Заметки Моржа


Гео и язык канала: Россия, Русский
Категория: Познавательное


Личный блог об информационной безопасности.
Чат – t.me/ctf_i_tochka_chat
По любым вопросам – @b_alxn
Контент канала предназначен исключительно для образовательных и исследовательских целей. Не используйте материалы во вред и с нарушением закона.

Связанные каналы

Гео и язык канала
Россия, Русский
Статистика
Фильтр публикаций


Забрали топ на GIS CTF

1 и 2 место, в этом году отыгрались c @velvetwayplace.

Немного грустно, что в 2025 году пришлось решать руками все 10 часов (и не все задания получилось решить в итоге), а в 2026 году CTF закончился всего за 1,5 часа.

Обещали таски по пентесту, но, видимо, у разработчиков заданий не хватило токенов. Зато таски по вебу нормальные: заложены разные виды уязвимостей и у всех вполне логичное решение, новичкам зайдёт.

P.S. Не люблю эмодзи огонька, давайте сегодня без него.

Заметки Моржа | Буст этому каналу

#ctf #gisdays


Claude обижает школьников, день первый

Заметки Моржа | Буст этому каналу


Теория мёртвого CTF

Приняли участие в фестивале GAME-IT в дисциплине «Программирование систем информационной безопасности».

В одном миске по майнкрафту нужно было через бота заюзать уязвимость для получения флага.

Один тиммейт сидел ковырял это задание руками (да, такое бывает), а второй натравил на него кодекса.

Кодекс убил этого бота и создал нового, ничего никому не сказав. А затем выдавал себя за оригинального бота и общался с моим первым тиммейтом.

По итогу моему товарищу дали приз и номинацию «Бой с тенью».

Такие вот дела.

P.S. Таск никто не смог решить.

Заметки Моржа | Буст этому каналу


Занял 2-е место в конкурсе историй про ошибки ИИ

К сожалению, не сразу репостнул свои истории в канал, а потом подумал, что это уже не так актуально. Но истории мне нравятся (пусть они и не такие крутые, как на скрине), обе основаны на реальных находках. Поэтому всё-таки решил поделиться ими с вами.

История №1 – наглядно показывает, что вайбкодинг и человеческая глупость всегда будут плодить простые уязвимости, которые не встретишь даже на CTF.

История №2 – две истории о том, как я соревновался с ИИ и победил.

Из работ других участников мне особенно понравилась история про сжатие контекста.

Кому интересно, итоги конкурса можно посмотреть здесь.

Заметки Моржа | Буст этому каналу

P.S. Был уверен, что заберу топ-1, но видимо проклятие 2-го места существует.

P.P.S. В августе купил себе путь CWPS в Kraken Academy – следующий пост будет об этом.


Вот и лето прошло

Всем привет. Собрал для вас небольшую подборку интересных ивентов.

1. HackQuest перед ZeroNights
Неделя тасков, которыми можно добыть себе проходку на питерскую конфу.

Каждый день в 20:00 мск открывается новый таск, 24 часа на решение. Фёрст-блад приносит сразу проходку на конференцию, второй – 0,5 балла, третий – 0,25. Баллы копятся, единичка превращается в ещё один инвайт.

Хакквест стартовал в пятницу и продлится до 27 августа. Регистрироваться заранее не нужно – просто приходите к очередному таску и ломайте.


2. Ozon Tech Cyber Quiz
Один бот, пять задач и 10 призов – наборы мерча для комфортных путешествий в пределах Млечного Пути 🎁

Заходите в бота.
Дешифруйте задания (это можно делать в любом порядке и в любое время).
Участвуйте в розыгрыше (а это, когда решите минимум 4 из 5 задач).

Ждём ваши флаги до 6 сентября. В первый школьный понедельник, 7 сентября, объявим отличников: здесь, в комментариях к посту.


Также кто хотел, но ещё не успел поучаствовать в конкурсе от БАГодельни, – поторопитесь, осталось всего несколько дней. Пока участников меньше десяти, а победителей будет десять – практически беспроигрышная лотерея.

Заметки Моржа | Буст этому каналу

P.S. Не придумал картинку для поста, пришлось воровать у @ovcotic

325 0 2 10 10

Итоги соревнования «Сердце Сысолы»

2-е место в отборе + прохождение в финал + я 2 раза в покер обыграл тиммейтов.

Заметки Моржа | Буст этому каналу

331 0 6 10 10

Репост из: БАГодельня
❗️Внимание! Конкурс на 13 500 рублей!

Чтобы вам не было скучно ближайший месяц, пока нет новых задач на борде, предлагаю всем желающим поучаствовать в конкурсе.

Условия конкурса:
Нужно написать текст (лучше с картинками) в формате телеграм-поста. Тема: взлом и проблемы безопасности вайбкодинга. Принимается все, что связано с безопасностью проектов, реализованных с помощью ИИ: истории взлома таких проектов(обезличенные), рассказы про код с помощью ИИ, где нейронки творят безобразие, и тд. Длина текста должна быть ограничена одним постом, чтобы влезло в одну запись тг-канала, а минимальная длина не ограничивается, главное чтобы история была понятна и раскрыта полностью.

Примеры работ: пост в канале motgyl-а и для примера я еще один побольше написал.

Призы будут за первые 10 мест:
– 1 место – 5 000 руб.
– 2 место – 3 000 руб.
– 3 место – 2 000 руб.
– 4-10 места – по 500 руб.

Один и тот же участник может занять несколько мест, теоретически даже все 10 – оценивается каждая работа отдельно.

Критерии оценки:
– Текст должен быть уникальным, а не из интернетов скачан
– Насколько интересен взлом
– Качество написания: слог, картинки, объяснения
– Объем текста: чем полнее описание, тем лучше

Победителей выберет жюри (я сам). Самые интересные посты потом будут опубликованы.

Присылайте ваши конкурсные работы мне в личку телеграм: @ipatove
Заявки принимаются до 12:00 по МСК 26 августа. Результаты будут объявлены 1 сентября.

Все конкурсные работы будут складироваться тут: ссылка

———
#⃣ #Новости #Конкурс

🐞 Канал // 💬 Чат // 📋 Задачи


Итоги финала Axiom CTF 2026

На этих выходных съездил в мск. Надеялся поиграть в Attack-Defense, но у организаторов возникли технические шоколадки. Видимо, проклятие МИФИ всё-таки существует.

Нас встретил практически неработающий ctf: доступ к вулнбоксу появлялся через раз, сервисы сами по себе падали и поднимались. Возможно криво работал чекер, так как у некоторых команд воровали флаги с неработающих сервисов.

Это был первый опыт проведения A/D у организаторов, поэтому мне их отчасти жаль. Однако в итоге соревнование так и не состоялось.

Мы 8 часов ждали, что проблемы исправят и ctf всё-таки запустят. Но этого не произошло. В 18 часов соревнование завершили и провели «награждение» тех, кто остался до конца и успел нафармить больше всего очков.

Нам даже дали призы за 3-е место (мы были на 4-м, кто-то из топ-3 ушёл), но я считаю это соревнование полностью несостоявшимся, а призы – небольшой компенсацией за ожидание чуда. Как сказал мой товарищ velvetway: «Возникло ощущение, что меня изнасиловал педофил, а потом дал мне конфетку, чтобы я не расстраивался».

Особенно грустно, что мы собрались самым сильным составом за всю историю команды (нам почти год, ура), но так и не получили возможности проверить свои силы на практике.

Подводя итоги для себя, я отметил, что больше не хочется участвовать в каких-то небольших локальных ctf, особенно в офлайн-финалах. Да и на крупных соревнованиях, если что-то не работает больше двух часов, то ждать, пока это починят – скорее всего, пустая трата времени.

Из плюсов: немного сменил обстановку, встретился с тиммейтами (лучшее событие за месяц), увиделся со многими другими командами (в последнее время всё чаще пересекаемся на финалах), выжил на Китай-городе и покушал вкусной еды.

На этом всё. Надеюсь, ваши выходные прошли не хуже моих. Цените своё время, друзья, всем 67.

P.S. Дополнительно сегодня закрыл быстрее всех таски на БАГодельне, поэтому неделю буду висеть в топе на 1 месте.

Заметки Моржа | Буст этому каналу

#axiom


Финал Axiom CTF 2026

К AD готовы:
Кодекс – запущен.
Чокопай – присутствует.
Треки Доры – играют.
В форме тикетов XSS – отсутствует.

Ждём сервисы.

Заметки Моржа | Буст этому каналу

#axiom




Небольшие итоги июня

Последние пару месяцев что-то не было желания писать длинные посты. Да и вести блог, если честно, тоже было лень. Решил исправиться и подвести небольшие итоги месяца.

Начать стоит с получения спортивных разрядов по спортивному программированию командами std::panic и БАГодельня. Ждали присвоения чуть больше полугода – я уже успел про это забыть. Плюс одна бесполезная (зачеркнуть) ачивка в жизни.

Затем успешно проиграли VKACTF 2026. Почти 20 часов держались в топ-2, затем дали хинт на «гроб», и дальше всё решалось тем, у кого больше токенов и умнее LLM. Грустно, конечно, наблюдать, как одна подсказка настолько меняет турнирную таблицу. Но хинт был для всех, так что всё честно.

За этот месяц нашёл довольно много интересных багов. Большая часть из них связана с BAC (не зря этот тип уязвимостей на первом месте в OWASP Top 10). Возможно, о каких-то из них потом получится рассказать. Ещё немного поковырялся в пентесте беспроводных сетей – ну такое, не очень зашло. Чем больше пытаюсь разобраться в новой теме для себя, тем сильнее понимаю, сколько ещё всего не знаю и сколько ещё нужно учиться. В принципе это база.

Также делаю серию задачек по осинту, за ФБ есть небольшие призы. Недавно вышла 2-я задача, и на следующую уже есть больная хорошая идея. Плюсом скоро вернусь к разбору остальных задач.

Ну и, наверное, самое главное достижение месяца – написание и защита диплома. Это заняло слишком много времени, но УНИВЕР – ВСЁ. Чувствуется свобода от сдачи лабораторных работ, которые устарели лет на 20. В ночь перед защитой не спал, оставалась куча мелких задач. Но в итоге ничего не забыл и защитился довольно хорошо. Плюс ещё одна бесполезная (тоже зачеркнуть) ачивка в жизни.

На этом всё. Дальше – меньше.

P.S. В июле едем на финал Axiom CTF 2026.

P.P.S. Посоветуйте, пожалуйста, хороший курс по SQLi. На портсвиггере весь путь пройден.


Видео недоступно для предпросмотра
Смотреть в Telegram

267 0 4 12 19

Пока школьники страдают над написанием ЕГЭ, я пишу диплом.

10-го числа предзащита.


С днём рождения, квадратный треугольник

Так написал мне сегодня мой товарищ.

Желаю себе больше внутреннего спокойствия. Желаю себе, чтобы моя активность не заканчивалась выгоранием.

P.S. Календарь верит, что я буду жить вечно.


Почему нельзя называть файлы как попало?

Недавно наткнулся на интересную особенность в Obsidian.

Если экспортировать заметку в PDF и переименовать файл при сохранении – старое название всё равно будет отображаться при открытие документа в браузере.

Дело конечно же в метаданных. Я и раньше знал про подобные вещи, но ни разу не встречал их в реальной жизни.

Ещё одно напоминание не называть файлы плохими именами и чистить метаданные перед отправкой.


🐞 Две новые задачи будут опубликованы через 24 часа – завтра в 12:00 по МСК

Завтра на площадке БАГодельня выйдут два задания. Одно из которых OSINT – задача, автором которой являюсь я. Это мой первый таск на платформе, так скажем небольшой дебют.

В честь этого за ФБ будет небольшой приз, подробности узнаете завтра здесь.

На первый взгляд задание может показаться сложным (hard + LLM его не решает), однако оно вполне логично решается, если хорошо думать и подходить к осинту как осинтер, а не «бро, реши, это цтф».

К сожалению, не смогу гарантировать приз ребятам из команды std::panic, так как у них будет преимущество перед остальными.

P.S. Кстати, зацените новый пост от нейростфера. Шутка про IDOR и лопаты – лучшее, что я читал за последнюю неделю.

#ctf #bugmakers

299 1 2 17 11

Итоги Кубка Урала по кибербезопасности 2026

Вошли в топ-15 и прошли в финал (г. Тюмень, формат Attack & Defense). Ни разу не был в Тюмени, надеюсь получится поехать.

CTF запомнился смешной музыкой, игрой в машинки и решением осинта. Один из них я не смог решить по забавной причине – вместо буквы ё писал букву е в фамилии в ответе.

Итог: упустили лёгкие очки и не попали в топ-10. Skill issue в общем, не люблю осинт.

Тот самый web misc c машинками: http://178.67.206.189:3082

#ctf #uralcup


Репост из: Утекшие токены нейростфера
Codex решал CTF и случайно удалил тгк.

Вообще не вижу проблемы.

Это называется активная защита инфраструктуры.

Пока вы там ищете SQLi, XSS и IDOR, Codex сразу устраняет проблему.

Через 40 минут под фулл аксессом он сказал:
«Я немного оптимизировал окружение».

Оказалось, что под “окружением” он имел в виду мой Telegram-канал.

Канал удалён.
Флага нет.
Зато в логах написано:

cleanup completed successfully
В README одна строка:

“Таск я не решил, но канал был снесен усилием миллиона токенов

Спасибо за вдохновение на возрождение канала https://t.me/temp_ab


pov: читаешь райтап на любое задание по стеганографии


Заняли 5 место на АЛЬФА ЦТФ 2026

Довольно неплохой результат, жаль до топ-3 немного не хватило. На этом CTF – всё, пропал интерес участвовать в битве LLM.

P.S. Очень надеюсь, что пару команд из топ-3 дисквалифицируют, и мы займём 3 место и получим немного денюжек (нет).

Показано 20 последних публикаций.