Телеграм канал «Хакер | Этичный хакинг с Михаилом Тарасовым (Timcore)»

🛑 «Просто нажми apt upgrade», говорили они… Как я пересаживал ядро и вытаскивал Parrot OS из нокаута

Решил я сегодня обновить рабочую машинку на Parrot Security OS под ARM. Думал: «Делов на пять минут, запущу апдейт, налью чай и пойду дальше ковырять цели».

Ага, наивный. Система решила устроить мне внезапный хардкорный CTF прямо на рабочей станции. 😂

Заглядываю в терминал перед подтверждением установки, а там APT с каменным лицом выдаёт:
REMOVING: linux-image-arm64

Стоп, машина! APT на полном серьёзе решил «вылечить головную боль отсечением головы» - снести метапакет ядра Linux, чтобы не разруливать конфликт версий. Если бы я нажал «Y», после перезагрузки система просто помахала бы мне ручкой и улетела в глухой kernel panic.

В итоге безобидный апдейт превратился в полноценную миграцию с Parrot 6 («Lorykeet») на новую 7-ю ветку («Echo») с фундаментом Debian 13. И вот тут начался настоящий боевик в четырёх актах:

1. Конфликт PreDepends.
Свежее ядро 7.2.11 требовало linux-base >= 4.17, а в системе стояла древняя 4.12. Из-за разницы приоритетов веток APT встал в ступор. Пришлось идти в обход пакетного менеджера, руками через curl выдёргивать нужные deb-пакеты из архивов Debian и точечно пробивать их через dpkg.

2. Упавшие зеркала.
Официальный редиректор director.parrot.sh в самый ответственный момент выдал 503 Service Unavailable и начал сбрасывать сокеты. Пришлось на лету перекраивать sources.list, прописывать прямое европейское зеркало и локально патчить хосты, чтобы спасти загрузку.

3. Нокаут от OOM Killer.
Новый алгоритм резолвера (APT solver 3.0) на транзакции в 280 пакетов вошёл в рекурсивный штопор и… сожрал 7.4 ГБ оперативной памяти! Ядро Linux хладнокровно пристрелило процесс на 8% загрузки. Пришлось в полевых условиях отключать CoW на диске, нарезать 4 ГБ swap через dd, глушить systemd-oomd и откатывать APT на классический движок --solver internal.

4. Итог.
После трёх часов позиционной войны:
✅ Система жива и летает на ядре 7.2.11+parrot7-arm64.
✅ Все 280 пакетов безопасности, компиляторы и Python 3.13 успешно встали.
✅ Ни один байт данных или боевых конфигов не пострадал.

Главный вывод дня:
Никогда не жмите «Y» вслепую, если в списке REMOVING мелькает что-то с названием linux-image или системные метапакеты. Всегда читайте, что терминал собирается сделать с вашей ОС.

#blog #hacking #bugbounty


Моя любимая операционка для Баг-Баунти.

Какой язык учить для хакинга в 2026 году, чтобы не остаться у разбитого корыта?

Один из самых частых вопросов новичков в инфобезе: «С какого языка программирования начать, чтобы ломать системы?»

Но правда в том, что в 2026 году парадигма изменилась. AI-ассистенты уже берут на себя рутинное написание типовых скриптов, поэтому ценность специалиста сместилась от простого умения кодить к глубокому пониманию архитектуры и специфики сред исполнения.

Если вы хотите уверенно чувствовать себя в пентесте, веб-аудите и Bug Bounty, ваш стек должен делиться по конкретным боевым задачам.

Вот 5 главных языков в арсенале этичного хакера на 2026 год:

1. Python - швейцарский нож и клей для AI
Python всё ещё держит первое место по универсальности. На нём пишутся быстрые PoC (Proof-of-Concept), парсеры и скрипты автоматизации. А в 2026 году знание Python критично ещё и потому, что именно на нём построены все AI-агентские пайплайны и интеграции с LLM-моделями.

2. Go (Golang) - король современного сетевого рекона
Если вам нужна скорость, параллелизм и независимость от установленных на целевой машине библиотек - это Go. Топовые утилиты разведки (ProjectDiscovery: Subfinder, Nuclei, Katana) написаны на нём. Go компилируется в один статический бинарник, который запускается на сервере без лишних зависимостей, что делает его идеальным оружием для сетевого сканирования.

3. JavaScript / TypeScript - ключ к веб-приложениям
Нельзя взломать современный веб, не понимая JS. Single Page Applications (React, Vue, Next.js), клиентская логика, токены, DOM-based XSS, манипуляции с WebSocket - всё это крутится на JavaScript. Чтобы находить логические уязвимости и обходить фильтры ввода, нужно читать чужой минифицированный JS-код как открытую книгу.

4. Rust и C/C++ - низкоуровневый хардкор и обход EDR
Для тех, кто метит в Red Team и бинарный реверс-инжиниринг. Времена, когда простые скрипты обходили антивирусы, давно прошли. Сегодня для разработки стелс-агентов, взаимодействия с WinAPI на прямых системных вызовах (Syscalls) и поиска переполнений буфера в памяти требуются C/C++ и всё чаще Rust, обеспечивающий молниеносную скорость и работу с памятью.

5. Bash и PowerShell - родной язык серверов
Языки командных оболочек не требуют установки стороннего софта. В постэксплуатации (когда доступ к системе уже получен) выживает концепция Living off the Land (LotL) - использование встроенных утилит ОС. PowerShell для доменов Windows / Active Directory и Bash для Linux-серверов - это база, без которой невозможно закрепиться в скомпрометированном контуре.

Итог и практический совет:

Не пытайтесь учить всё одновременно. Начните со связки Python + Bash/PowerShell для общей автоматизации, а дальше выбирайте вектор:

- Идёте в веб и Bug Bounty? Добавляйте JavaScript и SQL.
- Хотите в Red Team и инфраструктурный пентест? Осваивайте Go, C и Rust.


#ИнформационнаяБезопасность #ЭтичныйХакинг #Пентест #Программирование #Python #Golang #Кибербезопасность

Эра чат-ботов официально всё. Почему в конце 2026 года все говорят только об AI-агентах?


Если в прошлом году бизнес игрался с генерацией текстов и картинок через prompt-окно, то к осени 2026 года парадигма кардинально сменилась.


Мы перешли от пассивных моделей к агентным системам (Agentic AI) - автономным цифровым сотрудникам, которые не просто отвечают на вопросы, а сами планируют задачи, дергают внешние API, вызывают базы данных и доводят процесс до результата без постоянного участия человека.


Что происходит на рынке прямо сейчас:


1. Массовый переход в прод. По свежей отраслевой статистике, около 79% компаний уже внедрили AI-агентов в рабочие процессы. Агенты парсят лиды, пишут и тестируют код, автоматизируют аналитику и ведут первичную коммуникацию с клиентами.


2. Парадокс безопасности (The 2% Problem). Агентам выдали доступы к корпоративным CRM, базам данных и платежным шлюзам, но лишь 2% организаций внедрили специализированные инструменты управления правами для AI-сущностей. Традиционные пароли и двухфакторка здесь бессильны: агент действует со скоростью машины, а если он скомпрометирован через Indirect Prompt Injection, злоумышленник получает доступ ко всей внутренней инфраструктуре.


3. Red Team и кибератаки нового уровня. Осенью 2026 года зафиксирован трехкратный скачок атак с применением агентных систем. Атакующие используют AI-агентов для непрерывной разведки периметра и моментального подбора эксплойтов.


Что из этого следует для практиков и предпринимателей?


- Не стройте «слепых» агентов: у любой автономной сущности должен быть жесткий принцип наименьших привилегий (Least Privilege) и лимитированный доступ к API.


- Человек в контуре (Human-in-the-loop): критические операции (оплата, удаление данных, деплой на боевой сервер) всегда должны требовать подтверждения живого оператора.


- Агентная автоматизация - это главный рычаг продуктивности до конца десятилетия, но побеждают те, кто умеет выстраивать не только логику работы агента, но и контуры его защиты.


#ИИ #AI #Кибербезопасность #Технологии2026 #Автоматизация #Бизнес

Декодер сжатия превратился в шелл

Если ты думал, что алгоритмы сжатия данных абсолютно безобидны, то встроенный распаковщик Brotli только что передал пламенный привет всей серверной инфраструктуре. Разработчики Node.js экстренно выкатили патчи сразу для всех поддерживаемых веток - 22.x, 24.x и 26.x, закрывая десяток дыр. Вишенкой на торте стал критический баг CVE-2026-111497 с оценкой 9.2 по CVSS, получивший звучные имена Node2Shell, HTTPS2Shell и Broccoli2Shell. Под раздачу попал не только Node.js, но и Bun, прокси Envoy, service mesh Istio и популярные библиотеки Python. 🔥

Архитектурный косяк
Проблема зарыта в низкоуровневом C-коде декодера Brotli от Google, который поставляется вкомпилированным прямо в ядро рантайма Node.js. Уязвимость классифицируется как out-of-bounds write - некорректная запись за пределы выделенного в памяти буфера.

Вот что сразу бросилось в глаза нашей исследовательской братии:

- Сбой происходит на этапе переключения блоков сжатых данных (block-switch processing), когда парсер ложно принимает битый заголовок за сигнал о нехватке входящего потока.

- Декодер продолжает молотить память в невалидном состоянии и перетирает соседние системные структуры.

- Для триггера не нужны учетные записи: достаточно скормить приложению вредоносный сжатый поток байтов с заголовком Content-Encoding: br.

Механика эксплуатации
Атака разворачивается сразу по двум типовым сценариям взаимодействия клиент-сервер. Первый вектор - входящий POST-запрос с пейлоадом в теле, который бекенд послушно распаковывает через Express или body-parser. Второй - когда сам сервер Node.js выступает клиентом и дергает внешний ресурс через fetch(), получая в ответ отравленный сжатый ответ от подконтрольного атакующему хоста.

Команда Imperva Red Team уже доказала практическую реализуемость RCE: скрафченный поток байтов перезаписывает указатели и приводит к исполнению команд прямо в контексте запущенного процесса. Когда PoC-эксплойт падает в публичный доступ за считанные часы, медлить с патчами смерти подобно. 🔍💣

Мнение специалиста о хрупкости экосистем
Как специалист по безопасности, подчеркну очевидное: это наглядный пример классической уязвимости в цепочке поставок низкоуровневых зависимостей. 🛡 Разработчики годами упаковывают нативный код десятилетней давности внутрь высокоуровневых сред вроде Node.js или Python, слепо надеясь на непогрешимость базовых алгоритмов.

Когда дыра в одном вспомогательном парсере сжатия способна пробить изоляцию контейнеров и скомпрометировать ingress-шлюзы вроде Envoy или Istio, безопасность нельзя сводить к банальной проверке прав доступа. Если приложение слепо декомпрессирует сырой трафик из непроверенных источников, периметр уже де-факто пробит.

Чеклист патчинга и защиты периметра
Пока ботнеты не начали массово стучаться в ваши эндпоинты, внедряем защитный регламент: ⚙🚨

- Обновить Node.js до безопасных сборок: 22.23.4, 24.22.1 или 26.12.1.
- Обновить альтернативные среды: Bun до версии 1.4.4+, а также пакеты brotli и brotlicffi в проектах на Python.
- Накатить апдейты на балансировщики Envoy (1.36.12+, 1.37.8+, 1.38.6+, 1.39.3+, 1.40.0+) и Istio (1.29.9+, 1.30.6+, 1.31.2+).
- Временно отключить автоматическую распаковку br на шлюзах, если оперативное обновление бинарников невозможно.

🔥 ALERT: Bypass на 72 часа открыт. Забирай книгу со скидкой! 🔥

Привет, ремесленники! Кто ждал удобного момента запрыгнуть в практический баг-хантинг - окно возможностей распахнулось прямо сейчас.

Обычный ценник книги - 2200 руб. И давайте честно: эта сумма отбивается ровно одним тривиальным IDOR'ом или забытым параметром в приватной программе на $50+. Но раз в сезон можно устроить контролируемый сбой в биллинге.

Ровно на 3 дня - с 26 по 28 октября включительно - отдаю «Исповедь баг-хантера: Взлом без лишней воды» со скидкой: всего за 1690 рублей! 💸

Внутри тебя ждут 242 страницы концентрированной практики:
💀 Анатомия уязвимостей: бизнес-логика, Mass Assignment, BFLA, SSRF в облаках и Type Juggling там, где автоматические сканеры слепнут.
💀 Грязные трюки: гонки (Race Condition), пробивы логики и обходы WAF (ведь WAF - это не стена, а приглашение 😉).
💀 Майндсет и переговоры: как аргументировать CVSS, вытаскивать репорты из Informative/Duplicate и заставлять триажеров одобрять выплаты.
💀 Готовые боевые чеклисты: Recon, Access Control, XSS и выверенный шаблон отчёта.

Скрипт-кидди пусть дальше гоняют дефолтный софт и ловят баны по IP. Мы с тобой читаем архитектуру, строим цепочки и забираем чеки.

⏳ Таймер тикает: ровно в 23:59 28 октября карета превратится в тыкву, а ценник вернётся к стандартным 2200 руб.

Забирай свой экземпляр и прокачивай арсенал:

Для приобретения книги, пишите по контакту в тг: @timcore1

Содержание: https://timcourse.ru/courses/elektronnaya-kniga-ispoved-bag-hantera-vzlom-bez-lishnej-vody/

Интернет полыхает миллионами пейлоадов

Если ты думал, что старый добрый PHP мирно доживает свой век, то искусственный интеллект только что перевернул эту песочницу вверх дном. Свежая связка критических RCE-багов PHP2Shell (CVE-2026-109618 и CVE-2026-109619 с CVSS 9.2), вытащенная на свет нейросетью GPT-5.6 Sol, заставила потеть сисадминов по всей планете. Глава Cloudflare Мэттью Принс подтвердил: счет попыток эксплуатации перевалил за миллионы, а сканеры в сети устроили настоящую ковровую бомбардировку. 💣🔥

Точка входа и архитектурный факап
Дыра зарыта прямо в ядре управления памятью интерпретатора PHP, затрагивая ветки от 5.4 вплоть до 8.5. Модель Sol нащупала логику повреждения памяти, которая позволяет удаленному неаутентифицированному атакующему перезаписать критические структуры процесса и перехватить поток выполнения.

Что сразу бросилось в глаза нашей братии:

- Полное отсутствие необходимости в авторизации для триггера уязвимости.
- Масштаб поражения охватывает до 70% веб-серверов в мире.
- Детект в wild начался за дни до релиза официальных заплаток.

Вектор атаки и механика эксплойта
Боевой вектор строится на манипуляции некорректными адресами памяти через специально сформированный HTTP-запрос. Когда веб-сервер кормит сырые байты парсеру PHP, поврежденный буфер открывает дорогу к исполнению шеллкода прямо в контексте демона веб-сервера www-data.

Автоматизированные ботнеты перешли от фаззинга к заливке веб-шеллов за считанные минуты после анонса. Cloudflare успел накинуть временные экраны за часы до паблика, но миллионы эндпоинтов смотрят наружу напрямую без проксирующих прослоек. 🔍💻

Мнение специалиста о новой эре
Как специалист по информационной безопасности, констатирую факт: правила игры в поиске уязвимостей необратимо изменились. 🛡️ Когда языковые модели вроде GPT-5.6 Sol начинают стабильно выкапывать низкоуровневые баги памяти тринадцатилетней выдержки, классический аудит кода человеком становится архаизмом.

Безопасность держится не на вере в вендоров, а на непрерывном контроле поверхности атак. Если инфраструктура вашего бизнеса висит на легаси-версиях без виртуального патчинга и строгой изоляции процессов, захват сервера - это лишь вопрос тайминга следующего запроса атакующего.

Срочный чек-лист для выживания

Забирайте базовый план экстренной защиты инфраструктуры: ⚙️🚨

- Накатить экстренные патчи PHP до сборок 8.2.35+, 8.3.26+, 8.4.15+ или 8.5.1+.
- Активировать сигнатуры PHP2Shell на уровне межсетевых экранов WAF.
- Срезать привилегии пула php-fpm и загнать процессы в изолированные контейнеры.
- Мониторить аномальные бинарные дампы и появление неизвестных скриптов в веб-директориях.