Автор статьи делает из старого смартфона полноценный (почти) сервер для разного. По моему, неплохой опыт..
https://habr.com/ru/company/first/blog/586910/

Визитка Кевина Митника.

​​Исследователь и директор компании Certitude Consulting Вольфганг Эттлингер раскрыл коды подтверждения концепции (PoC) для атаки Trojan Source, которую не так давно анонсировали исследователи Кембриджского университета, о чем мы сообщали ранее.

Исследователь пролил свет на то, как невидимые символы могут быть имплементированы в JavaScript для внедрения уязвимостей в исходный код таким образом, чтобы скрыть бэкдор в программном обеспечении.

В одном случае он использовал необязательный параметр HTTP timeout, спрятав бэкдор в строках, где находится Hangul Filler, который будучи "буквой" Unicode можно тривиально использовать в качестве имени переменной JavaScript. Это возможно, поскольку, как казалось, параметр тайм-аута был единственным параметром, распаковываемым из атрибута req.query, но на самом деле также извлекается дополнительная переменная, обозначаемая невидимым символом.

Все это означает, что если созданный по такой схеме код JavaScript будет размещен на веб-сервере, злоумышленник может получить доступ к параметру GET, представляющему невидимую переменную в ее закодированной URL-адресом форме, для выполнения произвольного кода.

Еще один интересный пример PoC, который приводит Эттлингер - это условное выражение, в котором используются гомоглифы. Например, символ «ǃ» - это не восклицательный знак, а символ Unicode, известный как Alveolar click.

Атака требует, чтобы IDE/текстовый редактор (и используемый шрифт) правильно отображали невидимые символы.

Исследователь упоминает, что по крайней мере, Notepad ++ и VS Code отображают его правильно (в VS Code невидимый символ немного шире, чем символы ASCII). Некоторые IDE, похоже, явно выделяют эти невидимые символы, в том числе JetBrains WebStorm и PhpStorm, что затрудняет выполнение атаки.

Однако, как бы ни хотелось, не все текстовые редакторы могут выделять невидимые символы, что приводит к известным уже инцидентам.

Так, в прошлом месяце была взломана популярная библиотека Node.js ua-parser-js и злоумышленники внедряли код в выпуски npm для установки криптомайнеров и кражи паролей, а буквально на прошлой неделе вредоносные выпуски затронули coa и rc, повлияв на конвейеры React по всему миру. Точно так же в апреле этого года исследователями из Университета Миннесоты вносили уязвимости в ядра Linux в ходе своего не совсем удачного эксперимента.

Кембриджская команда предлагает ограничить символы Bidi Unicode в качестве решения для Trojan Source, запретив использование любых символов, отличных от ASCII.

А, как нам кажется, голос ученных будет реально услышан лишь после того, как научная мысль будет подкреплена практической составляющей. Так, что следующий шаг, вероятно, за хакерами.

Спешу поделиться новой статьей по предикатам безопасности в Sydr (выход за границу, целочисленное переполнение и др.). Я представлю эту статью на ближайшем ISP RAS Open 2021 (https://www.isprasopen.ru/).
Symbolic Security Predicates: Hunt Program Weaknesses
https://arxiv.org/abs/2111.05770
В рамках исследования была разработана тестовая система для измерения точности динамических анализаторов на Juliet. https://github.com/ispras/juliet-dynamic
Sydr показал общую точность 95.59% на Juliet.

Киберпанк, который мы заслужили

среди самых продвинутых кодеров передаётся тайное знание, что наш мир — всего лишь сайд–проджект Бога, и когда он пофиксит самый последний и самый низкоприоритетный баг, он удалит репозиторий

mmdetection3d

Платформа для детектинга объектов в пространстве.

#Python, #Cpp

Относительно свежий альтернативный способ байпаса локскрина со входом через доменную учетку Microsoft (CVE-2021-26431)
https://telegra.ph/ZDI-21-1053-Obhod-ehkrana-blokirovki-Windows-10-11

​​​SysMonTask – Системный монитор для GNU/Linux, который выглядит точно также как диспетчер задач Windows и обладает тем самым функционалом.

Предложить проект - @mintotii
GitHub | #Python #Monitoring