⚙️ Уязвимости Android и iOS. Какая система безопасней?

Сравнение систем со стороны безопасности
и количества найденных уязвимостей

Читать статью

Добавляю также исходники, возможно кому-то будет интересно самому подключить .so файлы 😎

Завтра будет интересный контент, а пока могу заинтриговать вас и показать функцию из видео.

Можете посмеяться с реализации функции сложения, но тут не всё так просто 😼

И да, видео далеко не о args/kwargs

Принципы SOLID + Примеры с картинками

Эти пять правил разработки ПО задают траекторию, по которой нужно следовать, когда пишешь программы, чтобы их проще было масштабировать и поддерживать.

SOLID:
S – Single Responsibility
O – Open-Closed
L – Liskov Substitution
I – Interface Segregation
D – Dependency Inversion

Читать статью

2 Способа объединить списки без циклов

1. Используем только функцию sum
2. Используем функцию из itertools

Также учитывайте, что в itertools есть множество подобных
инструментов, которые уже готовые. Чаще всего разработчики
реализовывают руками тот функционал, который уже есть
в компонентах itertools

Найти количество повторений каждого элемента

На выходе получаем список кортежей, где 1й индекс это сам элемент, а 2й индекс это количество повторений

В данном случае мы используем most_common(3), чтобы получить топ3 самых частых элементов

Если список содержал бы ещё значения 4 и 5, они бы не включались в итоговый вывод, так как мы уже обработали 3 элемента

Значение возвращаемое time.time() основано на системном времени и напрямую зависит от него, поэтому замерять время выполнения кода не совсем удачная идея, если системное время может изменится

Этого можно избежать используя monotonic() из time. Последовательные вызовы возвращают только возрастающие значения, и они не могут быть ниже предыдущего вызова

Для монотонных часов начало отсчета не определено, поэтому вычисления с ними полезны только с использованием start и end

В данном примере они используются для измерения паузы программы, но вы также можете измерять время выполнения определенных участков кода и заменять их на более быстрые реализации

Цифровая подпись в Python

HMAC можно использовать для проверки целостности данных,
заранее сгенерировать готовые подписи, и далее при получении файлов или ответов от клиента, сравнивать эти подписи

Тем самым мы можем убедиться в целостности данных, и в том,
что их не подменили во время передачи, ведь если изменить
хотя бы 1 байт информации, хеш подписи будет совершенно другой

В PyPi обнаружили вредоносные библиотеки

Библиотеки имитировали популярные пакеты и носили очень похожие на них имена, чтобы пользователь мог не заметить разницы. К примеру, под фреймфорк Django маскировались diango, djago, dajngo и djanga.

Авторы подделок внедряли в свои проекты вредоносный код, который собирал информацию о зараженной машине и окружении, некоторые библиотеки открывали реверс шелл для удаленного управления. В настоящее время все проблемные библиотеки уже исключены из репозитория.

В пакете colourama(имитация colorama) нашли код, который следит за буфером обмена, и меняет криптовалютные кошельки на собственные. По информации сервиса PyPI Stats, библиотеку colourama успели скачать всего 54 пользователя. Другими словами, colourama явно не принесла своим разработчикам финансового успеха.

Не все так безопасно как казалось, поэтому прежде чем устанавливать рандомную библиотеку, стоит хотя бы один раз пробежаться по коду.

😈 Как обнаружить вредоносный пакет PyPi

Способы заразить машину:
1. Скачать и запустить файл (DLL в том числе)
2. Выполнить системную команду
3. Выполнить вредоносный код на текущем языке

Какие моменты должны вызывать подозрение:
1. Любые системные команды для связи с удаленным пк или данными текущего пк
2. Попытки скачать любой файл системными командами или через код
3. Если либа практически пустая, но вся логика лежит в DLL
4. Если код обфусцирован, зашифрован или даже закодирован в base64. Та хоть это шифр Цезаря, это не имеет значения. Скрывают данные не прикола ради

Так нашли инфостиллеры, ворующие пароли и системную информацию. Атака начинается с копирования существующих популярных библиотек и внедрения вредоносного оператора «__import__» в кодовую базу пакета

В итоге либа выглядит 1в1 как оригинал, но во время взаимодействия, запускает вредоносный код. Пример таких "библиотек" вы можете наблюдать на изображении поста, я думаю тут и не надо объяснять что запускать такое это смерти подобно 💀

☝️Небольшое дополнение к посту выше

Также стоит понимать, что подобные проекты делают для какой-то выгоды

Это либо кража ваших данных, либо шифрование, либо их перехват. Иногда даже в обфусцированных проектах и даже в готовых DLL можно найти импорты библиотек, которые позволяют это сделать

К примеру, как понять что обфусцированный код будет воровать пароли?
Если вы нашли в коде импорты библиотек для работы с FTP, SMTP, для работы с базами SQLite или для дешифровки локальных баз данных. И чаще всего, если посмотреть на то, какие библиотеки импортирует проект, то даже по самим библиотекам уже можно понять, что этот проект собрался делать

Если вы открыли обфусцированный проект, и видите:

import smtplib
import pynput
from win32crypt import CryptUnprotectData

Это хорошо?
👍 - Да
😁 - Нет

🐧 Президент Microsoft Брэд Смит заявил, что компания намерена полностью сократить свой бизнес в России

По словам предпринимателя, корпорация будет сворачивать деятельность до тех пор, «пока ничего не останется»

Возможно вы спросите, к чему я это пишу?
Я не смог удержаться и еще раз не пошутить про линукс.
На это заявление я смотрю со стороны пользователя, и четко вижу минусы централизованных систем. Если компания захочет, они смогут сделать что угодно с любыми вашими данными, и это касается всех пользователей, которые используют эту систему

Я не призываю никого переходить на Linux, это ваше решение,
но просто сравните подходы этих систем, и подумайте, где больше свободы?

Исходный код как и обещал. Тут есть моменты по которым нужно пройтись напильником, поэтому все в ваших руках 😎😉

С этого момента можете называть меня "хакером" 😁😎

☝️ Ловите исходный код как и обещал