Что такое SSRF-атака?

Srever Side Request Forgery – это уязвимость веб-приложений, позволяющая хакеру отправлять фальшивые запросы с сервера на внутренние или внешние ресурсы.

Это уязвимость позволяет хакерам извлекать важные данные, например, учётные записи, токены безопасности и другую конфиденциальную информацию из других сервисов, работающих внутри сети

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#чтотакое

Срочно выбросьте старый TP-Link!

Хакеры начали активно атаковать устаревшие маршрутизаторы TP-Link с помощью уязвимости, которая была обнаружена два года назад! Уязвимость получила идентификатор CVE-2023-33538 и оценку 8,8 балла по шкале CVSS.

Она позволяет хакерам удаленно выполнять команды, не авторизовываясь. Проблема заключается в обработке GET-запроса – устройства не фильтруют ввод должным образом, что позволяет внедрять вредоносные команды.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Хакеры притворяются руководителями в zoom и устанавливают вредоносное ПО!

Хакерская группировка BlueNoroff с помощью обмана заманивала сотрудников компаний на созвон в Zoom. Используя дипфейки и видео с руководителями компаний, они втирались в доверие к жертвам.

Они создавали видимость технических проблем и просили жертв скачать расширение для Zoom с целью их устранения.

Расширение открывало легитимную страницу Zoom, но затем выполняет вредоносные команды, загружая дополнительное ПО.

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#новости

Что такое Black Box?

В тестировании есть подход под названием Black-box. Его суть заключается в проверке продукта глазами конечного пользователя. То есть тестировщик тестирует приложение без малейшего представления, что находится под капотом.

Он проверяет функциональсть ПО, не вникая в детали реализации: вводит данные (имитируя пользователя) и наблюдает за результатом. Его задача оценить, хорошо ли работает приложение и удобное ли оно.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#чтотакое

Что такое CQRS?

В разработке существует архитектурный паттерн CQRS, он используется для разделения процессов изменения и чтения данных. Давайте приведем пример:

Представьте себе блог-платформу. Ежедневно десятки авторов публикуют новые статьи, а миллионы пользователей их читают. Количество операций чтения здесь в десятки раз больше, чем операций изменения. В таких случаях CQRS позволяет оптимизировать работу приложения: отдельно проектируется модель для чтения, отдельно — для записи.

Суть паттерна заключается в разделении на: Команды — изменения системы: создать статью, обновить профиль; Запросы — чтения данных без их изменения.

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#чтотакое

Хакерский ИИ за $100 – обман!?

Ещё в 2023 году вышел WormGPT – хакерский ИИ, который мог генерировать вредоносный код, фишинговые письма и инструкции для обхода систем безопасности, а доступ к нему стоит до $100 в месяц!

Однако команда Cato CTRL провела исследование и обнаружила, что "хакерский" ИИ – это просто легальные языковые модели с подменёнными системными инструкциями.

Хакеры просто модифицировали известные сервисы, обходя их ограничения и фильтры безопасности с помощью "джейлбрейк-подсказок", и выдавали их за собственные разработки.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Microsoft блокирует Google Chrome!?

После последнего обновления Chrome перестал запускаться на устройствах с включенной Microsoft Family Safety, особенно у пользователей Windows 11. Система считает Chrome небезопасным и автоматически закрывает его.

Для разблокировки нужно вручную отключить фильтр "Filter inappropriate websites" в настройках Microsoft Family Safety. Так же можно воспользоваться костылем: переименовав файл chrome.exe в chrome1.exe.

Ставьте «❤️», если пост вам понравился!

✔ Меню канала

#новости

Cloudflare заблокировал рекордную DDoS-атаку!

В мае Cloudflare успешно нейтрализовала рекордную DDoS атаку мощностью в 7,3 Тбит/с, направленную на хостинг-провайдера. Эта атака сгенерировала 37,4 ТБ данных за 45 секунд, превысив прошлый рекорд на 12%.

Атака была осуществлена с 122 145 IP-адресов из 161 страны, в основном из Бразилии, Вьетнама, Тайваня, Китая, при этом данные передавались через 21 925 портов в секунду, достигая пикового значения в 34 517 портов.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Приватный поиск – ваши данные под защитой!

DuckDuckGo — это поисковая система, ориентированная на приватность. Она не хранит личные данные: IP-адреса или куки. Это позволяет пользоваться им и не боятся, что данные о вас будут использованы для показа навязчивой рекламы.

В отличии от Google и других поисковиков, DuckDuckGo имеет высокую степень приватности и отсутствие «пузыря фильтров», что обеспечивает более объективные результаты поиска, не зависящие от ваших предыдущих запросов.

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#новости

Новая угроза для Python-разработчиков уже на GitHub!

Команда ReversingLabs выявила масштабную атаку группировки Banana Squad, которое заключалась в распространении 67 поддельных репозиториев на GitHub, содержащих сотни заражённых Python-скриптов.

Репозитории выглядит как оригинальные Python-инструменты, такое же имя, визуальное оформление, описание и ключевые слова, но внутри содержался троян.

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#новости

Valve упростила запуск Windows игр на Linux!

Valve обновила бета-клиент Steam, упростив использование Proton для игр на Linux. Теперь Proton включен по умолчанию.

Это исключает необходимость вручную проверять опцию Steam Play для «всех других игр», как это было ранее в стабильном клиенте.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Техлиды недовольны ИИ!?

Согласно исследованию LeadDev, 51% техлидов негативно относятся к ИИ, а 38% замечают снижение мотивации в командах, что превышает число тех, у кого она возросла (14%) в последнее время.

Дело в том, что многие лидеры, такие как Цукерберг и Амодеи, кричат, что ИИ заменит инженеров и сократит рабочие места, тем самым создавая нереалистичные ожидания.

Что приводит к перегрузке и упадку мотивации у разработчиков, но важно понимать, что ИИ — всего лишь инструмент, который не способен заменить культуру и стратегию :)

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#новости

Локальная ИИ-модель прямо в Windows 11!

Microsoft интегрировала новую локальную модель Mu в Windows 11, которая работает прямо на устройстве. Она предназначена для улучшения поиска и взаимодействия в приложении «Параметры», заменяя обычный поиск на ИИ-агента.

Модель Mu позволяет пользователям задавать вопросы, например, «Как поменять язык системы» и ИИ не просто найдет соответствующий раздел, а сразу покажет нужное действие.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Каждый седьмой коммит сгенерировал ИИ!

По исследованию, к концу 2024 года около 15,4% коммитов российских Python-разработчиков сгенерированы ИИ, что ровняется каждому седьмому коммиту.

Анализ охватил 80 миллионов коммитов и показал, что junior-разработчики чаще используют ИИ (41%), чем сеньоры (28%).

Причем активное использование ИИ повысило продуктивность, увеличив кол-во коммитов на 2,4% больше.

Ставьте «❤️», и пишите ваше мнение о использовании ИИ!

✔ Меню канала

#новости

CEO GitHub высказался про ИИ!

CEO GitHub Томас Домке призвал разработчиков не отказываться от ручного навыка программирования, ведь ключ к успеху — гибкость, переключение между ИИ и прямым редактированием кода.

Худший сценарий — это когда ты тратишь больше времени на формулировку промта для ИИ, чем на написание кода самому (Томас Домке)

Он также прокомментировал вайб-кодинг на встрече со стартапами в Station F и подчеркнул, что стартапам необходимы опытные разработчики, а не нейронки.

Невозможно построить устойчивую компанию, не имея в команде технарей. Нельзя «навайбить» сложную систему, которая пройдет следующий раунд инвестиций (Томас Домке)

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Фейковый VPN уже здесь – как не стать жертвой VPN-угона?

Неизвестные хакеры распространяют поддельный SonicWall для кражи VPN-данных. Приложение визуально идентично оригиналу, но имеет поддельную цифровую подпись.

После установки оно похищает логины, пароли и другие данные, отправляя их злоумышленникам. Несмотря на отключение вредоносных сайтов и отзыв сертификатов, угроза остаётся актуальной из-за возможности создания новых подделок.

Ставьте «❤️», если пост вам понравился!

✔ Меню канала

#новости

Самое унизительное расширение для Chrome!

Разработчик Панкадж Танвар создал самое унизительное расширение, которое помогает бороться с зависимостью от соцсетей, заставляя пользователей кричать в микрофон: «I’m a loser» («Я — лузер!»).

Чем громче пользователь закричит, тем дольше продержится доступ к соцсети. Хоть Scream to Unlock обрабатывает звук локального и ничего не записывает, но при разборе кода выяснилось, что голосовые данные передаются на сервера Google.

Так что Google будет в курсе, что вы лузер :)

Ставьте «❤️», если пост вас удивил!

✔ Меню канала

#новости #плагин

Срочно обновите Citrix NetScaler!

Уязвимость CVE-2025-5777 у Citrix NetScaler позволяет хакерам одним HTTP-запросом, отправленным на устройство пользователя, получать из его памяти данные.

Тем самым хакер может без авторизации извлекать конфиденциальные данные из памяти, включая сессионные токены, что приводит к перехвату активных сеансов, обходя многофакторную аутентификацию.

Citrix рекомендует владельцам немедленно обновить прошивки и завершить все активные сессии.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Что такое RDP-протокол?

Протокол удаленного рабочего стола (RDP) — это протокол сетевой связи, позволяющий пользователям безопасно подключаться и управлять удаленно компьютерами.

Клиент запускает сеанс, отправляя запрос на подключение к серверу, после чего регулируются параметры безопасности, например, шифрование и аутентификация.

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#чтотакое

Новая защита Android от подмены сетей!

Google объявила, что владельцы Android-смартфонов вскоре получат дополнительную защиту от подмены мобильных сетей с обновлением Android 16, ведь до этого пользователи могли подвергаться попыткам перехвата связи с помощью устройств "Stingray".

Stingray — портативный передатчик, имитирующий сотовую вышку, заставляет телефоны подключаться к нему вместо настоящего оператора. В результате смартфоны могут передавать уникальные идентификаторы, такие как IMEI, и переключаться на уязвимые протоколы, например, 2G.

Осталось лишь дождаться смартфонов, которые смогут поддерживать эту функцию. В ближайшее время такие моделями должны поступить в продажу, включая линейку Pixel 10.

Ставьте «❤️», если пост оказался интересным!

✔ Меню канала

#новости

Новый графический драйвер для Linux!

В пятницу был представлен новый графический драйвер Tyr, написанный на языке Rust. Он предназначен для современных GPU Arm Mali (поколения Gen10 и новее), а использует он интерфейс Direct Rendering Manager.

Он будет поддерживать те же версии Mali, что и Panthor, и в перспективе Tyr должен заменить C-реализацию Panthor, ведь паралельно с этим ведётся развитие Rust-обвязки для ядра Linux.

Ставьте «❤️», если пост оказался полезным!

✔ Меню канала

#новости