Обучение — это результат несогласия

1. Учиться — это узнавать то, с чем ты внутренне несогласен, некомфортным для себя способом.

2. Всё остальное — это лишь подтверждение своей правоты, не приносящее даже нового опыта.

3. С чем-то несогласен? Это повод не спорить, а задуматься и научиться чему-то новому.

Немного архивной милоты

Дичь в красивой обёртке.

Слышите звуки пилы? Это пилят бабло. Но хоть не моё, и то хорошо.

"ВТБ планирует запустить в новых отделениях автоматическую идентификацию клиентов при помощи уникального номера смартфона - MAC-адреса."

Неа, это нихуя не опечатка. По мнению руководства ВТБ, одного из крупнейших банков РФ, более 60% акций которого принадлежит государству, собирать MAC-адреса клиентов - это нормас.

Приложениям для дегенератов и обоссаных подростков собирать MAC'и нельзя. По крайней мере в наездах на Tik Tok это громкий аргумент. Или это пока 60% обоссатышей не будет принадлежать государству?

"Перед посещением можно будет записаться на удобное время через чат-бот в WhatsApp. На входе клиента автоматически идентифицируют по MAC-адресу. После этого он получит в чате направление к нужному столу или в переговорную."

Ебать, киберпанк. То есть, помимо приложения от ВТБ, МАС'и будут собираться через Цукерберга? Или как это будет выглядеть при записи через этот самый бот? Есть базы телефонных номеров банковских клиентов, по которым скамят пенсионеров, теперь будут ещё и базы МАС-адресов клиентов?

А как быть с функцией рандомизации МАС'ов? Начиная с iOS 14 рандомизация MAC-адресов будет включена по умолчанию для всех WiFi-сетей, не только во время автономного поиска. Опция рандомизации MAC-адреса для всех беспроводных подключений в Android 10 по указанию Гугла должна быть активна по умолчанию. И делается это для конфиденциальности пользователя, а именно для скрытия "истории активности" и "противостояния политике локально-глобального таргетинга". За который Гуглу и Яблоку не платят.

Короче ВТБ "придумал" очередную поебень и пытается пропихнуть её как технологичное решение "на благо" клиентов.

Так вот в чем дело, оказывается

1. В этот раз я с особым вниманием отсматривал выпускников Y Combinator со вчерашнего и позавчерашнего демо-дня, потому что мне надо было вытащить оттуда интересные модели, достойными копирования, для Fast Founder.

2. Отсмотрел около 200 стартапов. И вот, что я имею вам сказать — в описаниях подавляющего большинства стартапов, принятых в самый лучший в мире стартап-акселератор, нет ничего выдающегося. Никакой, прости господи, инновационности. Никаких уникальных бизнес-моделей. Ни-че-го.

4. Что за фигня? А теперь представьте себе десяток тысяч людей, решившихся подать заявку в YC. Тысячу прошедших первый тур. Которых потом прогоняют через предварительное интервью с неудобными вопросами, а потом десятиминутное собеседование, на котором тебе надо доказать, что у тебя миллиардный рынок, в продукте есть магия, ты амбициозен и компетентен, и ты умеешь отвечать в стрессовом режиме на жесткие вопросы циничных и умных людей так, чтобы тебе поверили.

5. Что такого особенного есть в тех, кого приняли? Они хотят и умеют конкурировать. И они в этой конкуренции выигрывают. Поэтому хрен с ним, с чего они начали. Если они умеют конкурировать, то через пару-тройку лет такого же въебыв@ния они победят достаточно конкурентов, чтобы занять достойное место на рынке.

6. «Мы же тоже вьебыв@ем!», — закричите вы. Как ни парадоксально, но большинство людей въебыв@ет, чтобы избежать конкуренции. Они выбирают каменистую лужайку с чахлыми кустиками вдали от плодородных полей, которые возделывают серьезные люди. И пытаются вырастить на этой убогой полянке богатый урожай. Конечно, для этого надо въебыв@ть. Только не ради богатого урожая, а ради выживания. А это совсем другая история.

7. В общем, есть только одна вещь, которая имеет значение для тех, кто хочет чего-то добиться — в стартапах, в карьере, в музыке whatever. Желание и умение конкурировать. А для всего остального есть эксперты, менторы и инвесторы.

Пара значимых, ну относительно конечно, движений.

Если у вас мобильный браузер Firefox 79, запущенный в июле (у меня он есть среди кучи других на смартфоне), то вы знаете что он поддерживает всего девять расширений. Так вот уже в следующих версиях Firefox Nightly разрабы обещают полную поддержку ВСЕХ аддонов. Нахрена они нужны я не знаю, но некоторые не могут представить себе "анонимности" без какого-нибудь User-Agent Switcher, хоть он и выделяет вас из общей массы пользователей как пятиногую собаку среди тысячи серых кошек. Куча браузеров, а не куча расширений, или не поняли зачем я с этого начал)?

Известный германо-швейцарский мессенджер Threema нашел себе бизнес-партнера который походу ввалил бабла в общий замес, и теперь код приложения будет полностью открыт. Более того, теперь официально приветствуются сторонние сборки на основе этого открытого кода.

Ну и последнее. На днях вышла iOS 13.7, так вот она тоже уязвима к checkm8, что позволяет вытянуть с устройства всю файловую систему. Нихера Apple не почесались, и так ведь продажи идут.

Великий и могучий curl

Чтобы сделать фишинговую почтовую рассылку через уязвимый почтовый сервер мы с другом давным давно написали инструмент для автоматизированной отправки писем.

Я долго им пользовался, чтобы проводить атаки с применением методов социальной инженерии. В том числе он был написан, чтобы проводить атаки с подменой отправителя.

Но сегодня мир рухнул, я неожиданно осознал, что CURL умеет работать с smtp:// схемой. (Нет, я конечно знал что он может многое, но как-то не осмеливался задуматься что он умеет еще больше).

В очередной раз убеждаюсь что все, что может быть нужно пентестеру можно написать однострочником на баше;)

Пример работы с SMTP черзе CURL:
curl -k --url "smtp://127.0.0.1" --mail-from "spoofing@example.com" --mail-rcpt "jdoe2@example.com" --upload-file ./message --user 'jdoe2@example.com:password' --ssl

Ты всё равно никому ничего не докажешь. Просто делай то, что нравится.

Волшебная история о том как сменить ip в камерах от trassir...

купил я тут себе пару камер в коридор. видеорегистратор трассир, камеры трассир, казалось бы что может быть сложнее? воткнул в пое, назначил ip адреса, подцепил в тра.... стоп стоп стоп. Назначил адреса? так просто? нет, мой дорогой, пятничный друг! нельзя так просто взять и назначить адрес! камера эта из коробки работает сразу по статике - 192.168.1.188. Ну то есть представим что ты вскрываешь новую камеру, а ноутбука под рукой нет и дальше как в анекдоте define true=false //удачной отладки, суки!. Ну ок, мы не гордые адрес то можем сменить на ноуте, зашли к камере в веб морду и тут такой кайф! после polyvision интерфейс камер трассира будто бы писала не узкоглазая блядь, а вполне такой себе мудрый пожилой китаец. Просмотр картинки правда требует флеша (флеш жив!), но мы сюда не за этим пришли, переживём. вольяжным движением по трекпаду ведем курсор к настройкам ip адреса и вбиваем заветные цыферки. Осталось только нажать сохранить, такая красивая, голубая кнопка под формой (а звёзды манят, да). Скорее же жмякнем на кнопку и отвалимся в кресле с чувством выполненного долга, чувствуя наступившее расслабление и удовлетворение...

Но что же это, постойте? всплывающее окно посмело прервать негу господина, царя и б-га этой камеры - Системного Администратора. Прищурив взгляд я уставился на древний манускрипт (это сейчас я знаю что веб страничка написана под IE9, для красного словца не повредит). И сказано было в пророчестве "проверяйте внимательно новый адрес камеры, иначе беда, засуха, неуражаи.... А потом просто редирект на новый ip и неожиданно... нет связи? ждать... ждать??? ждать!? каждая секунда тянулась словно вечность - ведь я не мог ошибиться. ведь не могут люди сделать ошибку в 4 октетах, это просто камера долго грузится. Но реальность была такова что камера адрес менять не собиралась....

В общем не буду ходить вокруг да около, проблема была в том что post запрос на смену адреса содержал пустое поле с параметрами: --data-raw ''. Полазив с инспектором по форме и пособирав имена параметров я сформировал правильный запрос и курлонул (🐦 ) в камеру запрос с такими параметрами:

--data-raw 'root_Network_IPAddress=192.168.12.34&root_Network_SubnetMask=255.255.255.0&root_Network_DefaultRouter=192.168.12.1&root_Network_DNS=8.8.8.8&action=modify'

И о чудо... на запрос мне конечно никто не ответил, но по новому адресу меня уже ждала она... камера!

#trassir

Для тех кому "очень интересно, но ничего не понятно":

1) зайти в интерфейс камеры
2) ввести параметры ip адреса которые вы хотите (а можно вообще любые, все равно он их не хавает)
3) найти post запрос и скопировать как curl или модифицировать в браузере и отослать
4) в любом случае --data-raw '' заменить на адекватное значение, пример которого в предыдущем посте

#trassir

Сбор данных "по взаимному согласию"

Тут вот типа показывают сколько данных собирает приложение https://t.me/F_S_C_P/64342

Давайте положа руку на печень, а вам не похуй сколько данных оно собирает, если оно один хрен собирает? Вот это вот "предупрежден значит вооружен" здесь не канает. Ну, допустим, будет приложение, по велению Apple, как они пообещали, или Google, честно показывать что лезет к вам в задницу. И что?

На днях, по другой правда теме, подняли вот это https://t.me/anti_malware/9190 и почему это вообще возможно. Всякие спуфинги и зловреды тут, конечно, идут лесом. Базы эти сливают сотрудники банков и админы, которые имеют доступ к серверам приложений. Наспуфить 16к устройств со всеми идентификаторами - это ебать какой пласт долбоебов нужно откапать, которые поставят себе на смартфон неслабого стукача. И пласт этот нужно просеять от тех у кого нет счетов в банках и тех у которых нет денег на счету, и тд. И это только один известный факт. Ну... вообще всякое возможно, но я не об этом.

Чтобы хоть как-то с этим бороться, хотели запилить единую базу клиентских устройств. Но чё-то передумали. Это "чё-то" вполне понятно, самим себе палки в колеса пихать неохота https://t.me/roskomsvoboda/5930
И слава богу, иначе защищаться было бы в сто раз сложнее, а слив этой базы вообще к таким последствиям может привести, что вышеописанное покажется детской игрой в бирюльки.

Допустим, условный Сбер собирает инфу. Всю, какая только может быть собрана. Это и так известно. То что это известно что-то меняет? Изменит что-то тот факт что Apple заставит разработчиков мобильного приложения показывать пользователям что и как приложение собирает? Все Сбером пользоваться перестанут сразу? Да хера с два. Станет меньше случаев угона бабла через слитые данные? Хера с три. Их со временем станет только больше. Про данные которые собирают сами корпорации типа Apple, но другим типа не велят, вообще речь не идет. Вспомните последнюю рекламу айфона: "Я купила вчера ведерко мороженого, мой пульс такой-то, номер карты такой-то, мы все это знаем и, честное слово, ни-ко-му. Конфиденциальность - это про нас." Ебать, это антиреклама по-моему.

Все потому что надежда, эта тупая пизда, не то что "умирает последней" - в мозгу у дятла она вообще не умирает. Пока все будут надеяться что "за них порешают" всю конфиденциальность, за них порешают их бабло и данные. Ну не требуется сверхусилий чтобы кормить приложения и всех кто заинтересован фуфлом вместо реальных данных, не нужно быть гением чтобы изолировать банковскую прогу от остальных и отрезать ей чтение идентификаторов. Сверхусилия нужны чтобы победить похуизм.

Единственное, во что есть смысл инвестировать — это в себя.

Ложка говна в бочку мёда. Сам я данным сервисом не пользуюсь, но так как он у всех на ушах, особенно в свете последнего высера Цукерберга по передаче пользовательских данных от зеленого мессенджера в другие продукты, лучше такое знать.

"В Signal все общение происходит через различных технологических гигантов, таких как Amazon, Microsoft, Google и Cloudflare. В разбивке по доменам вырисовывается следующая картина:

❗️ Amazon: textsecure-service.whispersystems.org, cdn.signal.org, sfu.voip.signal.org
❗️ Google: storage.signal.org, contentproxy.signal.org
❗️ Microsoft: api.directory.signal.org, api.backup.signal.org
❗️ Cloudflare: cdn2.signal.org

Обмен сообщениями (textsecure-service.whispersystems.org) осуществляется, например, через Amazon AWS, а серверы данных Google (storage.signal.org) отвечают за создание групп и управление ими. Это означает, что вся связь осуществляется через центральные серверы технологических гигантов. Это может оттолкнуть пользователей, особенно чувствительных к конфиденциальности, что я понимаю. Однако, по крайней мере, с точки зрения ИТ-безопасности, я считаю, что использование арендованных серверов незначительно, поскольку Signal работает по принципу нулевого знания. Конечно, было бы желательно, если бы Signal Foundation располагала собственными серверами. Однако это не обязательно означает повышение безопасности. Тем не менее, это является предметом критики, поскольку это, естественно, также сбрасывает деньги в казну осьминогов технических данных."

Как вы поняли - это цитата. Сам не проверял, потому что, как и сказал, не пользуюсь. Дело тут не в безопасности данных. Как верно замечено, "собственные сервера" (например Телега) в данном конкретном случае ничуть не безопаснее чем амазоновские. А вот то что все эти (ну или большинство из них) технологические компании резко политизируются, вот это уже стремно. Захочет новый президент старой страны надавить - прогнутся, ибо бабло решает. И подвиснут все месседжи условного чата с тысячей пользователей. И хрен его знает бежать им уже Капитолий штурмовать или нет. Ну и, естественно, чем больше "осьминог", тем больше вероятность его сотрудничества со спецслужбами. Какое, нахуй, "нулевое знание", если как минимум известен номер телефона, который во многих странах давно вяжут на биометрию?

Инсайты:

1. Когда что-то объясняешь кому-то — многое понимаешь сам и делаешь то, что советуешь делать другим.
2. Все решения уже приняты.
3. Подсознание не в голове. Подсознание в каждой клетке тела.
4. Не надо помогать всем подряд. Нужно помогать только тем, кто просит об этом, да и то выборочно.
5. Наставник может появиться в жизни внезапно, и он будет играть ключевую роль.
6. Держать слово очень важно.
7. Нужно максимально стараться для тех, кто платит тебе деньги, тогда они будут счастливы и будут платить тебе больше. Это очевидно.
8. Ты далеко не всегда можешь себе представить, как много ты можешь заработать, если просто будешь фокусироваться на задачах, которые тебе приносят деньги напрямую, и делать свою работу очень хорошо, отдавать больше.
9. Если твоя женщина плачет — значит, с тобой что-то не так. Любые отношения можно улучшить.
10. Все ответы уже есть в подсознании, нужно просто уметь с ним работать.
11. Если людям продавать — они купят.
12. Искренность и честность считывается.
13. Суета ни к чему хорошему не ведёт. Перед прыжком иногда нужно остановиться и осмотреться.
14. Чтобы стать богатым — нужно погрузить себя в окружение богатых людей. Посещать и работать в местах, где пахнет деньгами. Все токсичные отношения следует прекращать сразу, все гнилые места следует покидать незамедлительно.
15. Не дай себя сбить с толку той иллюзией, которую тебе часто преподносят вместе с обещаниями.
16. Некоторые люди только делают вид, что что-то из себя представляют, но внутри оказываются пустыми.
17. Отказаться от «порожняка» — сомнительных схем, в которых вроде как светят быстрые деньги, но на самом деле они только отнимают время, люди там не те, и вообще в целом происходит какой-то бред.
18. Если мне продают — то надо задуматься. Если я продаю — то это хорошо, если у меня купят — то тем более хорошо.
19. Доверие играет ключевую роль в хороших отношениях. Чтобы снизить расходы на рекламу и ускорить сделки (переговоры, поиск ресурсов) — нужно постоянно работать над улучшением своей репутации и увеличивать доверие других людей к себе. Желательно чтобы это были нужные тебе люди (с ресурсами, которые тебе нужны), и чтобы ты мог дать им что-то взамен с превышением чтобы они были рады.

Пароль от телеграма: ptEq!Y3K
———

Считайте то что выше кликбейтным заголовком. Так я хочу подчеркнуть довольно важный вопрос, который хотябы раз приходил в голову тем кто занимается софтовой разработкой, да и не только разработкой: Как передать секретные значения тому кто на другом конце интернета?

Хочу поделиться с вами двумя полезными инструментами (оба они open source)

Bitwarden https://bitwarden.com
Сам по себе bitwarden подходит для хранения ключей/паролей в принципе, но также в нем есть возможность создать ссылку по которой любой секрет был бы доступен только при первом открытии, что помогло бы избежать утекания ссылки в последствии. Требует иметь аккаунт для того чтобы создать ссылку.

Yopass https://yopass.se
Простой, современный инструмент, который дает end-to-end шифрование. Не требует иметь аккаунта.

Присылайте свои варианты, как бы вы решили проблему передачи секретов -> @drovalov (вариант end-to-end encrypted телеграм чаты не принимается )

Самое неприятное — вызывать жалость у людей. Если вы вызвали жалость — поздравляю, вы на дне. Соответственно, если у вас кто-то вызвал жалость — немедленно прекращайте общение с этим человеком. Во взаимодействии с людьми должен быть здоровый энергообмен.

Маленький квест, что бы не умереть со скуки.

Пару лет назад на одном собеседование мне дали 2 скриншота и спросили: "Что ты тут видишь?".

Это было не ожиданно,но разрешили использовать Гугл.

Ответ в последующем посте.