SSLyze: Автоматизированный аудит SSL/TLS конфигураций серверов

SSLyze — это быстрый и мощный инструмент для сканирования SSL/TLS, написанный на Python. Он предназначен для автоматизированного анализа конфигураций серверов с целью проверки использования надежных криптографических настроек (сертификатов, наборов шифров) и выявления уязвимостей к известным атакам.

🔤Возможности🔤
- Инструмент оптимизирован для надежного сканирования сотен тысяч серверов ежедневно
- Позволяет встраивать проверки безопасности в процессы непрерывной интеграции и доставки
- Поддерживает сканирование не только HTTP/HTTPS серверов, но и сервисов, использующих SMTP, XMPP, LDAP, POP, IMAP, RDP, Postgres, FTP
- Результаты могут быть сохранены в структурированном JSON-формате для последующего анализа
- Автоматическая проверка конфигурации сервера на соответствие рекомендуемым профилям безопасности (например, от Mozilla)

⏩Установка

sudo apt install sslyze

Проверка
sslyze -h


⏩Базовое сканирование одного хоста
python -m sslyze example.com


⏩Сканирование нескольких целей за один запуск
python -m sslyze example.com google.com:443 192.168.1.10:8443


⏩Сканирование списка целей из файла
Предварительно создайте файл targets.txt, где каждая новая строка содержит адрес хоста (с портом или без):
example.com
api.example.com:443
192.168.1.100:8443

Запустите сканирование
python -m sslyze --targets_in targets.txt


⏩Проверка на соответствие стандарту Mozilla Intermediate
python -m sslyze --mozilla_config=intermediate example.com

Инструмент выведет результат («OK - Supported» или «FAILED - Not supported») и вернет соответствующий код выхода (0 при успехе, не 0 при наличии проблем), что удобно для CI/CD

⏩Расширенная проверка с фокусировкой на конкретные уязвимости
python -m sslyze --heartbleed --robot --certinfo example.com


⏩Сохранение полного отчета о сканировании в JSON-файл
python -m sslyze --json_out=scan_results.json example.com

🔤Важные примечания🔤
- При использовании ключа --targets_in в файле должна быть указана одна цель (hostname или hostname:port) на строку. В командной строке цели перечисляются через пробел
- При использовании ключа --mozilla_config инструмент возвращает код 0, если сервер соответствует выбранному профилю, и код, отличный от 0, если соответствие не достигнуто. Это позволяет легко интегрировать проверку в скрипты автоматизации
- Для проблемных или медленных соединений можно использовать опцию --slow_connection, чтобы уменьшить количество параллельных запросов

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером

Как найти слабые места в веб-приложении до того, как их найдут хакеры?

Расскажем на курсе WAPT от Академии Кодебай! 🛡 Это на 100% практический курс по пентесту, где вы попробуете изученные техники взлома в 65-ти заданиях нашей лаборатории!

🔴 Каждую неделю — вебинары с куратором! Старт 22 января. Регистрация здесь.

Содержание курса:
✦ эксплуатация всех актуальных типов уязвимостей, активный / пассивный фаззинг
✦ SQL Injection и CMD Injection, Cross Site Scripting, PHP injection, Server Side Template injection
✦ техники повышения привилегий, Client-side атаки (XSS, CSRF)

Получите практические навыки как в рабочих задачах, так и в Bug Bounty. 🚀 По всем вопросам пишите @CodebyAcademyBot

🫡 Spotify «взяли на абордаж». Пираты слили в сеть 86 млн треков

Популярный музыкальный сервис Spotify столкнулся с одним из крупнейших пиратских взломов в истории стриминга — хакеры получили доступ почти ко всей библиотеке платформы и выложили в открытый доступ 86 млн аудиотреков общим объёмом более 300 ТБ.

За инцидент взяла ответственность группировка Anna’s Archive, называющая себя «Робин Гудами цифровой эпохи» и заявляющая миссию «сохранения культурного наследия человечества». Они опубликовали ссылки на скачивание всей выгрузки.

По словам взломщиков:
🔼 слиты только самые популярные треки
🔼 на эти 86 млн композиций приходится 99,6% всех прослушиваний Spotify
🔼 оригинальный каталог сервиса — около 256 млн треков

Файлы распространяются через торрент‑раздачи в формате OGG Vorbis 160 Кбит/с. Хакеры подчёркивают, что выбрали «среднее качество» намеренно — чтобы «сохранить музыкальное наследие» в компактном виде. Все треки содержат оригинальные метаданные.

✅ Spotify подтвердил факт взлома и начало расследования.
✅ Однако архив уже доступен в сети, и удалить его теперь невозможно.

Этот инцидент — тревожный сигнал для всей индустрии:
даже крупнейшие стриминговые платформы с мощной DRM‑защитой оказываются уязвимы, когда мотивированные группы находят способ обойти барьеры.

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером

#Spotify #Взлом #УтечкаДанных #Кибербезопасность #Кибератака

GhostEyes

GhostEyes — это асинхронный, модульный набор инструментов для наступательной разведки, предназначенный для сетевой и веб-разведки, а также для создания отчетов, предназначенный для специалистов по тестированию на проникновение, красных команд и исследователей.

📕Характеристика:
Сетевая разведка: Сканирование подсети ARP, Обнаружение и выборка VLAN, DHCP-снупинг
Веб-разведка: Брутфорс поддоменов, Брутфорс директорий
Отчеты: Генерация TXT/JSON/HTML/CSV на основе предыдущих сканирований

💻Установка:

git clone https://github.com/6lackRaven/GhostEyes.git

cd GhostEyes

📌Использование:
Сканирование ARP:

python ghosteyes.py net -i <INTERFACE> --scan <IP> --output <JSON-FILE>

Поиск VLAN:

python ghosteyes.py net -i <INTERFACE> --vlan --duration 120

Сканирование поддоменов:

python ghosteyes.py web -u <DOMAIN> -s <WORDLIST> -T

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером

#GhostEyes #Разведка #Кибербезопасность #RedTeam

Многие думают, что безопасность приложений — задача программистов. Но на самом деле первую линию обороны создают пентестеры — «белые хакеры», которые целенаправленно ищут слабые места, пока это не сделали злоумышленники.

Разбираем:
🟧Кто такой пентестер и почему без него не обойтись
🟧Что реально нужно знать и уметь: от сетей и Linux до Python и веб-технологий
🟧С чего начать путь: чек-лист от основ до первых сертификатов
🟧Где бесплатно практиковаться и что положить в портфолио

В статье — готовый маршрут от изучения базовых команд до собеседования на первую позицию.

🟧На форуме вы найдете еще больше актуальной и полезной информации для начинающих и опытных специалистов. Изучайте темы от WAPT и уязвимостей вроде Log4Shell до тестирования AI, атак на умные города и промышленные системы.

🟧Делитесь в комментариях: что кажется вам самым сложным на пути в пентест? Расскажите о своем опыте, первых трудностях или задавайте вопросы🟧

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером

#снуля #обучение #новичкам #пентест #hackerlab #форум

Очень маленькая и полезная шпаргалка по контролю прав и разрешений в Linux.

➡️ Все наши каналы 💬Все наши чаты ⚡️ Для связи с менеджером

#Linux #Шпаргалка #ПраваLinux