Inside

Я не ищу баги целенаправленно, клянусь, раз в год какой-нибудь баг сам прыгает мне в руки!

Нет, правда, иногда даже такие вещи приходится объяснять 🤷‍♀️

Что я делаю: менторю команды на Standoff 14.

Из этой активности я могу дать вам инсайт лохматой давности: задавать очень много вопросов - не всегда уместно и иногда стыдно, но если у вас есть возможность задавать вопросы - лучше их задавать.

Если вы не знаете есть ли у вас возможность задавать вопросы - спросите об этом ("Можно я позадаю тебе вопросы?"). Такой шаг поможет вам получить помощь и избавиться от стыда и переживаний о уместности вопросов :D

Сходили на багбаунти митап компании Bi.Zone 👀

Встретили множество Культистов 😈 Послушали доклады, покурили кальяны и забрали крутой мерч 🫡

Вчера были на Yet Another Security Meetup, рассказываю вкратце: понравилось.

Чуть подробнее: доклады были вполне интересные, затрагивались разные темы, понравились истории про инциденты-такие истории мы действительно любим, это всегда очень интересно и захватывающе.

Очень понравился мерч - ЧИНАЗЕС - я буквально на прошлой неделе купила себе аналогичных кофт, чтобы в них отправиться в горы зимой (увезите меня в Гималаи, увезите меня насовсем, в не то я завою, а не то я залаю, а не то я кого-нибудь съем).

Я насмотрелась на корповых коллег и у меня проскользнула шальная мысль тоже прикрепиться к какой-нибудь корпе, поэтому сменила статус резюме на «рассматриваю предложения». Так сказать-открыта к вашим предложениям и идеям - дорого, долго, качественно 👍

А если вы просто хотите позвать меня и мою команду на аудит - вы можете мне писать, подумаем, обсудим, оформим (даже как b2b).

По поводу вечеринки и моих кислых щщей - немножко я отвыкла от шумных тусовок (хотя, может я и не привыкала), да и самочувствие у меня не очень, поэтому давайте коммуницировать в интернете - пишите, спрашиваете и я вам буду отвечать по мере раздупления.

Думала, что эта неделя у меня будет выходной, но я не умею отдыхать, поэтому решила заруинить KLCP, который был в подписке.

Там странные вопросы, из серии на каком дистрибутиве (название прям) работала Калина в 2015 году… Польза от этой информации, конечно, сомнительная, и, так как детали про Калинины фичи я не доучила, мне чутка не хватило. Но ничего страшного, эта попытка мне полагалась в подарок к подписке.

Я мечтаю, что после 13 декабря никто не будет меня трогать и я спокойно попинаю oswp, мне бы хватило недельки две, я думаю 🤔

С Днем бруска на наклонной плоскости, мои чуваки!

Четкий пример газлайтинга от chatgpt 4o.

(Пыталась заставить его проводить тест по заготовленному материалу).

Ладно, коллеги, кроме шуток, как планируете дотянуть до зимних каникул?

Я вот наделала проектов за сентябрь, октябрь, посидела в кобыле на 365, сейчас еще немного доделаю, потом пару недель попинаю курсы офсека, потом бизоновые ивенты, потом стендофовые, а там уже и отпуск.

Что вам еще освятить я пока не знаю, потому что все увлекательно песец (нет).

Что-то странное в телеге происходит-если вбить номер телефона в чат, то при наличии привязанного к нему аккаунта получится открыть профиль человека, даже если у него номер скрыт по дефолту. Только что нарандомила какую-то женщину в качестве проверки, пруфа не будет.

Вызываю бригаду для пояснения за фичу.

UPD: такая же ситуация, как с подбором телефона в урле, но теперь без урла, просто в чате. Отбой!

Внимание!

Консилиум прошел успешно!
Опасения по поводу проблем с питанием подтвердились.

В треде было упомянуто тысяча и одно решение данного вопроса:
- лабораторный БП
- адаптер помощнее
- апгрейд при помощи кондеров

В треде так же было упомянуто множество плат, но как я поняла, в среднем по больнице, все равно нужен источник питания лучше базового.

Как я поступлю: возьму свои малины, закажу к ним помощнее БП, соберу своих ботов, если они упадут, то я буду орать, куплю впс и выкину малины в окно.

Спасибо за внимание!

Срочно! Срочно! Инициирую ночной холивар консилиум!

Я сейчас чекаю одноплатники, потому что хочется чего-то эдакого, но помню, что у меня была Raspberry (много), которая во время работы в рандомнный день недели ловила фриз и приходилось ее выключать и включать. Это бесит.

Я смотрю тинкерборды, оранж паи, зима борды, но не выкупаю какой из них не будет болеть подобной болезнью.

У своей Rpi я читала логи - так и не поняла - то ли ей не хватало в определенный момент питания, то ли просадки были в сети и она сама не соображала ребутнуться, да и перегрева у нее не было...

Хотела спросить вас, дорогие мои эксперты - есть ли у вас одноплатник в 24/7 аптайме без фризов и закидонов, если есть - какой (или как вам удалось его стабилизировать)?

Все таки, я подозреваю, что одноплатники больше про макетирование, чем про аптайм, но надеюсь что в 2к24 появились стабильные.

Реквестирую ваше мнение!

😱😱😱

😶 Как онбордиться на Standoff?

Начали рассказывать об этом здесь и здесь, а теперь принесли тебе заключительную часть этой трилогии.

В ней Саша Антипина, капитан культовой команды Cult, поделилась тем, как правильно работать с полигоном и проходить отборочные.

Но, наверное, самое полезное, что есть внутри, — суперподробные инструкции по написанию баг-репортов на все случаи жизни для всех недопустимых событий.

🎁 Приятный бонус — чек-лист, который поможет проверить, готова ли твоя команда к кибербитве.

Читай сам и пересылай семерым друзьям.

Tech wear for wearing tech, prove me wrong

Представьте себе: вы шли по улице и упали лицом в API ключи от Chat GPT. «Что же делать?» - спросите меня вы. И я с радостью вам помогу!

Вот что надо делать:

package main

import (
  "bufio"
  "bytes"
  "encoding/json"
  "fmt"
  "log"
  "net/http"
  "os"
  "strings"
)

func main() {
  // Create a scanner to read API keys from the console
  scanner := bufio.NewScanner(os.Stdin)
  outputFile, err := os.Create("validated_keys.txt")
  if err != nil {
    log.Fatalf("Не удалось создать файл: %v", err)
  }
  defer outputFile.Close()
  writer := bufio.NewWriter(outputFile)

  for {
    fmt.Print("\n==========================\nВведите API ключи (или 'exit' для завершения): ")
    scanner.Scan()
    input := scanner.Text()

    if input == "exit" {
      break
    }

    if err := scanner.Err(); err != nil {
      log.Fatalf("Ошибка ввода: %v", err)
    }

    apiKeys := strings.Fields(input)
    for _, apiKey := range apiKeys {
      gpt4oValid := checkAPIKey(apiKey, "gpt-4o")
      gpt35Valid := checkAPIKey(apiKey, "gpt-3.5-turbo")

      logOutput := fmt.Sprintf("\nAPI ключ: %s\nМодель GPT-4o: %s\nМодель GPT-3.5: %s\n", 
        apiKey, resultText(gpt4oValid), resultText(gpt35Valid))
      fmt.Print(logOutput)
      if gpt4oValid || gpt35Valid {
        writer.WriteString(fmt.Sprintf("API ключ: %s\nМодель GPT-4o: %s\nМодель GPT-3.5: %s\n", 
          apiKey, resultText(gpt4oValid), resultText(gpt35Valid)))
        writer.Flush()
      }
    }
  }
}

func resultText(valid bool) string {
  if valid {
    return "действителен"
  }
  return "недействителен"
}

// Функция для проверки API ключа OpenAI
func checkAPIKey(apiKey string, model string) bool {
  payload := map[string]interface{}{
    "model":      model,
    "messages":   []map[string]string{{"role": "user", "content": "Тестовое сообщение"}},
    "max_tokens": 10,
  }
  jsonPayload, _ := json.Marshal(payload)

  req, _ := http.NewRequest("POST", "https://api.openai.com/v1/chat/completions", bytes.NewBuffer(jsonPayload))
  req.Header.Set("Authorization", fmt.Sprintf("Bearer %s", apiKey))
  req.Header.Set("Content-Type", "application/json")

  resp, err := http.DefaultClient.Do(req)
  if err != nil {
    log.Printf("Ошибка при проверке API ключа %s для модели %s: %v", safeKey(apiKey), model, err)
    return false
  }
  defer resp.Body.Close()

  if resp.StatusCode == 200 {
    return true
  }

  log.Printf("Ошибка проверки ключа: %s для модели %s - %s", safeKey(apiKey), model, resp.Status)
  return false
}

// Функция для скрытия ключа при выводе
func safeKey(key string) string {
  if len(key) > 8 {
    return key[:4] + "..." + key[len(key)-4:]
  }
  return key
}

Ночной всем привет!

Недавно я столкнулась с аудитом беспроводных сетей и вспомнила интересный момент: один из моих вардрайвинговых девайсов, который поддерживает 5 ГГц, просто - бескорпусная плата. Ну, знаете, когда у тебя в руках просто плата без всякого корпуса — не очень удобно таскать её с собой. Так что я решила обновить своё оборудование.

Сначала подумала: нужно что-то новее, чем мой старенький TP-Link или Alfa, чтобы поддерживало 5 ГГц. Заказала TP-Link Archer T9UH v1 с чипом Realtek RTL8814AU на Яндекс Маркете (ссылочка).

Использовать свисток планировалось на MacBook Pro с ARM-процессором, через Parallels, с установленной внутри Kali Linux. Задача была — собрать драйвера и настроить адаптер. Итак, делюсь, как всё это дело установила:

Порядок установки драйвера
Сначала обновляем систему и ставим всё нужное для сборки:
sudo apt install dkms build-essential libelf-dev linux-headers-$(uname -r) git

Клонируем репозиторий драйвера с GitHub:
git clone https://github.com/morrownr/8814au.git
cd 8814au

Собираем и устанавливаем драйвер:
make
sudo make install

Загружаем модуль:
sudo modprobe 8814au

Результат
После всех этих шагов я запустила Wifite — и вуаля, девайс обнаружен! Мой TP-Link Archer T9UH теперь спокойно ловит сети, в том числе на 5 ГГц. На скриншоте видно, что поймал сеть на 44-м канале — отличный результат.

Теперь можно спокойно идти вардрайвить с более мощным и удобным оборудованием! 😎

P.S. А еще свисток прикольно складывается - как телефон-раскладушка. ЛоооооЛ!

😆 Объявляем победителей хакатона hackнутых сервисов!

Со 2 сентября по 17 октября все участники активно разрабатывали свои уязвимые тачки. За это время мы провели четыре встречи, где вместе обсуждали появляющиеся проблемы и успешно их преодолевали, двигаясь к финалу.

❤️ Благодарим каждого, кто решил попробовать свои силы, и называем лучших среди них:

🥇 Первое место: 5hm3l
🥈 Второе место: Esc@peFr0mL0gic
🥉 Третье место: Impulse

Всех победителей ждут призы, и уже скоро созданные ими сервисы появятся на нашей платформе, где их можно будет попробовать сломать протестировать.

Но это не конец! Если у тебя есть годная идея уязвимого сервиса, мы готовы поддержать ее выплатами. Следи за нашими постами, а если хочешь рассказать обо всем уже сейчас, пиши Карине.

Ладно, на сегодня вам хватит мемов!

Ловите вторую часть мануала как участвовать в киберсоревнованиях 🫡

Наконец-то скоро можно будет официально спать на созвонах!

😴 Ученым впервые удалось установить связь между двумя людьми во сне

Ученые с помощью специального оборудования смогли связать сознание двух спящих в разных концах дома людей, и они обменялись сообщениями.

Когда первый участник вошел в осознанный сон, аппарат передал ему слово, которое он «произнес» мысленно. Через 8 минут это слово «получил» во сне второй участник и повторил его после пробуждения.

Первая часть гайда в формате статьи.

Ну все, теперь есть на чем отчеты писать.

Так вышло, что я решила по приколу купить Cyberboard R4 (inspired by cybertruck, supreme & north face). И теперь в моей коллекции редкостей пополнение!

С чемоданом она весит пять килограмм, поэтому доставка стоила прилично, я уже забила считать во сколько она мне встала, кажется больше 120к :) Еще у нее беспроводная зарядка и какие-то настройки, сейчас буду разбираться 😆😆😆😆
Звук крутой - похож на звук фарфоровых изоляторов. Девайс увесистый и приятный 🫡

Покидаю фотки в комменты по ходу развития событий 👍

Писала вам этот гайд на летних каникулах ❤️❤️❤️
Надеюсь, немного поможет 🤔

🥑 Зеленые красные: кибербитва Standoff — это сложно.

💆‍♂️ Бывалые красные: да не то чтобы, главное во всем разобраться.

Чтобы помочь новичкам узнать, как выжить выиграть на кибербитве Standoff, Александра Антипина aka N3m351d4, капитан одной из лучших команд — Cult, составила исчерпывающий гайд для редтимеров.

🗺 Внутри — карта, которая поможет пройти увлекательное путешествие по устройству онлайн-полигона Standoff и узнать, как реализовывать недопустимые события и начать свой путь к званию сильнейшего белого хакера.

👑 Для самых внимательных в разделах гайда оставили 7 пасхалок, найдя которые можно получить королевскую ачивку на нашей платформе.

😠 Изучить гайд можно на нашем сайте. Сохраняйте в закладки и узнавайте все самое важное, что поможет вам успешно принять участие в кибербитве Standoff в 2025 году.

❕ Кроме того, более подробные разборы будут публиковаться на Хабре. Первый материал — уже опубликован в нашем блоге.

Мы сгоняли в Питер, весело провели время, нарешали стеги и набрутили учеток на 80к! 🎈🎈🎈

Никогда плотность рофлов на квадратный сантиметр так не зашкаливала! 🤣🤣🤣

Спасибо всем, кто поддерживал и болел!

Знаете ли вы, что если поехать в Питер на Сапсане спиной вперед, можно попасть на соревнования, похожие на Standoff, но организованные без использования soft skills? Говорят, что в этом зазеркалье, куда мы направляемся, специалисты были заменены на ChatGpt, а все сотрудники отвечают на вопросы риторическими вопросами, вместо использования прямых ответов. Мы же, в свою очередь, тоже не просты - я везу кккккомбо из новых штаммов ковида в своих легких 🤩

Да здравствуют путешествия и культурная столица, которая открылась мне с некультурный стороны 🧌

Охуенная статья

Red Teaming in the age of EDR: Evasion of Endpoint Detection Through Malware Virtualisation

https://blog.fox-it.com/2024/09/25/red-teaming-in-the-age-of-edr-evasion-of-endpoint-detection-through-malware-virtualisation/