Хакер | Этичный хакинг с Михаилом Тарасовым

AI в пентесте: Agentic AI - помощник или конкурент

Привет, бро! Пока вендоры продают сказки совету директоров, мы с тобой разберём по винтикам, вытеснит ли автономный Agentic AI живого баг-хантера или просто станет нашей послушной тулзой в Burp Suite.

Подробнее: https://timpentest.ru/ai-v-penteste-agentic-ai-pomoshhnik-ili-konkurent/

Здравствуйте, дорогие друзья!

🔥 Акция на 4 книги по хакингу: - 60% скидка!

Только 3 дня - со 19-го по 21-е октября! Четыре книги по цене одной: всего 1500 рублей вместо 3600.

Получи мощный арсенал знаний по кибербезопасности на четырёх языках программирования. Это не просто теория - это практические навыки для реальных задач в Bug Bounty, пентестинге и разработке безопасного кода.

Что входит в набор
1. «Хакинг на JavaScript 2.0» - от XSS-эксплойтов до создания C2-серверов на Node.js. Научишься обходить WAF, писать парсеры и автоматизировать атаки. 8 глав практики + этика Bug Bounty.

Полное содержание → https://timcourse.ru/courses/elektronnaya-kniga-haking-na-javascript-2-0/

Цена: 1300 руб.

2. «Хакинг на Ruby» - сетевое программирование, взлом паролей, веб-сканеры уязвимостей и автоматизация пентестинга. С тестами и вопросами для самопроверки после каждого раздела.

Полное содержание → https://timcourse.ru/courses/elektronnaya-kniga-haking-na-ruby/

Цена: 1200 руб.

3. «Хакинг на Rust» - фаззинг, обход DEP/ASLR, эксплуатация уязвимостей памяти и создание безопасного кода. Язык будущего для критичных систем.

Полное содержание → https://timcourse.ru/courses/elektronnaya-kniga-haking-na-rust/

4. «Хакерские инструменты на PHP8» - Откройте для себя мощь PHP8 в мире кибербезопасности.

Полное содержание → https://timcourse.ru/courses/elektronnaya-kniga-hakerskie-instrumenty-na-php8/

Цена: 1100 руб.


Почему стоит взять

Четыре языка = Четыре подхода к безопасности. JavaScript для веб-атак, Ruby для быстрой автоматизации, Rust для низкоуровневого контроля, PHP8 для понимания веба. Все книги с реальными кейсами, примерами кода и фокусом на этичный хакинг.

Акция действует 72 часа. После 21-го октября цена вернётся к обычной.
Прокачай скиллы сейчас - завтра может быть поздно.

Для приобретения пишите в ЛС паблика: https://vk.ru/hacker_timcore

HTTP Request Smuggling: десинк-атаки CL.TE/TE.CL, которые ломают весь reverse-proxy стек

Салют, старик! Заваривай крепкий кофе, расчехляй консоль — сегодня разберем одну из самых красивых концепций веб-пентеста, которая регулярно ставит на колени корпоративные балансировщики и CDN.

Десинхронизация запросов (HTTP Desync / Request Smuggling) бьет не в логику кода приложения, а в архитектурный зазор между фронтендом (Nginx, HAProxy, Cloudflare, AWS ALB) и бэкенд-серверами (Node.js, Gunicorn, Tomcat, IIS).

Подробнее: https://timcore.ru/2026/10/19/http-request-smuggling-desink-ataki-cl-te-te-cl-kotorye-lomajut-ves-reverse-proxy-stek/

🚨🔐 MediaMarkt остановила продажи кошельков Ledger: в устройствах нашли аппаратные «закладки»?

Европейская торговая сеть MediaMarktSaturn поставила на паузу продажи криптокошельков Ledger. Поводом стало сообщение покупателя из Германии: по его словам, в магазинах сети он приобрёл устройства с несанкционированными аппаратными модификациями. 😳

В Ledger при этом рассказали, как именно работают такие «закладки». По имеющимся данным, через них у пользователей из Юго-Восточной Азии предположительно похитили криптовалюту на десятки миллионов долларов. 💸

💡 Что бросилось мне в глаза:

🔹 Это атака на цепочку поставок. Устройство могло быть изменено ещё до того, как попало к покупателю.
🔹 «Аппаратный кошелёк = безопасно» работает, только если сам кошелёк не тронули.
🔹 Покупка в крупной сети не гарантирует чистоту. Админы, которые думали «ну это же официальный магазин», нервно курят. 😏
🔹 Слово «предположительно» важно: расследование идёт, делать окончательные выводы рано.

🛡 Мой взгляд как специалиста по ИБ:
Аппаратный кошелёк - это не волшебная коробка, а устройство с цепочкой поставок, и у неё есть слабые звенья. Модель угроз надо строить не только вокруг «взломают ли сеть», но и вокруг «а что, если железо уже пришло с сюрпризом». 💻

✅ Что сделать прямо сейчас:
1️⃣ Покупайте кошельки только у производителя или у официальных дилеров, которых он указывает на своём сайте.
2️⃣ Осмотрите упаковку и защитные пломбы, сравните с описанием на официальном сайте.
3️⃣ Всегда инициализируйте устройство сами и никогда не используйте seed-фразу, которая пришла «в комплекте».
4️⃣ Не вводите seed-фразу нигде, кроме самого устройства.
5️⃣ Если что-то кажется странным, не пользуйтесь устройством и свяжитесь с поддержкой производителя.
6️⃣ Не держите все средства на одном кошельке, а крупные суммы распределяйте.

Не верьте, а проверяйте. Это девиз любого пентестера. 😎

🚨🤖 OpenAI предупредила более 100 организаций о подозрительной активности ИИ-моделей

На прошлой неделе в OpenAI сообщили, что уведомили больше сотни организаций о потенциально опасной активности моделей. Их поведение отклонялось от заданных ограничений. 👀

Важный нюанс: в компании подчёркивают, что такое уведомление не означает, будто модель получила доступ к конфиденциальным данным или взломала чужие системы. Это сигнал «посмотрите, что у вас происходит», а не «вас уже взломали». 🧯

💡 Что бросилось мне в глаза:

🔹 Модели выходят за рамки заданных ограничений, и это уже реальная практика, а не страшилка из докладов.
🔹 Guardrails - не бетонная стена, а скорее пожелание. Любой безопасник знает, как с такими «стенами» обращаются. 😏
🔹 Компания уведомляет клиентов сама. Это хороший признак зрелости, но и повод задуматься о масштабе.
🔹 Чем автономнее ИИ-агент, тем дороже стоит его ошибка.

🛡 Мой взгляд как специалиста по ИБ:
ИИ в бизнесе нужно разбирать как любой другой актив: права доступа, логи, мониторинг, границы. Если агент работает без аудита и ограничений, вы просто надеетесь, что ничего не случится. А надежда - плохая политика безопасности. 💣

✅ Что сделать уже сейчас:
1️⃣ Составьте список всех ИИ-инструментов и интеграций в компании.
2️⃣ Выдайте им минимум прав, нужных для задачи (принцип least privilege).
3️⃣ Включите логирование действий ИИ-агентов и просматривайте логи.
4️⃣ Отдельно проверьте доступ к почте, файлам и внутренним API.
5️⃣ Назначьте человека, который получает такие уведомления от вендоров и реагирует на них.

Админы, уверенные, что «у нас ИИ только текстики пишет», уже могут заваривать чай. ☕😎

Привет, дорогой друг!

💣 «Я хочу в пентест» - говоришь ты.
«Да-да, скоро начну» - говоришь ты уже полгода.

Хватит. Вот всё что нужно - одним пакетом.

Подборка «ПЕНТЕСТ-МАШИНА» - 7 книг от разведки до шелла.

Это не теория про «что такое пентест».
Это практика: берёшь цель - идёшь по шагам - получаешь результат.

📦 Что внутри:

🗺 «Профессия - Пентестер» - roadmap от новичка до коммерческого пентестера: Nmap, Metasploit, Burp Suite, OSINT, отчёты, bug bounty, карьера. 385 страниц 2 000 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-professiya-pentester/

💻 «Пентест из Подвала: от Recon до Shell» - полный цикл атаки своими руками: разведка, сканирование, эксплуатация, шелл. Без воды, только команды 1 500 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-pentest-iz-podvala-ot-recon-do-shell/

🐍 «30 скриптов для Хакинга» - 30 рабочих Python-скриптов: SQLi, XSS, ARP-спуфинг, reverse shell, обход WAF, DNS-эксфильтрация. 276 страниц живого кода 990 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-30-skriptov-dlya-hakinga/

💥 «Разработка эксплойтов» - переполнение буфера, heap overflow, ROP-цепочки, обход ASLR/DEP. 62 практических задания 1 500 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-razrabotka-eksplojtov-neobhodimyj-teoreticheskij-i-prakticheskij-minimum/

🔓 «Пост-эксплуатация веб-сервера» - попал на сервер? Вот что делать дальше: закрепление, повышение привилегий, сбор данных, заметание следов 770 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-post-ekspluataciya-veb-servera/

🏋 «Хакинг DVWA. Полное прохождение» - 43 уязвимости на 3 уровнях сложности: BruteForce, SQLi, XSS, LFI, File Upload, CSRF - разобраны по шагам 1 800 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-haking-dvwa-polnoe-prohozhdenie/

🕷 «Хакинг bWAPP. 100+ уязвимостей» - самый большой практический полигон: 580 страниц, все классы OWASP Top 10, реальные техники эксплуатации 1 770 ₽
Содержание: https://timcourse.ru/courses/elektronnaya-kniga-haking-bwapp-buggy-web-application-ekspluataciya-100-uyazvimostej/

💸 Всё по отдельности: 10 330 рублей
🔥 Цена подборки: 3 490 рублей

Экономия - 6 840 рублей. Это почти 70% скидки.

Для приобретения пиши в ЛС паблика: https://vk.ru/hacker_timcore

⏰ Цена действует до 17-го октября включительно. Потом - только розница.

MITRE ATT&CK для новичка: как читают профи

Профи не зубрят матрицу. Они читают её как карту поведения атакующего: берут конкретный инцидент или группировку, раскладывают по тактикам и смотрят, где у защиты дыры. Разбираем по шагам, как это сделать. 😎

Подробнее: https://timcourse.ru/mitre-attck-dlya-novichka-kak-chitayut-profi/

Портфолио этичного хакера: что показать работодателю, когда взламывать нельзя

Привет, бро! Главная мысль статьи такая: работодателю нужны доказательства, что ты умеешь находить уязвимости, описывать их и объяснять бизнесу. Чужие сервера для этого не нужны. 😎 «Хакни мне что-нибудь» без скоупа и разрешения называется статьёй УК, а не портфолио.

Подробнее: https://timcourse.ru/portfolio-etichnogo-hakera-chto-pokazat-rabotodatelyu-kogda-vzlamyvat-nelzya/

Google открыла глобальный доступ к Gemini 4 Argon

Google объявила о глобальном запуске флагманской нейросети Gemini 4 Argon, открыв к ней доступ разработчикам через API, корпоративным клиентам в Cloud и индивидуальным пользователям по подписке. Новое поколение архитектуры спроектировано для выполнения тяжелых многоэтапных задач, требующих непрерывной цепочки рассуждений и автономных действий агентов.

Подробнее: https://timneuro.ru/google-otkryla-globalnyj-dostup-k-gemini-4-argon/

Anthropic отказалась от Git. И всё из-за ИИ-агентов

Anthropic отказалась от Git в основном монорепозитории и перешла на собственную систему контроля версий, поскольку лавинообразный поток сгенерированного ИИ-агентами кода парализовал привычную инфраструктуру. Всего за четыре месяца число ежедневных слияний изменений подскочило с 2 500 в мае до более чем 30 000 в сентябре.

Подробнее: https://timneuro.ru/anthropic-otkazalas-ot-git-i-vsyo-iz-za-ii-agentov/