🕹 VK разрабатывает российский аналог Steam
Холдинг VK ведет переговоры с рядом студий по разработке игр о заключении договоров на эксклюзивное представление игр на игровой платформе VK Play в России и СНГ. Таким образом, VK рассчитывает создать российский аналог платформ Steam и Epic Games.
Во многих источниках сообщается, что первым эксклюзивом может стать игра от Owlcat Games — Atomic Heart. Сама компания информацию опровергла: «Мы стремимся, чтобы наши игры были доступны на разных платформах».
Эксперт по видеоиграм Александр Кузьменко допускает, что другими потенциальными партнерами VK могут быть Playrix, Wargaming (World of Tanks) и Cyberia Limited.
VK планирует занять освободившийся рынок игровых онлайн-сервисов. Это связано тем, что игроки из России испытывают трудности с покупкой игр, так как оплата с помощью российских Visa, Mastercard и МИР в западных сервисах теперь недоступна.
🗞 Блог Кодебай
#news #vk #games
Холдинг VK ведет переговоры с рядом студий по разработке игр о заключении договоров на эксклюзивное представление игр на игровой платформе VK Play в России и СНГ. Таким образом, VK рассчитывает создать российский аналог платформ Steam и Epic Games.
Во многих источниках сообщается, что первым эксклюзивом может стать игра от Owlcat Games — Atomic Heart. Сама компания информацию опровергла: «Мы стремимся, чтобы наши игры были доступны на разных платформах».
Эксперт по видеоиграм Александр Кузьменко допускает, что другими потенциальными партнерами VK могут быть Playrix, Wargaming (World of Tanks) и Cyberia Limited.
VK планирует занять освободившийся рынок игровых онлайн-сервисов. Это связано тем, что игроки из России испытывают трудности с покупкой игр, так как оплата с помощью российских Visa, Mastercard и МИР в западных сервисах теперь недоступна.
🗞 Блог Кодебай
#news #vk #games
🔏 Google и Microsoft могут получить доступ к вашим паролям
Расширенные функции проверки орфографии в браузерах Google Chrome и Microsoft Edge передают введённые данные в формах, включая персональную информацию для идентификации (PII) и, в некоторых случаях, пароли.
Несмотря на то, что это известная и предусмотренная функция браузеров, она вызывает опасения относительно того, что происходит с данными после передачи. Такие функции, как расширенная проверка орфографии Chrome Enhanced Spellcheck или Microsoft Editor, когда пользователь вручную включает их, демонстрируют потенциальный угрозу конфиденциальности.
В зависимости от того, на каком веб-сайте вы вводите информацию, в руки разработчиков могут попасть конфиденциальные данные: номера социального страхования, имена, адреса, электронная почта, данные банковских карт и т.д.
Единственным выходом из ситуации является отключение функции расширенной проверки правописания.
🗞 Блог Кодебай
#news #google #data
Расширенные функции проверки орфографии в браузерах Google Chrome и Microsoft Edge передают введённые данные в формах, включая персональную информацию для идентификации (PII) и, в некоторых случаях, пароли.
Несмотря на то, что это известная и предусмотренная функция браузеров, она вызывает опасения относительно того, что происходит с данными после передачи. Такие функции, как расширенная проверка орфографии Chrome Enhanced Spellcheck или Microsoft Editor, когда пользователь вручную включает их, демонстрируют потенциальный угрозу конфиденциальности.
В зависимости от того, на каком веб-сайте вы вводите информацию, в руки разработчиков могут попасть конфиденциальные данные: номера социального страхования, имена, адреса, электронная почта, данные банковских карт и т.д.
Единственным выходом из ситуации является отключение функции расширенной проверки правописания.
🗞 Блог Кодебай
#news #google #data
Инструменты для пентеста “Умных вещей” (IoT)
Интернет вещей (IoT) - это то, что большинство экспертов считают следующим шагом интернет-революции, когда физические объекты неизменно связаны с реальным и виртуальным миром одновременно. Подключенные устройства теперь имеют возможность общаться друг с другом по беспроводным каналам, и ZigBee является ведущим стандартом беспроводной связи, применимым к устройствам IoT. ZigBee и протокол 802.15.4 были разработаны с учетом безопасности, но разработчики иногда не очень хорошо её внедряют. Возможные атаки обычно можно разделить на три категории: физические, ключевые и повтор / инъекция.
📌 Читать далее
#pentest #network
Интернет вещей (IoT) - это то, что большинство экспертов считают следующим шагом интернет-революции, когда физические объекты неизменно связаны с реальным и виртуальным миром одновременно. Подключенные устройства теперь имеют возможность общаться друг с другом по беспроводным каналам, и ZigBee является ведущим стандартом беспроводной связи, применимым к устройствам IoT. ZigBee и протокол 802.15.4 были разработаны с учетом безопасности, но разработчики иногда не очень хорошо её внедряют. Возможные атаки обычно можно разделить на три категории: физические, ключевые и повтор / инъекция.
📌 Читать далее
#pentest #network
Хищник среди нас. Учимся реверсить на примере Predator
Наверное тебе всегда было интересно, как работают современные малвари. Шифровальщики, ратники, стиллеры и другие популярные вирусы это всего лишь разновидность программ заточенные под определенные задачи. Описывать каждый из них я не стану, а лучше расскажу тебе как специалисты по информационной безопасности вскрывают такое. Для примера я взял когда-то знаменитый стиллер Predator. Он имеет обширный арсенал функций и конечно же крякнутую версию по которой будет проще ориентироваться. Давай приступим к делу.
📌 Читать далее
#malware #reverse
Наверное тебе всегда было интересно, как работают современные малвари. Шифровальщики, ратники, стиллеры и другие популярные вирусы это всего лишь разновидность программ заточенные под определенные задачи. Описывать каждый из них я не стану, а лучше расскажу тебе как специалисты по информационной безопасности вскрывают такое. Для примера я взял когда-то знаменитый стиллер Predator. Он имеет обширный арсенал функций и конечно же крякнутую версию по которой будет проще ориентироваться. Давай приступим к делу.
📌 Читать далее
#malware #reverse
❗️SQL Injection Master - самый полный курс по SQL инъекциям
Старт: 10 октября
Запись на курс до 20 октября включительно
3-месячный онлайн-курс SQL Injection Master позволит вам изучить:
✔️ Базовые навыки работы с SQL;
✔️ Поиск уязвимостей в базах данных;
✔️ Внедрение произвольного SQL-кода в уязвимые приложения.
👍 Курс от Codeby School будет полезен как начинающим специалистам в сфере информационной безопасности, так и новичкам!
Преимущества онлайн-курса SQL Injection Master:
። Уникальность – у данного курса нет аналогов в СНГ и англоязычном пространстве;
። Максимум практики – выполнение заданий на тестовом стенде и проверка ДЗ;
። Обучение в любое время благодаря методичкам и видеоурокам в записи;
። Обратная связь от других учеников и преподавателя в чате и на форуме.
🔥 Также мы ведем мониторинг успеваемости – в зависимости от вашего рейтинга в таблице мы вернем вам до 100% средств за обучение.
Узнать подробнее о курсе: https://sql-injection.codeby.school/
Старт: 10 октября
Запись на курс до 20 октября включительно
3-месячный онлайн-курс SQL Injection Master позволит вам изучить:
✔️ Базовые навыки работы с SQL;
✔️ Поиск уязвимостей в базах данных;
✔️ Внедрение произвольного SQL-кода в уязвимые приложения.
👍 Курс от Codeby School будет полезен как начинающим специалистам в сфере информационной безопасности, так и новичкам!
Преимущества онлайн-курса SQL Injection Master:
። Уникальность – у данного курса нет аналогов в СНГ и англоязычном пространстве;
። Максимум практики – выполнение заданий на тестовом стенде и проверка ДЗ;
። Обучение в любое время благодаря методичкам и видеоурокам в записи;
። Обратная связь от других учеников и преподавателя в чате и на форуме.
🔥 Также мы ведем мониторинг успеваемости – в зависимости от вашего рейтинга в таблице мы вернем вам до 100% средств за обучение.
Узнать подробнее о курсе: https://sql-injection.codeby.school/
🐧 Rust будет использоваться в ядре Linux
На конференции Kernel Maintainers Summit Линус Торвальдс рассказал, что в состав ядра Linux 6.1 войдёт поддержка разработки драйверов на языке Rust.
Добавление Rust поможет уменьшить количество потенциальных ошибок и уязвимостей в коде ядра. Также, использование Rust поможет избежать утечек памяти и привлечь внимание новых разработчиков для Linux.
Появление языка программирования Rust в ядре Linux ожидалось уже давно. Еще в 2020 году на конференции Linux Plumbers Conference разработчики начали рассматривать возможность использования языка Rust для написания нового кода в Linux.
Релиз ядра Linux 6.1 запланирован на декабрь 2022 года. Торвальдс сообщил, что если всё пойдёт по плану, то новое ядро выйдет с поддержкой Rust для разработки драйверов наравне с C.
🗞 Блог Кодебай
#news #linux #rust
На конференции Kernel Maintainers Summit Линус Торвальдс рассказал, что в состав ядра Linux 6.1 войдёт поддержка разработки драйверов на языке Rust.
Добавление Rust поможет уменьшить количество потенциальных ошибок и уязвимостей в коде ядра. Также, использование Rust поможет избежать утечек памяти и привлечь внимание новых разработчиков для Linux.
Появление языка программирования Rust в ядре Linux ожидалось уже давно. Еще в 2020 году на конференции Linux Plumbers Conference разработчики начали рассматривать возможность использования языка Rust для написания нового кода в Linux.
Релиз ядра Linux 6.1 запланирован на декабрь 2022 года. Торвальдс сообщил, что если всё пойдёт по плану, то новое ядро выйдет с поддержкой Rust для разработки драйверов наравне с C.
🗞 Блог Кодебай
#news #linux #rust
🎉 "Яндекс" увеличил выплаты за уязвимости в 10 раз
Компания «Яндекс» сообщила, что программе вознаграждения белых хакеров «Охота за ошибками» исполняется 10 лет. В честь этого события компания увеличивает выплаты за найденные уязвимости в сервисах компании в 10 раз. Денежное вознаграждение можно будет получить в период с 20 сентября по 19 октября включительно.
Например, за критичный баг в умных устройствах с голосовым помощником «Алисой» выплата составляла 300 тыс. рублей. Сейчас же, в период увеличенного денежного вознаграждения, она будет в 10 раз больше — 3 млн. рублей.
«Охота за ошибками» — постоянная программа «Яндекса» по премированию этичных хакеров за сообщение об уязвимости в продуктах IT-компании. В 2012 году «Яндекс» первым в России запустил подобную программу. С этого времени в программе поучавствовало около 4.5 тысяч исследователей, которые сообщили о более чем 16 тыс. уязвимостях.
🗞 Блог Кодебай
#news #yandex #bounty
Компания «Яндекс» сообщила, что программе вознаграждения белых хакеров «Охота за ошибками» исполняется 10 лет. В честь этого события компания увеличивает выплаты за найденные уязвимости в сервисах компании в 10 раз. Денежное вознаграждение можно будет получить в период с 20 сентября по 19 октября включительно.
Например, за критичный баг в умных устройствах с голосовым помощником «Алисой» выплата составляла 300 тыс. рублей. Сейчас же, в период увеличенного денежного вознаграждения, она будет в 10 раз больше — 3 млн. рублей.
«Охота за ошибками» — постоянная программа «Яндекса» по премированию этичных хакеров за сообщение об уязвимости в продуктах IT-компании. В 2012 году «Яндекс» первым в России запустил подобную программу. С этого времени в программе поучавствовало около 4.5 тысяч исследователей, которые сообщили о более чем 16 тыс. уязвимостях.
🗞 Блог Кодебай
#news #yandex #bounty
Reverse crackme для начинающих
Привет всем! Недавно решился окунуться в это глубокое море реверса, Linux стоит, как основная OS. Первым делом попробовал установить IDA Pro через wine. Успешно, но local debugger не был найден. Спустя некоторое время было понятно одно - нужна винда. На windows переходить не хотелось. Привык уже к linux. Необходимо ставить Windows на Virtual Box.
📌 Читать далее
#reverse #ida
Привет всем! Недавно решился окунуться в это глубокое море реверса, Linux стоит, как основная OS. Первым делом попробовал установить IDA Pro через wine. Успешно, но local debugger не был найден. Спустя некоторое время было понятно одно - нужна винда. На windows переходить не хотелось. Привык уже к linux. Необходимо ставить Windows на Virtual Box.
📌 Читать далее
#reverse #ida
Блог начинающего Bug Хантера. Ищем баги за еду. Часть 2
Сегодняшняя тема думаю многим будет интересна и многие смогут поучаствовать при желании. А речь пойдет о программе Bug Bounty от Азбуки Вкуса. И что мне понравилось в данной программе, то что оплату можно получать продуктами, точнее бонусами, которые придут на карту. Также можно и деньгами, но если бонусами, то это сумма умножается на 1.5.
📌 Читать далее
#bug #bounty
Сегодняшняя тема думаю многим будет интересна и многие смогут поучаствовать при желании. А речь пойдет о программе Bug Bounty от Азбуки Вкуса. И что мне понравилось в данной программе, то что оплату можно получать продуктами, точнее бонусами, которые придут на карту. Также можно и деньгами, но если бонусами, то это сумма умножается на 1.5.
📌 Читать далее
#bug #bounty
💸 Бесплатный LibreOffice продают в Mac App Store
Организация The Document Foundation (TDF) сообщила о выходе LibreOffice в Mac App Store. Причем в нем бесплатная версия офисного пакета стала платной. Разработчики установили цену в $8.99. Несмотря на то, что это не очень большая сумма для офисного пакета, такое нововведение может стать для некоторых неожиданностью, поскольку на других платформах это же ПО является бесплатным.
В TDF объяснили, что полученные за продажу деньги будут направлены для поддержки будущего развития организации. Также там заявили, что хотят улучшить поддержку обычных и корпоративных пользователей.
Стоит отметить, что в Mac App Store LibreOffice основан на том же исходном коде, что и пакет для Mac с официального сайта, но не оснащен Java (поскольку магазин не разрешает использовать внешние зависимости) — это ограничит функциональность офисного пакета. Пользователям ничего не мешает скачать и установить версию LibreOffice с сайта разработчика, там тоже есть версия для Mac и в ней присутствует Java.
🗞 Блог Кодебай
#news #apple #libreoffice
Организация The Document Foundation (TDF) сообщила о выходе LibreOffice в Mac App Store. Причем в нем бесплатная версия офисного пакета стала платной. Разработчики установили цену в $8.99. Несмотря на то, что это не очень большая сумма для офисного пакета, такое нововведение может стать для некоторых неожиданностью, поскольку на других платформах это же ПО является бесплатным.
В TDF объяснили, что полученные за продажу деньги будут направлены для поддержки будущего развития организации. Также там заявили, что хотят улучшить поддержку обычных и корпоративных пользователей.
Стоит отметить, что в Mac App Store LibreOffice основан на том же исходном коде, что и пакет для Mac с официального сайта, но не оснащен Java (поскольку магазин не разрешает использовать внешние зависимости) — это ограничит функциональность офисного пакета. Пользователям ничего не мешает скачать и установить версию LibreOffice с сайта разработчика, там тоже есть версия для Mac и в ней присутствует Java.
🗞 Блог Кодебай
#news #apple #libreoffice
Современные web-уязвимости (7.CSRF Bypass – Clickjacking Drag and Drop)
Напомню, кликджекинг (clickjacking) - это атака, которая является формой изменения пользовательского интерфейса. Clickjacking-атака — это попытка через изменение пользовательского интерфейса жертвы, обычно с использованием HTML тега iframe, заставить пользователя выполнить запрос на изменение данных. На вредоносном сайте злоумышленник, используя iframe, внедряет в уязвимое веб-приложение другой HTML-документ, содержащий форму для изменения данных.
📌 Читать далее
#beginner #pentest #csrf
Напомню, кликджекинг (clickjacking) - это атака, которая является формой изменения пользовательского интерфейса. Clickjacking-атака — это попытка через изменение пользовательского интерфейса жертвы, обычно с использованием HTML тега iframe, заставить пользователя выполнить запрос на изменение данных. На вредоносном сайте злоумышленник, используя iframe, внедряет в уязвимое веб-приложение другой HTML-документ, содержащий форму для изменения данных.
📌 Читать далее
#beginner #pentest #csrf
Шифрование на Python. Часть 1
Доброго времени суток, друзья! Программа для защиты информации на языке питон на основе Tkinter GUI и библиотеки pyAesCrypt. Я не знаю для чего изобретать велосипед, но можно надежно шифровать свои данные (не ТераБайтные :D например) своими силами. Скорость шифрования устраивает - на директории до 5 - 10 ГБ уйдет от 3 до 7 минут в зависимости от системы. Но тут вопрос видимо в алгоритме шифрования и мультипроцессинге имхо. В общем, всегда есть над чем работать)
📌 Читать далее
#programming #python #encryption
Доброго времени суток, друзья! Программа для защиты информации на языке питон на основе Tkinter GUI и библиотеки pyAesCrypt. Я не знаю для чего изобретать велосипед, но можно надежно шифровать свои данные (не ТераБайтные :D например) своими силами. Скорость шифрования устраивает - на директории до 5 - 10 ГБ уйдет от 3 до 7 минут в зависимости от системы. Но тут вопрос видимо в алгоритме шифрования и мультипроцессинге имхо. В общем, всегда есть над чем работать)
📌 Читать далее
#programming #python #encryption
Многие из вас знают или, может быть, слышали про Bug Bounty.
Платформы организующие Bug Bounty (HackerOne, Bugcrowd) это не только возможность заработать на поиске багов, но и поучиться, найти вдохновение и идеи у исследователей (багхантеров) по всему миру.
Для вашего удобства мы организовали канал доставки раскрытых репортов прямо в Telegram.
Теперь ни один репорт не пролетит мимо вас, подписывайтесь:
https://t.me/h1dtl 👍
#спонсорский
Платформы организующие Bug Bounty (HackerOne, Bugcrowd) это не только возможность заработать на поиске багов, но и поучиться, найти вдохновение и идеи у исследователей (багхантеров) по всему миру.
Для вашего удобства мы организовали канал доставки раскрытых репортов прямо в Telegram.
Теперь ни один репорт не пролетит мимо вас, подписывайтесь:
https://t.me/h1dtl 👍
#спонсорский
🟥 Более 39 тыс. экземпляров Redis стали целью атаки криптовалютной кампании
Неизвестный злоумышленник атаковал десятки тысяч неаутентифицированных серверов Redis, доступ к которым открыт из Интернета, в попытке установить криптовалютный майнер. Неизвестно, сколько из этих серверов были успешно взломаны.
Данный инцидент произошёл благодаря «малоизвестной технике» для записи произвольных данных на сервера. Впервые подобный случай несанкционированного доступа был задокументирован в сентябре 2018 года.
«Общая идея этой техники эксплуатации заключается в том, чтобы настроить Redis на запись своих файлов на сервер, содержащих какой-либо метод для авторизации пользователя или запуска процесса», — говорится в сообщение Censys.
После анализа попыток компрометации экземпляров Redis было вывлено, что злоумышленник сохранял вредоносные записи в Crontab-файл, что приводило к выполнению Shell-кода на удалённом сервере. Также, SSH-ключи для доступа к системе были загружены на почти 16 тыс. серверов. Советуем следить за тем, какие ваши службы доступны из Интернета.
🗞 Блог Кодебай
#news #redis #cryptocurrency
Неизвестный злоумышленник атаковал десятки тысяч неаутентифицированных серверов Redis, доступ к которым открыт из Интернета, в попытке установить криптовалютный майнер. Неизвестно, сколько из этих серверов были успешно взломаны.
Данный инцидент произошёл благодаря «малоизвестной технике» для записи произвольных данных на сервера. Впервые подобный случай несанкционированного доступа был задокументирован в сентябре 2018 года.
«Общая идея этой техники эксплуатации заключается в том, чтобы настроить Redis на запись своих файлов на сервер, содержащих какой-либо метод для авторизации пользователя или запуска процесса», — говорится в сообщение Censys.
После анализа попыток компрометации экземпляров Redis было вывлено, что злоумышленник сохранял вредоносные записи в Crontab-файл, что приводило к выполнению Shell-кода на удалённом сервере. Также, SSH-ключи для доступа к системе были загружены на почти 16 тыс. серверов. Советуем следить за тем, какие ваши службы доступны из Интернета.
🗞 Блог Кодебай
#news #redis #cryptocurrency
🔘 Хакеры воруют аккаунты GitHub с помощью поддельных уведомлений CircleCI
Платформа GitHub предупредила о продолжающейся фишинговой кампании, которая началась 16 сентября. Злоумышленники нацелены на пользователей сервиса и отправляют им электронные письма, где выдают себя за CircleCI для сбора учетных данных пользователей и двухфакторных кодов.
Фишинговые сообщения уведомляют пользователей о том, что их сессия CircleCI истекла и им необходимо повторно войти в аккаунт, используя свои учетные данные GitHub. При переходе по ссылке пользователь попадает на фишинговый сайт, который выглядит как реальная страница входа в GitHub, но при этом всё введённые учётные данные отправляются злоумышленникам.
В случае, если у пользователя включена двухфакторная аутентификация (2FA), фишинговый сайт также передает все коды 2FA хакеру, что делает незащищенными учетные записи даже с такой защитой. А вот аккаунты, защищенные аппаратными ключами безопасности, не подвержены этой атаке.
🗞 Блог Кодебай
#news #phishing #github
Платформа GitHub предупредила о продолжающейся фишинговой кампании, которая началась 16 сентября. Злоумышленники нацелены на пользователей сервиса и отправляют им электронные письма, где выдают себя за CircleCI для сбора учетных данных пользователей и двухфакторных кодов.
Фишинговые сообщения уведомляют пользователей о том, что их сессия CircleCI истекла и им необходимо повторно войти в аккаунт, используя свои учетные данные GitHub. При переходе по ссылке пользователь попадает на фишинговый сайт, который выглядит как реальная страница входа в GitHub, но при этом всё введённые учётные данные отправляются злоумышленникам.
В случае, если у пользователя включена двухфакторная аутентификация (2FA), фишинговый сайт также передает все коды 2FA хакеру, что делает незащищенными учетные записи даже с такой защитой. А вот аккаунты, защищенные аппаратными ключами безопасности, не подвержены этой атаке.
🗞 Блог Кодебай
#news #phishing #github
Writeup KB-VULN: 1 Vulnhub (Уровень: Easy)
Приветствую! У меня скопилось некое количество записей о прохождении различных коробок с Vulnhub, вот я и решил выложить часть из них сюда. Меньше слов больше дела, начнем с малого, в данном врайтапе представлено прохождение Easy машины KB-VULN: 1
📌 Читать далее
#beginner #ctf #writeup
Приветствую! У меня скопилось некое количество записей о прохождении различных коробок с Vulnhub, вот я и решил выложить часть из них сюда. Меньше слов больше дела, начнем с малого, в данном врайтапе представлено прохождение Easy машины KB-VULN: 1
📌 Читать далее
#beginner #ctf #writeup
Переполнение буфера и перезапись указателя на функцию - Изучение методов эксплуатации на примерах, часть 4
Привет Codeby =) В предыдущей статье мы научились использовать среду переменных окружения для переполнения буфера, что само по себе уже не плохо. В этой статье мы познакомимся с новым принципом при переполнение буфера и немного поиграем с адресами памяти. Поехали!!!
📌 Читать далее
#asm #gdb
Привет Codeby =) В предыдущей статье мы научились использовать среду переменных окружения для переполнения буфера, что само по себе уже не плохо. В этой статье мы познакомимся с новым принципом при переполнение буфера и немного поиграем с адресами памяти. Поехали!!!
📌 Читать далее
#asm #gdb
🐍 15-летняя уязвимость в Python затрагивает более 350 тыс. проектов
Исследовательский центр Trellix опубликовал результаты исследования 15-летней уязвимости в Python — CVE-2007-4559. Судя по оценкам, ошибка присутствует в более чем 350 тыс. проектов с открытым исходным кодом и встречается в проектах с закрытым исходным кодом.
Уязвимость находится в модуле tarfile, который является модулем по умолчанию в любом проекте, использующем Python, и возникает из-за отсутствия очистки файлов перед вызовом функций extract() и extractall(). Ошибка позволяет злоумышленнику перезаписывать произвольные файлы, а значит, не составит труда загрузить вредоносный файл для выполнения произвольного кода.
Эксперты считают, что более 70 тысяч проектов получат исправления в ближайшее время. Из-за огромного количества затронутых репозиториев исправление всех ошибок будет чрезвычайно сложной задачей, которая может занять годы.
🗞 Блог Кодебай
#news #python #vulnerability
Исследовательский центр Trellix опубликовал результаты исследования 15-летней уязвимости в Python — CVE-2007-4559. Судя по оценкам, ошибка присутствует в более чем 350 тыс. проектов с открытым исходным кодом и встречается в проектах с закрытым исходным кодом.
Уязвимость находится в модуле tarfile, который является модулем по умолчанию в любом проекте, использующем Python, и возникает из-за отсутствия очистки файлов перед вызовом функций extract() и extractall(). Ошибка позволяет злоумышленнику перезаписывать произвольные файлы, а значит, не составит труда загрузить вредоносный файл для выполнения произвольного кода.
Эксперты считают, что более 70 тысяч проектов получат исправления в ближайшее время. Из-за огромного количества затронутых репозиториев исправление всех ошибок будет чрезвычайно сложной задачей, которая может занять годы.
🗞 Блог Кодебай
#news #python #vulnerability
🎣 В России разработали систему для быстрой блокировки фишинговых сайтов
Генпрокуратура России разработала быструю систему, в которой также участвуют Банк России и Роскомнадзор, для блокировки фишинговых сайтов и прочих ресурсов, которые могут незаконно использовать финансовую информацию пользователей.
«На весь процесс блокировки уходит от 3 до 24 часов, а механизм взаимодействия осуществляется в электронном виде с использованием специального программного обеспечения. Такой подход позволил нам кратно повысить эффективность данной работы», — отметил генпрокурор РФ Игорь Краснов.
Технические подробности работы этой системы пока неизвестны. Помимо этого, создано специальное ПО, которое используется при расследовании финансовых преступлений и мониторинга финансовой сферы. Оно работает с использованием элементов ИИ.
🗞 Блог Кодебай
#news #russia #phishing
Генпрокуратура России разработала быструю систему, в которой также участвуют Банк России и Роскомнадзор, для блокировки фишинговых сайтов и прочих ресурсов, которые могут незаконно использовать финансовую информацию пользователей.
«На весь процесс блокировки уходит от 3 до 24 часов, а механизм взаимодействия осуществляется в электронном виде с использованием специального программного обеспечения. Такой подход позволил нам кратно повысить эффективность данной работы», — отметил генпрокурор РФ Игорь Краснов.
Технические подробности работы этой системы пока неизвестны. Помимо этого, создано специальное ПО, которое используется при расследовании финансовых преступлений и мониторинга финансовой сферы. Оно работает с использованием элементов ИИ.
🗞 Блог Кодебай
#news #russia #phishing
Stryker - или как я пытаюсь перевернуть мобильный пентест!
Привет всем, я снова бросил себе вызов по мобильной разработке и кажется справился на отлично!) Но это судить не мне, а вам, приятного чтения! Давайте будем честны, большинство людей считают мобильный пентест "невозможным", "неудобным" или "только терминал". И скорее именно из-за этого я и решил написать свою собственную программу, которая способна разбить эти стереотипы!)
📌 Читать далее
#pentest #smartphone #network
Привет всем, я снова бросил себе вызов по мобильной разработке и кажется справился на отлично!) Но это судить не мне, а вам, приятного чтения! Давайте будем честны, большинство людей считают мобильный пентест "невозможным", "неудобным" или "только терминал". И скорее именно из-за этого я и решил написать свою собственную программу, которая способна разбить эти стереотипы!)
📌 Читать далее
#pentest #smartphone #network
bWaPP #2 Уязвимость HTML Injection — Reflected (POST) уровень (Low). Боль, слезы и этичный хакинг
Доброго дня! Я ранее уже писал статью по open source проекту bWaPP, его установке и настройке, а также разбирал одну из уязвимостей. Продолжим разбирать HTML Injection — Reflected (POST). Как известно, опыта много не бывает. Давайте вместе рассмотрим и подумаем над решением новой задачи.
📌 Читать далее
#learning #pentest #bwapp
Доброго дня! Я ранее уже писал статью по open source проекту bWaPP, его установке и настройке, а также разбирал одну из уязвимостей. Продолжим разбирать HTML Injection — Reflected (POST). Как известно, опыта много не бывает. Давайте вместе рассмотрим и подумаем над решением новой задачи.
📌 Читать далее
#learning #pentest #bwapp
