Всем привет!

26 ноября 2025 года мы провели долгожданную конференцию по информационной безопасности ZeroNights. Было классно – пусть и не всегда легко :) За атмосферой предлагаем заглянуть в Галерею, а за ценным опытом спикеров – в Материалы, где вы найдете презентации и видеозаписи докладов.

А пока хотим поделиться некоторыми райтапами заданий для HackQuest ZeroNights. Это традиционный квест, проводимый до начала конференции, где за решение тасок и CTF победители получают билеты на ZeroNights. Отличный способ встряхнуться перед мероприятием!

Кстати, в этом году конференция пройдет 30 сентября! HackQuest тоже будет. Все связанные с ZeroNights активности анонсируем отдельно. Будем на связи в Telegram и ВК!

А пока – к райтапам. Возможно, эти решения помогут участникам с задачками в этом году :)

Конференция по практическим аспектам ИБ ZeroNights возвращается! Мы готовы к покорению вершин кибербезопасности с новыми силами и неизменной преданностью традициям.

Мес­то: Рос­сия, Санкт‑Петер­бург, LOFT#7
Да­та: 26 ноября 2025, 09:00

Подробнее о треках и программе.

Современный рынок мобильных операционных систем поделен на два сегмента. К одному относятся аппараты на базе Android, к другому — iPhone. Однако в 2019-м году после некоторых событий компания Huawei представила свою операционную систему Harmony OS.

Что такое Harmony OS

Разработанная Huawei операционная система взаимодействует с несколькими умными устройствами для создания своей экосистемы. На данный момент она поддерживает следующие устройства:

Хотите проверить свои силы в сфере этичного хакинга по руководством опытных кураторов? Заполните анкету и станьте участником ежегодной стажировки в Digital Security.

Срок приема анкет – с 3 по 30 апреля.

Вы получите не только актуальные навыки и знания, но и возможность начать карьеру в качестве специалиста по информационной безопасности.

Чего ждать от Summ3r 0f h4ck 2023?

В этом году мы немного изменили привычный формат. Все наши студенты так же, как и в прошлом году, посвятят себя аудиту защищенности, но смогут выбрать наиболее интересное для них направление:

Привет, Хабр!

Навыки статического анализа кода в арсенале исследователя безопасности приложений фактически являются must-have скиллом. Искать ручками уязвимости в коде, не прибегая к автоматизации, для небольших проектов вполне быть может и приемлемый сценарий. Но для больших задач с миллионами строк кода — это непозволительная роскошь с точки зрения временных затрат.

Rust как язык программирования только набирает обороты и находит своих почитателей. Он не только предлагает множество надстроек для безопасности кода, но с недавнего времени еще и появился в ядре Linux.

В этой статье мы посмотрим на него с "обратной" стороны, а именно попробуем пореверсить программу, написанную на Rust, и выяснить, что можно сделать, чтобы сделать ее анализ проще. Рассмотрим утилиты, приложения и плагины, а также напишем свой плагин для IDA Pro, Cutter и rizin, чтобы автоматически создать сигнатуры для исполняемого файла без отладочных символов. Поговорим о FLIRT-сигнатурах, их преимуществах и недостатках и о том, можно ли автоматизировать их создание.

В этой статье мы рассмотрим основные подходы к реализации White-Box Cryptography (WBC) и атаки.

На данный момент есть WBC для различных видов алгоритмов: симметричного и асимметричного шифрования, электронной подписи и других. Здесь изучим только WBC для алгоритмов симметричного шифрования (т.е. AES, DES).

Сегодня расскажем о составе нашего типового полевого набора, который пентестеры берут с собой, выезжая для проведения анализа беспроводных сетей или проектов в формате Red Team.

fuzzilli – это фаззер для javascript-движков от команды googleprojectzero. Его отличительная черта – это FuzzIL, промежуточный язык, который можно мутировать и затем транслировать в js. Этот язык обеспечивает мутированному js семантическую валидность: даже после нескольких раундов изменений в коде остается логика, с которой движок будет работать.

Движки, которые можно фаззить

• JavaScriptCore(webkit)
• Jerryscript
• QJS
• QTJS
• Spidermonkey(gecko)
• V8
• XS
• duktape

В этом списке V8, Spidermonkey, XS и duktape уже поддерживают работу с fuzzilli. А остальные движки можно пропатчить и начать фаззинг, патчи включены в состав инструмента.

С помощью fuzzilli уже найдено много интересных багов типа OOB. Разберемся, как он устроен.

В этой статье расскажем про инструментарий для анализа мобильных приложений, который мы используем каждый день. Для начала поговорим про то, как запускать мобильные приложения, чем смотреть трафик, и рассмотрим инструменты для статического и динамического анализа мобильного приложения.

Мы в Digital Security часто проводим анализ Android-приложений, поэтому пришло время поделиться некоторыми накопленными знаниями и сделать обзор по тому окружению, который мы используем каждый день.

Существует множество вариантов для настройки пентестерского окружения, которые можно выделить в две группы - виртуальные девайсы и физические.

У нас есть некоторое количество рутованных девайсов с одним и тем же окружением, однако иногда приходится использовать виртуальные устройства, в основном это Android Studio AVD.

Не так давно компания Microsoft зарелизила Windows Subsystem for Android (TM). Меня заинтересовал данный инструмент на столько, что я бросил своё рабочее окружение на Fedora Linux и поставил Windows 11.

Можно было бы писать эту статью в контексте реального устройства или виртуального девайста Android Studio, но мне кажется интереснее будет разобрать Windows Subsystem For Android 😄

У данного варианта есть свои ограничения, о которых будет сказано в дальнейшем.

Английское слово Bluetooth -- буквальный перевод прозвища короля викингов Харальда I Синезубого. Он правил на территории современных Дании и части Норвегии в X веке и вошел в историю как правитель, который объединил враждовавшие датские племена в единое королевство.

Подразумевается, что Bluetooth делает то же самое с протоколами связи, объединяя их в один универсальный стандарт.

Сегодня практически каждый из нас использует далеко не одно беспроводное устройство, начиная от наушников, умных часов и IoT-устройств, и заканчивая автоматизированными системами на промышленных предприятиях.

Но задумывался ли кто-то над тем:

В прошлой статье мы рассмотрели базовые уязвимости и способы их обнаружения. Но что делать, если в приложении используются дополнительные средства защиты (например, Jailbreak Detection или SSL-pinning), которые не позволяют нам изучить его? В этой статье расскажем, как и с помощью каких инструментов можно обходить данные средства защиты.

Летняя обучающая программа завершилась, но для наших студентов это только начало. Итоги Summ3r 0f h4ck 2022 глазами ее участников и кураторов.

Продолжаем цикл статей про аудит iOS-приложений. В этой статье расскажем
непосредственно о самом анализе и как пользоваться инструментами из прошлой статьи.
Мы хотим показать начинающим исследователям безопасности мобильных
приложений, где искать баги, как они могут выглядеть и от чего можно отталкиваться при самостоятельном и более углубленном исследовании
мобильных приложений.

Несмотря на усилия компаний в области аудита безопасности, в медиапространстве все чаще появляются заявления об утечке критичной для бизнеса информации, в том числе персональных данных клиентов.

Причин тому может быть несколько.

Недавно появился фаззер What The Fuzz, который (кроме названия) интересен тем, что это:

• blackbox фаззер;
• snapshot-based фаззер.

То есть он может исследовать бинарь без исходников на любом интересном участке кода.

Например, сам автор фаззера натравил WTF на Ida Pro и нашел там кучу багов. Благодаря подходу с snapshot'ами, WTF умеет работать с самыми тяжелыми приложениями.

Ключевые особенности WTF, на которые стоит обратить внимание:

• работает только с бинарями под x86;
• запустить фаззинг можно и на Linux, и на Windows;
• исследуемым бинарем может быть только бинарь под Windows.

Получается, нельзя фаззить ELF?

На самом деле, можно. Просто нет инструкции, как сделать snapshot для Linux. Все-таки главная мишень — это программы для Windows.

Эта статья появилась из желания обойти это ограничение.

Успейте подать заявку на участие в нашей обучающей программе! 1 мая после 23:59 мы закроем анкеты. И откроем новый набор только в 2023 году :)

Мы подготовили для будущих стажеров отличный учебный план с практическими задачами и ворк-шопами. Кстати, напоминаем: по итогам прохождения стажировки вы можете получить оффер и работать у нас!

Не так давно я изучал интересный проект – защищенное хранилище файлов. Одной из задач было найти возможности обхода проверки расширения файла внутри zip-архива. Пользователь мог отправить на сервер zip-архив, но сохранялся он только в том случае, если в нем лежали файлы с определенным расширением.

В итоге я нашел способ обхода, однако был один нюанс...

В рамках данной статьи мы рассмотрим уязвимость Prototype Pollution на клиенте и AST-injection на сервере и то, к чему может привести их совместная эксплуатация, а также, как они были встроены для обучения в конкурс “Hack To Be Hired” на ZeroNights X от Академии Digital Security. 

Всем желающим познакомиться с подробными механизмами уязвимостей и как их взаимодействие может привести к RCE на сервере — приветствуем!