KGM's notes


Гео и язык канала: Россия, Русский
Категория: Технологии


Авторский контент на тему ИБ (web/mobile/social).
Делюсь тем, что хотел бы получить сам когда-то.
https://kgmnotes.ru/ - полезные статьи и заметки по ИБ
https://0xmerch.ru - качественный ИБ-мерч
Для связи: @Russian_OSlNT

Связанные каналы

Гео и язык канала
Россия, Русский
Категория
Технологии
Статистика
Фильтр публикаций


Видео недоступно для предпросмотра
Смотреть в Telegram
А я ведь раньше считал, что контролирую ситуацию, включив отображение скрытых элементов в проводнике Windows...

Предупрежден - значит вооружен! Читайте новую заметку про атрибут System у файлов в Windows


Видео недоступно для предпросмотра
Смотреть в Telegram
Запись доклада: "Если очень хочется, то можно: обходим ограничения современных SWG-шлюзов и ни в чем себе не отказываем"


Видео недоступно для предпросмотра
Смотреть в Telegram
Видео из презентации




Репост из: 0xMERCH
sticker.webp
68.4Кб


🎉 Результаты розыгрыша:

🏆 Победители:
1. 3xh4u573d (@exh4u573d)
2. Thrain (@hellb3nder)
3. Andrew (@f1instone)

✔️Проверить результаты


Розыгрыш трех шевронов "Наш бизнес Password Spray и бизнес идет хорошо".

Результаты будут известны 20.08.2026 в 18:00 по московскому времени






В этом году удалось занять 2-е место в номинации Kill Chain, тем самым заработав своеобразную ачивку: за три года участия в Awillix Pentest Awards я успел занять каждое из трёх призовых мест, а также побывать фаворитом жюри.

Думаю, что в следующем году формат моего участия в этом замечательном мероприятии может измениться, но об этом позже 😁

Каждый год Awillix становился для меня одной из тех площадок, где можно обрести порой очень неожиданные и приятные знакомства. При этом заметно, как с каждым годом растёт уровень мероприятия - в этот раз всё действительно было на высшем уровне.

Если вы ещё не участвовали в Awillix Pentest Awards, то очень советую попробовать! Если сомневаетесь, стоит ли участвовать, или у вас есть какие-то вопросы - можете написать мне в личные сообщения или в чат канала.

И отдельно хочется сказать: попасть в топ-10 в любой из номинаций - это уже отличный результат. Если в одном году не получилось занять призовое место, это совершенно не значит, что в следующем ничего не получится. Главное - продолжать пробовать и не опускать руки 🙏


Если очень хочется, то можно: обходим ограничения современных SWG-шлюзов и ни в чем себе не отказываем
https://offzone.moscow/program/where-there-s-a-will-there-s-a-way-bypassing-restrictions-imposed-by-modern-swgs/

Добавляйте в избранное, увидимся 21 августа!

А с кем-то уже и 14-го


Видео недоступно для предпросмотра
Смотреть в Telegram
Не читал Дэвид канал kgmnotes, поэтому теперь канал kgmnotes пишет про Дэвида...

Не будьте как Дэвид: в час Х вы не возвыситесь до уровня своих ожиданий, а упадёте до уровня своей подготовки.

Так что разворачиваем свою лабу и спокойно отрабатываем технику бэкдоринга Confluence, прежде чем применять ее на реальном проекте.

P.S. Кадры из фильма "Черный ящик"


Видео недоступно для предпросмотра
Смотреть в Telegram
Некоторое время назад я отмечал, что в формате Telegram-постов не всегда получается уместить всю полезную информацию, которой хочется поделиться.
При этом зависеть от сторонних платформ вроде telegra.ph тоже не хотелось, поэтому теперь часть материалов будет жить на сайте.

Сейчас по прямым ссылкам доступны три заметки - их содержимое открывается сразу, в один-два клика:
➖ JS-бэкдоринг Confluence: подготовка
➖ Выпуск TLS-сертификата без домена
➖ Как быстро обработать медиа из Word и PowerPoint

Если у вас есть остались вопросы, замечания или прочие предложения, то пишите на почту iam@kgmnotes.ru или в чат канала. Буду благодарен за обратную связь


Добавил на сайт заметку про небольшой технический приём для тех, кто готовит отчёты и презентации.

Если в Word или PowerPoint нужно массово обработать скриншоты, например, закрасить чувствительные данные перед публикацией, не обязательно вытаскивать каждую картинку через интерфейс Office.

.docx и .pptx - это обычные ZIP-архивы. Открываем через 7-Zip и достаём все изображения напрямую:
➖Word: word/media
➖PowerPoint: ppt/media

Редактируем нужные файлы, сохраняем под теми же именами, возвращаем в архив - готово.

Что ещё в заметке:
➖пошаговый процесс со скриншотами для Word и PowerPoint
➖что делать со старыми .doc и .ppt
➖почему нужно редактировать сами изображения, а не накладывать прямоугольники поверх них в документе


Что делать, если хочется оперативно развернуть в сети Интернет свой веб-сервис, прикрутить к нему валидный TLS-сертификат, выпущенный с помощью Let's Encrypt, и при этом не регистрировать никаких доменов?

Можно воспользоваться сервисом sslip.io (или его аналогом - nip.io).
Как это работает:
1. Вы арендуете VPS с публичным IP - например, 203.0.113.42.
2. Запускаете certbot и просите выпустить сертификат на домен 203.0.113.42.sslip.io.
3. Серверы Let's Encrypt резолвят это имя через sslip.io, получают в ответе ваш IP, делают HTTP-запрос на /.well-known/acme-challenge/... (стучатся на 80 порт вашей VPS).
4. certbot отдаёт challenge - Let's Encrypt убеждается, что вы контролируете "домен", и выдаёт валидный TLS-сертификат.

Также на моем сайте появилась отдельная заметка на эту тему с подробными примерами использования данных ресурсов


Всем привет! Не так давно у меня вышла статья на Хакере, посвященная бэкдорингу корпоративных wiki-серверов под управлением ПО Confluence. Описываемая там техника является актуальной для всех версий Confluence Server, начиная с 2.1.5 (!) и до сих пор отлично заходит на реальных проектах.

Чтобы всем желающим ее было проще освоить, я выложил у себя на сайте отдельную заметку, в которой подробно расписал то, как:
- поднять уязвимую к CVE-2022-26134 версию Confluence Server 7.3.2 как основу для дальнейших экспериментов из основной статьи;
- решить возникшую с апреля 2026 года проблему с получением evaluation-лицензии;
- собрать с нуля кастомный фишлет Evilginx2 под форму входа Confluence и протестировать его в поднятой лабе.


Если по материалу будут вопросы, замечания или предложения по улучшению, пишите на почту iam@kgmnotes.ru или в чат канала. Буду благодарен за обратную связь


Всем привет! Если вы еще не определились с подарком себе, другу или коллеге на 23 февраля, то можете заглянуть в https://0xmerch.ru, сейчас на сайте доступно 6 шевронов с авторским дизайном и 1 стикерпак


Видео недоступно для предпросмотра
Смотреть в Telegram
Веб-портал KGM's notes вышел в свет!

Теперь я смогу делиться своими заметками без необходимости их как-либо урезать для того, чтобы уместить в посты Telegram. Отныне все объемные статьи с доп. материалами будут выходить на kgmnotes.ru, а здесь я буду сообщать об их выходе отдельно.

На портале будут публиковаться только объемные заметки, в которых, например, будет много картинок и т.д., все остальное - будет публиковаться здесь, в телеграмм-канале.

На kgmnotes.ru сейчас наполняется раздел, посвященный анализу защищенности мобильных Android-приложений, уже есть первые две статьи, вы можете уже сейчас ознакомиться с ними и дать фидбек по сайту / материалам.
Для этого пишите либо в сообщения каналу, либо в бота поддержки @kgmnotes_support_bot. Буду благодарен за обратную связь


🎉 Результаты розыгрыша:

🏆 Победители:
1. Vladimir (@Veliom)
2. Виталий (@Rukukul)
3. Alexandr (@STRASHNOmne)

✔️Проверить результаты


Для тех, кто хочет попробовать поработать с Claude (в т.ч. с Claude Code), но пока не готов оформлять подписку, я разыграю в эту новогоднюю ночь 3 Guest Pass! Всех с наступающим!

Показано 20 последних публикаций.