🤪 Топ-вакансий для хакеров за неделю

Системный аналитик — офис (Москва)

Инженер по ИБ — удаленно/гибрид (Иннополис, Москва, Новосибирск)

Руководитель отдела ИБ — до 250 000 ₽, офис (Москва)

Инженер по безопасности рантайма — от 430 000 ₽, офис (Москва)

Web Pentester / Red Team Web Specialist — от 300 000 до 450 000 ₽, удаленно (Москва)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

🗺 Шпаргалка по netcat: от shell до стриминга

Netcat — швейцарский нож для сетевика и пентестера.

С его помощью можно:

— Пробрасывать shell (remote и reverse)

— Качать и заливать файлы

— Делать свой «чат» или даже стримить видео

— Использовать для сканирования портов и передачи данных

Ниже прикрепили полную шпаргалку с опциями и примерами, чтобы всегда была под рукой 📌

🐸 Библиотека хакера

#буст

🐸 Библиотека хакера

#буст 📎

🚨 Массовый взлом NPM

8 сентября в npm нашли вредоносные обновления в 18 популярных пакетов — суммарно это более 2 млрд загрузок в неделю.

😰 Как работала атака:

— Внедрение в функции fetch, XMLHttpRequest и API кошельков;

— Перехват транзакций в Ethereum, Solana и других сетях;

— Подмена адресов получателей на кошельки атакующих;

— Маскировка через похожие строки, чтобы подмена выглядела «незаметной».

📨 Причина — фишинговое письмо, замаскированное под поддержку npm. Через него взломали аккаунт мейнтейнера.

🔗 Читать подробнее — по ссылке

🐸 Библиотека хакера

#свежак

✋ Как находить скрытые параметры в JS-файлах

При тестировании часто нужно найти скрытые эндпоинты или параметры, которые не видны в интерфейсе. Один из рабочих способов — анализ JavaScript-файлов.

1️⃣ Собираем JS-файлы

Сначала выгрузим все JS с сайта. Самый простой вариант:

curl -s https://example.com | \
grep -oP '(?<=src=")[^"]+\.js' | sort -u

Но лучше расширить поиск через исторические данные:

echo example.com | waybackurls | grep "\.js" | sort -u > js-files.txt

2️⃣ Запускаем LinkFinder

Классический LinkFinder работает, но лучше использовать актуальный форк: 0xSobky/LinkFinder. Он стабильнее и поддерживает Python 3.

Пример запуска:

python3 linkfinder.py -i https://example.com/app.js -o cli

3️⃣ Автоматизируем для всех файлов

for url in $(cat js-files.txt); do
  python3 linkfinder.py -i $url -o cli
done | sort -u

4️⃣ Что ищем

Инструмент покажет строки вроде:

/api/v1/user?id=
/admin/upload?file=

Такие находки можно прогнать через Burp или ffuf, чтобы проверить уязвимости.

📌 Часто именно в старых JS скрыты забытые эндпоинты или dev-параметры.

📌 Альтернативы: subjs, waymore, JSParser.

🐸 Библиотека хакера

#буст

🤟🤟

Kubernetes для аудиторов:

— 90% магия
— 10% знакомые слова

🐸 Библиотека хакера

#свежак