности промптов, моделей и приложений, создавая матричные представления, которые позволяют быстро оценивать результаты по многим запросам.

➡️Инициализация собственной конфигурации promptfoo init

➡️Для настройки оценки необходимо настроить промпты: в файле promptfooconfig.yaml добавить подсказки, которые необходимо протестировать. Двойные фигурные скобки используется для обозначения переменных: {{variable_name}}.

prompts:
- 'Convert this English to {{language}}: {{input}}'
- 'Translate to {{language}}: {{input}}'

➡️Далее необходимо добавить providers, чтобы указать модели ИИ, которые необходимо протестировать. Promptfoo поддерживает более 50 провайдеров, включая OpenAI, Anthropic, Google и многих других:


➡️Добавьте несколько примеров тестовых входных данных для ваших запросов.


➡️Запуск оценки promptfoo eval и просмотр результатов promptfoo view.

2️⃣Red teaming - проверка на наличие уязвимостей в системах искусственного интеллекта до их внедрения с помощью моделирования вредоносных входных данных.
➡️Инициализация npm install -g promptfoo и запуск promptfoo redteam setup. Команда setup откроет веб-интерфейс с вопросами для настройки конфигурации.

➡️Для начала необходимо предоставить подробную информацию о целевом приложении. Как минимум, обязательно заполнить поле Purpose описанием приложения.

➡️ Затем необходимо выбрать цель сканирования и плагины (состязательные генераторы, создающие вредоносные входные данные, которые отправляются в целевое приложение).

➡️Далее выбирается стратегия - методы, которые позволяют использовать сгенерированные входные данные для конкретной атаки. После этого необходимо сохранить получившиеся параметры в файл promptfooconfig.yaml.

➡️Финальным шагом будет запуск сканирования promptfoo redteam run и просмотр результатов promptfoo redteam report.

🎧 Как понять, что вас слушают — и защититься от этого
Может показаться паранойей, но прослушка — давно не шпионская фантастика. Диктофоны размером с пуговицу, Bluetooth-маячки и смартфоны, которые "сдают" владельца — всё это доступно каждому.

Мы подготовили PDF-гайд, в котором объясняем:
🟧 какие устройства чаще всего используются для прослушки,
🟧 как их обнаружить (да, даже “жучки” под столом),
🟧 как защитить себя — без дорогостоящего оборудования.

🌟 СКАЧАТЬ ГАЙД
(сохраняйте, пригодится)

➡️ Хотите разобраться глубже?
Ждем вас на курсе «OSINT: технология боевой разведки».
Учимся находить нужную информацию в открытых источниках: от утечек и соцсетей до геолокации и метаданных. Всё — с практикой и фокусом на RU-сегмент.

🟢 Запись открыта до 30 октября
🟢 от 68 990 руб
🟢 Промокод на скидку в методичке!

По всем вопросам: ⚡️ @CodebyManagerBot

🟧APIDetector

Мощный и эффективный инструмент, предназначенный для тестирования открытых Swagger-эндпоинтов на разных поддоменах. Обладает интеллектуальными механизмами для обнаружения ложноположительных результатов. Особенно полезен для специалистов по безопасности и разработчиков, занимающихся тестированием API и поиском уязвимостей.

Основные характеристики
🟧поддерживает как одиночные домены, так и списки поддоменов.
🟧проверяет эндпоинты по HTTP и HTTPS.
🟧многопоточное сканирование для получения более быстрых результатов.
🟧продвинутая система выявления ложноположительных результатов.
🟧возможность конфигурации количества потоков, user-agent и других опций.

🟧Установка

git clone https://github.com/brinhosa/apidetector.git
cd apidetector
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt
playwright install

🟧Примеры использования
APIDetector предлагает два способа взаимодействия с инструментом: через веб-интерфейс и традиционный интерфейс командной строки.

🟧Веб -интерфейс

python app.py [options]
#or
python app.py -p 8080
#or
python app.py --host 0.0.0.0

Доступные параметры: -p - номер порта, --host - адрес хоста

В веб-интерфейс можно попасть через браузер по указанному URL. Далее необходимо ввести целевой домен, настроить параметры сканирования и начать сканирование.

Обнаруженные эндпоинты API отображаются в режиме реального времени с отслеживанием прогресса. Уязвимые эндпоинты проверяются автоматически.

🟧Интерфейс командной строки
Сканирование списка поддоменов с помощью 30 потоков и пользовательского агента Chrome с сохранением результатов в файл

python apidetector.py -i list_of_company_subdomains.txt -o results_file.txt -t 30 -ua "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.212 Safari/537.36"

Cканирование по протоколам HTTP и HTTPS

python apidetector.py -m -d example.com

🟧Опции
-d, --domain — Один домен для тестирования.
-i, --input — Файл ввода со списком поддоменов для проверки.
-o, --output — Файл вывода для записи валидных URL.
-t, --threads — Количество потоков для сканирования (по умолчанию 10).
-m, --mixed-mode — Тестировать оба протокола: HTTP и HTTPS.
-q, --quiet — Отключить подробный вывод (по умолчанию режим подробного вывода).
-ua, --user-agent — Пользовательская строка User-Agent для HTTP-запросов.

🟧Как обнаружить атаку на AD, когда не видно ничего подозрительного?

Изучите техники и методики атак на инфраструктуру Active Directory!

Наша практическая лаборатория содержит более 30 виртуальных машин, которые вам предстоит сломать. Бросаем вызов с 24 ноября 😎

🟧 Регистрация

Содержание курса:
🟧 AD-сети с миксом Windows/Linux
🟧 Харденинг в AD, добыча критичной информации, развитие по инфраструктуре
🟧 Захват и укрепление позиций внутри инфраструктуры
🟧 Применение и анализ популярных эксплоитов

Авторы курса: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff

🟧🟧🟧 Дарим доступ к 20+ заданиям на взлом AD на hackerlab.pro при записи на курс!

🚀 @CodebyManagerBot

Beelzebub — Honeypot с ИИ-симуляцией

Beelzebub — продвинутый honeypot-фреймворк, разработанный для обеспечения безопасной среды для обнаружения и анализа кибер-атак.. Проект делает ставку на «low-code» конфигурацию (YAML), мультипротокольную поддержку (SSH, HTTP, TCP, MCP) и интеграцию LLM/ИИ для убедительной симуляции.

⚡️ Основные возможности Beelzebub
➡️ Low-code конфигурация — сервисы и сценарии описываются YAML-файлами, что ускоряет развёртывание и модификацию поведения honeypot’а.
➡️ LLM-интеграция — использование больших языковых моделей для имитации «человеческого» или сервисного поведения, создавая впечатление высокоинтерактивного окружения, при этом сохраняя безопасность.
➡️ Поддержка множества протоколов — SSH, HTTP, TCP и специализированный MCP (с защитой от prompt injection).
➡️ Набор для мониторинга и аналитики — экспорт метрик в Prometheus, готовая интеграция с ELK/Elastic и визуализация событий.
➡️ Контейнеризация и Kubernetes — готовность к запуску через Docker Compose, сборку через Go и развёртывание в k8s с Helm-чартом.

⬇️ Установка и запуск

👩‍💻 Через Docker Compose :

git clone https://github.com/mariocandela/beelzebub.git
cd beelzebub
docker-compose build
docker-compose up -d

👩‍💻 Запуск на Go:

go mod download
go build
./beelzebub --confCore ./configurations/beelzebub.yaml --confServices ./configurations/services/

👩‍💻 Kubernetes (Helm):

helm install beelzebub ./beelzebub-chart
# обновление
helm upgrade beelzebub ./beelzebub-chart

В репозитории есть примеры конфигураций для разных сценариев honeypot’ов — создавайте свои файлы в /configurations/services/.