infosec
56.7K subscribers
1.85K photos
107 videos
84 files
1.88K links
Copyright: @SEAdm1n

Вакансии: @infosec_work

Информационная безопасность. Литература для ИТ специалистов. Пентест, DevOps, Администрирование.

Приобрести рекламное размещение: https://telega.in/c/it_secur

РКН: https://vk.cc/cN3VCI
Download Telegram
This media is not supported in your browser
VIEW IN TELEGRAM
Ну, во-первых, это красиво....

#Разное
494🔥5022👍101👎1
Многие форсят новость, что реестр повесток РФ взломали. Давайте разберемся более подробно, на основании информации, которая есть в проверенных источниках:

Начнем с того, что сам реестр повесток никто не ломал. Неизвестные хакеры получили доступ к инфраструктуре одного из ключевых разработчиков "Микорд". Так что это немного разные вещи...

По словам хакеров, они находились в системе несколько месяцев и смогли получить доступ к исходному коду, техническим документам и рабочим перепискам "Микорда". Группировка утверждает, что уничтожила инфраструктуру компании. Вероятно, что это действительно так, но правда это или нет мы узнаем позже, когда будет более детальная информация.

Утверждается, что все данные были переданы журналистам и скоро будет опубликована информация, касательно данного инцидента.

К слову, директор "Микорда" подтвердил факт взлома и даже прокомментировал произошедшее:

Слушайте, ну с кем не бывает? Сейчас многих атакуют.


Сейчас сайт "Микорд" показывает заглушку о технических работах. В общем и целом, как то так... Будем наблюдать.

#Новости
2092👍29🔥12🤣10975411
🎁 Турбо.

В августе 1981 года IBM выпускает на рынок персональный компьютер IBM 5150. Сердцем новой машины стал процессор Intel 8088 с частотой 4.77 МГц.

Вслед за гигантом IBM производить свои IBM PC совместимые машины начали и другие компании, например, Compaq. Их стратегия была проста и гениальна: предложить то же самое, но дешевле. Настоящая гонка началась, когда производители перешли от простого копирования к апгрейду. Почему бы не сделать то же самое, но еще и мощнее, быстрее? Так на свет появились машины на базе Intel 8086, продвинутые версии которого - 8086-1 и 8086-2, которые могли работать на частоте 10 и 8 МГц соответственно. По меркам того времени это был колоссальный скачок производительности.

Казалось бы, что может быть плохого в высокой производительности? Однако стремительный рост частот обнажил фундаментальную проблему: железо стало обгонять софт.

Поскольку большинство программ, разработанных специально под IBM PC, были заточены под частоту оригинального IBM 5150 - те самые 4.77 МГц, их запуск на машинах с 8-мегагерцовым CPU приводил к проблемам.

Первыми решение этой проблемы нашли производители акселераторов. Их гениальное инженерное решение было до смешного простым: обычный механический переключатель. Щелчок - и машина работает на полной скорости нового CPU. Ещё один - и компьютер сбрасывается в традиционные 5 МГц для запуска старого софта.

Некоторые производители клонов пошли дальше и реализовали переключение на уровне BIOS, назначив для этого "магические" комбинации клавиш вроде Ctrl+Alt+[+] или Ctrl+Alt+[\]. Это был уже более элегантный, программный подход.

Однако, летом 1984 года, компания Eagle Computer совершила маркетинговый прорыв, который навсегда вошел в историю компьютерного железа. Они представляют новую линейку машин - Eagle PC Turbo.

Аппаратной основе было чем похвастаться: сердцем был уже не 8088, а более производительный 8086 с 8 МГц частоты. Но главной "фишкой", которую заметили все, стала не начинка, а просто кнопка. Прямо на лицевой панели красовалась легендарная кнопка с подписью "Turbo".

Вопреки логике, её нажатие переключало частоту процессора вниз, до совместимых 4.77 МГц. А "обычным", ненажатым состоянием был самый быстрый, 8-МГц режим.

Идея оказалась настолько цепкой, что её мгновенно скопировали конкуренты. Уже через пару лет, когда мощные клоны подешевели и хлынули на массовый рынок, "турбо-кнопка" стала таким же обязательным атрибутом системного блока, как и дисковод для 5.25-дюймовых дискет. К 1988 году она была уже буквально повсюду, на корпусах миллионов компьютеров по всему миру.

Но всё когда-нибудь заканчивается. Судьбу кнопки "Турбо" решили не новые процессоры, а новые подходы к созданию софта.

Разработчики наконец-то осознали, что архитектура IBM PC - это надолго и тактовые частоты будут неуклонно расти. Поэтому перестали жестко привязывать логику работы программ к количеству тактов CPU, а новый софт стал учитывать тактовую частоту процессора.

С распространением такого подхода и постепенным уходом в прошлое софта 1980-х годов практическая необходимость в кнопке "Турбо" стала стремительно исчезать.

Уже в нулевых она стала настоящим артефактом, а её функцию по замедлению взяли на себя программы вроде CPUKILLER. Они позволяли гибко настраивать степень "торможения" системы, что было куда удобнее бинарного переключателя.

К тому же, к середине 1990-х, с приходом процессоров Pentium, рынок ПК стал полем жесточайшей ценовой конкуренции. Каждый копейка был на счету. И производители задумались: а зачем нам платить за лишнюю кнопку и поддержку этой функции, если её почти никто не использует? Так, в погоне за снижением себестоимости, кнопка Turbo тихо и незаметно исчезла с лицевых панелей новых системных блоков.

#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
5🔥61👍211086🫡51🗿1
Нашел интересный проект, который называется Nerdlog - это быстрый TUI-просмотрщик логов с удаленных хостов, с таймлайном, без сервера! Из интересного есть следующее:

Как уже было сказано выше, тут нет необходимости в использовании централизованного сервера. Взаимодействие с удалёнными тачками происходит по SSH.
Логи не скачиваются с удалённых машин целиком, обработка происходит на самих машинах, а в nerdlog попадает уже готовый результат.
Для удобства отрисовывается таймлайн и гистограмма, по которым можно ориентироваться при просмотре логов.

У разработчика есть хорошая статья с подробным описанием его проекта;
GitHub проекта.

#Разное #Tools
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍21🔥851
Эксперты компании Flare выкатили интересное исследование, в рамках которого было выявлено 10 456 образов контейнеров Docker Hub с конфиденциальной информацией (учётные данные для доступа к производственным системам, базам данных CI/CD или ключи моделей LLM).

• Самое забавное, что утечки затрагивают более 100 организаций, среди которых есть компании из списка Fortune 500 и крупный национальный банк.

После сканирования образов контейнеров, загруженных в Docker Hub в ноябре, во Flare обнаружили, что наиболее часто встречающимися секретами были токены доступа к различным моделям ИИ (OpenAI, HuggingFace, Anthropic, Gemini, Groq). В общей сложности исследователи выявили 4000 таких ключей. При изучении отсканированных образов они установили, что 42% из них содержали как минимум пять конфиденциальных значений.

Отмечено, что большинство организаций с раскрытыми секретами работают в секторе разработки программного обеспечения, за ними следуют компании из рыночной и промышленной отраслей, а также занимающиеся искусственным интеллектом и интеллектуальными системами.

Более 10 финансовых и банковских компаний стали жертвами утечки конфиденциальных данных. Одной из наиболее частых ошибок было использование файлов .ENV, которые разработчики применяют для хранения учётных данных, ключей доступа к облаку, токенов проекта. Кроме того, эксперты обнаружили API токены для сервисов ИИ, которые содержались в файлах приложений Python, файлах config.json и конфигурационных файлах YAML.

Часть конфиденциальной информации присутствовала в манифесте образов Docker - файле, содержащем подробную информацию об образе.

Flare отмечает, что примерно 25% разработчиков, случайно раскрывших секреты в Docker Hub, осознали свою ошибку и удалили секреты из контейнера или файлы манифеста в течение 48 часов. Однако в 75% этих случаев ключ не был аннулирован, а это значит, что любой, кто украл его, мог бы использовать эти данные для атак.

➡️ Исследование.

#Разное #Docker #Исследование
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥177👍62😁2🤔1
Please open Telegram to view this post
VIEW IN TELEGRAM
10😁109❤‍🔥15🤣106🤷‍♀33
This media is not supported in your browser
VIEW IN TELEGRAM
Спойлер на 2026 год...

[звук]

#Юмор
1673😁48😢13💯8👍42👎22
• Пост выходного дня: что на самом деле происходит между вашей картой и считывателем?

Каждый раз, когда сотрудник подносит карту к считывателю, запускается процесс, который снаружи выглядит достаточно банально — считыватель у двери или целый турникет сигнализирует вам о разрешении доступа и вы проходите.

Может показаться, что в этот момент происходит достаточно простой процесс, однако за этой простотой скрыта сложная система: генерация поля, питание карты, установление связи, аутентификация и передача данных.

В обычной эксплуатации этот процесс незаметен. Всё должно происходить быстро и надежно. Но чтобы обеспечить такую незаметность и легкость, за десятки лет инженерам пришлось решить множество задач на уровне физики, протоколов и архитектуры устройств.


Максимально объемный и понятный лонгрид про работу RFID-карт и считывателей: от физики процессов до обмена данными и механизмов защиты. Статья поможет не только разобраться в теме, но и просто заглянуть под капот привычных технологий. Думаю, что многим будет интересно:

➡️ Читать статью [18 min].

#RFID
Please open Telegram to view this post
VIEW IN TELEGRAM
5🔥359👍8322
• Пост выходного дня: Apple, Samsung, Xiaomi и другие технологические гиганты тратят миллионы долларов на рекламу своих смартфонов. Вы наблюдаете рекламу на сайтах, в фильмах, в музыкальных роликах и различных программах, но 100 лет назад этого всего не было, собственно как и современных телефонов.

В 1926 году с развитием автоматических телефонных станций (АТС) появляются телефоны с дисковым номеронабирателем. Компания Bell Systems подошла весьма креативно к рекламе своих устройств и запускала по городу автомобили, на которых был установлен огромный телефон (на фото. обратите внимание на диски!). Таким вот хитрым образом и привлекали клиентов в то время...

Кстати, самые первые телефоны тяготели скорее к кнопочной эволюции, а не к дискам, но жизнь такова, что первый кнопочный телефон в том виде, в каком мы его знаем, появился только в 1963 году. В коммерческое использование кнопочные телефоны вышли 18 ноября 1963 (выпустила их, конечно, Bell Systems). А путевку в жизнь кнопочным телефонам дал президент США Джон Кеннеди, который в апреле 1963 года анонсировал Всемирную выставку 1964 года в Нью-Йорке, набрав номер 1964 на кнопочной панели. О таком пиаре любой телеком-компании остаётся только мечтать...

#Разное
421108👍3💯21
Доброе утро...🫠

#Понедельник
Please open Telegram to view this post
VIEW IN TELEGRAM
1🤝44😁37💯10👍5211🌚1👨‍💻1
А вы знали, что Microsoft добавили в Windows 11 один из самых старых инструментов в своей истории - текстовый редактор Edit, которому 45 лет? Он появился еще в 80-х как часть MS-DOS и долгие годы оставался незаменимым в командной строке.

Но зачем и почему тулзу добавили в Win 11? Дело в том, что в первые годы персональных компьютеров ПО было простым, а ресурсы - ограниченными. Редактор Edit появился как часть MS-DOS и служил для одной задачи: быстро редактировать текстовые файлы прямо в командной строке. Никаких украшений, автосохранений, подсветки и всего прочего - только минимальный набор функций, зато работал он быстро и надежно. Для разработчиков и системных администраторов тех лет это был удобный инструмент, который позволял править конфиги и скрипты без перехода в другие программы. Со временем именно такие простые утилиты сформировали основу будущей экосистемы Windows.

С годами, по мере того как ОС эволюционировала от консольного MS-DOS к графическому интерфейсу Windows 3.1, а потом и к более продвинутым версиям вроде 95-й, Edit постепенно отходил на второй план, уступая место более удобным аналогам. Классический "Блокнот" взял на себя роль универсального инструмента для повседневных задач. Ну а Edit, будучи 16-битным приложением, стал конфликтовать с переходом на 64-битные архитектуры.

Начиная с Windows XP 64-bit и всех последующих версий, включая Windows 11, Microsoft убрала поддержку 16-битных приложений - вместе с ней исчез и легендарный Edit. Пользователи оказались в неловком положении: как теперь быстро подправить батник или конфиг прямо из терминала, не открывая сторонние программы?

Возрождение Edit произошло весной 2025 года. В тестовых сборках Windows 11 (Canary, build 27965) пользователи неожиданно обнаружили знакомый по старым временам exe-файл. Microsoft не стала устраивать громких анонсов: просто выложила исходники на GitHub под открытой лицензией и подтвердила, что обновленный Edit будет встроен в систему по умолчанию и удалить его нельзя.

На первый взгляд это выглядело как жест ностальгии, но на деле шаг оказался куда практичнее. Компания отреагировала на давние просьбы разработчиков, которым не хватало легкого терминального редактора. "Блокнот" давно утратил простоту, превратившись в перегруженное приложение с ИИ-подсказками, а после удаления WordPad в 2024 году пользователи окончательно лишились минималистичного инструмента для быстрой правки текста.

Новая версия Edit написана с нуля, но сохранила дух оригинала - минималистичный интерфейс, максимум скорости. Зато теперь редактор поддерживает работу мышью и горячие клавиши, что делает его не музейным реликтом, а удобным инструментом на каждый день.

Что касается работы редактора, то все устроено максимально просто: в командной строке или PowerShell достаточно ввести edit, и открывается быстрый текстовый редактор, причем прямо в терминале. Он не блокирует другие процессы и запускается мгновенно, ведь его размер не превышает 250 килобайт.

Редактор поддерживает лишь базовые функции: прокрутку стрелками или колесом мыши, сохранение через Ctrl + S, поиск по тексту с помощью F3. Здесь нет тем, плагинов и интеграций с Git - только чистый минимализм. Это инструмент для быстрых правок: открыл, исправил, закрыл. Оптимальное решение для тех, кому важно просто и без лишних движений отредактировать конфигурацию или скрипт прямо в терминале.

Он работает в Windows Terminal, поддерживает Unicode и даже кросс-платформенные порты (есть эксперименты для Linux через WSL), что расширяет его аудиторию за пределы чистых юзеров окошек.

Возвращение Edit в Windows - не дань ностальгии, а прагматичное решение. Microsoft закрыла гештальт, добавив в систему простой консольный редактор, которого годами не хватало пользователям. Причем Edit не претендует на роль полноценного IDE и не конкурирует с Notepad++ или VS Code - его задача сугубо утилитарная: быстро внести правку и вернуться к работе.

➡️ https://devblogs.microsoft.com/edit

#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
5🔥50👍2310😁3👎1
Нашел очень крутой материал по безопасности веб-приложений. Автор потратил около 6 месяцев на подготовку этого руководства и выкатил всю информацию совершенно бесплатно. Сам материал разделен на 3 части: для абсолютных новичков, для опытных специалистов и для экспертов.

Для абсолютных новичков рекомендуется начать изучение с серверных тем. Эти уязвимости, как правило, легче освоить, поскольку вам нужно понимать только то, что происходит на сервере. Данный материал и лабораторные работы помогут вам развить основные знания и навыки, которые будут полезны вам снова и снова.

SQL-инъекции;
Уязвимости аутентификации;
Обход пути (path traversal);
Инъекция команд ОС;
Уязвимости бизнес-логики;
Уязвимости, связанные с раскрытием информации;
Уязвимости контроля доступа и эскалация привилегий;
Уязвимости загрузки файлов;
Состояния гонки (race conditions);
Подделка запросов на стороне сервера (SSRF);
Внедрение внешних сущностей XML (XXE);
Инъекция NoSQL;
Тестирование API;
Обман веб-кэша (web cache deception).

Уязвимости на стороне клиента вносят дополнительный уровень сложности, что делает их немного более сложными для понимания. Этот материал и лабораторные работы помогут вам развить навыки, которые вы уже освоили ранее, и научат вас выявлять и эксплуатировать также некоторые сложные клиентские векторы атак.

Межсайтовый скриптинг (XSS);
Межсайтовая подделка запросов (CSRF);
Совместное использование ресурсов между источниками (CORS);
Кликджекинг (UI redressing);
Уязвимости на основе DOM (DOM-based vulnerabilities);
Тестирование уязвимостей безопасности WebSockets.

Темы, которые перечислены ниже, как правило, требуют более глубокого понимания и более широких знаний. Рекомендуется сначала разобраться с основами, прежде чем приступать к этим лабораторным работам. Некоторые из них основаны на новаторских методиках, разработанных исследовательской командой мирового уровня.

Небезопасная десериализация;
Атаки на веб-LLM;
Уязвимости GraphQL API;
(SSTI) Инъекция шаблона на стороне сервера;
Отравление веб-кэша (web cache poisoning);
Атаки через HTTP заголовок Host;
Контрабанда HTTP-запросов (HTTP request smuggling);
Уязвимости аутентификации OAuth 2.0;
Атаки на JWT;
Что такое загрязнение прототипов (prototype pollution);
Ключевые навыки.

#Web
Please open Telegram to view this post
VIEW IN TELEGRAM
21🔥49👍121172❤‍🔥1
Peter Girnus опубликовал пост о "стратегии внедрения ИИ во всё подряд". На всякий случай отмечу, что пост написан в юмористическом формате, но именно так большинство компаний внедряют ИИ в свои процессы.

Было бы смешно, если бы не было так грустно...

В прошлом квартале я внедрил Microsoft Copilot для 4000 сотрудников. 30 долларов за место в месяц. 1,4 миллиона долларов в год. Я назвал это «цифровой трансформацией».

Совету директоров очень понравилась эта фраза. Они одобрили это за одиннадцать минут. Никто не спросил, что это на самом деле будет.

Я всем говорил, что это "в 10 раз повысит производительность". Это не настоящее число. Но звучит именно так.

Сотрудники отдела кадров спросили, как мы будем измерять десятикратное увеличение. Я сказал, что мы будем "использовать аналитические панели". Они перестали спрашивать.

Три месяца спустя я проверил отчеты об использовании. Его открыли 47 человек. 12 человек использовали его более одного раза. Одним из них был я. Я использовал ИИ, чтобы кратко изложить содержание электронного письма, которое мог бы прочитать за 30 секунд. Это заняло 45 секунд. Плюс время, необходимое для устранения галлюцинаций.

Но я назвал это "успешным пилотным проектом". Успех означает, что пилот не допустил видимой ошибки.

Финансовый директор поинтересовался окупаемостью инвестиций. Я показал ему график. График пошёл вверх и вправо. Это был показатель "внедрения ИИ". Этот показатель я придумал сам. Он одобрительно кивнул.

Теперь мы обладаем возможностями искусственного интеллекта. Я не знаю, что это значит. Но это есть в нашей презентации для инвесторов.

Один из опытных разработчиков спросил, почему мы не используем Claude или ChatGPT. Я сказал, что нам нужна "безопасность корпоративного уровня". Он спросил, что это значит. Я сказал «соответствие». Он спросил, о каком именно соответствии. Я сказал "все они". Он выглядел скептически. Я назначил ему "беседу о развитии карьеры". Он перестал задавать вопросы.

Компания Microsoft направила группу для проведения тематического исследования. Они хотели представить нас как историю успеха. Я сказал им, что мы "сэкономили 40 000 часов". Я рассчитал это число, умножив количество сотрудников на число, которое я сам придумал. Они это не проверили. Они никогда это не делают. Теперь мы на сайте Microsoft. «Глобальное предприятие добилось повышения производительности на 40 000 часов благодаря Copilot».

Генеральный директор поделился этим в LinkedIn. Пост набрал 3000 лайков. Он никогда не пользовался Copilot. Ни один из руководителей этого не сделал.

У нас есть новая идея. «Для стратегической концентрации необходимо свести к минимуму отвлекающие факторы в цифровой среде». Я разработал эту политику.

Срок действия лицензий истекает в следующем месяце. Я прошу добавить дополнение. Дополнительно 5000 мест. Первые 4000 мы не использовали.

Но на этот раз мы будем "стимулировать внедрение". Принятие решения в силу подразумевает обязательное обучение. Обучение представляет собой 45-минутный вебинар, который никто не смотрит. Но ход выполнения будет отслеживаться. Завершение — это показатель.

Показатели отображаются на панелях мониторинга. Информационные панели включаются в презентации для совета директоров.

Презентации для совета директоров помогают мне получить повышение. К третьему кварталу я стану старшим вице-президентом.

Я до сих пор не знаю, что делает Copilot. Но я знаю, для чего это нужно. Это делается для того, чтобы показать, что мы "инвестируем в ИИ". Инвестиции означают расходы. Вложение средств подразумевает приверженность делу. Приверженность делу означает, что мы серьезно относимся к будущему. Будущее — это то, что я сам сочту нужным. Пока график движется вверх и вправо.


#Юмор #AI
771👍29😁1710🔥2😱2🤣2111