ℹ️
🧩Приветствую!
Этот канал — личный сборник обработанных знаний о мире безопасности в призме восприятия специалиста по анализу защищённости;

   └─$ whoami
   qwqoro


🧩Дополняющаяся навигация: ⬇️
✍️ #наработки
📖 #литература
📍 #мероприятия
⚙️ #инструменты
📌 #заметки
🔔 #события

[#offense]  [#defense]  [#enumeration]  [#web]  [#web3]  [#infrastructure]  [#ad]  [#mobile]   [#reverse]  [#malware]  [#forensics]  [#devsecops]  [#certification]  [#ai]  [#iot]


➡️НЕ используем ИИ для создания постов;
➡️Репостов / рекламы нет;

➡️Групп и ботов нет;
➡️Анонимная* форма обратной связи:
💬 forms.yandex.ru


   // Добро пожаловать в HaHacking!  🐇

🖥 #инструменты #ad #enumeration

Любопытный инструмент — adPEAS, скрипт, подобный проектам PEAS, предназначенный для энумерации AD и включающий в себя приличное число модулей;


Модули-сборщики собирают информацию о:
➕Домене (DS, Trusts, политики, ...)
➕Правах и привилегиях (LAPS, DCSync, ...)
➕Групповой политике (GPO)
➕Службе сертификатов (AD CS)
➕Кредах (Netlogon скрипты, LAPS, ...)
➕Небезопасном делегировании
➕Потенциально интересных пользователях
➕...

➕Встроенный SharpHound 🐇


🧩 61106960/adPEAS [💻]


@HaHacking  🐇

😊  #мероприятия #заметки #offense #web #web3 #infrastructure #ad #mobile #reverse

➡️Вчера в моём любимом городе, Санкт-Петербурге, прошёл долгожданный ZeroNights – посещала доклады, а потому насохраняла полезной информации оттуда:


🟢 [  WEB3 HONEYPOT'ы  ] — Н. Микрюков & В. Азерский:

▪️ ‟An analysis of a couple Ethereum honeypot contracts”
▪️ ‟The phenomenon of smart contract honeypots”
▪️ ‟Tricked by a honeypot contract or beaten by another hacker”

   🧩  thec00n/smart-contract-honeypots
   🧩  crytic/not-so-smart-contracts/.../honeypots*
            (*это уже от меня, упоминала ресурс раньше)

Примеры горшочков из доклада:

➖ Фейковый прокси:
newsletter.blockthreat.io/p/blockthreat-week-28-2025

➖ Ошибка эксплорера:
samczsun.com/paradigm-ctf-2021-swap

➖ Пробелы:
github.com/thec00n/smart-contract-honeypots/.../TestToken.sol

➖ Утёкший seed:
0xb7605ddc0327406a7ac225b9de87865e22ac5927

➖ Баг или фича:
0x8685631276cfcf17a973d92f6dc11645e5158c0c

➖ Кто больше?
0x5aa88d2901c68fda244f1d0584400368d2c8e739#code

➖ Загадка:
0x3caf97b4d97276d75185aaf1dcf3a2a8755afe27

➖ Private Bank:
0x95d34980095380851902ccd9a1fb4c813c2cb639

🟢 [  УЯЗВИМОСТИ BOOTROM  ] — ValdikSS:

Рассмотрели уязвимости в цепочке загрузки SoC Kirin и Balong:

   🧩   github.com/forth32 – утилиты для работы с Balong; а вот тут PR от ValdikSS

▪️ hhj4ck.github.io
▪️ labs.taszk.io/articles
▪️ ‟Test Point Break: Analysis of Huawei’s OTA Fix For BootROM Vulnerabilities”


🟢 [  CODE INJECTION + SSTI  ] — В. Корчагин:

Было интересно послушать про применение идей, которые стали базовыми для тех же SQL инъекций, но редко рассматриваются из-под других углов: например, Error-based и Time-based подходы, но в рамках SSTI – для идентификации шаблонизатора и подбора эффективного способа эксплуатации;

   🧩   vladko312/SSTImap
   🧩   vladko312/extras


🟢 [  ОБФУСКАЦИЯ LDAP  ] — В. Ротанов:

Рассмотрели рабочие и нерабочие способы модификации LDAP запросов:

   🧩   MaLDAPtive/Invoke-Maldaptive
   🧩   macmod/ldapx

   🧩   ‟MaLDAPtive: Diving Deep Into LDAP Obfuscation, Deobfuscation & Detection”  (Black Hat @ USA, 2024)


⬜➖⬜➖⬜➖

Хочу сказать спасибо тем, кто подходил поздороваться или поболтать! Было приятно увидеть знакомые лица❤️

И отдельное спасибо девушкам – вы все солнышки, успехов вам огромных во всём, за что возьмётесь! ❤️

   @HaHacking  🐇

📬 #заметки #инструменты #web #infrastructure #ad #enumeration #offense

➡Объёмное руководство по пентесту Outlook Web Access (OWA) — однозначно пригодится всем, кто проводит работы по безопасности над корпоративной сетью;


   🧩   ‟OWA Pentest Guide” (@pentestnotes)


Здесь – собран большой спектр действительно нужной информации, включая готовые скрипты и инструменты, которая пригодится на всех этапах от разведки и сбора информации до экспулатации уязвимостей OWA / MS Exchange:


✉️ Outlook Web Access:

▪️Password Spraying
▪️Global Address List (GAL) / Offline Address Book (OAB) (swarm.ptsecurity.com/attacking-ms-exchange-web-interfaces)
▪️NSPI (github.com/mhaskar/ExchangeFinder)
▪️ActiveSync (EAS) — github.com/snovvcrash/peas
▪️ZDI-CAN-22101 — SSRF в CreateAttachmentFromURI (trendmicro.com/.../ssrf-exchange-owa)
▪️OWA CAP Bypass
▪️CVE-2020-0688

✉️ MS Exchange:

▪️ProxyLogon
(CVE-2021-26855 – Pre-auth SSRF, CVE-2021-27065 – Post-auth Arbitrary-File-Write)

▪️ProxyOracle
(CVE-2021-31196 – The Padding Oracle, CVE-2021-31195 – XSS и обход HttpOnly)

▪️ProxyShell
(CVE-2021-34473 – Pre-auth Path Confusion leads to ACL Bypass, CVE-2021-34523 – Exchange PowerShell Backend Elevation-of-Privilege, CVE-2021-31207 – Post-auth Arbitrary-File-Write)

▪️ProxyRelay
(фронтенд Exchange, бекенд Exchange, Windows DCOM)

▪️PrivExchange
(NTLM relaying machine accounts, Проведение атаки с повышением привилегий, Relaying to LDAP and signing, Атака без использования учётных данных)

➡По полезным ресурсам и заметкам из руководства, хочется отметить следующие:

 
  🧩   Презентация ‟Социотехническое тестирование: цели, методы, инструменты” (Я. Бабин)

   🧩 busterb/msmailprobe — time-based атаки подбора логинов для Office 365 / MS Exchange;

   🧩 FaLLenSKiLL1/ru_names_wordlists — словари RU юзернеймов в разных форматах (+ дополнительные: тут, в нашем посте);

▪️ ФамилияИмя / ИмяФамилия
▪️ Фамилия.Имя / Имя.Фамилия
▪️ Фамилия-Имя / Имя-Фамилия
▪️ Фамилия_Имя / Имя_Фамилия


   🧩 Шаблоны Nuclei для автоматической идентификации и эксплуатации представленных уязвимостей:

▪ cyberheartmi9/Proxyshell-Scanner
▪ projectdiscovery/nuclei-templates/issues/5602
▪ projectdiscovery/nuclei-templates/.../CVE-2021-26855.yaml
▪ projectdiscovery/nuclei-templates/.../CVE-2021-34473.yaml
▪ projectdiscovery/nuclei-templates/issues/2395

➡️Ещё по теме: вспомнила неплохую технику сокрытия предупреждения о "ВНЕШНЕМ ОТПРАВИТЕЛЕ" для Office365, Outlook и OWA, которое встраивается в письма с других доменов:

   🧩   ‟External Email Warning Bypass”
   🧩 knavesec/570...7b59

Идея сводится к внедрению CSS стилей в HTML письма, чтобы покрасить в белый цвет всё, кроме определённых элементов:

<!DOCTYPE html>
<html>
<head>
   <title></title>
   <style type="text/css">
      body  {
         display: none !important;
         background:#FFFFFF !important;
      }
      .PAYLOAD {
         display: block !important;
      }
      ... {
         display: none !important;
         background:#FFFFFF !important;
      }
   </style>
</head>
<body>
   <p class="PAYLOAD">Hi! I hope this email finds you well! Please have a look at the attached file ASAP</p>
</body>
</html>

   @HaHacking  🐇 [✉]

🫥 #инструменты #заметки #defense #offense #devsecops #infrastructure #ad

➡️Говоря о защите инфраструктуры, непременно вспоминаются следующие работы @castercanal за этот год, все из которых основаны на глубоком анализе сетевого трафика / пакетов / байтовых последовательностей:


❤️   ACTIVE DIRECTORY

   🧩   ‟Seen It All” — атаки на Active Directory➕их обнаружение через Suricata IDS;

▪️ LLMNR / NBT-NS / mDNS Poisoning
▪️ IPv6 Takeover
▪️ AS-REP Roasting
▪️ Impacket / Rubeus


🌟   KERBEROS

   🧩   ‟Parallax” — атаки на протокол Kerberos➕их обнаружение через Suricata IDS;

▪️ Kerberos Enumeration

alert tcp any any -> any 88 (
msg:"[TCP] High Rate of Kerberos AS-REQ, Possible Enumeration";
content:"|a1 03 02 01 05 a2 03 02 01 0a|";
content:"|6b 72 62 74 67 74|";
fast_pattern;
threshold:type limit, track by_src, count 5, seconds 10;
sid:100001;
rev:1;
)


▪️ Kerberos Bruteforce

alert tcp any any -> any 88 (
msg:"[TCP] High Rate of Kerberos AS-REQ with PA-DATA, Possible Bruteforce or Spray Attack";
content:"|a1 03 02 01 05 a2 03 02 01 0a|";
content:"|a1 03 02 01 02|";
content:"|6b 72 62 74 67 74|";
fast_pattern;
threshold:type limit, track by_src, count 5, seconds 10;
sid:100004;
rev:1;
)


▪️ Kerberoasting
#️⃣ Поиск подходящих пользователей:

alert tcp any any -> any 389 (
msg:"Searching Kerberoastable users via LDAP - Possible Kerberoasting";
flow:to_server, stateless;
content:"|a3 18 04 0e 6f 62 6a 65 63 74 43 61 74 65 67 6f 72 79 04 06 70 65 72 73 6f 6e|";
content:"|87 14 73 65 72 76 69 63 65 50 72 69 6e 63 69 70 61 6c 4e 61 6d 65|";
content:"|a2 31 a9 2f 81 16 31 2e 32 2e 38 34 30 2e 31 31 33 35 35 36 2e 31 2e 34 2e 38 30 33 82 12 75 73 65 72 41 63 63 6f 75 6e 74 43 6f 6e 74 72 6f 6c 83 01 32|";
fast_pattern;
sid:100004;
rev:1;
)

#️⃣ Для отлова подозрительных TGS-REQ:

alert tcp any any -> any 88 (
msg:"[TCP] Suspicious Kerberos TGS-REQ — stage 1";
flow:to_server;
content:"|a1 03 02 01 05 a2 03 02 01 0c|";
fast_pattern;
content:"|6b 72 62 74 67 74|";
content:"|a0 07 03 05 00 40 81 00 10|";
content:"|a0 03 02 01 17|";
content:"|30 23 a0 04 02 02 ff 80|";
flowbits:set,kerb.tgsreq.rc4;
noalert;
sid:100006;
rev:1;
)

#️⃣ Для отлова ответа TGS-REQ:

alert tcp any 88 -> any any (
msg:"[TCP] Kerberos TGS-REP after SPN request — Possible Kerberoasting";
flow:to_client;
content:"|a0 03 02 01 05 a1 03 02 01 0d|";
fast_pattern;
content:"|a0 03 02 01 17|";
flowbits:isset,kerb.tgsreq.rc4;
flowbits:unset,kerb.tgsreq.rc4;
sid:100008;
rev:1;
)


▪️ AS-REP Roasting

alert tcp any any -> any 88 (
msg:"Suspicious AS-REQ Packet, Possible AS-REP Roasting";
flow:to_server, stateless;
content:"|a0 07 03 05 00 50 80 00 00 a1|";
content:"|6b 72 62 74 67 74|";
fast_pattern;
content:!"|a1 03 02 01 02|";
sid:100009;
rev:1;
)

❤️ БЕЗОПАСНОСТЬ IPv6

   🧩   caster0x00/Ibex
   🧩   ‟Legless”  — атаки на IPv6:  подробный разбор и удобная эксплуатация через интерактивный тулкит Ibex➕способы обнаружения таких атак;

▪️ Сетевые настройки ядра
▪️ Spoofing роутера и DNS через RA Spoofing
▪️ RDNSS Spoofing
▪️ DHCPv6 Spoofing
▪️ Атаки через mitm6

#web

💬 Если посмотреть из-под другого угла: когда-то поднимался вопрос корректности реализации парсинга IPv6 в разных ЯП + вытекающих уязвимостей — подробнее в статье @slonser_notes:

   🧩  ‟Exploring IPv6 Zone Identifier”

▪️ Обход белого списка поддоменов
▪️ Инъекция с обходом формата URL
▪️ Инъекция произвольных команд
▪️ Инъекция CRLF-конструкций
▪️ Внедрение XSS пейлоада
▪️ Обход чёрного списка IP адресов
▪️ Использование особенностей для SSRF
▪️ . . .

   @HaHacking  🐇 [📼]

📚 #литература

➡️НЕ рейтинг, но обзор! Книг за этот год: от образовательных до развлекательных, но обязательно – по теме ИБ;


📖 «Windows глазами хакера»
📧 М. Жмайло, @RedTeambro❌@xakep_ru
ℹ️ #infrastructure #ad #offense
🔖 Маркетплейсы / "БХВ"

Возможно, прозвучит громко, но всё же — это та книжка, что должна стоять на полке у каждого внутрянщика; Аж ± 460 страниц чистой техники с упором на "нападение": необходимая теоретическая база для понимания атак➕практическая демонстрация атак на компоненты системы.

Из оглавления:

▪️ Атаки на доверенные отношения доменов и лесов AD
▪️ Эксплуатация небезопасных групповых политик
▪️ Пентест Read-only Domain Controller'ов

▪️ Привилегии в Windows
▪️ Извлечение учётных данных➕кража сессий
▪️ Обход UAC

▪️ Методы дампа тикетов➕Ручная инъекция тикетов
▪️ WinAPI для пентестеров➕Обфускация вызовов
▪️ Обращение к нативному коду➕Варианты исполнения стороннего кода

▪️ ...

📖 «Хакерская самооборона»
📧 А. Жуков, @s0i37_channel
ℹ️ #infrastructure #ad #defense
🔖 Маркетплейсы / "БХВ"

[Совсем свежо! Потому лично не ознакомлена, но судя по предыдущим работам автора — в качестве сомневаться не приходится]

Техническая книга о защите инфраструктуры от атак, внутри которой 2 части (Внешний нарушитель + Внутренний нарушитель) & 2 стороны (Хакер / Абстрактная компания): обнаружение и анализ атакующего, противодействие хакерской разведке, выявление атак и противостояние им.

Из оглавления:

▪️ Атаки из Интернета:
что ищет хакер? где он? какие у него ресурсы? как противодействовать?

▪️ Атаки в радиоэфире:
обнаружение + противодействие (деаутентификации, PMKID, брутфорсу, Evil Twin, GTC downgrade, KARMA)

▪️ Атаки в локальной сети:
обнаружение снифферов, сканирования, перехвата трафика, вредоносных серверов, NetBIOS спуфинга, NTLM-relay + размещаем honeypot'ы

▪️ Атаки в AD:
обнаружение атак на пользователей / хосты / групповые политики / группы / ...

📖 «На⭐️уй безопасность»
📧 George K., @ever_secure
ℹ #devsecops #defense
🔖 eversecure.ru / бета-версия

С юмором о наболевшем, но с пользой для проектов: обзор проблем безопасности в рамках жизненного цикла разработки ПО с точки зрения того, кому придётся с этими проблемами разбираться;

Здесь про: организацию процессов, инциденты, харденинг инфраструктуры, код-ревью и написание тестов, буковки QA, SAST, SCA, OSA, ...


📖 «Вирьё моё!»
📧 Гайка Митич & Бойко Двачич
ℹ️ #malware #forensics #defense
🔖 Маркетплейсы / "Читай-город" / "Эксмо"

Реальные истории, громкие инциденты и вредоносные кампании, но красивыми словами, и внезапно со стороны "защиты" – вирусных аналитиков;

Здесь [популярно] про: эволюцию вредоносного ПО, инфицирование компьютерными червями Stuxnet КИИ + Carbanak банков, шпионское ПО DarkHotel, троян Turla / Uroboros, операцию "Триангуляция", ...


📖 «Хакеры[.]RU»
📧 В. Холмогоров, @xakep_ru
ℹ️ #malware #offense
🔖 xakep.shop / author.today

Художественное произведение на случай, если захочется разгрузить голову от взрослых задач и взамен ощутить себя подростком в 00-х: та самая романтика "андерграунда", форумов со всем им причитающимся и, конечно, трудностями юности – куда ж без этого?

Займёт пару вечеров, но сделает тепло на душе!


➡Приятного чтения!  👍

   @HaHacking  🐇 [📖]

📠 #события #infrastructure #ad #offense

➡️Снова критические уязвимости! ⚡️

В этот раз: обход аутентификации➡️сразу к root! С публичным PoC➕использованием в природе;

CVE-2026-24061 — CVSS (v3) ~9.8, Improper Neutralization of Argument Delimiters in a Command / Argument Injection➡️Authentication Bypass в telnetd: появилась тут и была с нами 10+ лет (GNU InetUtils v1.9.3 – v2.7 / 2015 – 2025 гг.);


1️⃣ В v1.9.3 добавили возможность подставить username из переменной окружения USER, чтобы починить автовход для случаев, когда не была доступна аутентификация Kerberos.

Сервер telnetd обращается к /usr/bin/login (обычно работает из-под root)➕передаёт ему значения для входа, в том числе и USER – вместо %U:

...
char *login_invocation =
  PATH_LOGIN " -p -h %h %?T{-t %T} -d %L %?u{-u %u}{%U}"
...

...
    case 'U':
      return getenv ("USER") ? xstrdup (getenv ("USER")) : xstrdup ("");
...

2️⃣ У /usr/bin/login есть флаг -f — пропустить аутентификацию! (например, для автовхода getty)

Ему даже можно передать username / UID пользователя: login [-p] [-s shell] [-h host] [-H] [[-f] username|UID]; // Например, root 🐇


3️⃣ Значение USER не нормализуется; Возможно поместить туда дополнительные флаги для /usr/bin/login➕попросить telnet провести автовход (флаги -a / --login):

USER='-f qwqoro' telnet -a 127.0.0.1‌‎ ‎ ‎ ‎ ‎ 

🔖 seclists.org/oss-sec/2026/q1/89
🔖 safebreach.com/...-cve-2026-24061
💻 github.com/SafeBreach-Labs/CVE-2026-24061
📦 github.com/leonjza/inetutils-telnetd-auth-bypass
🛜 shodan.io/search?query=product:"telnetd"


   @HaHacking  🐇