📌 Команда дня: массовый ping sweep

Иногда нужно быстро понять, какие устройства живые в локалке. Для этого подойдёт простая однострочная команда:

for i in {1..254}; do ping -c1 192.168.1.$i | grep "64 bytes"; done

➡️ for i in {1..254} — перебираем все IP в подсети 192.168.1.0/24

➡️ ping -c1 — отправляем по одному пакету на каждый адрес

➡️ grep "64 bytes" — фильтруем успешные ответы

В результате получаем список активных хостов в сети 👋

⚡ Лайфхаки:

— Можно заменить 192.168.1 на свою подсеть

— Чтобы ускорить процесс, используй fping или nmap -sn 192.168.1.0/24

🐸 Библиотека хакера

#буст

🐸 Библиотека хакера

#развлекалово

📂 Шпаргалка по структуре Linux

Файловая система Linux — это чёткая иерархия: от корня / до папок с бинарниками, конфигами и временными файлами.

Краткий гайд по каталогам — в комментариях ⤵️

🐸 Библиотека хакера

#буст

📌 Web-хакерство под капотом

В посте топ-5 материалов, которые реально помогут прокачать понимание на собесах:

1️⃣ PortSwigger Academy — HTTP Request Smuggling

➡️ Теория + интерактивные лабки от авторов Burp Suite.

2️⃣ HTTP Request Smuggling Explained

➡️ Видео от создателя техники, разбор с примерами.

3️⃣ JWT Vulnerabilities: Ultimate Guide

➡️ Практика по JWT: none-alg, alg confusion, weak secrets и не только.

4️⃣ JWT vulnerabilities, common attacks and best practices

➡️ Обзор типичных ошибок + best practices по защите.

5️⃣ How to: CORS Part 3: By-Pass CORS

➡️ Как реально эксплуатируются дыры в CORS.

🐸 Библиотека хакера

#свежак

🕳 SSRF через SVG-upload

Приложение принимает только аватарки в формате .svg. Фильтр проверяет расширение и MIME, но не валидирует содержимое. Аватарки доступны по /uploads/<user>.svg.

❓ Как можно использовать это, чтобы:

— Сделать SSRF-запрос к https://localhost:8080/admin
— Достать данные с AWS Metadata API

👉 Варианты ответов на картинке, голосуйте реакцией ✅

🐸 Библиотека хакера

#междусобойчик

🤪 Топ-вакансий для хакеров за неделю

Системный аналитик — офис (Москва)

Инженер по ИБ — удаленно/гибрид (Иннополис, Москва, Новосибирск)

Руководитель отдела ИБ — до 250 000 ₽, офис (Москва)

Инженер по безопасности рантайма — от 430 000 ₽, офис (Москва)

Web Pentester / Red Team Web Specialist — от 300 000 до 450 000 ₽, удаленно (Москва)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

🗺 Шпаргалка по netcat: от shell до стриминга

Netcat — швейцарский нож для сетевика и пентестера.

С его помощью можно:

— Пробрасывать shell (remote и reverse)

— Качать и заливать файлы

— Делать свой «чат» или даже стримить видео

— Использовать для сканирования портов и передачи данных

Ниже прикрепили полную шпаргалку с опциями и примерами, чтобы всегда была под рукой 📌

🐸 Библиотека хакера

#буст

🐸 Библиотека хакера

#буст 📎

🚨 Массовый взлом NPM

8 сентября в npm нашли вредоносные обновления в 18 популярных пакетов — суммарно это более 2 млрд загрузок в неделю.

😰 Как работала атака:

— Внедрение в функции fetch, XMLHttpRequest и API кошельков;

— Перехват транзакций в Ethereum, Solana и других сетях;

— Подмена адресов получателей на кошельки атакующих;

— Маскировка через похожие строки, чтобы подмена выглядела «незаметной».

📨 Причина — фишинговое письмо, замаскированное под поддержку npm. Через него взломали аккаунт мейнтейнера.

🔗 Читать подробнее — по ссылке

🐸 Библиотека хакера

#свежак