Black-box пентест: как одна панель управления раскрыла 30 поддоменов и Zabbix в открытом доступе
Недавно мне поступила задача: провести внешний black-box пентест клиентской панели управления. Входных данных — минимум: только URL. Ни IP-диапазонов, ни схемы сети, ни описания архитектуры. Звучит как типичная история, но в процессе я наткнулся на такие грабли, что решил поделиться методологией....
Как исчезнуть из интернета, чтобы вас не смогли найти
Когда говорят про анонимность в интернете, тема быстро уезжает куда-то не туда. Одни сразу вспоминают криминал, другие начинают спорить про VPN, Tor и «мне нечего скрывать». В итоге нормальный бытовой вопрос теряется. Собрать информацию об обычном человеке можно за считанные минуты, а о более...
Как мы пытались «ломануть» сайт «Миротворец»*, а нашли целую армию охотников за данными. Полный технический разбор
Дисклеймер: Вся информация, представленная в статье, получена из открытых источников исключительно в исследовательских целях. Мы не нарушали закон и не пытались получить несанкционированный доступ к каким-либо системам. Сайт «Миротворец»* признан экстремистским и запрещён на территории Российской...
Мне прислали фишинг под MAX. Я разобрал ссылку и нашёл уязвимость в их API
«Мне прислали фишинг под MAX. Внутри оказался MITM в их API» «Не ты ли на фото?» — пришло поздно вечером, в обычной переписке, от знакомого, который пишет редко. К сообщению приложена короткая ссылка. Я понял, что у него увели аккаунт, и захотел разобраться, что внутри. Через пять дней я смотрел на...
Как «серый» бизнес Femida Search строит зомби-ферму внутри Хабра для обхода Песочницы
Хабр исторически гордится своей системой саморегуляции: Песочница, карма, инвайты. Считается, что эта «иммунная система» отторгает некачественный контент и токсичных авторов. Однако, наблюдая за активностью вокруг компании Femida Search, я обнаружил аномалию, которая ставит под удар эффективность...
«За что платят на стримингах? Виртуальные деньги и реальные риски»
Представь себе, читатель, ты заходишь на стриминговую площадку TikTok Live, BIGO Live, Twitch или любую другую. Открываешь эфир. Перед камерой красивая девушка. Она улыбается, говорит какие‑то шаблонные фразы вроде «спасибо» и «мне очень приятно». В этот момент два или три зрителя начинают...
Как работает схема «1 ₽ за пробный период»
Привет, Хабр! А теперь представьте, что с вашей карты пытаются списать деньги 💸, даже если сайт уже не существует… В этой статье хочу рассказать как я оформил “пробный доступ” за 1 ₽ - а спустя время начались попытки списать по 999 ₽. Рассказываю, как это устроено и что показала проверка открытых...
ИИ Агенты как новая киберугроза: бизнесы теряют деньги и данные, не понимая почему
С распространением ИИ-ассистентов и чат-ботов появляется новая категория угроз, о которой пока мало кто говорит, но бизнес уже несёт реальные убытки. Не хватало нам DDOS атак и клик фрода, как активно начали применять: Читать далее...
OSINT. Теперь о чем шум?
Нас в компании IDX, которая занимается легальным удостоверением персональных данных, естественным образом интересует все, что связано с ПД, даже если оно выходит за рамки нашей операционной деятельности. При этом, мы естественно держим в голове одну мысль — не пора ли нам тоже этим заняться, чтобы...
Можно ли стать Blue Team тимлидом за пять лет, или Работа в SOC: мифы и реальность
Нет повести печальнее на свете, чем повесть о слухах про работу в мониторинге ИБ-инцидентов. Публичные спикеры и авторы книг часто поддерживают разные заблуждения о SOC: что он скучный, лишен по-настоящему интересных задач и не предполагает карьерного роста. Однако я уверен, что это не так! Меня...
Набор цифровых личностей — для работы, дома и друзей
Парольный менеджер с генератором случайных паролей — стандартный инструмент современного пользователя. Но для максимальной рандомизации аккаунтов желательно генерировать не только пароли, но и юзернеймы. Например, в рабочем чате и на постороннем любительском форуме лучше использовать профили с...
Создаем кибер-разведку в компании на основе OSINT
Привет ХАБР. Тема, которой посвящена эта статья с одной стороны важна, ведь в кибер-пространстве «неспокойно». Каждый день приходят новости, что ту или иную компанию взломали хакеры, получили дампы или зашифровали данные. Защищаться от кибер-угроз, выстраивая целую инфраструктуру из всевозможных...
Датировка звукозаписи по гулу в энергосети
Сравнение колебания частоты тока в целевом сигнале (target) и референсной базе данных (ref) относительно несущей частоты 50 Гц с помощью программы enf-matching, источник В современную эпоху очень важно иметь инструменты, которые позволяют точно верифицировать аудио/видеозапись, выявить следы...
OSINT самолетов, пароходов и поездов
Предлагаем вашему вниманию набор инструментов от мировых профессионалов в области OSINT, которые помогут в ваших поисках информации, связанных с транспортом. Если вы решили заняться автостопом, авиастопом или хотите поймать попутный грузовой корабль, то эти сервисы для вас. Если вам срочно...
Инструменты OSINT для геолокации: моря, горы, улицы
Появляется всё больше и больше инструментов для выяснения точного местоположения, откуда был сделан фото- или видео-снимок. Любая деталь — дорожный знак, вывеска, линии электропередач, рельеф гор на заднем плане и даже длина тени от столба может быть подсказкой для исследователей. Предлагаем вашему...
OSINT по спутниковым изображениям
Мы живем в такое время, когда снимок со спутника можно получить в один клик. В оптическом, в инфракрасном и в радиодиапазоне. А еще историю изменений в определенной координате за несколько лет. Зеленый Кот нашел разбившуюся советскую исследовательскую станцию «Марс-3» по снимкам со спутника, тысячи...
Radar Interference Tracker — инструмент OSINT для обнаружения действующих радаров
Полосы сильных радиопомех в Катаре на спутниковых снимках. Radar Interference Tracker (RIT) — это open source инструмент, созданный Олли Баллинджером, который позволяет любому человеку искать и потенциально обнаруживать активные военные радарные системы в любой точке Земли. (Github) Пара спутников...
Тестирование альтернативных гипотез – эффективная методика структурированного анализа информации
Когда мы пытаемся разобраться с какой-либо ситуацией и найти ответ на один из извечных вопросов «Кто виноват?», наш мозг любит выбирать первый понравившийся ответ и все факты уже рассматривать через его призму. Для того, чтобы ленивое серое вещество обмануть и заставить выйти из энергосберегающего...
Назад