💥 SQL Injection Master теперь на HackerLab!

SQL-инъекции - классика, которая до сих пор входит в топ самых опасных уязвимостей. Всего пара лишних кавычек может дать полный доступ к базе данных и привести к утечке информации.

Разобраться в теме непросто: гайды поверхностные и сводятся к ' OR 1=1, в реальных тасках легко «утонуть», если нет системной базы. А полноценные курсы по SQLi есть далеко не у каждого + хорошие раньше стоили слишком дорого.

⚠️ Теперь всё иначе - тот самый курс от Академии Кодебай, SQL Injection Master, включён в новую подписку PRO для самостоятельного изучения.

Курс, который раньше стоил 45 000 ₽, теперь доступен всего за 4 990 ₽ в месяц - с доступом сразу ко всем урокам.

✅ Курс последовательно ведёт от простого к сложному:
- от базовых приёмов SQLi до обхода WAF
- практика на реальных уязвимостях
- автоматизация атак
- главное - умение находить и закрывать дыры в рабочих проектах.

Вместе с курсом в новой подписке PRO: WriteUps, архивные задания и изолированная инфраструктура. В ближайших обновлениях появятся премиум-таски и PRO-лаборатории!

➡️ Начинай прокачиваться уже сейчас: hackerlab.pro

🛡 Grype — Утилита для сканирования уязвимостей в контейнерах и пакетах

Grype — это мощный инструмент от Anchore, предназначенный для поиска известных уязвимостей (CVE) в контейнерных образах, директориях, пакетах и файлах SBOM (Software Bill of Materials). Grype поддерживает большое количество форматов и интеграций: Docker, OCI-образы, файлы .tar, .sbom, .spdx, .cyclonedx и многое другое.

⬇️Установка утилиты
Через curl (Linux/macOS):

curl -sSfL https://get.anchore.io/grype | sudo sh -s -- -b /usr/local/bin

Через Homebrew (macOS):

brew tap anchore/grype
brew install grype

1️⃣ Сканирование образа
Простой анализ уязвимостей в Docker-образе:

grype ubuntu:20.04

Grype сам загрузит образ (если он локально не найден), проанализирует установленные пакеты и выведет список известных уязвимостей с указанием:
⏺️ CVE-идентификатора
⏺️ Уровня серьезности (Low, Medium, High, Critical)
⏺️ Пакета и его версии
⏺️ Доступного фикс-патча (если есть)

2️⃣ Сканирование директорий и файлов
Можно сканировать локальные директории или .tar-архивы:

grype dir:/path/to/project
grype oci-archive:path/to/image.tar

3️⃣ Работа с SBOM
Grype может сканировать SBOM файлы (в формате Syft, CycloneDX, SPDX):

grype sbom:my-app.spdx.json

Или сгенерировать SBOM отдельно через Syft и передать его Grype:

syft ubuntu:20.04 -o spdx-json > sbom.json
grype sbom:sbom.json

4️⃣ Вывод в различных форматах
Grype поддерживает вывод в разных форматах:

grype ubuntu:20.04 -o json         # JSON
grype ubuntu:20.04 -o table        # Таблица
grype ubuntu:20.04 -o cyclonedx    # CycloneDX SBOM + CVE

Хакеры из GreedyBear заразили браузеры 150 программами для кражи криптовалют

📌Хакерская группировка GreedyBear использовала сотни фальшивых расширений браузеров, вредоносных программ и поддельных сайтов для кражи криптовалют как минимум на $1 млн. Они вывели хищение монет на новый, промышленный уровень, заявили эксперты Koi Security.

📕 Как это работало?
Участники группировки разместили более 150 расширений для браузера Firefox, маскирующихся под популярные криптокошельки — MetaMask, TronLink, Exodus, Rabby. Сначала расширения выглядели безвредными, проходили проверку и получали искусственно созданные положительные отзывы. После программы превращались в инструменты кражи — вводимые пользователями данные криптокошельков захватывались и отправлялись на сервер злоумышленников, сообщили специалисты по безопасности. В качестве третьего метода атак преступники использовали сеть поддельных сайтов, имитирующие сервисы цифровых кошельков, устройства для холодного хранения или услуг по ремонту аппаратных кошельков (Trezor). Визуально сайты выглядели как безопасные лендинг-страницы, но служили лишь для сбора данных пользователей, пояснили в Koi Security.

🚩 Kuban CTF: соревнования начались!

Всем участникам желаем удачи и ярких эмоций ❤️

➡️ Подключайся: https://kubanctf2025.ru/
———————————————
Следить за ходом соревнований без регистрации можно по ссылке: https://kubanctf2025.ru/scoreboard

❗️Обратите внимание: скоринг динамический
- первые решившие получают максимум (1000 баллов).
- чем больше успешных решений, тем меньше награда
- после 50 решений ценность фиксируется на минимуме — 900 баллов

👮 Интерпол арестовал +1200 киберпреступников в 18 африканских странах в результате глобальной операции "Серенгети 2.0"

🚩 На прошлой неделе Интерпол объявил о задержании 1209 киберпреступников из африканских стран, которые нанесли ущерб 88 000 людям.
"В результате операции было возвращено 97,4 млн. долларов США и ликвидировано 11 432 вредоносных инфраструктур, что подчеркнуло глобальный масштаб киберпреступности и острую необходимость в трансграничном сотрудничестве", - заявил Интерпол.

👮‍♂️ Операция «Серенгети 2.0» (июнь-август 2025 года) объединила следователей из 18 африканских стран и Великобритании для борьбы с киберпреступлениями, наносящими значительный ущерб и оказывающими серьёзное воздействие, включая программы-вымогатели, онлайн-мошенничество и взлом корпоративной электронной почты. Также отмечается, что российская организация "Лаборатория Касперского" принимала участие в данной операции, поставляя индикаторы компрометации.

📍Findomain

Одно из быстрых и полных решений для распознавания доменов, поддерживающее как прямой поиск по домену, так и использование API-сервисов. Findomain предлагает мониторинг поддоменов, включающий фаззинг, сканирование портов, обнаружение уязвимостей и многое другое.

Для работы используется Certificate Transparency и проверенные API для поиска поддоменов. Использует общедоступные API для выполнения поиска (Certspotter, Crt.sh Database, Virustotal, Sublist3r, Facebook, Bufferover, Threatcrowd, AnubisDB, Urlscan.io, SecurityTrails, Threatminer, C99, CTSearch). Для работы некоторых API необходимо создать токен доступа.

Для установки клонируем из репозитория, собираем инструмент и копируем его в директорию /usr/bin/ для удобного запуска.

git clone https://github.com/findomain/findomain.git
cd findomain
cargo build --release
sudo cp target/release/findomain /usr/bin/

ℹ️Характеристики
⏺️Мониторинг поддоменов: отправка данных в Discord, Slack или Telegram.
⏺️Многопоточная поддержка запросов к API позволяет сократить максимальное время, которое Findomain тратит на поиск поддоменов для любой цели, до 15 секунд (в случае превышения времени ожидания API).
⏺️Параллельная поддержка разрешения поддоменов при хороших сетевых условиях позволяет разрешать около 3500 субдоменов в минуту.
⏺️Поддержка DNS через TLS, специальных запросов IPv4 или IPv6 и возвращение IP-адресов в ответах.
⏺️Запись в один уникальный выходной файл, указанный пользователем всех или только разрешенных поддоменов.
⏺️Возможность прямого запроса к базе данных Findomain.
⏺️Возможность импортировать и обрабатывать данные, полученные с помощью других инструментов.
⏺️Обнаружение подстановочных знаков в поддоменах для получения точных результатов.
⏺️Поддержка обнаружения поддоменов методом перебора.
⏺️Поддержка файлов конфигурации в форматах TOML, JSON, HJSON, INI или YAML.

⬇️Примеры использования
Сохранение всех результатов в автоматически созданный файл.

findomain -t example.com -o

Вывод поддоменов, в которых содержится подстрока "login".

findomain -t example.com --filter login

Резолв поддоменов из файла и вывод только тех, что резолвятся с IP.

findomain -x -f subdomains.txt -r -i

Скриншот активных HTTP(S) поддоменов.

findomain -t example.com -s ./screenshots/