PTP, WebRTC, WebRTC Leaks

WebRTC Leaks и атаки на P2P: как деанонимизировать пользователя через браузер

WebRTC (Web Real-Time Communication) — это браузерный стандарт для голосовых и видеозвонков, передачи данных прямо между браузерами без плагинов. Но за этим удобством скрывается фундаментальная проблема: протокол раскрывает реальный IP-адрес пользователя, даже если тот сидит за VPN. Разбираем механику …

OAuth 2.0 Device Flow

OAuth 2.0 Device Flow: как угнать токен через телевизор

OAuth 2.0 Device Flow — это поток авторизации, спроектированный для устройств без клавиатуры и браузера: смарт-ТВ, игровых консолей, CLI-инструментов и IoT-девайсов. Но там, где есть удобство — есть и уязвимости, и сегодня мы вскроем всё по-честному.

Как это работает (под

eBPF, Руткит

eBPF: двойной агент в ядре — и руткит, и детектор

Что такое eBPF и почему это важно

eBPF (Extended Berkeley Packet Filter) — это виртуальная машина внутри ядра Linux, позволяющая запускать верифицированный пользовательский код прямо в пространстве ядра без написания модулей и без перекомпиляции. Изначально технология создавалась для мониторинга производительности …

IaC, Terraform

Terraform и IaC: как читать чужую инфраструктуру как открытую книгу

Почему IaC — это золотая жила для аналитика

Когда инфраструктура описана кодом — это одновременно сила и слабость. Сила для команды разработки: всё воспроизводимо, версионировано, читаемо. Слабость для безопасности: тот, кто умеет читать .tf файлы, видит всю архитектуру сразу — …

Jealbreak, Kubernetes, Kubernetes Jailbreak

Kubernetes Jailbreak: от пода до cluster-admin за 5 шагов

Один скомпрометированный под → неправильный RBAC → cluster-admin за несколько минут. Ни одного CVE, ни одного kernel exploit — только цепочка мисконфигов, которые встречаются в 35%+ реальных кластеров. Buckle up.

Контекст: почему K8s — это клондайк

В марте 2026 …

0-day, AI, AI-Fuzzing, Fuzzer, Fuzzing

AI-Powered Fuzzing: как нейросетка находит 0-day быстрее тебя

AI-фаззинг — это уже не хайп. В январе 2026 один AI-агент нашёл 12 новых zero-day в OpenSSL — в кодовой базе, которую фаззили миллионы CPU-часов и аудировали 25 лет. Добро пожаловать в новую эпоху.

Что такое фаззинг и зачем ему

ChatGPT, LLM, Prompt Injection

Prompt Injection: как сломать LLM и заставить ChatGPT слить секреты

Привет, друг!

Prompt Injection — это #1 уязвимость в списке OWASP Top 10 для LLM (LLM01:2025). Суть проста: ты не ломаешь код — ты ломаешь смысл. Атака работает на семантическом слое, а не на сетевом, поэтому классические WAF и …

Supply Chain Attack

Supply Chain Attack: как положить полмира через одну npm-библиотеку

Привет, друг!

Представь: ты не ломаешь Google, Microsoft или банк напрямую. Ты взламываешь маленькую библиотеку с 2 миллионами загрузок в неделю — и получаешь доступ к сотням тысяч проектов сразу. Это и есть Supply Chain Attack — элегантная, жестокая и …

File Upload, RCE, RCE (Remote Code Execution), Web-shell

File Upload: от аватарки до веб-шелла за три шага

Эй, разработчики и пентестеры! Функция загрузки файлов — это золотая жила для взлома. 80% веб-приложений имеют ее, но проверяют криво. Атакующий тратит 5 минут, а ты теряешь сервер.

В этой статье — пошаговый разбор: от обнаружения уязвимости до выполнения …

VoIP/SIP, VoIP/SIP Hacking, Хакинг, Этичный хакинг

VoIP/SIP Hacking: как прослушивать звонки и воровать минуты

Салют, камрады. Сегодня разбираем тему, от которой у сисадминов седеют волосы, а у бизнеса — пустеют кошельки. Речь про VoIP.

Многие думают, что IP-телефония — это какая-то магия. На деле это обычные UDP-пакеты, летящие по сети. И если админ поленился …