Анатомия Prompt Injection: Как я вошел в топ-10 глобального рейтинга Lakera Agent Breaker
Как пробить многоуровневую защиту LLM-агента, обученную на 80+ млн атаках? В декабре 2025 я вошел в топ-10 глобального рейтинга Lakera Agent Breaker. В этой статье - не просто обзор решения, а детальный разбор уязвимостей современных LLM-систем и архитектура кастомного фаззинг-пайплайна. Читать...
HTB Season Gacha | MonitorsFour — Полный путь от IDOR до Docker Desktop escape (WSL2) и root
Продолжая серию разборов в рамках сезонного ивента Season of the Gacha на HackTheBox, хочу поделиться прохождением MonitorsFour. Машина оказалась не самой сложной, но с неочевидным подвохом: Windows-хост с Docker Desktop, что добавило головной боли на этапе повышения привилегий. Признаюсь, меня...
Атаки на AI-агенты: примеры угроз и опыт участия в Agent Breaker CTF
Привет! Мы в Positive Technologies активно исследуем безопасность AI-агентов и подходы offensive AI security. Мир стремительно движется к повсеместному использованию LLM-агентов, автономных агентов и интеграций через MCP/Toolcalls — а значит, растет и пространство атак. Эта статья содержит разбор...
Кибердетектив: по следам злоумышленника. Расследование инцидентов
И в мире ИБ есть свои детективы. Они исследуют, наблюдают, собирают информацию и занимаются профилактикой, как и коллеги из юридической сферы, только их деятельность направлена на безопасность информационную. Как они это делают? Как происходит расследование инцидентов? Что нужно знать, чтобы стать...
HTB Season Gacha | Gavel — Полный путь от SQLi до root
Перед началом разбора хочу отметить, что это один из моих первых writeup'ов в рамках сезонного ивента Season of the Gacha на HackTheBox. Машина Gavel оказалась весьма интересной и познавательной, но также она заставляет немного приложить усилий, терпения и логики. Не скажу, что у меня не было...
Python для этичного хакера: проверяем форму авторизации через Username Enumeration
Автоматизация — лучший друг пентестера. Сегодня практикуемся в написании кастомных эксплойтов на Python для решения задач Web Security Academy. Разберем лабораторию «Username enumeration via different responses»: проанализируем логику ошибок бэкенда, обойдем форму аутентификации без использования...
CTF-соревнования, HR-трек и мастер-классы: как прошёл Студенческий день форума GIS DAYS
2 октября 2025 года состоятся Студенческий день форума по информационной безопасности и ИТ GIS DAYS (Global Information Security Days). Насыщенная программа включала в себя Киберарену, CTF-соревнования, доклады партнёров мероприятия, мастер-классы, концерт. Студенты знакомились с представителями...
С чего начать и как стать практикующим специалистом по информационной безопасности в конце 2025 года
Недавно вышел пост от Алексея Лукацкого [https://t.me/alukatsky/13517] , где затронул тему того как можно в нынешних условиях развиваться в сфере ИБ. Во многом я с ним согласен, но есть некоторые моменты которые я бы хотел подправить или раскрыть чуть сильнее. Важно понимать что разница между нам в...
Разбор атаки на PassOffice: мой пропуск в базу данных
Привет, Хабр! На связи @mirez, в этой статье я подробно разберу, как решал задачу по получению бэкапа базы данных на киберучениях Standoff Standalone. Нашей целью была система управления гостями PassOffice, которую используют в бизнес-центрах. Мы пройдем все этапы: от обнаружения уязвимости в...
Как LLM CTF решал и коннектор писал (а я призы забирал)
Привет! Расскажу, как не-хакеру удалось решить CTF таски и залутать призы на сцене главной хакерской конференции OFFZONE. Меня зовут Пётр Покаместов, я руковожу проектами по пентесту в Singleton Security — общаюсь с клиентами, распределяю загруз коллег, провожу презентации отчётов, а также...
Capture the merch: реши задачу по кибербезу и получи приз от «Солара»
Эксперты Solar 4RAYS составили CTF-задачи по реверсу, вебу, форензике и OSINT для участников конференции OffZone — профессионалов, студентов и любителей кибербезопасности. Есть те, что решаются за полчаса, а есть те, над которыми придется поломать голову. За правильное решение участники получали...
Мультивселенная киберполигонов в РФ: часть 2. Интервью технического директора киберполигона ГК «Солар» Сергея Кулакова
Вступление Привет, Хабр! Продолжаю рассказывать о российской мультивселенной киберполигонов. В первом материале мы рассмотрели полигон компании Innostage. Если пропустили, можете прочитать здесь. Теперь поговорим о киберплощадке для учений от группы компаний (ГК) «Солар». Вопросы в этом материале...
Разбор заданий AI CTF на Positive Hack Days Fest. Часть 2
Всем привет! Публикуем вторую и заключительную часть разбора заданий конкурса AI CTF 2025. Задания этой части повышенной сложности! Приготовьтесь вспоминать, как работают ML-модели и сервисы их использующие. А ещё приоткройте учебник эльфийского ;-) Читать далее...
Flare-On 11: Task 7 (2024) – Анализ и криптовзлом
В этом разборе подробно рассматривается решение седьмого задания, сочетающего реверс-инжиниринг и анализ .NET Native AOT-приложения, создание FLIRT-сигнатур и криптоанализ эллиптической кривой. Порядок генераторной точки оказался составным, что позволило применить метод Полига–Хеллмана и...
Разбор заданий AI CTF на Positive Hack Days Fest. Часть 1
Машинное обучение применяется везде: модели советуют врачам лекарства, помогают банкам ловить мошенников и пишут код вместо программистов. Проблемы с безопасностью в таких системах могут стоить денег, данных и репутации. Поэтому с 2019 года на конференции по безопасности PHDays мы проводим...
Анатомия безопасности XMPP
Решал я таски на Root-Me и попалась таска XMPP - authentication. Основная цель таски состояла в том, чтобы по захвату пакетов вытащить пароль, который использовался при аунтефикации и я начал искать документацию к тому, как работает аунтефикация клиента. Читать далее...
Безопасность ИИ на практике: разбор заданий AI CTF на Positive Hack Days Fest 2
Чем больше систем работают на основе машинного обучения, тем критичнее становится вопрос их безопасности. Умные технологии всё больше окружают нас, и сложно отрицать важность этой темы. С 2019 года на конференции PHDays мы проводим соревнование по спортивному хакингу AI CTF, нацеленное на атаки...
Битфлипаем зашифрованный JSON, не зная структуры: разбор демозадачи с T-CTF 2025
Проводим третий T-CTF для ИТ-специалистов, которые хорошо разбираются в коде. Соревнования пройдут онлайн и офлайн 19—20 апреля, так что пока есть время подготовиться. В статье расскажем, что нового будет в этом году, и разберем одно демозадание. Если вы уже ко всему готовы, переходите на страницу...
Назад