📌 Под капотом стека вызовов

Погружаемся в мир стек-фреймов, Frame Pointer и приёмов их манипуляции — от основ до практических приёмов ROP-атак и отладки.

➖ Как код С выполняется на процессоре ARM — подробный разбор ролей регистров sp, fp (frame pointer) и lr при вызове функций на ARM.

➖ Стековые канарейки и где они обитают — статья о защите от переполнения стека: где располагаются канарейки относительно fp, как они предотвращают перезапись указателя кадра и какие механизмы усиления используются в KasperskyOS.

➖ Бинарные уязвимости и способы борьбы с ними — разбирается, как переполнение буфера позволяет перезаписать frame pointer и адрес возврата.

➖ How Your Code Executes — подробности жизни стек-фрейма: про­лог и эпилог функций, сохранение и восстановление %rbp, а также визуализация этапов вызова и возврата.

➖ Return-oriented programming — официальное руководство ARM: архитектурные особенности ROP на платформах ARM, подбор «гаджетов» через Frame Pointer и обход аппаратных защит.

🐸 Библиотека хакера

#свежак

😱 «Аэрофлот» в режиме ЧС

Silent Crow и «Киберпартизаны BY» заявляют, что год скрытно работали в сети авиакомпании:

➡️ Уничтожили ~7 000 серверов и похитили 20 ТБ данных

➡️ Отменено почти 50 пар рейсов в/из Шереметьево

➡️ Доступ к почте, CRM, Sabre, 1С, переписке и видеонаблюдению

⚠️ Пока это лишь заявления злоумышленников — официального подтверждения от «Аэрофлота» или спецслужб ещё нет. ФСБ и Минцифры проводят проверку, данные остаются неподтверждёнными.

ФСБ уже взяло инцидент под контроль, «Аэрофлот» ввёл режим ЧС и восстанавливает ИТ-сервисы.

🐸 Библиотека хакера

#свежак

🤑 Топ-вакансий для хакеров за неделю

Pentester — от 380 000 ₽, удаленно (Москва)

Cybersecurity Engineer -- от 7 000 до 9 000 €, office-based (Limassol)

Application Security Engineer — от 200 000 ₽, удаленно (Москва)

Аналитик / Эксперт по ИБ — от 200 000 ₽, удаленно (Москва)

Специалист по управлению уязвимостями — гибрид (Москва)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

📌 Введение в CTF: 5 ресурсов для изучения

Подборка для тех, кто хочет разобраться, как работают флаги, таски и категории вроде web, crypto или forensics.

1. Вводный курс от picoCTF

Разработан Carnegie Mellon специально для новичков. Весёлый сюжет и простые таски.

2. Флаги и таски: введение в CTF для самых маленьких

Короткое и понятное введение на русском языке: что такое CTF, какие бывают таски и где брать первые флаги.

3. Интерактивная шпаргалка по категориям CTF

Примеры, инструменты и объяснения к каждой категории.

4. CyberChef

Веб-инструмент «швейцарский нож» CTF’ера. Декодируйте base64, XOR, rot13 и другие шифры — без командной строки.

5. OverTheWire: Bandit

Задачи про работу с терминалом, ssh, базовые команды и поиск флагов.

🐸Библиотека хакера

#свежак

🤑 Топ-вакансий для хакеров за неделю

SRE-инженер — удаленно (Москва)

Специалист по сетевой безопасности — от 250 000 ₽, удаленно (Москва)

Аналитик по информационной безопасности — офис (Казань)

Младший инженер по ИБ контейнерных сред — гибрид (Москва)

Системный администратор СЗИ на Linux — от 80 000 до 110 000 ₽, офис/гибрид (Екатеринбург)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

🦀 ТОП-5 инструментов для статического анализа

Эти инструменты помогут вам поддерживать высокое качество кода, повысить безопасность и минимизировать количество багов на ранних стадиях разработки.

➡️ SonarQube

Платформа для анализа качества кода, которая находит баги, уязвимости и нарушенные стандарты безопасности, улучшая защищенность приложения.

➡️ Semgrep

Инструмент для поиска уязвимостей с помощью паттернов в коде. Поддерживает более 30 языков и помогает быстро обнаруживать небезопасные практики.

➡️ Checkstyle

Линтер для Java, который анализирует стиль и безопасность кода, помогает выявлять уязвимости, например, неправильные уровни доступа или устаревшие библиотеки.

➡️ Cppcheck

Инструмент для C/C++, который обнаруживает ошибки и уязвимости, не выявляемые компиляторами, и помогает повышать безопасность кода на низком уровне.

➡️ PMD

Инструмент для поиска багов и уязвимостей, таких как неправильная обработка исключений или небезопасный доступ, с поддержкой различных языков программирования.

🐸 Библиотека хакера

#свежак

🤑 Топ-вакансий для хакеров за неделю

Главный инженер-эксперт по ИБ — офис (Москва)

Системный инженер (пентест) — удаленно (Екатеринбург)

Старший инженер SOC — от 195 000 ₽, удаленно (Москва)

Pentest/Appsec Specialist — от 3 000 до 4 500 $, удаленно (Тбилиси)

Специалист по ИБ (SOC) — от 250 000 ₽, удаленно (Москва)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак

🚨 Pentest-R1: автономный фреймворк для пентеста

Представлен Pentest-R1 — фреймворк для поиска уязвимостей, обученный по двухэтапной схеме укреплённого обучения.

Результаты впечатляют:

— 24,2 % успеха на AutoPenBench
— 15 % успеха на Cybench

Для открытых исходников это почти топовый показатель, открывающий новые возможности в автономной разведке уязвимостей.

🔗 Читать подробнее

🐸 Библиотека хакера

#свежак

📌 Обход WAF: 5 актуальных ресурсов для изучения

Подборка для тех, кто хочет разобраться, как современные атакующие обходят защиту веб-приложений, несмотря на использование WAF.

➡️ Обзор техник обхода WAF

Статья на Medium описывает методы обхода, включая обфускацию полезных нагрузок, использование альтернативных HTTP-методов и инъекцию заголовков.

➡️ WAFFLED: использование различий в парсинге для обхода WAF

Исследование показывает, как различия в парсинге HTTP-запросов могут быть использованы для обхода популярных WAF, таких как AWS, Azure, Cloudflare и ModSecurity.

➡️ Обход Cloudflare

Блог BrightData предоставляет пошаговые методы обхода защиты Cloudflare, включая использование Python-скриптов и автоматизацию браузера.

➡️ Использование JSON и XML для обхода WAF

Статья на Claroty объясняет, как злоумышленники используют недостаточную поддержку синтаксиса JSON в WAF для обхода защиты.

➡️ Исследование обхода AWS WAF

Блог Sysdig анализирует способы обхода AWS WAF с использованием специализированных DOM-событий, выявленных в ходе фуззинга.

🐸Библиотека хакера

#свежак

🤑 Топ-вакансий для хакеров за неделю

Специалист по web-защите (WAF/AppSec) — от 350 000 ₽, удаленно (Москва)

Инженер ИБ — удаленно (Москва)

Пентестер \ Pentester в Offensive команду — до 550 000 ₽, удаленно (Москва)

Архитектор по кибербезопасности — от 300 000 ₽, офис/гибрид (Санкт-Петербург)


➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак