Копировать ключ на bastion или включить ForwardAgent «чтобы удобно» — разные дыры. Как я хожу через прыжок без ключа на джампе и когда агент всё-таки нужен.
XML-RPC и Application Passwords — разные входы. Как я закрываю xmlrpc.php на nginx, почему фильтр xmlrpc_enabled не считается закрытием, и как не оставить токен приложения с правами администратора.
Как я разбираю взломанный WordPress: снимок и стоп, сверка ядра, mu-plugins и drop-in, PHP в uploads, база и cron, поиск дыры по логам. Почему одного сканера мало и что проверить за ночь.
Как я собираю WireGuard между офисом и VPS: AllowedIPs как маршрут, split-tunnel против 0.0.0.0/0, DNS который не утекает мимо, и проверка tcpdump что рабочий трафик реально в wg0.
Как я режу брутфорс на wp-login.php и xmlrpc.php через nginx limit_req, не закрывая офис за NAT и не превращая отказ в 503 по всему PHP. Отдельные зоны, POST-only, real_ip и почему system.multicall лимитер не видит.
Pre-auth RCE в WordPress: batch REST API, SQLi, создание левого администратора и загрузка шелла через плагин. Кого касается wp2shell и что делать.