Life-Hack - Хакер

⚡️ Топ популярных/полезных постов за прошедшую неделю (сохрани себе чтобы не потерять): 1. Предыдущий топ статей 2. Мультиагентный AI-пентестер 3. ⚡️ Пентест на заказ (Сделаем качественно и не дорого) 4. Бесплатный и открытый инструмент для передачи файлов и папок напрямую между устройствами без использования облачных сервисов 5. Вторая жизнь Meshtastic — сеть связи без интернета 6. Сканер уязвимостей для Grafana с интерфейсом командной строки 7. ⚡️Мы пишем топовые статьи (большой опыт и реальные кейсы) 8. Как за вами следит Яндекс 9. Разведка на основе открытых источников (OSINT): Поиск секретов с помощью TruffleHog #информационнаябезопасность #ИБ #хакинг #кибербезопасность #багбаунти #пентест #багхантинг

OSINT проекта hilter.com. Скам?.. Спойлер да #статья #OSINT #мошенники Женщина занесла в проект 4735 долларов. Через пять дней решила проверить, отдают ли деньги обратно, и заказала вывод на одиннадцать долларов. Одиннадцать долларов пришли. После этого она занесла ещё 2959 и больше не увидела ничего. Проект называется hilter.com и продаёт доли в зарубежной недвижимости: вы покупаете токен, объект приносит аренду, вам капает процент. В карточке каждого объекта указана доходность от 1,19 до 9,88 процента… в день. То есть от 434 до 3606 процентов годовых без реинвестирования. 3606 процентов, Карл! Как говорится, что могло пойти не так )) Тут можно было бы заканчивать статью, потому что ни один актив в мире так не работает. Но дальше интереснее. Ссылка на статью LH | News | OSINT | AI

PatchDiff-AI #re #ai #полезное Автоматизация разбора фиксов. Работает предельно просто: даёшь ID уязвимости — и он сам качает патч из Update Catalog, распаковывает, накатывает дельты, прогоняет бинарники через IDA с BinDiff, декомпилирует изменённые функции и в конце пишет нормальный человеческий отчёт в markdown. На выходе — не просто «тут что-то поменялось», а конкретно: вот уязвимая функция, вот её декомпилированный код до и после патча, вот как оно триггерится. Подходит как быстрый способ въехать в суть патча и сэкономить часы на рутинном диффинге. Ссылка на GitHub LH | News | OSINT | AI

Разведка на основе открытых источников (OSINT): Поиск секретов с помощью TruffleHog #статья #OSINT Сегодня мы научимся использовать TruffleHog — инструмент с открытым исходным кодом для сканирования Git-репозиториев с целью обнаружения случайно раскрытых секретов. Он способен находить строки, похожие на API-ключи, токены, пароли или другие конфиденциальные данные. Злоумышленники любят TruffleHog, потому что он проверяет каждый коммит, тег и запись метаданных. Даже если разработчик позже удалит секрет, он по-прежнему хранится в истории Git, и TruffleHog его найдёт. Ссылка на статью LH | News | OSINT | AI

Ghosttype #ai #leak #полезное Разработчики постоянно постят секреты в чаты с Claude Code, Cursor, ChatGPT и Codex, а те складывают всю историю локально в открытом или слабозащищенном виде. ghosttype - локальный форензик-сканер, который это парсит и выдает отчет с привязкой каждой находки к исходному файлу разговора. 40+ паттернов: AWS, OpenAI, Anthropic, GitHub PAT (6 форматов), Stripe, Slack, Vault, GCP service accounts, JWT, PEM, коннект-строки БД. Двухслойный движок: regex (high) + эвристика по именам переменных вроде API_KEY= (medium). FP-фильтр: энтропия >=3.0 бит/символ, отсев плейсхолдеров и doc-примеров. Можно встроить в DLP-пайплайн и периодически сканить эндпоинты на утекшие в AI-чаты секреты. Ссылка на GitHub LH | News | OSINT | AI

«Как за вами (не) следит Яндекс»: что на самом деле происходит внутри Android-приложений #статья #spy На днях на Хабре вышла статья с разбором Яндекс Браузера и приложения Яндекс для Android. Автор сделал несколько выводов о работе приложений на основе анализа кода. Часть наблюдений в статье действительно описывает существующие механизмы, однако их назначение интерпретируется неверно. Во многих случаях речь идёт не о специфике Яндекса, а о стандартных механизмах Android, Chromium, работе современных голосовых помощников или платёжных SDK. При реверс-инжиниринге мобильного приложения очень легко увидеть большое количество подозрительно выглядящих методов, разрешений и сетевых вызовов. Намного сложнее понять, зачем они существуют и как используются на самом деле. Поэтому мы решили разобрать основные тезисы статьи и объяснить, как эти механизмы работают на практике. Ссылка на статью LH | News | OSINT | AI

NtWarden #полезное #re Отличный инструмент для ресерча и анализа потенциальных уязвимостей: процессы, службы, ETW, сетевуха, коллбеки и много чего еще. Ссылка на GitHub LH | News | OSINT | AI

Как за вами следит Яндекс: часть 1/3 #статья #полезное #spy #анонимность Яндекс - 69,9% поискового рынка РФ, 110+ млн пользователей в месяц, десятки сервисов: поиск, браузер, карты, маркет, такси, музыка, почта, диск, алиса, еда, погода, кинопоиск, плюс... Если у вас андроид - Яндекс.Поиск и Яндекс.Браузер почти наверняка стоят с завода. На Samsung, Xiaomi, Honor, Realme... Мы взяли два APK Яндекса и отреверсили их. Ссылка на статью LH | News | OSINT | AI

Access Check #полезное #OSINT #блокировки Сервис для проверки доступности интернет‑ресурсов и блокировок: показывает, открывается ли ссылка или домен из разных стран, часто используется для анализа цензуры и ограничений доступа. Полезно для анализа блокировок и фильтрации трафика. Ссылка на сервис LH | News | OSINT | AI

Prompt injection — лучше один раз увидеть #статья #pentest #ai В новостях часто появляются рассказы о том, что какие‑то злодеи уговорили чью‑то ИИшку на то, чтобы она потратила деньги, удалила файлы или поставила более высокую оценку. При этом используются слова «prompt injection», “атака” и пр., создающие впечатление, что это какое‑то сложное искусство, требующее особых знаний. В реальности же prompt injection это не то что не сложно, но и вообще не атака. Да, везде в интернете пишут, что это атака, но… Короче, проще один раз показать, чем рассказ на десять тысяч символов набивать. Ссылка на статью LH | News | OSINT | AI