Прохождение машины Stacked на Hack The Box
Всем привет! Сегодня предлагаю вместе со мной решить интересную машину на платформе Hack The Box. На пути мы столкнемся с необычной XSS, уязвимостью в названии функций, приводящей к удаленному выполнению кода и совершим самый настоящий побег из docker контейнера. Интересно? Тогда приуступим! Читать...
HTB Season 10 | Kobold WriteUp— MCP-инструменты как новый attack surface
Разбор Easy-машины из HTB Season 10. Точка входа - RCE через MCP Inspector (dev-тулза для AI-серверов), дальше LFI в контейнере, credential reuse и Docker privesc. Два пути до root, MITRE маппинг, и разбор почему MCP-экосистема - это новый attack surface. Читать далее...
HackQuest ZeroNights 2025: райтапы
Всем привет! 26 ноября 2025 года мы провели долгожданную конференцию по информационной безопасности ZeroNights. Было классно – пусть и не всегда легко :) За атмосферой предлагаем заглянуть в Галерею, а за ценным опытом спикеров – в Материалы, где вы найдете презентации и видеозаписи докладов. А...
Может ли AI-агент решить всю CTF-площадку?
Всем привет! В первой статье мы собрали себе инструментарий OpenCode + HexStrike AI, который нам полностью автоматически решил одну CTF-задачу. После этого, прошло почти 2 недели и в этой статье я хочу поделиться своими мыслями, найденными проблемами, а также мы продолжим улучшать наш...
Vibe Pentesting: Интегрируем HexStrike AI и OpenCode в Kali Linux
Всем привет! Если вы хоть раз ловили себя на мысли, что устали от рутины однотипных действий при проведении пентеста или, что после N-го часа пентеста потеряли нить атаки — эта статья для вас. Всё чаще и чаще звучат идеи внедрения AI‑агентов в работу пентестеров, но не в виде кнопки «взломать всё»,...
Анатомия Prompt Injection: Как я вошел в топ-10 глобального рейтинга Lakera Agent Breaker
Как пробить многоуровневую защиту LLM-агента, обученную на 80+ млн атаках? В декабре 2025 я вошел в топ-10 глобального рейтинга Lakera Agent Breaker. В этой статье - не просто обзор решения, а детальный разбор уязвимостей современных LLM-систем и архитектура кастомного фаззинг-пайплайна. Читать...
HTB Season Gacha | MonitorsFour — Полный путь от IDOR до Docker Desktop escape (WSL2) и root
Продолжая серию разборов в рамках сезонного ивента Season of the Gacha на HackTheBox, хочу поделиться прохождением MonitorsFour. Машина оказалась не самой сложной, но с неочевидным подвохом: Windows-хост с Docker Desktop, что добавило головной боли на этапе повышения привилегий. Признаюсь, меня...
Атаки на AI-агенты: примеры угроз и опыт участия в Agent Breaker CTF
Привет! Мы в Positive Technologies активно исследуем безопасность AI-агентов и подходы offensive AI security. Мир стремительно движется к повсеместному использованию LLM-агентов, автономных агентов и интеграций через MCP/Toolcalls — а значит, растет и пространство атак. Эта статья содержит разбор...
Кибердетектив: по следам злоумышленника. Расследование инцидентов
И в мире ИБ есть свои детективы. Они исследуют, наблюдают, собирают информацию и занимаются профилактикой, как и коллеги из юридической сферы, только их деятельность направлена на безопасность информационную. Как они это делают? Как происходит расследование инцидентов? Что нужно знать, чтобы стать...
HTB Season Gacha | Gavel — Полный путь от SQLi до root
Перед началом разбора хочу отметить, что это один из моих первых writeup'ов в рамках сезонного ивента Season of the Gacha на HackTheBox. Машина Gavel оказалась весьма интересной и познавательной, но также она заставляет немного приложить усилий, терпения и логики. Не скажу, что у меня не было...
Python для этичного хакера: проверяем форму авторизации через Username Enumeration
Автоматизация — лучший друг пентестера. Сегодня практикуемся в написании кастомных эксплойтов на Python для решения задач Web Security Academy. Разберем лабораторию «Username enumeration via different responses»: проанализируем логику ошибок бэкенда, обойдем форму аутентификации без использования...
CTF-соревнования, HR-трек и мастер-классы: как прошёл Студенческий день форума GIS DAYS
2 октября 2025 года состоятся Студенческий день форума по информационной безопасности и ИТ GIS DAYS (Global Information Security Days). Насыщенная программа включала в себя Киберарену, CTF-соревнования, доклады партнёров мероприятия, мастер-классы, концерт. Студенты знакомились с представителями...
С чего начать и как стать практикующим специалистом по информационной безопасности в конце 2025 года
Недавно вышел пост от Алексея Лукацкого [https://t.me/alukatsky/13517] , где затронул тему того как можно в нынешних условиях развиваться в сфере ИБ. Во многом я с ним согласен, но есть некоторые моменты которые я бы хотел подправить или раскрыть чуть сильнее. Важно понимать что разница между нам в...
Разбор атаки на PassOffice: мой пропуск в базу данных
Привет, Хабр! На связи @mirez, в этой статье я подробно разберу, как решал задачу по получению бэкапа базы данных на киберучениях Standoff Standalone. Нашей целью была система управления гостями PassOffice, которую используют в бизнес-центрах. Мы пройдем все этапы: от обнаружения уязвимости в...
Как LLM CTF решал и коннектор писал (а я призы забирал)
Привет! Расскажу, как не-хакеру удалось решить CTF таски и залутать призы на сцене главной хакерской конференции OFFZONE. Меня зовут Пётр Покаместов, я руковожу проектами по пентесту в Singleton Security — общаюсь с клиентами, распределяю загруз коллег, провожу презентации отчётов, а также...
Capture the merch: реши задачу по кибербезу и получи приз от «Солара»
Эксперты Solar 4RAYS составили CTF-задачи по реверсу, вебу, форензике и OSINT для участников конференции OffZone — профессионалов, студентов и любителей кибербезопасности. Есть те, что решаются за полчаса, а есть те, над которыми придется поломать голову. За правильное решение участники получали...
Мультивселенная киберполигонов в РФ: часть 2. Интервью технического директора киберполигона ГК «Солар» Сергея Кулакова
Вступление Привет, Хабр! Продолжаю рассказывать о российской мультивселенной киберполигонов. В первом материале мы рассмотрели полигон компании Innostage. Если пропустили, можете прочитать здесь. Теперь поговорим о киберплощадке для учений от группы компаний (ГК) «Солар». Вопросы в этом материале...
Разбор заданий AI CTF на Positive Hack Days Fest. Часть 2
Всем привет! Публикуем вторую и заключительную часть разбора заданий конкурса AI CTF 2025. Задания этой части повышенной сложности! Приготовьтесь вспоминать, как работают ML-модели и сервисы их использующие. А ещё приоткройте учебник эльфийского ;-) Читать далее...
Назад