🌸 Разведка источников

GitHub с PoC'ами — стандарт. HackerOne и Bugcrowd — база. Но половину инсайтов вы выцепили не оттуда.

Это мог быть разбор CVE в чьём-то блоге. Техника из старого write-up на CTFtime. Обсуждение в закрытом дискорде. Или канал в тг, где кто-то постит свежие находки раньше всех.

Что в вашем арсенале ❓

— Каналы и блоги, которые читаете первыми
— Источники PoC и exploit research
— Комьюнити, где делятся методологиями
— Исследователи, за которыми следите

Кидайте ссылки. Может, найдём что-то новое для себя 😠

🐸 Библиотека хакера

#resourse_drop

⚡️ Быстрый опрос для пентестеров

Кастомные скрипты для атак — вы:

❤️ — Пишу постоянно (почти каждый проект)
👍 — Пишу иногда (когда тулзы не подходят)
👾 — Писал пару раз (в основном готовые)
🔥 — Никогда не писал (зачем, если есть Metasploit?)

Интересно, сколько реально кодят vs просто запускают готовое.

🤌 Бонусы для подписчиков:
— Скидка 40% на все курсы Академии
— Розыгрыш Apple MacBook
— Бесплатный тест на знание математики

🐸 Библиотека хакера

#tool_vs_tool

🐸 Библиотека хакера

#hack_humor

👀 Шпион, который прятался на виду годами

Flame — это не вирус. Это полноценная платформа для киберразведки, которая превращала компьютер в жучок для прослушки.

📦 Аномальный размер

20 МБ — огромная редкость для вредоносного ПО (обычно 50-200 КБ).

Внутри:
— 20+ модулей с разными функциями
— Виртуальная машина Lua
— База данных SQLite для хранения украденных данных

🎯 Арсенал шпионажа:

• Скриншоты — снимки экрана при работе с мессенджерами и браузерами
• Аудиозапись — включение микрофона для записи разговоров
• Bluetooth-перехват — извлечение данных из телефонов поблизости
• Сетевой сниффинг — перехват паролей в локальной сети
• USB-распространение — заражение флешек для проникновения в изолированные сети

➕ Как его обнаружили:

2008-2010 — предполагаемое начало работы

Май 2012 — обнаружение Kaspersky Lab

Июнь 2012 — операторы отправили команду на самоуничтожение на большинство заражённых машин

🎥 Почему это важно:

✓ Работал незамеченным 2-4 года
✓ Модульная архитектура — мог адаптироваться под каждую цель
✓ Мог удалять все следы по команде
✓ Уровень разработки указывает на государственное финансирование

Flame показал новую эру кибершпионажа: вредоносное ПО как долгосрочная разведоперация. Цифровой жучок, живущий в компьютере годами и собирающий всё — от паролей до разговоров в комнате.

🤌 Бонусы для подписчиков:
— Скидка 40% на все курсы Академии
— Розыгрыш Apple MacBook
— Бесплатный тест на знание математики

🐸 Библиотека хакера

#zero_day_legends

📎 Бесплатная платформа для изучения этичного хакинга от HackerOne

Что внутри:

— Видеолекции о поиске уязвимостей и защите веб-приложений
— Практические руководства разного уровня сложности
— CTF-задачи — упражнения, где нужно взломать систему и найти спрятанный флаг

🔗 Все материалы в открытом доступе: можно учиться на сайте, смотреть ролики на YouTube или скачать с GitHub.

Отличный старт для тех, кто хочет освоить пентест и этичный хакинг! 👀

🤌 Бонусы для подписчиков:
— Скидка 40% на все курсы Академии
— Розыгрыш Apple MacBook
— Бесплатный тест на знание математики

🐸 Библиотека хакера

#resourse_drop

⚠️ GraphQL Security: атаки, которые работают прямо сейчас

GraphQL массово заменяет REST API, но его безопасность — слабое звено. Компании внедряют быстро, защищают медленно.

🔍 Почему GraphQL опаснее REST:

— один endpoint вместо множества → сложнее мониторить
— клиент сам формирует запрос → больше контроля атакующему
— introspection по умолчанию включен → полная карта API бесплатно

➡️ Как атакуют:

1. Introspection Mining
Запрос __schema выдает всю структуру API: типы, поля, аргументы. Даже если endpoint не документирован — получишь full disclosure.

{__schema{types{name,fields{name}}}}

2. Batching Attack
Один HTTP-запрос = 1000 GraphQL-операций. Rate limit обходится тривиально, можно брутить токены/пароли массово.

3. Alias Overloading
Запросить одно и то же поле 10000 раз под разными именами → DoS через CPU exhaustion.

{
  user1: user(id:1){name}
  user2: user(id:1){name}
  ...
  user9999: user(id:1){name}
}

4. Nested Query Bomb
Циклические зависимости в схеме (user→posts→author→posts...) → экспоненциальный рост запросов к БД.

5. Field Suggestions Leak
Опечатка в названии поля? GraphQL сам подскажет правильное — включая приватные поля, которые думали скрыть.

😵 Типичный сценарий атаки:

Пентестеры регулярно находят открытые GraphQL endpoints у SaaS-сервисов. Через introspection обнаруживают internal-запросы типа adminQuery или internalUserData, которые не были в публичной документации. Результат: массовая утечка данных клиентов.

🛡 Что делать defenders:

— 

отключить introspection в production

 (если не нужен публично)
— лимиты на 

query depth

 (макс. 5-7 уровней) и 

complexity

— 

persisted queries

 вместо arbitrary запросов
— мониторинг аномальных паттернов (>100 алиасов, батчинг >10 запросов)
— 

field-level authorization

, а не только endpoint-level

📎 Источники:

→ OWASP GraphQL Cheat Sheet
→ GraphQL Batching Attack
→ Exploiting GraphQL

🐸 Библиотека хакера

#breach_breakdown #graphql