Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5🥰1
Деплой в пятницу pinned «✨ Наконец-то упаковал услугу по аудиту безопасности в полноценный продукт! А еще купил крутой домен hackmyapp.ru, где коротко и наглядно показал, как проходит аудит и в каких форматах работаю (самое время заценить) Если у вас есть сайт/тг миниапп/приложение…»
Продолжаю закрывать проекты, которыми больше не занимаюсь.
Этот игровой бот в свое время генерил хороший доход, но нужно заниматься продвижением.
Продаю за символическую сумму вместе с юзернеймом и полной передачей прав, за подробностями в лс @everbots
Этот игровой бот в свое время генерил хороший доход, но нужно заниматься продвижением.
Продаю за символическую сумму вместе с юзернеймом и полной передачей прав, за подробностями в лс @everbots
🤔5
Зеркальный лифт 🙂
Когда вы заходите в лифт и привычно поворачиваетесь к зеркалу, чтобы поправить прическу или сделать селфи, вы думаете, что это забота о вашем внешнем виде. На самом деле, вы просто участвуете в одном из самых старых и дешевых UX-экспериментов в истории.
В середине XX века владельцы небоскребов Нью-Йорка столкнулись с проблемой: арендаторы бесконечно жаловались на медленные лифты. Инженеры посчитали бюджет на замену двигателей и перестройку шахт — вышли космические суммы, способные обанкротить здание. Тогда кто-то догадался позвать не механиков, а психологов.
Те быстро выяснили: проблема не в фактическом времени ожидания, а в скуке. Людям повесили зеркала. Жалобы исчезли мгновенно, хотя лифты быстрее не поехали ни на миллиметр.
Это аналог загрузки в приложениях или прогресс-бара. Они не ускоряют интернет, они просто занимают ваш мозг обработкой визуальной информации, чтобы он не начал паниковать от безделья. Пока вы рассматриваете себя или соседа сзади, время субъективно сжимается.
Так что зеркало в лифте — это не про дизайн и не про нарциссизм. Это гениальный пример того, как сэкономить миллионы долларов на «железе», просто перенастроив восприятие пользователя.
Когда вы заходите в лифт и привычно поворачиваетесь к зеркалу, чтобы поправить прическу или сделать селфи, вы думаете, что это забота о вашем внешнем виде. На самом деле, вы просто участвуете в одном из самых старых и дешевых UX-экспериментов в истории.
В середине XX века владельцы небоскребов Нью-Йорка столкнулись с проблемой: арендаторы бесконечно жаловались на медленные лифты. Инженеры посчитали бюджет на замену двигателей и перестройку шахт — вышли космические суммы, способные обанкротить здание. Тогда кто-то догадался позвать не механиков, а психологов.
Те быстро выяснили: проблема не в фактическом времени ожидания, а в скуке. Людям повесили зеркала. Жалобы исчезли мгновенно, хотя лифты быстрее не поехали ни на миллиметр.
Это аналог загрузки в приложениях или прогресс-бара. Они не ускоряют интернет, они просто занимают ваш мозг обработкой визуальной информации, чтобы он не начал паниковать от безделья. Пока вы рассматриваете себя или соседа сзади, время субъективно сжимается.
Так что зеркало в лифте — это не про дизайн и не про нарциссизм. Это гениальный пример того, как сэкономить миллионы долларов на «железе», просто перенастроив восприятие пользователя.
Please open Telegram to view this post
VIEW IN TELEGRAM
🤯6👍4
На завтрак был курс по уязвимостям аутентификации.
Интересное наблюдение: даже включенная двухфакторка не гарантирует безопасность, и в этом курсе рассматривается множество способов ее обойти.
Обучение бесплатное, в каждой главе есть практика: https://portswigger.net/web-security/learning-paths/authentication-vulnerabilities
P.S. Если вы хотите защитить свой продукт - рекомендации в последней главе.
Интересное наблюдение: даже включенная двухфакторка не гарантирует безопасность, и в этом курсе рассматривается множество способов ее обойти.
Обучение бесплатное, в каждой главе есть практика: https://portswigger.net/web-security/learning-paths/authentication-vulnerabilities
P.S. Если вы хотите защитить свой продукт - рекомендации в последней главе.
👍6🔥4
Please open Telegram to view this post
VIEW IN TELEGRAM
🏆10🎉3🤣3👌1🌭1🤝1🫡1
Гроза вайбкодеров, получается 👾
А вообще, если хотите проверить свой продукт на устойчивость ко взломам - обращайтесь🛡
А вообще, если хотите проверить свой продукт на устойчивость ко взломам - обращайтесь
Please open Telegram to view this post
VIEW IN TELEGRAM
😁1
Один из самых опасных этапов проверки безопасности - пассивная разведка.
Опасных - потому что ты не оставляешь следов своего присутствия и даже не открываешь исследуемый сайт или бот.
Ты еще «не трогал» приложение, но уже определяешь где и когда оно развивалось на костылях, где разработчики ошибочно решили что «туда никто не заглянет» и забыли вернуться.
Пассивная разведка - это работа с тем, что само утекло в сеть:
- данные, проиндексированные поисковиками (привет, доркинг)
- старые поддомены, которые забыли удалить
- кэшированные страницы, которые помнят больше, чем прод
- публичные артефакты, оставленные «временно».
И именно отсюда очень часто начинается настоящая компрометация, а не с красивых пейлоадов и CVE.
Недавно я проводил аудит одного приложения, где заказчик сказал: «Я не вижу от тебя активности. Ты точно что-то проверяешь?»
В этот момент я уже был авторизован под его личной учётной записью с максимальными привилегиями. Без единого запроса к проду со своей машины во время исследований.
Пассивная разведка в вебе - это не про инструменты. Это про мышление, внимательность и способность видеть связи.
Если её пропустить - всё остальное превращается не в аудит, а в стрельбу вслепую.
Опасных - потому что ты не оставляешь следов своего присутствия и даже не открываешь исследуемый сайт или бот.
Ты еще «не трогал» приложение, но уже определяешь где и когда оно развивалось на костылях, где разработчики ошибочно решили что «туда никто не заглянет» и забыли вернуться.
Пассивная разведка - это работа с тем, что само утекло в сеть:
- данные, проиндексированные поисковиками (привет, доркинг)
- старые поддомены, которые забыли удалить
- кэшированные страницы, которые помнят больше, чем прод
- публичные артефакты, оставленные «временно».
И именно отсюда очень часто начинается настоящая компрометация, а не с красивых пейлоадов и CVE.
Недавно я проводил аудит одного приложения, где заказчик сказал: «Я не вижу от тебя активности. Ты точно что-то проверяешь?»
В этот момент я уже был авторизован под его личной учётной записью с максимальными привилегиями. Без единого запроса к проду со своей машины во время исследований.
Пассивная разведка в вебе - это не про инструменты. Это про мышление, внимательность и способность видеть связи.
Если её пропустить - всё остальное превращается не в аудит, а в стрельбу вслепую.
🔥13🤯2🌭2🍌1🙊1
Хочу познакомить вас с онлайн-игрой Natas, созданной специально для изучения веб-безопасности.
Принцип такой: каждый уровень это веб-сайт с уязвимостью. Твоя задача использовать ее и добыть пароль от следующего уровня.
Регистрация не нужна, игра бесплатная.
Нулевой уровень здесь: http://natas0.natas.labs.overthewire.org/
Логин/пароль: natas0
Для следующих уровней просто увеличиваем цифру в ссылке и логине, а вот пароль..только через взлом.
В комментариях можно делиться подсказками и наблюдениями - но без паролей в чистом виде.
Принцип такой: каждый уровень это веб-сайт с уязвимостью. Твоя задача использовать ее и добыть пароль от следующего уровня.
Регистрация не нужна, игра бесплатная.
Нулевой уровень здесь: http://natas0.natas.labs.overthewire.org/
Логин/пароль: natas0
Для следующих уровней просто увеличиваем цифру в ссылке и логине, а вот пароль..только через взлом.
В комментариях можно делиться подсказками и наблюдениями - но без паролей в чистом виде.
❤7🔥3😁1
Изучаю безопасность wifi сетей и сразу решил протестить сеть своего соседа.
Для меня стало открытием что все делается без подключения к интернету. Промониторил wifi эфир, перехватил 4-way handshake и провел оффлайн атаку на WPA2-PSK по словарю с правилами мутаций (добавление цифр, смена регистра и тд)
На скрине результат атаки, пароль успешно получен после перебора 307млн (!) вариаций, на все провсе ушло 24 минуты.
Теперь есть ощущение, что назрел материал для нового поста с подробным разбором для новичков.
P.S. Если вы живете в многоквартирном доме, убедитесь что в вашем wifi-пароле есть хотя бы пара спецсимволов.
P.S.S. В комментах расскажу почему пользоваться чужой сетью все равно не буду.
Для меня стало открытием что все делается без подключения к интернету. Промониторил wifi эфир, перехватил 4-way handshake и провел оффлайн атаку на WPA2-PSK по словарю с правилами мутаций (добавление цифр, смена регистра и тд)
На скрине результат атаки, пароль успешно получен после перебора 307млн (!) вариаций, на все провсе ушло 24 минуты.
Теперь есть ощущение, что назрел материал для нового поста с подробным разбором для новичков.
P.S. Если вы живете в многоквартирном доме, убедитесь что в вашем wifi-пароле есть хотя бы пара спецсимволов.
P.S.S. В комментах расскажу почему пользоваться чужой сетью все равно не буду.
1🔥14🤯5❤2
Тут поделились простым способом сэкономить на крупных транзакциях
Есть смысл пробовать
Есть смысл пробовать
🤯5🔥2🤔1