Хакер | Этичный хакинг с Михаилом Тарасовым

🔥 ALERT: Bypass на 72 часа открыт. Забирай книгу со скидкой! 🔥

Привет, ремесленники! Кто ждал удобного момента запрыгнуть в практический баг-хантинг - окно возможностей распахнулось прямо сейчас.

Обычный ценник книги - 2200 руб. И давайте честно: эта сумма отбивается ровно одним тривиальным IDOR'ом или забытым параметром в приватной программе на $50+. Но раз в сезон можно устроить контролируемый сбой в биллинге.

Ровно на 3 дня - с 26 по 28 октября включительно - отдаю «Исповедь баг-хантера: Взлом без лишней воды» со скидкой: всего за 1690 рублей! 💸

Внутри тебя ждут 242 страницы концентрированной практики:
💀 Анатомия уязвимостей: бизнес-логика, Mass Assignment, BFLA, SSRF в облаках и Type Juggling там, где автоматические сканеры слепнут.
💀 Грязные трюки: гонки (Race Condition), пробивы логики и обходы WAF (ведь WAF - это не стена, а приглашение 😉).
💀 Майндсет и переговоры: как аргументировать CVSS, вытаскивать репорты из Informative/Duplicate и заставлять триажеров одобрять выплаты.
💀 Готовые боевые чеклисты: Recon, Access Control, XSS и выверенный шаблон отчёта.

Скрипт-кидди пусть дальше гоняют дефолтный софт и ловят баны по IP. Мы с тобой читаем архитектуру, строим цепочки и забираем чеки.

⏳ Таймер тикает: ровно в 23:59 28 октября карета превратится в тыкву, а ценник вернётся к стандартным 2200 руб.

Забирай свой экземпляр и прокачивай арсенал:

Для приобретения книги, пишите в ЛС паблика: https://vk.ru/hacker_timcore

Содержание: https://timcourse.ru/courses/elektronnaya-kniga-ispoved-bag-hantera-vzlom-bez-lishnej-vody/

Интернет полыхает миллионами пейлоадов

Если ты думал, что старый добрый PHP мирно доживает свой век, то искусственный интеллект только что перевернул эту песочницу вверх дном. Свежая связка критических RCE-багов PHP2Shell (CVE-2026-109618 и CVE-2026-109619 с CVSS 9.2), вытащенная на свет нейросетью GPT-5.6 Sol, заставила потеть сисадминов по всей планете. Глава Cloudflare Мэттью Принс подтвердил: счет попыток эксплуатации перевалил за миллионы, а сканеры в сети устроили настоящую ковровую бомбардировку. 💣🔥

Точка входа и архитектурный факап
Дыра зарыта прямо в ядре управления памятью интерпретатора PHP, затрагивая ветки от 5.4 вплоть до 8.5. Модель Sol нащупала логику повреждения памяти, которая позволяет удаленному неаутентифицированному атакующему перезаписать критические структуры процесса и перехватить поток выполнения.

Что сразу бросилось в глаза нашей братии:

- Полное отсутствие необходимости в авторизации для триггера уязвимости.
- Масштаб поражения охватывает до 70% веб-серверов в мире.
- Детект в wild начался за дни до релиза официальных заплаток.

Вектор атаки и механика эксплойта
Боевой вектор строится на манипуляции некорректными адресами памяти через специально сформированный HTTP-запрос. Когда веб-сервер кормит сырые байты парсеру PHP, поврежденный буфер открывает дорогу к исполнению шеллкода прямо в контексте демона веб-сервера www-data.

Автоматизированные ботнеты перешли от фаззинга к заливке веб-шеллов за считанные минуты после анонса. Cloudflare успел накинуть временные экраны за часы до паблика, но миллионы эндпоинтов смотрят наружу напрямую без проксирующих прослоек. 🔍💻

Мнение специалиста о новой эре
Как специалист по информационной безопасности, констатирую факт: правила игры в поиске уязвимостей необратимо изменились. 🛡️ Когда языковые модели вроде GPT-5.6 Sol начинают стабильно выкапывать низкоуровневые баги памяти тринадцатилетней выдержки, классический аудит кода человеком становится архаизмом.

Безопасность держится не на вере в вендоров, а на непрерывном контроле поверхности атак. Если инфраструктура вашего бизнеса висит на легаси-версиях без виртуального патчинга и строгой изоляции процессов, захват сервера - это лишь вопрос тайминга следующего запроса атакующего.

Срочный чек-лист для выживания

Забирайте базовый план экстренной защиты инфраструктуры: ⚙️🚨

- Накатить экстренные патчи PHP до сборок 8.2.35+, 8.3.26+, 8.4.15+ или 8.5.1+.
- Активировать сигнатуры PHP2Shell на уровне межсетевых экранов WAF.
- Срезать привилегии пула php-fpm и загнать процессы в изолированные контейнеры.
- Мониторить аномальные бинарные дампы и появление неизвестных скриптов в веб-директориях.

Уязвимость в Signal оставляла микрофон и камеру активными после завершения разговора

Красная кнопка отбоя это фикция

Нажал сброс звонка, выдохнул и спокойно обсуждаешь конфиденциальные дела вслух? 🤫 Свежая уязвимость CVE-2026-113380 в библиотеке RingRTC с критическим рейтингом 9.3 по CVSS превратила даже параноидальный Signal в шпионский жучок. Ты думаешь, что сессия оборвана, а собеседник продолжает слушать твою комнату в прямом эфире.

Анатомия бага в стеке WebRTC
Корень проблемы сидит в логике работы конечного автомата RingRTC. Вместо жесткого разрыва медиапотока на уровне ядра команда завершения звонка ставилась в общий хвост очереди входящих событий. Злоумышленнику достаточно было залить канал спамом сигнальных пакетов, чтобы команда hangup просто застряла. 💣

Интерфейс мессенджера радостно рисовал закрытие экрана звонка, пока микрофон и камера продолжали транслировать данные. WAF - это не стена, а приглашение, но здесь даже ломать шифрование не пришлось: банальная логическая ошибка архитектуры свела на нет протокол Signal.

Мнение специалиста о защите приватности
Как специалист по безопасности, подчеркну главное: безупречное сквозное шифрование теряет смысл, если сбоит логика управления состояниями клиента. 🛡️ Пользователи совершают системную ошибку, когда слепо делегируют свою безопасность одному «приватному» бренду и забывают об эшелонированной обороне.

Вектор атаки доказывает, что приватность софта не гарантирует аппаратную изоляцию сенсоров. Если приложение монопольно рулит микрофоном и камерой без жесткого системного тайм-аута, любая бага в сетевом стеке способна скомпрометировать весь периметр.

Чеклист цифровой гигиены для подписчиков
Патч уже вышел в RingRTC 2.72.0, поэтому внедряем базовые правила гигиены: ⚙️📱

- Срочно обновите клиенты Signal на смартфонах и десктопах до актуальных сборок.

- Всегда обращайте внимание на цветные индикаторы активности микрофона и камеры в ОС.

- Запрещайте мессенджерам фоновый доступ к мультимедиа в настройках системы.

- Принудительно выгружайте процесс из памяти после важных закрытых созвонов.

В прошлом посте мы вскрыли неприятную правду: спрос на обычных кодеров рухнул почти вдвое 📉

Но пока одни пишут петиции и ругают нейросети, другие фиксируют рекордный рост зарплат и бонусов 💼💰

Куда перетекли бюджеты?

Компании больше не хотят платить за «нажатие кнопок». Они платят за то, что защищает их бизнес от катастрофы и простоев. Вот 3 направления, где сейчас дефицит кадров и повышенный спрос:

🛡 1. DevSecOps и безопасность приложений (AppSec)
Код, написанный за 5 минут с помощью ИИ, полон уязвимостей. Бизнес теряет миллионы на утечках данных. Тот, кто умеет встроить сканеры в CI/CD, настроить WAF и найти logic bugs до релиза, стоит дороже трёх рядовых разработчиков.

🤖 2. Безопасность нейросетей и LLM-сервисов
Все бросились внедрять ИИ-ботов и агентов. А кто думает про Prompt Injection, отравление данных и утечки системных промптов? Специалисты по защите ИИ-инфраструктуры - это штучный товар с огромным чеком прямо сейчас.

⚙ 3. Высоконагруженные отказоустойчивые системы
Когда инфраструктуру режут по бюджетам, побеждает оптимизация. Умение выжать максимум из железа, настроить профилирование и снизить стоимость серверов в разы - золотой навык.

Главный вывод 2026 года:
Не будь просто кодером. Будь инженером, который понимает архитектуру и умеет защищать созданное.

Эпоха «войти в IT за две недели» официально схлопнулась 📉💥


Если заглянуть в свежую телеметрию от ЦМАКП и hh.ru, цифры отрезвляют: спрос на рядовых разработчиков рухнул на 47%, а на ручных тестировщиков - на рекордные 55%. На одну junior-позицию теперь выстраивается очередь из десятков кандидатов.


Куда делся вечный дефицит кадров? Разбираем баги в системе найма:


⚡ Перегрев рынка. Годами курсы штамповали специалистов по шаблону, завалив HR-фильтры сотнями тысяч одинаковых резюме с пет-проектами из одного и того же туториала.


🤖 Экспансия нейросетей. Бойлерплейт, типовой CRUD и простые скрипты сегодня за секунды нарезает ИИ. Один опытный специалист в связке с LLM закрывает задачи целого отдела джунов.


📊 Оптимизация бюджетов. Бизнес перестал заливать деньги в сырые гипотезы и требует быстрой окупаемости каждого процесса.


Значит ли это, что индустрия умирает? 🛑


Нет. Умирает монотонная рутина. Пока спрос на простой набор текста падает, направления кибербезопасности, DevSecOps, системной архитектуры и ML растут как на дрожжах. Бизнесу больше не нужны наборщики кода - бизнесу нужны инженеры, умеющие проектировать устойчивые системы и защищать данные от сливов.


Как оставаться востребованным в 2026 году:


🔹 Углубляйтесь в архитектуру и бизнес-логику, а не просто заучивайте популярные фреймворки.
🔹 Осваивайте основы безопасности: код, защищённый от уязвимостей, стоит в разы дороже.
🔹 Превращайте нейросети в личный ускоритель работы, а не бойтесь конкуренции с ними.
🔹 Прокачивайте личный бренд и профильный нетворкинг - слепые отклики больше не работают .

🔥🚨 PHP2Shell: шеллы летели за 4 дня до релиза патчей. Разбор критической аварии веб-сегмента

Только мы с вами обсудили разницу между 0-day и N-day, как подъехала тяжелая артиллерия из мира реальных инцидентов. 🧨

Исследователи Amazon Threat Intelligence сообщили о тревожном факте: их глобальная сеть ханипотов MadPot зафиксировала первые попытки боевой эксплуатации уязвимостей PHP2Shell еще 17 октября 2026 года - за четыре дня до официального снятия эмбарго и выхода спасительных патчей. Сейчас сканеры гудят по всему миру, а эксплуатация приобрела характер ковровой бомбардировки.

Давайте разберём, почему интернет трясет и чем этот кейс показателен для каждого безопасника. 👇

🎯 Что такое PHP2Shell и почему все на ушах?

Под звучным именем скрываются две критические уязвимости в ядре PHP (CVSS 9.2): CVE-2026-109618 и CVE-2026-109619.

Если говорить языком пентестера: это unauthenticated Remote Code Execution (RCE). Злоумышленнику не нужны учетные записи или особые права. Дыра сидит в парсинге запросов multipart/form-data (то, через что браузеры загружают файлы) и срабатывает до того, как управление передается коду вашего сайта.

Под угрозой оказывается буквально любой доступный PHP-эндпоинт наружу: от формы обратной связи и страницы авторизации до банального /healthcheck.php.

🕵️‍♂️ Точка входа и хроника утечки: что настораживает?

1️⃣ Утечка из-под эмбарго:
Когда баг находится на закрытом согласовании у вендоров, а атаки уже идут с анонимизированных IP-сетей - это значит, что у кого-то потёк PoC либо злоумышленники независимо обнаружили ту же брешь.

2️⃣ Мгновенная автоматизация:
Как только 21 октября патч появился в репозиториях, в течение нескольких часов вышли публичные эксплойты, и волна атак накрыла сотни тысяч серверов.

🛡 Мой взгляд как специалиста по кибербезопасности:

Этот инцидент сносит любимый миф админов: «Если об уязвимости объявили в среду, значит, до среды нас никто не трогал».

Amazon прямо рекомендует пересматривать логи и инциденты минимум с 17 октября, а не с момента публикации CVE. Если ваш сервер смотрел в сеть на уязвимой версии PHP - исходите из предположения, что к вам уже постучались.

✅ Что делать прямо сейчас (Red & Blue Team гайд):

1️⃣ Немедленно обновите рантайм PHP:
Патчи вышли в ветках: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. На версиях 7.x спасения нет - только миграция на актуальные поддерживаемые релизы.

2️⃣ Проверьте веб-логи за последнюю неделю:
Ищите аномальные POST-запросы, содержащие маркеры вроде PHP_SESSION_UPLOAD_PROGRESS в теле multipart-форм, а также резкие всплески ошибок переполнения памяти worker-процессов.

3️⃣ Временный костыль (если обновиться сию секунду нельзя):
Настройте правила WAF на блокировку или жесткую фильтрацию нестандартного multipart-трафика и ограничьте размер тела запросов на внешнем прокси/балансировщике.

4️⃣ Ищите следы закрепления:
Проверьте каталоги /tmp, веб-директории и задачи в crontab на появление свежих веб-шеллов и подозрительных коннектов наружу.

Как говорится: тишина после заливки шелла длится ровно до тех пор, пока атакующий не начнет выгружать дампы. 💣 Не надейтесь на удачу - проверяйте логи.

Пишу новую книгу: «AI-Пентестер». Сейчас можно оформить предзказ. Содержание и цена внутри статьи:

https://vk.ru/@mikhail_tarasovcom-pishu-novuu-knigu-ai-pentester-seichas-mozhno-oformit-predzk

WAF больше не спасет: как ломать и защищать нейросети до того, как они взломают твой сервер 🛡⚡

Привет, дорогие друзья! Пока безопасники по старинке сканируют порты утилитой nmap и спорят о настройках фаерволов, в индустрии offensive security произошел фундаментальный тектонический сдвиг.

Сегодня практически каждый корпоративный сервис обвешивают искусственным интеллектом: чат-ботами с доступом к внутренним базам данных, RAG-поиском и автономными агентами, которым бездумно выдают права на выполнение системных команд.

Админы наивно полагают, что их периметр надежно защищен. Но для нас это не стена, а прямое приглашение на закрытую вечеринку.

Я пишу книгу «AI-Пентестер», чтобы дать тебе в руки практический арсенал наступательной безопасности нового поколения. Это не сборник академической теории и не пересказ банальных промптов из интернета. Это полноценный боевой Red Team гайд, основанный на практических уязвимостях стандартов OWASP LLM и актуальных векторах атак.

Что зашито под обложкой:

💥 Взлом нейросетевой инфраструктуры: от скрытых непрямых инъекций (Indirect Prompt Injection) до отравления векторных баз данных в пайплайнах RAG .
🛠 Эксплуатация протокола MCP: перехват управления автономными агентами и удаленное выполнение кода через небезопасный вызов системных инструментов.
🤖 Твой персональный AI-арсенал: учим открытые локальные модели проводить семантический фаззинг API, генерировать полиморфные пейлоады для гарантированного обхода WAF и писать кастомные расширения для Burp Suite.
🎯 20 полноформатных глав и изолированные полигоны: от разбора точки входа до готовых конфигураций Docker Compose для безопасной отработки эксплойтов.

🔥 Спецусловия предзаказа прямо сейчас: 990 ₽
📈 Цена на релизе: 1 690 ₽

Ты забираешь не просто электронную книгу, а готовый инструментарий, который окупится с первого же найденного бага на закрытой программе Bug Bounty.

Содержание книги: https://vk.ru/@mikhail_tarasovcom-pishu-novuu-knigu-ai-pentester-seichas-mozhno-oformit-predzk

Для оформления предзаказа пиши в ЛС паблика: https://vk.ru/hacker_timcore

Успей зафиксировать скидку более сорока процентов до официального релиза. Увидимся в терминале! 😎

Новая книга в процессе написания. Много материалов накопилось за последнее время взаимодействия с AI в пентесте.

Будут две основных части (структура построена по принципу дуального Red Team: сначала мы ломаем саму нейросетевую инфраструктуру жертвы, а затем разворачиваем автономных агентов для классического взлома периметра. Проще говоря: сначала атаки на AI-системы, и затем атаки с помощью AI-систем).

Всего будет 20 глав с практическими заданиями.

⏳💥 0-day попадает в заголовки СМИ, но бизнес хоронят 1-day и N-day. Мой разбор как специалиста по ИБ

В прошлом посте мы говорили о дорогих и редких уязвимостях нулевого дня. Но если смотреть правде в глаза: когда я прихожу на пентест или аудит инфраструктуры, мне практически никогда не нужен 0-day, чтобы забрать домен или выгрузить чувствительную базу данных.

В 9 из 10 случаев периметр падает из-за 1-day и N-day. Давайте разберём, почему это происходит и где системные администраторы системно ошибаются. 👇

🔹 Что такое 1-day?
Это свежая уязвимость, о которой вендор официально сообщил «вчера» или в течение суток, выпустив патч и описание CVE.

🔹 Что такое N-day?
Где «N» - количество дней с момента релиза исправления. Это баг, лекарство от которого лежит в открытом доступе уже месяц, полгода или пару лет, но конкретный сервер до сих пор работает на уязвимой версии.

🔍 Точка входа: почему релиз патча открывает сезон охоты?

Многие админы свято верят: «Вендор выкатил апдейт - значит, угроза миновала». Но с точки зрения атакующего и реверс-инженера всё ровно наоборот: патч - это готовая подсказка.

Как только выходит бинарное обновление, мы берём версию «до» и версию «после» и прогоняем через patch diffing. Сравнение двух сборок мгновенно подсвечивает изменённые функции и проверки входных данных.

Пока служба безопасности компании согласовывает регламенты на обновление, под уязвимость уже собран рабочий PoC-эксплойт, а ботнеты начинают автоматизированное сканирование портов по всему интернету.

🛡 Мой взгляд как специалиста по кибербезопасности:

Главная уязвимость любого бизнеса - это не дыра в кодовой базе, а разрыв во времени (Remediation Gap) между выходом патча и его реальной установкой на продакшн.

Я постоянно вижу одну и ту же картину на проектах:

- Страх сломать прод: обновления месяцами «маринуются» на тестах из-за боязни нарушить работу legacy-сервисов.

- Слепые зоны инфраструктуры: забытые тестовые стенды, филиальные роутеры и брошенные API-ручки, которые светят наружу без единого обновления.

- Иллюзия WAF: админы ставят фильтрацию на периметре и надеются, что она перекроет незакрытый баг. Но WAF без патчинга - это не стена, а всего лишь приглашение немного повозиться с обфускацией payload'а.

✅ Что я рекомендую внедрять прямо сейчас:

1️⃣ Приоритизируйте по факту эксплуатации, а не только по CVSS.
Отслеживайте каталоги CISA KEV и метрики EPSS. Если уязвимость уже активно эксплуатируется «в дикой природе» - патч накатывается немедленно, в аварийном порядке.
2️⃣ Используйте виртуальный патчинг (Virtual Patching).
Если архитектура не позволяет обновить сервис здесь и сейчас, закройте специфический сигнатурный вектор правилами на WAF или IPS до момента полноценного релиза.
3️⃣ Проводите регулярную инвентаризацию активов (ASM).
Нельзя защитить сервер, о котором забыли два года назад. Сканируйте свой внешний периметр тем же инструментарием, каким его сканируют злоумышленники.
4️⃣ Сегментируйте сеть.
Даже если ваш веб-сервер упал под старым N-day эксплойтом, грамотная сегментация и изоляция не позволят злоумышленнику развить атаку внутрь корпоративного контура.

Запомните золотое правило: атакующему достаточно найти одну забытую строчку кода пятилетней давности, а вам нужно защищать всё и постоянно. 💣😎

🕳💣 Что такое уязвимость нулевого дня (0-day)?

0-day - это недостаток в ПО, железе или прошивке, о котором разработчик ещё не знает. Исправления нет, потому что у вендора было «ноль дней» на реакцию.

Тут много путаницы, поэтому разберём три термина. 👇

🔹 Zero-day уязвимость - сама дыра в коде.
🔹 Zero-day эксплойт - техника или код, который эту дыру использует.
🔹 Zero-day атака - момент, когда эксплойт применяют против реальных целей до выхода патча.

⚠️ Нюанс, о котором часто забывают:
Термин используют шире, чем кажется. Разработчик может уже знать о проблеме и готовить обновление, но пока патч недоступен пользователям, уязвимость тоже называют 0-day.

🔍 Почему это опасно:
Классический антивирус на сигнатурах тут почти бесполезен. Эксплойт использует баги в существующем ПО, а сигнатуры под него ещё не написаны. Более того, по данным M-Trends 2026, которые цитирует Zero Networks, среднее время до эксплуатации уже стало отрицательным (−7 дней): атаки нередко идут раньше выхода патча. Админы, которые думают «у нас всё обновлено, мы в безопасности», нервно курят в сторонке. 😏

🛡 Как защищаться, когда патча нет:

1️⃣ Сократите поверхность атаки: уберите лишнее, закройте ненужные сервисы.
2️⃣ Сегментируйте сеть, чтобы дыра на одном хосте не открывала всё остальное.
3️⃣ Используйте allowlisting и принцип наименьших привилегий.
4️⃣ Ставьте поведенческий мониторинг (EDR/XDR): он ловит аномалии вроде странных деревьев процессов, латерального движения и кражи учёток, даже если сам эксплойт неизвестен.
5️⃣ Приоритизируйте патчи по реальной эксплуатации: смотрите каталог CISA KEV и оценки EPSS, а не только CVSS.
6️⃣ Автоматизируйте установку патчей и заранее продумайте план реагирования на инциденты.