«В 2021 году я только начинал свой путь в наступательной безопасности. Я уже взломал довольно много компаний и получал стабильный доход охотой за баг-баунти — практикой этичного хакинга, при которой исследователи безопасности находят уязвимости и сообщают о них, получая за это вознаграждение. Однако я ещё не достиг уровня, позволившего бы мне быстро обнаруживать критические уязвимости цели. Этот уровень умений казался мне недостижимым. Но всё поменялось, когда я познакомился с человеком, ставшим ключевой фигурой в моей карьере баг-баунти: Snorlhax.

Поначалу я видел в нём конкурента. Он был намного выше меня во французской таблице лидеров HackerOne, что стимулировало меня расти над собой. Мы начали общаться в Discord, и спустя несколько недель я рассказал ему о многообещающей программе баг-баунти. Вскоре после этого он обнаружил у этой цели критическую уязвимость, оценённую в 10000 долларов — сумму вдвое больше, чем максимальная полученная мной от этой же цели. Мотивировавшись этим, я вернулся к этой же цели и за ту же неделю нашёл собственную критическую уязвимость за 10000 долларов в другом классе багов.

Вместо того, чтобы продолжать состязаться, мы решили сотрудничать. Теперь нашей задачей стало выявление у этой цели всех возможных классов багов: IDOR, SQL-инъекций, XSS, багов OAuth, Dependency Confusion, SSRF, RCE и так далее. Все их мы нашли, сообщили компании и написали отчёты. Это сотрудничество длилось несколько лет, и даже сегодня мы время от времени снова возвращаемся к этой цели.

Однако недостижимой оставалась одна задача: обнаружение «чудовищной уязвимости». Это должен быть настолько критичный баг, что нам выплатят нестандартное вознаграждение, намного превышающее обычные выплаты. Это стало для нас главной целью.

В посте я расскажу, как мы со Snorlhax наконец-то этого добились»

Как взломать цепочку поставок и получить 50 тысяч долларов

ООП: худшее, что случалось с программированием

Попробуем разобраться, почему ООП — худшее, что было придумано в программировании, как оно стало таким популярным, почему опытные программисты Java (C#, C++ и т. п.) в принципе не могут считаться крутыми инженерами, а код на Java — хорошим.

Дикая Java

Безопасный язык, говорили они. Чёткая спецификация, говорили они. Java не даст вам выстрелить себе в ногу, и прочее, и прочее. Реальность же оказалась куда веселее официальной документации. Ибо JVM темна и полна ужасов.

Догфудинг, ИИ-помощники, кодонавигация: самое интересное про SourceCraft, новую платформу для разработки от Яндекса

Сегодня Yandex B2B Tech в режиме технического превью открывает пользователям доступ к SourceCraft — платформе для разработки полного цикла, которая помогает создавать исходный код, управлять версиями, заниматься тестированием, сборкой, деплоить и сопровождать программные продукты. Её история началась в Yandex Infrastructure — эта команда развивает инструменты для создания и развёртывания приложений и сервисов внутри Яндекса и поддерживает инфраструктуру, на которой работают большинство разработчиков компании. Во многом поэтому значительная часть идей для новой платформы возникла благодаря догфудингу — практике использования собственного продукта командой его создателей.

Узнаем, каково это — делать платформу для разработки, одновременно используя эту же самую платформу для написания кода, тестирования, проверки пул‑реквестов, сборки и деплоя

Agents 101: как создать своего первого ИИ-агента за полчаса

ИИ-агенты становятся всё более востребованными для автоматизации задач и улучшения взаимодействия с пользователем. В этой статье вы узнаете, как создать собственного агента с помощью CopilotKit и LangGraph. Пошаговое руководство, примеры с исходным кодом и разбор ключевых компонентов помогут вам быстро освоить процесс и запустить своего первого ИИ-ассистента за 30 минут.

Как информационная служба Хабра ищет и отрабатывает технические инфоповоды

Каждый день сотрудники информационной службы Хабра ищут интересные технические инфоповоды, часть из которых становятся новостями, лонгридами или переводами. Узнаем, как это происходит.

Кто проживает на дне океана: о подводных линиях связи

Задумывались ли вы, как сообщение в мессенджере или видеозвонок достигают адресата за доли секунды, преодолевая тысячи километров? Наверняка. А о том, что 70% Земли покрыто водой? Скорее всего, тоже. Но если совместить эти факты, то выходит, что большая часть «магии» происходит именно на глубине, а подводные линии связи — это невидимые герои, соединяющие континенты. Давайте немного окунёмся в историю и поговорим об их основных типах и функциональных элементах, а также рассмотрим сферы применения.

[ХАБРААРХИВ]

Компьютер из 10000 костей домино

Мэтт Паркер, отметившийся в проектах Numberphile и Standup Maths, и команда Domino Computer Builders построили, наверное, самый медленный компьютер в мире.

К примеру, AND gate выглядит следующим образом. Если толкнуть один из входов («послать единицу»), на выходе получим «ноль»: «единица» на правом входе просто «закроет ключ», единица на левом же раздвоится, и тот сигнал, который ушёл вправо, закроет ключ для левого, прежде чем тот дойдёт до него. Если же толкнуть оба входа, правый сигнал, закрыв ключ, не даст левому входу «самоуничтожиться», и на выход уйдёт «единица».

#хабраархив

Генератор картинок от разработчиков DeepSeek: тест-драйв новой нейросети

Всего месяц назад команда DeepSeek выпустила в открытый доступ новую мультимодальную модель для генерации картинок — Janus-Pro-7B. Разработчики заверяют, что она умеет генерировать изображения, почти неотличимые от настоящих, хорошо работает в локальном режиме, бесплатна и превосходит западных конкурентов в ряде задач.

Но действительно ли Janus-Pro-7B так хорош? Развернём модель в облаке, протестируем её в деле и сравним результаты с другими генераторами изображений.

Квантовые точки и их получение

Одно из интереснейших явлений — открытие «квантовых точек», и многие называют это существенной вехой, которая даёт начало целым направлениям в науке и технике. Посмотрим поближе, что они представляют собой и насколько реально их создать самому.

Истоки и эволюция редакторов Vi и Vim

В этой статье мы отправимся к истокам текстовых редакторов UNIX, чтобы рассмотреть ключевых участников и важные события, сыгравшие решающую роль в эволюции Vi и Vim, и узнаем, кто их общий «прародитель».

«Вот есть у нас, например, два хоста-клиента и один Linux. Хосты из одной подсети. Надо чтобы пообщаться смогли они друг с дружкой. В общем, свитчик D-link тупой сделать надо из Линукса»

FRRouting. Без кликбейтного названия

Органы на заказ: собираем генно-инженерную свинью

Сейчас донорство органов — это всегда радостное событие для одних, но печальное — для других. Да, есть замечательные люди, которые при жизни согласились спасти других, если с ними самими что-то случится. Но сегодня поговорим об альтернативе, которая стала одним из наиболее перспективных направлений в продлении жизни и трансплантологии.

Фидонет: как получить первого поинта, а также как настроить заветный софт

Поговорим о том, как установить заветный «голый дед» (GoldED+) на свой телефон вместе со стандартным тоссером Husky и мейлером BinkD, а также получить первого поинта в сети.

Почему дизайнер = инженер

Поговорим о том, что из себя представляет работа дизайнера сегодня. Пройдёмся по основным мифам, посмотрим на роль дизайнеров в разработке и проблемы, с которыми они сталкиваются. Надеемся, после этого текста вы убедитесь, что в профессии дизайнера много технических моментов и они ближе к разработчикам и инженерам, чем к художникам.

На прошедшей неделе мы создавали ИИ-радио, вспоминали вымершие языки программирования, составляли числа из четырёх двоек и превращали старый смартфон в игровую консоль с возможностью звонить.

Лучшие публикации недели (24 февраля — 2 марта 2025)