⚡️КАК УСКОРИТЬ ПЕНТЕСТ В 10 РАЗ?

СКРЫТЫЕ УТИЛИТЫ ДЛЯ АКТИВНОЙ РАЗВЕДКИ В KALI LINUX

📱 ➡️СМОТРЕТЬ [08:59] СКРЫТЫЙ АРСЕНАЛ ПЕНТЕСТЕРА: РАБОТАЕМ С ARJUN И AQUATONE В KALI LINUX 🛠 Если вы занимаетесь Bug Bounty или только учитесь этичному хакингу, вы знаете, как много времени отнимает рутинная разведка. Прокликивать вручную сотни найденных поддоменов или пытаться угадать скрытые параметры в URL — это путь в никуда. В этом видео мы разберем две отличные утилиты, о которых почему-то редко говорят в базовых курсах по Linux, но которые экономят часы работы профессиональным багхантерам. В качестве тестового полигона мы развернем уязвимое приложение OWASP Juice Shop через Docker, а также проведем легальное сканирование поддоменов. 🔍Что мы разберем в видео:

🟦Подготовка стенда: Быстрая установка и запуск OWASP Juice Shop локально через контейнер Docker. 🟦Скрытые параметры URL: Для чего разработчики оставляют параметры в коде и как они становятся точками входа для хакеров. 🟦Разбор утилиты Arjun: Как работает инструмент для брутфорса HTTP-параметров. Находим невидимые ключи вроде sort, price, offset и id через команду arjun -u. 🟦Поиск поддоменов: Использование утилиты sublist3r для выгрузки актуального списка сабдоменов целевого сайта в текстовый файл. 🟦Разбор утилиты Aquatone: Пошаговая установка бинарного файла с GitHub и настройка через директорию /usr/bin/. 🟦Автоматизация разведки: Загружаем список поддоменов в Aquatone и автоматически получаем скриншоты всех страниц для быстрой визуальной приоритизации целей.

🦔 CyberYozh

Почему middle разработчик годами не растет? Частая история: разработчик хорошо выполняет свою работу. Но позиция стоит на месте 3-й год. И непонятно, что вообще делать когда вроде и так все умеешь. Обычно первая мысль - надо выучить ещё что-то. Новый фреймворк, ещё одну базу, новый инструмент. Кажется, что до senior большая пропасть. Хотя я все чаще вижу, как человек знает технически больше иного сеньора и всё равно остаётся мидлом. Дело тут не в коде Обычно мидл работает в режиме "как оплачено, так на..." 😁. Есть описание, есть требования, логика понятна, остается реализация. И это нормально, это хорошая, честная работа.

Разница уровней начинается там, где задача приходит кривой и без внятных требований.

Где надо самому понять, как это должно работать, какие есть варианты и где всё сломается через месяц. Где ты не ждёшь, что кто-то придёт и подскажет направление, а берёшь ответственность на себя. Я не рос по выслуге лет. Каждый раз это был момент, когда я брал ответственность шире, чем от меня ждали. Сначала фронтенд, потом фулстек, через два года DevOps. — Я всегда шел туда, где лежали деньги 🌟 Раньше можно было расти чисто вглубь технологий. Но сейчас код пишет ИИ, и ценность в том, чтобы понимать как работать с ним на 200%. Это про то, чтобы видеть картину шире, а не закрывать одну задачу за другой. 📈 Кто растет в 2026 Если человек несколько лет делает всё правильно, но уровень стоит - дело не в нехватке знаний. Проблема в том, что инженер так и остался в роли исполнителя, хотя технически давно перерос её. Чаще всего само место работы не позволяет получить следующую должность. Но иногда возможность есть, но вы не понимаете чего вам не хватает для следующего шага. — А что вас в свое время сдвинуло с места? Новая ответственность, смена работы или что-то ещё? Напишите в комментариях. #карьера · yt · tg · ig

🤔 Складной iPhone: «металлическое стекло» или 3D-печать? Свежий инсайд про будущий складной iPhone (по слухам — iPhone Ultra). Apple всё ещё не определилась, как делать самое сложное место любой раскладушки — шарнир. По данным инсайдера Fixed Focus Digital, у компании два пути, и оба ведут к почти незаметной складке. 🔸 Первый — жидкий металл. Это аморфный сплав, который застывает не в обычную кристаллическую решётку, а в «металлическое стекло». Отсюда упругость, стойкость к царапинам и умение возвращаться в исходную форму. 🔸 Второй — 3D-печать. Дешевле и проще в производстве, чем возня с жидким металлом. Всё упирается в память. Из-за дефицита чипов Apple сперва хотела выпустить складной iPhone ограниченным тиражом, а под малые объёмы удобнее жидкометаллический шарнир. Но если удастся договориться с поставщиками памяти и нарастить выпуск, компания может переключиться на 3D-печать. Финальное решение обещают принять до конца июля. @droidergram

[ХАБРААРХИВ] Одиннадцать металлов, каждый со своим рекордом и своей дичью Оказывается, мечта алхимиков всё-таки сбылась. В 1947 году физики превратили ртуть в золото, вот только из 100 миллиграммов вышло 35 микрограммов, и эти крохи теперь лежат в чикагском музее. Дальше по списку не легче. Уран горел сам собой в природном реакторе в Габоне два миллиарда лет назад, задолго до всяких людей. Калифорний стоит до 27 миллионов долларов за грамм, и автор видел его своими глазами в виде крохотной ампулки. А франция на всю земную кору набирается смешных 340 граммов. Отдельно стоит радий, металл обмана. Он красиво светился, стоил дороже золота, и его совали в зубную пасту, шоколад и «целебную» воду, пока светские богачи от этой воды не начали умирать. История одного любителя радиевой водички закончилась дырами в черепе. Посмотрим, чем ещё отличились самые тяжёлые, лёгкие и стойкие металлы из этой десятки. #хабраархив

Сделал простую автоматизацию, которая 100% классная Много критики в адрес ИИ сейчас. Большая часть заслуженная. Но это другой случай. Живу в Бразилии, во Флорианополисе, рядом с пляжем Кампеше. Каждый июль сюда приходят южные гладкие киты. 50-тонные (!) животные в 30-100 метрах от берега. Есть классный местный UGC сайт, который я люблю: местные отмечают, где видели кита в последний раз. Сделал с Claude небольшой алерт, который пингует меня в Slack, когда кит рядом с моим пляжем. В прошлом году, чтобы их увидеть, пришлось поехать 60 км и немного удачи. (Тогда повезло в течение часа видеть 8-10 китов с детёнышими, впечатляет) В этом году телефон вибрирует (Кит рядом 🐋) - и это 5 минут пешком. Вот и всё. Без ИИ я бы это не сделал

Да — в Duolingo действительно появился раздел/курс по шахматам в приложении, и его позиционируют как новый обучающий формат рядом с языками, математикой и музыкой. [ru.duolingo](https://ru.duolingo.com/chess) ## Что можно подтвердить - На странице Duolingo есть отдельный шахматный курс с описанием обучения для новичков и для тех, кто хочет освежить навыки. [ru.duolingo](https://ru.duolingo.com/chess) - В App Store у приложения Duolingo указаны не только languages, но и Chess, а также Math и Music, то есть шахматы встроены в продуктовую линейку приложения. [apps.apple](https://apps.apple.com/ru/app/duolingo-languages-chess/id570060128) - В русскоязычных публикациях пишут, что курс уже начали выкатывать части пользователей, сначала в бета-версии и с постепенным расширением доступа. [hi-tech.mail](https://hi-tech.mail.ru/news/125814-duolingo-kurs-po-shahmatam/) ## Как это устроено - Обучение идет короткими интерактивными уроками, мини-задачами и партиями против виртуального тренера. [hi-tech.mail](https://hi-tech.mail.ru/news/125814-duolingo-kurs-po-shahmatam/) - В описаниях упоминается персонаж Оскар, который помогает проходить уроки и подсказывает ходы. [hi-tech.mail](https://hi-tech.mail.ru/news/125814-duolingo-kurs-po-shahmatam/) - Позиционирование очень понятное: сделать шахматы более доступными и «легкими для входа» через формат, похожий на языковые уроки Duolingo. [hi-tech.mail](https://hi-tech.mail.ru/news/125814-duolingo-kurs-po-shahmatam/) ## Полезная фактура для поста - Формулировка: «Duolingo расширил приложение за пределы языков — теперь там есть шахматы». [apps.apple](https://apps.apple.com/ru/app/duolingo-languages-chess/id570060128) - Акцент: «курс ориентирован на новичков и идет в коротком игровом формате». [ru.duolingo](https://ru.duolingo.com/chess) - Контекст: «это продолжение стратегии Duolingo по добавлению новых обучающих вертикалей после математики и музыки». [apps.apple](https://apps.apple.com/ru/app/duolingo-languages-chess/id570060128) ## Возможный angle Можно подать это не как «Duolingo добавили шахматы», а как «Duolingo превращается из языкового приложения в образовательную платформу с несколькими навыками». [apps.apple](https://apps.apple.com/ru/app/duolingo-languages-chess/id570060128) Могу сразу собрать это в готовый короткий пост для Telegram или LinkedIn в твоем стиле.

@jitbit принёс файловую систему πfs, где всё можно хранить внутри π. Пи — такое хитрое число, что грубо говоря, там каждый следующий знак можно воспринимать как условно-случайный. То есть запись числа содержит любую конечную последовательность цифр. А это значит, что рано или поздно внутри π встретится полная копия вашей ДНК, ваш пароль от роутера, каждый из ваших файлов и даже тот файл, что вы запишете завтра. И чтобы обратиться туда, надо сделать вещи: 1. Найти данные внутри π (это может занять от пары секунд до пары веков и больше) 2. Записать смещение и длину (это почти мгновенно) Чтобы прочитать — просто перейти по координатам и вычитать нужную длину. В реализации файловой системы чтения нет, это вы уж сами. Собственно, от файловой системы остаётся только аналог FAT, где хранятся смещение и длина + заголовки файлов. Система очень надёжная, даже если вы потеряете метаданные, сами данные будут храниться вечно. Запись делается через формулу Дэвида Бейли — можно вычислить два шестнадцатеричных знака дробной части π начиная с позиции id, без вычисления всех предыдущих. Корректна до id ≈ 1,18×10^7, дальше надо разрабатывать отдельные типы или переходить на C++ с его __float128. Для длинных смещений формула работает очень быстро по сравнению с любыми другими методами, потому что даёт считать без вычисления предыдущих цифр (то есть без сильных затрат оперативки), но всё равно время выполнения растет линейно-логарифмически. Ещё она очень хорошо параллелизуется, но при этом у неё нет квантового ускорения. В текущей реализации пишутся чанки, для прототипа — по 1 байту. На каждый байт данных хранится 2 байта метаданных. Если вы хотите писать чанки больше или сразу целые файлы — придётся менять параметры и больше считать. У файловой системы есть проблемы: — Нормальность π — это недоказанная гипотеза. Доказаны иррациональность и трансцендентность, но не равномерная встречаемость. Все эмпирические проверки её подтверждают, но строгого доказательства нет. Это значит, что не факт, что искомая последовательность встретится. — Для смещений порядка 2^64 одно чтение блока заняло бы тысячи процессорных лет, а смещение мегабайтного файла пока не получается записать никуда. — На практике на игровом компьютере 4 байта пишутся мгновенно, 8 байт — 18 секунд, 10 байт — 2 недели, 16 байт — 780 возрастов Вселенной. Именно поэтому выбран чанк 1 байт — чтобы вы могли хоть что-то быстро записывать. — И того, что мы уже вычислили, в массиве найдётся любой блок до 6 байт, и уже с вероятностью около 2% — блок из 7 байт. — Маркетинговый материал включает заявления "infinite storage" и "100% dedup", это правда. — Версии для Win уже 14 лет всё ещё нет. Можно над ней смеяться, но вообще-то она работает. Наглядным пособием почему хранение данных в π или в Вавилонской библиотеке или в бесконечной константе ничего не даёт. Потому что вся информация перетекает в индексы. Судя по запросам сообщества, нужна поддержка ещё 𝐞, √2, τ, предлагают пихать метаданные тоже внутрь π, чтобы уменьшить объём хранения, в планах поддержка Hadoop. Вот вам некоторые полезные смещения: hex 0xF00D — 13680, 0xDEAD — 40771, 0xC0DE — 53378, ASCII 'Hi' — 4506, ASCII 'OK' — 12301. Ещё там есть точка Фейнмана: шесть девяток подряд «999999» на позиции 762. Название файловой системы (314159, первые шесть цифр π) лежат на позиции 176451. 16470 стоит на позиции 16470, 44899 на позиции 44899, 1 на позиции 1 (если считать передними когтями с нуля). И да, если вы дочитали до этого места, вы упоротые. -- Вступайте в ряды Фурье! | Лучшие посты — Тебя как зовут? — Как Лёху. — Как какого Лёху? — Как любого Лёху.

На фоне популярности дамбфонов журналист Wired вспомнил, что в айфонах есть встроенный аналог. Речь идёт о режиме «Упрощённого доступа», который делает «белые списки» приложений. Вы можете сделать так, чтобы на телефоне остались только звонки, погода, фото, камера и так далее Вот как это включить:

Настройки > Универсальный доступ > Упрощённый доступ

Далее нужно выбрать приложения и настроить к ним доступы. Готово, вы больше не отвлекаетесь на уведомления. Ну или у вашей бабушки или ребёнка теперь телефон без опасных соцсетей и интернета 😙 Важный совет: чтобы выйти из этого режима, потребуется три раза нажать на кнопку питания. После этого надо ввести пароль от экранного времени (запомните его)

Обновление Яндекс Музыки, которое вызвало шквал возмущения в соцсетях, критиковали внутри самого Яндекса перед релизом, но эффективным менеджерам было плевать Яндекс Музыка выкатила большое обновление в конце мая. Само обновление было давно, но мне попал в руки скриншот из внутреннего мессенджера с обсуждением этого релиза. Расскажу контекст. Яндекс предлложил юзерам новый инновационный сценарий взаимодействия с приложением — это выбор настроения треков. То есть не свои подборки или определённый жанр музыки, а именно настроение, сформулированное долбоёбскими AI-слопными формулировками: «неделя до диплома (ааа)», «свидание 10 из 10» или «секс под грустную музыку». Вдобавок дизайнеры накрутили некоторые спорные решения, например, кнопки «вперёд/назад» убрали с экрана трека, потому что по задумке перелистывание настроения важнее. Прило стало лагать на слабых девайсах, а некоторые любимые пользователями функции переместили подальше так, что их не найти. Пользователи были в ярости. Вот цитата самого популярного отзыва на Пикабу (орфография автора сохранена): Яндекс.Музыка, хотите отзыв? Идите НА ХУЙ с такими обновлениями. Вот реально, я максимально лояльный пользователь, по жизни вежливый и культурный, но ваше приложение, а точнее — ее обновление, просто вывело меня из себя и сдерживаться я не буду. Вы делаете ГАВНО! И за мои же деньги, мать вашу, вы меня им кормите! Сотрудники Яндекса, которые тестировали приложение до релиза, говорили, что получается плохо, но руководство Я.Музыки отвечало на это примерно так: вы просто не понимаете проблематику и внутреннюю кухню сервиса, а мы понимаем. Релиз обсуждали долго, сотрудники несколько раз пытались донести, что сервис совершает ошибку. Пипл схавает. Какая разница? Последствий всё равно не будет, аудитории некуда переходить. Яндекс монополист с более чем половиной российского рынка стриминга. Тем более по инфе из официального пресс-релиза новый интерфейс повысил такие важные метрики для пользователя, как переход на страницу артиста на 11% и уменьшил количество дизлайков в «Моей волне» на 4%. К посту приложил скрин из корпоративного мессенджера Яндекса с хронологией внутреннего спора о новом дизайне Я.Музыки от одного из сотрудников. И вот самое интересное там: 0. Зацените этот пассивно-агрессивный тон вкупе с корпоративно-ебланским языком. Это владение на уровне мастера. 1. Вы удивитесь, но в самом Яндексе признают агрессивную монетизацию своих сервисов, их перегруженность и неудобство, рекламу на каждом квадратном сантиметре и дарк-паттерны. 2. В Яндексе тоже считают, что в подписку Яндекс Плюс в нагрузку включены ненужные сервисы. Подписка дорожает, а качество этих сервисов ухудшается. 3. Ну и вишенка — работники Яндекса НЕИРОНИЧНО на серьёзных щщах называют себя «яндексойдами».

Про «ух сейчас как сделаем свой враппер чужой LLM и как захватим рынок» С прошлой пятницы у меня было три выступления на немного нетипичные для меня темы. Расскажу по очереди про все. Первое выступление было на открытие Техлаба в кластере Ломоносов про новую волну технологий, связанных с ИИ, чем она отличается, и где может быть наше место в ней. Ключевой тезис был простой. Если грубо сегментировать стартапы вокруг LLM по глубине технологии (pre-train foundation моделей, SFT и Alignment, wrappers на готовых моделях) и по географии (США, Европа, СНГ), то упрощение технологии и уменьшение рынка при переходе между сегментами крадет по 1-2 порядка в потенциально достижимой капитализации. Это конечно не повод каждому стартаперу сидя в СНГ бежать делать свою foundation модель, на конкурентную версию которой ему все равно пока не хватит денег, но повод трезво оценивать возможности: хочешь единорога - иди интегрироваться в рынки побольше или делай что-то посущественнее. Не открыл никому Америку, но чем больше мне люди рассказывают про свои проекты, тем чаще замечаю, что кто-то должен повторять вслух банальности. Особенно сейчас, когда много больших и не всегда айтишных корпораций начинают приобщаться к теме ИИ и строить свои планы занять существенный сегмент этого рынка, важно помнить, что на враппере чужой LLM в России большого бизнеса не выходит. Ну вот так жизнь устроена, увы.

🔥 Kreamania — свежий чекпоинт-микс на Krea 2 Название: Kreamania Ссылка: https://civitai.com/models/2729631 Тип: #Checkpoint Скачиваний: 5 211 Дата: 09.07.2026 (Variant 4, всего 4 итерации микса за две недели) Базовая модель: Krea 2 Автор: Adel_AI Теги: #Krea2 #фотореализм #кинематографично #пейзаж #Checkpoint Описание: Фотореалистичный универсальный микс на архитектуре Krea 2. Автор собрал модель под кинематографичный свет и естественную атмосферу — туман, дождь, рассеянные облака, мягкие тени. Одинаково уверенно тянет и предметку (авто, техника), и живую натуру (животные, люди), и пейзажи — от исландских скал до туманных озёр. Есть и живописный режим: масляная фактура, фэнтези-сюжеты с сохранением той же детализации в лицах и материалах. За неделю модель собрала 420 лайков — авторские сэмплы регулярно попадают в топ раздела Krea 2 на Civitai. Параметры: CFG 1 · Steps 8 · Sampler er_sde_simple (родные турбо-настройки Krea, без доп. LoRA) 🤖 НЕЙРО-СКЛАД — всё, что нужно, для твоей нейронки!

💉 Что такое SQL Injection? SQL Injection — одна из самых известных веб-уязвимостей, о которой слышал практически каждый, кто начинает изучать пентест. Но что она означает на самом деле?

📌 SQL Injection (SQLi) — это уязвимость, которая возникает, когда приложение неправильно обрабатывает пользовательский ввод при обращении к базе данных.

Проще говоря, злоумышленник может повлиять на SQL-запрос, который приложение отправляет в базу данных. 🧠 Представьте обычную форму входа на сайте. Вы вводите: — логин — пароль После чего приложение обращается к базе данных и проверяет, существует ли такой пользователь. Если разработчик не проверяет входные данные должным образом, появляется риск SQL Injection. 💀 Почему это опасно? В зависимости от приложения и уровня защиты последствия могут быть разными: — получение данных пользователей; — просмотр информации из базы данных; — обход аутентификации; — изменение или удаление данных. Именно поэтому SQL Injection уже много лет входит в список самых опасных веб-уязвимостей. 🛡 Как защититься? Основные рекомендации: — использовать параметризованные запросы (Prepared Statements); — проверять и фильтровать пользовательский ввод; — не собирать SQL-запросы простой конкатенацией строк; — использовать принцип минимальных привилегий для доступа к базе данных. 📌 Несмотря на появление современных фреймворков и ORM, SQL Injection до сих пор регулярно встречается в реальных проектах. Именно поэтому понимание принципов её возникновения остаётся одним из базовых навыков для любого специалиста по веб-безопасности. #web #owasp #sqli #injection

🚗 Автомойки самообслуживания и роботизированные мойки С ростом интереса к автомойкам самообслуживания и роботизированным решениям открытие подобного бизнеса в небольшом городе может стать выгодным вложением. Почему это перспективно: мойки самообслуживания подходят для клиентов с ограниченным бюджетом, а роботы позволяют быстро и удобно помыть машину, не выходя из салона. Что важно учесть на старте: Место: ищите участок промышленного назначения, вдали от жилых домов (не ближе 100 метров), с хорошим автомобильным потоком и подведёнными коммуникациями. Площадь: для одного поста понадобится около 100 м². Бюджет: стоимость одного поста стартует от 500 000 ₽, но в небольших городах расходы могут быть ниже. Согласования: потребуется утвердить проект в Роспотребнадзоре, МЧС и городской администрации. Строительство: этапы включают подготовку участка, возведение каркаса, монтаж оборудования (терминалы, роботы, устройства для химчистки). Фаундер | Бизнес и Стартапы