Пентестер на мотоцикле

Последние публикации канала «Пентестер на мотоцикле»

1. 1.4K просмотров, 18 реакций, 04 мар. 2026 г.

   🔊 Вскрываем периметр по-крупному Последние пару недель РАД КОП много говорит про гигиену внешнего периметра и самостоятельную самопроверку. Чек-листы полезны, однако понимание того, как именно вас видит атакующий, выводит анализ на другой уровень. Поэтому зову вас на вебинар " Техническая разведка: как самостоятельно собрать информацию о своей внешней инфраструктуре ". 5 марта в 16:00 МСК Спикер: Филимонов Кирилл (CuriV), Тимлид круга пентестеров РАД КОП. ▎ Почему стоит прийти ➡️ Разберём 10 техник пассивной разведки ➡️ Покажем на живом примере (инфраструктура РАД КОП), что видит…

   Открыть пост в MAX
2. 1.0K просмотров, 22 реакций, 03 мар. 2026 г.

   Представьте: в углу офиса мирно стоит принтер, печатает отчёты… а в это время через него кто-то получает учётки сотрудников и заходит во внутреннюю сеть компании. Звучит неприятно? Ещё бы. В своей новой статье разобрал, почему устройства печати становятся удобной точкой входа для злоумышленников: стандартные пароли, утечки учётных данных через SNMP, pass-back-атаки и другие типовые векторы. В материале: — реальные CVE; — скриншоты атак; — практические меры защиты, которые можно внедрить уже сейчас. 🖋 Читать статью: https://radcop.online/blog/articles/vzlomat-cherez-printer

   Открыть пост в MAX
3. 1.2K просмотров, 25 реакций, 26 февр. 2026 г.

   🤨 Документация из хаоса Инструмент был написан в рамках стажировки Digital Security автором boysmail и решает простую, но очень практичную задачу: создаёт OpenAPI JSON прямо из трафика в Burp Proxy и позволяет сразу открыть его в локальном Swagger UI . Это поможет сэкономить кучу времени , когда нужно быстро собрать документацию по API во время пентеста. ▎ Что умеет Burp2Swagger ➡️ Поддержка нескольких доменов ➡️ Корректная обработка file upload (form-data) ➡️ Поддержка Basic и Bearer авторизации в каждом JSON ➡️ Автоматическое добавление примеров параметров из перехваченных запросов …

   Открыть пост в MAX
4. 1.1K просмотров, 56 реакций, 24 февр. 2026 г.

   Маленькое пополнение в нашей семье ☺️ Теперь у меня свой блэчер, бойтесь

   Открыть пост в MAX
5. 1.2K просмотров, 28 реакций, 17 февр. 2026 г.

   😈 Регистрация — оружие массового поражения Недавно на финтех-проекте во время тестирования аутентификации обнаружился неожиданный вектор деградации сервиса . API-эндпоинт /send_email отвечал за отправку писем на этапе регистрации для подтверждения электронной почты. Однако серия запросов подряд приводила к остановке личного кабинета : приложение переставало отвечать на 5-10 минут , сервис становился недоступен для всех пользователей. Достаточно было 15-20 последовательных запросов с одного IP-адреса с минимальной задержкой, чтобы полностью нарушить доступность. Предположительно, письма…

   Открыть пост в MAX
6. 1.6K просмотров, 45 реакций, 31 дек. 2025 г.

   🎉 С НОВЫМ ГОДОМ! Пусть в 2026 году ваши эксплойты будут стабильными, ложных срабатываний на минимуме, находки жирными, а клиенты адекватными! Главное, чтобы работа приносила радость и драйв, а после рабочего дня вас ждали уют, близкие и вкусный чай (или что покрепче). С новым годом, коллеги! ✨

   Открыть пост в MAX
7. 1.7K просмотров, 25 реакций, 26 дек. 2025 г.

   🗣 Всем привет! Пришло время подводить итоги года канала "Пентестер на мотоцикле"! В этом мне сильно помог бот TGStat. Если хотите такую же статистику для своего канала, то отправьте боту @TGStat_Bot сообщение типа "2025 @username ". От себя добавлю: 2025 год оказался переломным в моей жизни: крутая карьера и хоть какая-то начальная известность в своих кругах. Много экспериментов, роста и правильных поворотов. Дальше — больше. Всех с наступающим!

   Открыть пост в MAX
8. 1.9K просмотров, 41 реакций, 04 дек. 2025 г.

   Классный опыт) Получилось рассказать доклад даже лучше, чем я ожидал. Видео доклада опубликую сюда сразу, как будет у меня на руках. // Спасибо Серёже (Похек) за эту фотку 😁

   Открыть пост в MAX
9. 1.7K просмотров, 28 реакций, 01 дек. 2025 г.

   🔊 Спикерим 4 декабря пройдёт Ежегодная аналитическая конференция "КОД ИБ | ИТОГИ 2025" , в которой я буду принимать участие в качестве спикера. Приду с темой " Цена лишнего факта: как неосознанные утечки бьют по прибыли ", чтобы обратить внимание на скрытые риски, с которыми бизнес сталкивается каждый день, часто даже не замечая их. Разберём, почему такие мелочи стоят бизнесу реальных денег и как не допустить утечек, которые открывают злоумышленникам дверь во внутрь. Если будете на конференции — буду рад с вами встретиться и пообщаться)

   Открыть пост в MAX
10. 1.8K просмотров, 36 реакций, 30 нояб. 2025 г.

    🎉 Не утекаем, а празднуем Коллеги, всех с международным днем защиты информации ! Желаю всем крепких паролей и спокойной инфраструктуры.

    Открыть пост в MAX
11. 1.4K просмотров, 58 реакций, 29 нояб. 2025 г.

    🎉 Первый годик! Ровно год назад , 29 ноября 2024 года , появился канал " Пентестер на мотоцикле " , и благодаря вам он продолжает расти ! Ваш интерес это лучший стимул двигаться дальше, писать больше и делиться полезным! Спасибо каждому за подписку, активность и поддержку — именно вы делаете этот проект живым. Дальше только интереснее! 🏍

    Открыть пост в MAX
12. 1.8K просмотров, 25 реакций, 16 нояб. 2025 г.

    😈 Нашёл 0-day... почти Недавно на проекте по пентесту было обнаружено уязвимое коробочное решение Directus v9.23.3. Directus — это open‑source платформа для управления данными, которая превращает любую SQL‑базу в headless CMS, предоставляя автоматическую REST и GraphQL API и удобный веб-интерфейс для управления контентом. С таким ПО я столкнулся впервые, поэтому принялся ресёрчить все возможные там API-эндпоинты, файловую структуру и искать уже известные уязвимости (CVE). Первым делом встала задача определить версию Directus. Немного покопавшись в интернете, обнаружился эндпоинт,…

    Открыть пост в MAX
13. 1.2K просмотров, 27 реакций, 15 нояб. 2025 г.

    HTML Injection → Stored XSS → Hijack accessToken Во время анализа одного из веб-приложений наткнулся на поле, которое обрабатывает ввод без должной фильтрации. Примечение: cервис фильтрует <script> теги, поэтому XSS реализован с обходом — без явного использования скриптовых тегов. Решил проверить — вставил простой HTML: <h1>Test</h1> <!-- изменение размера шрифта --> Текст стал крупнее — значит innerHTML или подобная конструкция. Далее потестировал теги: <img src="x"> <!-- битая картинка --> <input> <!-- лишний input на странице --> Браузер создал элементы прямо в DOM.…

    Открыть пост в MAX
14. 1.3K просмотров, 25 реакций, 12 нояб. 2025 г.

    📕 Готовимся к изучению докладов Zeronights подогревает интерес! Стартовала публикация докладов программы на 2025 год. Напоминаю, что организаторы выкатывают описания выступлений с двух ключевых треков: Offensive и SecOps. ▎ Лично мне бы первым делом хотелось послушать доклады про веб и внешнюю инфру в целом: ➡️ "Когда весь периметр — одна страница: критические уязвимости на простых сайтах"; ➡️ "Что в дашборде твоём? Я просто хотел посмотреть метрики…"; ➡️ "Вредоносные расширения: как ваш браузер работает на атакующего". 🔗 Ссылка на полный список докладов Zeronights

    Открыть пост в MAX
15. 6.2K просмотров, 35 реакций, 12 нояб. 2025 г.

    🤨 Дождались! Больше года с нетерпением ожидал новый список топовых уязвимостей от OWASP. Для веба они выходят раз в 3-4 года, начиная с 2003 года. В рейтинге десяти самых распространённых за 2025 год появились две новые категории и одна консолидированная. Список предварительный (кандидат), окончательный будет чуть позже. ▎ Новые топовые уязвимости: ➡️ A03:2025 — Ошибки в цепочке поставок ПО (Software Supply Chain Failures) . Расширяет прежний пункт Vulnerable and Outdated Components и охватывает компрометации на всех этапах экосистемы разработки: зависимости, системы сборки и…

    Открыть пост в MAX