Похек

Интересно, а если вендора выебут через 1day спустя неделю после ее публикации, он как будет оправдываться?)) Может тогда лучше вам багхантер занесёт багу, вы ему заплатите, зато точно будете знать где у вас болит и что конкретно может утечь Я понимаю, что у нас все никак оборотные штрафы не введут и пока что условному Шмяндексу только Ата-та-та говорят и максимум щелбан по носу достается за утечку персухи половины россиян и СНГ, но может пора что-то менять? Хакерам знаете ли похуй, прошло у ва…

С учетом того, как много громких CVE было опубликовано в октябре, хотим подробнее прокомментировать наш подход про 1day-уязвимости в Охоте. Для CVE в популярных библиотеках (NodeJS/PHP/Log4j/ImageMagick и т.д.) мы придерживаемся следующих правил: 🔴 0-31 дней с момента раскрытия в Интернете  — Яндекс не вознаграждает отчеты с ними. В этот период мы занимаемся самостоятельной раскаткой исправлений. 🟡 31-60 дней с момента раскрытия — лучше уточнить статус раскатки для конкретного сервиса.  Мы ст…

Как вы там, потомки? А вообще, мне кажется, что модель обычного багбаунти пора сворачивать - особенно в мире, где 24/7 работают сотни агентов, готовых сделать что угодно, а блэкхеты каждый день выносят всё больше и больше капитала. Если бизнес хочет сосуществовать с вайтхетами, пора поднимать выплаты, расширять скоуп и разрешать в своих политиках проверять все реальные векторы атак. Заметил, что после выноса компании готовы предложить блэкхетам 10% от награбленного за возврат остального. Хотя …

Что бы такого запостить… 🤔 Запостим опрос для багхантеров! Мы готовим большое ежегодное исследование и хотим услышать тех, кто каждый день ищет уязвимости, собирает цепочки и отправляет отчеты. Чем больше исследователей поделятся своим опытом, тем лучше поймем, чем сейчас живет багбаунти-комьюнити 🔍 Неважно, ты только пришел на платформу или уже давно ищешь баги — нам важно мнение каждого! Расскажи о своем опыте по ссылке 🖱️

PowerShell-реверс-шелл с 0/60 на VirusTotal уговаривает AI-песочницу его не анализировать 26 октября Норберт Тихани обновил PSSW100AVB и выложил ReverseShell_2026_10.ps1. На момент публикации VirusTotal показывает 0/60. Механизм. Сам шелл простой: TcpClient на порт 8443, команды читаются построчно и уходят в IEX. Строку IEX скрипт собирает разворотом "XEI"[-1..-3] -join "", кладет в переменную окружения WTA и вызывает через & $processor $command. В шапке легенда «Windows Telemetry Admin» и обр…

🤖 Агент на пентесте перезапустил базу данных, потому что она ему мешала Агент рассчитывал, что сервис поднимется сам, результат не проверил и пошёл дальше. База не поднялась. Стенд был мой, поэтому история закончилась без последствий. CTO и CISO Medici Lab Александр Кельчин ронял агентами демостенды заказчиков, причём по договорённости. На Хабре вышла текстовая часть нашего часового разговора с Александром о том, что ИИ-пентест умеет в 2026 году. Агенты хорошо подтверждают уязвимости и плохо …

На волне 4 в сертификатах и прочих прекрасных новостей безопасности чуваки сделали софт для простой прошивки и управления Яндекс станциями. https://github.com/nyakokitsu/yam Надо будет сделать кинопаб и ТУСАМУЮ музыку из ВК.

Вау, это очень прикольно

📎 Media

403 от Azure Application Gateway обходится через ?x=.js Ловишь 403 Forbidden с подписью Microsoft-Azure-Application-Gateway/v2? Допиши в query подстроку .js: /utility?x=.js → 200. Работают и ?.css, ?.jsp, ?.jstxt, а ?js и ?.txt дают 403. Вероятная причина — кастомное WAF-правило Allow для статики, которое ищет .js/.css во всём RequestUri вместе с query. Allow в Azure WAF пропускает все остальные правила, включая managed. Чинится на стороне сайта: проверять расширение только в пути. 🔗Доп инфа:…

📎 Media

🖼 Photo

📎 Media

Новый выпуск: ИИ-пентестер уволит человека или положит инфру?! Александр Кельчин, CTO/CISO Medici Lab, сам собирал автопентест на агентах. Его вывод: специалиста агенты пока не заменяют. О чём говорили: — 20 лет автопентеста: от XSpider до агентов с MCP и Burp — EASM, VM и CTEM — в чём разница — XBOW на HackerOne и что ИИ реально даёт в багбаунти — вайбкодеры против безопасников: код сейчас пишется почти бесплатно, а его проверка занимает столько времени, что QA и безопасники, по прогнозу Алек…

Шесть багов в ядре Linux вне сети и BPF: пять доведены до root, один — еще и на Galaxy S26 Ultra из untrusted_app Hyunwoo Kim (@v4bel) после эмбарго через linux-distros выложил Infinity Core: разборы и PoC для timer, signal, mm, futex, scheduler и SLUB. Ни один баг не требует user namespace, так что запрет непривилегированных userns здесь не помогает. На видео CVE-2026-98260. Поток-не-лидер делает exec(), забирает TID лидера, после чего exec() падает. Узел освобожденного k_itimer остается в ti…

Cегодня проекту Похек исполняется 5 лет! В честь чего я сделал полный ребрендинг мерч шопа https://shop.poxek.cc/ + прикольный видос (смотреть со звуком) + готовлю новый интересный мерч, пока ещё на стадии полировки. Обещаю что будет мерч, который я буду раздавать на конфах всем)) а часть будет интересным эксклюзивом с маленьким тиражом 5 лет канала это очень долгий путь для меня, канал и его активность веду в соло всё это время, так что путь не легкий, но останавливаться не планирую. Ждите в …

Сегодня я на Т-Банк Security Shift мероприятии. Позвали в качестве СМИ, что приятно и подготовили для СМИ подарки :)) А еще вечером поеду на некое афтерпати тоже от Т-Банк, так что не переключайтесь)) Офис T-Space классный, мне ранее в нем делали персональную экскурсию представитель Т-Банк Bug Bounty, за что ей большне спасибо. Советую посмотреть кстати наш с ними выпуск подкаста "Принято в работу!", который незаслуженно набрал мало просмотров) Уже увидел с десяток знакомых лиц, если вы тоже …