infosec
56.7K subscribers
1.84K photos
107 videos
84 files
1.88K links
Copyright: @SEAdm1n

Вакансии: @infosec_work

Информационная безопасность. Литература для ИТ специалистов. Пентест, DevOps, Администрирование.

Приобрести рекламное размещение: https://telega.in/c/it_secur

РКН: https://vk.cc/cN3VCI
Download Telegram
• Пост выходного дня: Apple, Samsung, Xiaomi и другие технологические гиганты тратят миллионы долларов на рекламу своих смартфонов. Вы наблюдаете рекламу на сайтах, в фильмах, в музыкальных роликах и различных программах, но 100 лет назад этого всего не было, собственно как и современных телефонов.

В 1926 году с развитием автоматических телефонных станций (АТС) появляются телефоны с дисковым номеронабирателем. Компания Bell Systems подошла весьма креативно к рекламе своих устройств и запускала по городу автомобили, на которых был установлен огромный телефон (на фото. обратите внимание на диски!). Таким вот хитрым образом и привлекали клиентов в то время...

Кстати, самые первые телефоны тяготели скорее к кнопочной эволюции, а не к дискам, но жизнь такова, что первый кнопочный телефон в том виде, в каком мы его знаем, появился только в 1963 году. В коммерческое использование кнопочные телефоны вышли 18 ноября 1963 (выпустила их, конечно, Bell Systems). А путевку в жизнь кнопочным телефонам дал президент США Джон Кеннеди, который в апреле 1963 года анонсировал Всемирную выставку 1964 года в Нью-Йорке, набрав номер 1964 на кнопочной панели. О таком пиаре любой телеком-компании остаётся только мечтать...

#Разное
421108👍3💯21
Доброе утро...🫠

#Понедельник
Please open Telegram to view this post
VIEW IN TELEGRAM
1🤝44😁37💯10👍5211🌚1👨‍💻1
А вы знали, что Microsoft добавили в Windows 11 один из самых старых инструментов в своей истории - текстовый редактор Edit, которому 45 лет? Он появился еще в 80-х как часть MS-DOS и долгие годы оставался незаменимым в командной строке.

Но зачем и почему тулзу добавили в Win 11? Дело в том, что в первые годы персональных компьютеров ПО было простым, а ресурсы - ограниченными. Редактор Edit появился как часть MS-DOS и служил для одной задачи: быстро редактировать текстовые файлы прямо в командной строке. Никаких украшений, автосохранений, подсветки и всего прочего - только минимальный набор функций, зато работал он быстро и надежно. Для разработчиков и системных администраторов тех лет это был удобный инструмент, который позволял править конфиги и скрипты без перехода в другие программы. Со временем именно такие простые утилиты сформировали основу будущей экосистемы Windows.

С годами, по мере того как ОС эволюционировала от консольного MS-DOS к графическому интерфейсу Windows 3.1, а потом и к более продвинутым версиям вроде 95-й, Edit постепенно отходил на второй план, уступая место более удобным аналогам. Классический "Блокнот" взял на себя роль универсального инструмента для повседневных задач. Ну а Edit, будучи 16-битным приложением, стал конфликтовать с переходом на 64-битные архитектуры.

Начиная с Windows XP 64-bit и всех последующих версий, включая Windows 11, Microsoft убрала поддержку 16-битных приложений - вместе с ней исчез и легендарный Edit. Пользователи оказались в неловком положении: как теперь быстро подправить батник или конфиг прямо из терминала, не открывая сторонние программы?

Возрождение Edit произошло весной 2025 года. В тестовых сборках Windows 11 (Canary, build 27965) пользователи неожиданно обнаружили знакомый по старым временам exe-файл. Microsoft не стала устраивать громких анонсов: просто выложила исходники на GitHub под открытой лицензией и подтвердила, что обновленный Edit будет встроен в систему по умолчанию и удалить его нельзя.

На первый взгляд это выглядело как жест ностальгии, но на деле шаг оказался куда практичнее. Компания отреагировала на давние просьбы разработчиков, которым не хватало легкого терминального редактора. "Блокнот" давно утратил простоту, превратившись в перегруженное приложение с ИИ-подсказками, а после удаления WordPad в 2024 году пользователи окончательно лишились минималистичного инструмента для быстрой правки текста.

Новая версия Edit написана с нуля, но сохранила дух оригинала - минималистичный интерфейс, максимум скорости. Зато теперь редактор поддерживает работу мышью и горячие клавиши, что делает его не музейным реликтом, а удобным инструментом на каждый день.

Что касается работы редактора, то все устроено максимально просто: в командной строке или PowerShell достаточно ввести edit, и открывается быстрый текстовый редактор, причем прямо в терминале. Он не блокирует другие процессы и запускается мгновенно, ведь его размер не превышает 250 килобайт.

Редактор поддерживает лишь базовые функции: прокрутку стрелками или колесом мыши, сохранение через Ctrl + S, поиск по тексту с помощью F3. Здесь нет тем, плагинов и интеграций с Git - только чистый минимализм. Это инструмент для быстрых правок: открыл, исправил, закрыл. Оптимальное решение для тех, кому важно просто и без лишних движений отредактировать конфигурацию или скрипт прямо в терминале.

Он работает в Windows Terminal, поддерживает Unicode и даже кросс-платформенные порты (есть эксперименты для Linux через WSL), что расширяет его аудиторию за пределы чистых юзеров окошек.

Возвращение Edit в Windows - не дань ностальгии, а прагматичное решение. Microsoft закрыла гештальт, добавив в систему простой консольный редактор, которого годами не хватало пользователям. Причем Edit не претендует на роль полноценного IDE и не конкурирует с Notepad++ или VS Code - его задача сугубо утилитарная: быстро внести правку и вернуться к работе.

➡️ https://devblogs.microsoft.com/edit

#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
5🔥50👍2310😁3👎1
Нашел очень крутой материал по безопасности веб-приложений. Автор потратил около 6 месяцев на подготовку этого руководства и выкатил всю информацию совершенно бесплатно. Сам материал разделен на 3 части: для абсолютных новичков, для опытных специалистов и для экспертов.

Для абсолютных новичков рекомендуется начать изучение с серверных тем. Эти уязвимости, как правило, легче освоить, поскольку вам нужно понимать только то, что происходит на сервере. Данный материал и лабораторные работы помогут вам развить основные знания и навыки, которые будут полезны вам снова и снова.

SQL-инъекции;
Уязвимости аутентификации;
Обход пути (path traversal);
Инъекция команд ОС;
Уязвимости бизнес-логики;
Уязвимости, связанные с раскрытием информации;
Уязвимости контроля доступа и эскалация привилегий;
Уязвимости загрузки файлов;
Состояния гонки (race conditions);
Подделка запросов на стороне сервера (SSRF);
Внедрение внешних сущностей XML (XXE);
Инъекция NoSQL;
Тестирование API;
Обман веб-кэша (web cache deception).

Уязвимости на стороне клиента вносят дополнительный уровень сложности, что делает их немного более сложными для понимания. Этот материал и лабораторные работы помогут вам развить навыки, которые вы уже освоили ранее, и научат вас выявлять и эксплуатировать также некоторые сложные клиентские векторы атак.

Межсайтовый скриптинг (XSS);
Межсайтовая подделка запросов (CSRF);
Совместное использование ресурсов между источниками (CORS);
Кликджекинг (UI redressing);
Уязвимости на основе DOM (DOM-based vulnerabilities);
Тестирование уязвимостей безопасности WebSockets.

Темы, которые перечислены ниже, как правило, требуют более глубокого понимания и более широких знаний. Рекомендуется сначала разобраться с основами, прежде чем приступать к этим лабораторным работам. Некоторые из них основаны на новаторских методиках, разработанных исследовательской командой мирового уровня.

Небезопасная десериализация;
Атаки на веб-LLM;
Уязвимости GraphQL API;
(SSTI) Инъекция шаблона на стороне сервера;
Отравление веб-кэша (web cache poisoning);
Атаки через HTTP заголовок Host;
Контрабанда HTTP-запросов (HTTP request smuggling);
Уязвимости аутентификации OAuth 2.0;
Атаки на JWT;
Что такое загрязнение прототипов (prototype pollution);
Ключевые навыки.

#Web
Please open Telegram to view this post
VIEW IN TELEGRAM
21🔥49👍121172❤‍🔥1
Peter Girnus опубликовал пост о "стратегии внедрения ИИ во всё подряд". На всякий случай отмечу, что пост написан в юмористическом формате, но именно так большинство компаний внедряют ИИ в свои процессы.

Было бы смешно, если бы не было так грустно...

В прошлом квартале я внедрил Microsoft Copilot для 4000 сотрудников. 30 долларов за место в месяц. 1,4 миллиона долларов в год. Я назвал это «цифровой трансформацией».

Совету директоров очень понравилась эта фраза. Они одобрили это за одиннадцать минут. Никто не спросил, что это на самом деле будет.

Я всем говорил, что это "в 10 раз повысит производительность". Это не настоящее число. Но звучит именно так.

Сотрудники отдела кадров спросили, как мы будем измерять десятикратное увеличение. Я сказал, что мы будем "использовать аналитические панели". Они перестали спрашивать.

Три месяца спустя я проверил отчеты об использовании. Его открыли 47 человек. 12 человек использовали его более одного раза. Одним из них был я. Я использовал ИИ, чтобы кратко изложить содержание электронного письма, которое мог бы прочитать за 30 секунд. Это заняло 45 секунд. Плюс время, необходимое для устранения галлюцинаций.

Но я назвал это "успешным пилотным проектом". Успех означает, что пилот не допустил видимой ошибки.

Финансовый директор поинтересовался окупаемостью инвестиций. Я показал ему график. График пошёл вверх и вправо. Это был показатель "внедрения ИИ". Этот показатель я придумал сам. Он одобрительно кивнул.

Теперь мы обладаем возможностями искусственного интеллекта. Я не знаю, что это значит. Но это есть в нашей презентации для инвесторов.

Один из опытных разработчиков спросил, почему мы не используем Claude или ChatGPT. Я сказал, что нам нужна "безопасность корпоративного уровня". Он спросил, что это значит. Я сказал «соответствие». Он спросил, о каком именно соответствии. Я сказал "все они". Он выглядел скептически. Я назначил ему "беседу о развитии карьеры". Он перестал задавать вопросы.

Компания Microsoft направила группу для проведения тематического исследования. Они хотели представить нас как историю успеха. Я сказал им, что мы "сэкономили 40 000 часов". Я рассчитал это число, умножив количество сотрудников на число, которое я сам придумал. Они это не проверили. Они никогда это не делают. Теперь мы на сайте Microsoft. «Глобальное предприятие добилось повышения производительности на 40 000 часов благодаря Copilot».

Генеральный директор поделился этим в LinkedIn. Пост набрал 3000 лайков. Он никогда не пользовался Copilot. Ни один из руководителей этого не сделал.

У нас есть новая идея. «Для стратегической концентрации необходимо свести к минимуму отвлекающие факторы в цифровой среде». Я разработал эту политику.

Срок действия лицензий истекает в следующем месяце. Я прошу добавить дополнение. Дополнительно 5000 мест. Первые 4000 мы не использовали.

Но на этот раз мы будем "стимулировать внедрение". Принятие решения в силу подразумевает обязательное обучение. Обучение представляет собой 45-минутный вебинар, который никто не смотрит. Но ход выполнения будет отслеживаться. Завершение — это показатель.

Показатели отображаются на панелях мониторинга. Информационные панели включаются в презентации для совета директоров.

Презентации для совета директоров помогают мне получить повышение. К третьему кварталу я стану старшим вице-президентом.

Я до сих пор не знаю, что делает Copilot. Но я знаю, для чего это нужно. Это делается для того, чтобы показать, что мы "инвестируем в ИИ". Инвестиции означают расходы. Вложение средств подразумевает приверженность делу. Приверженность делу означает, что мы серьезно относимся к будущему. Будущее — это то, что я сам сочту нужным. Пока график движется вверх и вправо.


#Юмор #AI
771👍29😁179🔥2😱2🤣2111
👨‍💻 cURL от начала до конца!

cURL - это инструмент командной строки на основе библиотеки libcurl для передачи данных с сервера и на сервер при помощи различных протоколов, в том числе HTTP, HTTPS, FTP, FTPS, IMAP, IMAPS, POP3, POP3S, SMTP и SMTPS. Он очень популярен в сфере автоматизации и скриптов благодаря широкому диапазону функций и поддерживаемых протоколов.

• Так вот, у ведущего разработчика curl Даниэля Стенберга есть очень крутое видео «curl from start to end», где он подробно рассказывает, что происходит, когда вы вызываете curl!

• Основные этапы:

Загрузка curl, библиотеки libcurl и других зависимостей.
Разбор аргументов командной строки.
Разбор URL.
Разрешение доменного имени в URL с помощью DNS.
Установка соединения TCP.
Установка защищенного соединения TLS.
Отправка запроса HTTP.
Получение ответа HTTP.
Сохранение данных из ответа HTTP.
Разрыв защищённого соединения TLS.
Разрыв соединения TCP.

➡️ https://youtu.be/WmMa1GVPWZ0

• В качестве дополнения: Everything curl - очень объемное руководство (550 стр.) по работе с curl'ом, которое актуализируют еще с начала 2015 года и по сей день. Книга является бесплатной, а вклад в её развитие внесли десятки авторов: https://curl.haxx.se/book.html. Скачать книгу можно по этим ссылкам: [PDF] \ [ePUB].

#curl
Please open Telegram to view this post
VIEW IN TELEGRAM
13👍31149😁11
В блоге Реймонда Чена (разработчика из Microsoft) нашел ссылку на видео с работающей "тележкой смерти", которая была напичкана всевозможными USB-устройствами, вызывающими ВSoD, для тестирования и доработки ранних версий Windows. Об этом "изобретении" я рассказывал совсем недавно, но на этот раз есть возможность увидеть, что именно она из себя представляла:

➡️ https://www.youtube.com/watch?v=p6Xj3MKFR_Y

Сама тележка включала более 60 последовательно подключённых USB-устройств разных типов и функций. Как правило, ПК после подключения к ней выдавали «синий экран смерти».

Чен отметил, что с появлением USB и поддержки стандарта в Windows было важно обеспечить надёжность работы технологии. Тестовая тележка включала три мыши, четыре клавиатуры, принтеры, диски и различные USB-периферийные устройства.

Тележку привозили в офис разработчика и подключали к тестируемому компьютеру. При этом ПК либо сразу выдавал ВSoD, либо ошибка возникала при случайном подключении и отключении тележки. После этого разработчики занимались отладкой упавших компьютеров.

➡️ https://devblogs.microsoft.com/20240521

#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
2👍18🔥127
Deckhouse Conf 2026 — для тех, кто строит и поддерживает инфраструктуры.

9 апреля узнаете, как создать надёжные виртуальные машины в Kubernetes, перейти на микросервисную архитектуру без боли и правильно проектировать дашборды для мониторинга. И это только начало, в программу добавляются новые доклады.

Живое общение с экспертами, демозона с продуктами Deckhouse и практические кейсы. Регистрируйтесь
👍721
Забавный троллинг от Telegram: в описании крайнего обновления телеги можно встретить отсылку к одному из мессенджеров...

Ключи доступа работают всегда и везде — и при перебоях с СМС, и в заграничных поездках, и даже в лифтах на парковках.


➡️ https://telegram.org/blog/passkeys-and-gift-offers/ru

#Новости #Telegram #Юмор
Please open Telegram to view this post
VIEW IN TELEGRAM
10😁98🔥1296🤣42👎1
• Еще одно хорошее и бесплатное руководство от автора гайда по безопасности веб-приложений, которым я делился на этой неделе. На этот раз материал посвящен безопасности фронтенда. Вы подробно познакомитесь с тем, как работают Same-Site, Cross-Site, Cross-Origin, Prototype Pollution, DOM Clobbering, CSS Injection, XSLeaks, а также узнаете о многих видах XSS. А еще узнаете, как можно комбинировать уязвимости друг с другом, и поймете, почему клиентские уязвимости остаются актуальными по сей день...

• Содержание следующее:

Глава 1: Начало работы с XSS;
Глава 2: Защита и обход XSS;
Глава 3: Атаки без JavaScript;
Глава 4: Межсайтовые атаки;
Глава 5: Другие интересные темы.

➡️ https://gitbook.io/client-side-fundamental

#XSS
Please open Telegram to view this post
VIEW IN TELEGRAM
617👍10🔥5
📶 2 терабита в секунду по технологии FSO...

Именно таких результатов добились в Национальном институте информационных и коммуникационных технологий Японии (NICT)! Исследователи объявили о новом рекорде в скорости передачи данных по технологии оптики свободного пространства (free-space optics, FSO)2 терабита в секунду. Эксперимент проходил в условиях городской застройки, данные передавались по лазерному лучу.

Для испытания использовались два оптических терминала, разработанных в NICT. Устройство FX, расположенное в штаб-квартире института в Токио, и терминал ST, установленный на расстоянии 7,4 километра. Устройства смогли поддерживать устойчивую связь при плохой погоде и в условиях плотной городской атмосферы. Как поясняют в NICT, этого удалось добиться благодаря использованию технологии мультиплексирования по длинам волн (WDM): лазерный сигнал разделялся на пять каналов, каждый со скоростью 400 Гбит/с.

Отмечено, что терминалы можно использовать не только в лабораториях, но и на реальных платформах, включая малые спутники типа CubeSat или высотные аэростатные аппараты (HAPS). Ранее эксперименты такого уровня проводились в основном в Европе, и для них требовались крупные стационарные установки. В Азии же до сих пор не удавалось превысить порог 100 Гбит/с.

Следующим шагом станет переход от наземных испытаний к космическим. В 2026 году NICT планирует провести эксперимент по установке связи между низкоорбитальным спутником на высоте около 600 км и наземной станцией и протестировать передачу данных между спутником и высотной платформой HAPS. Цель — создать основу для коммуникационных систем нового поколения, которые выходят за рамки сетей 5G и 6G и формируют так называемые внеземные сети.

По словам исследовательской группы, технологии FSO позволяют объединить Землю и орбиту в единую инфраструктуру связи без необходимости прокладывать волоконно‑оптические линии, что открывает путь к быстрому и гибкому обмену данными между воздушными, космическими и наземными устройствами.

➡️ https://www.eurekalert.org/news-releases/1109643

#Новости #Сети
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
137👍186😨522🕊11
Хотите стать пентестером и предотвращать кибератаки? 👀

Запишитесь на курс «Профессия Пентестер» от Академии Кодебай! Финальные дни наборарегистрация здесь.

Что вы получите?
🔸 Научитесь атаковать сети, WEB-сайты, ОС и устройства и проводить внутренний и внешний пентест
🔸 Освоите полный цикл пентеста: от Kali Linux до написания эксплойтов и обхода антивирусов.
🔸 Сможете участвовать в Bug Bounty программах или построить карьеру в информационной безопасности

Полный цикл обучения:
⌨️ от освоения Kali Linux и администрирования, до написания эксплойтов и шелл-кода, обхода антивирусных решений
⌨️ от сетевой разведки до эксплуатации уязвимостей, повышения привилегий и закрепления в сети

Присоединяйтесь к Академии Кодебай – защищайте мир от угроз, находя уязвимости и предотвращая кибератаки!

🟧🟧🟧 Успейте использовать промокод COMBO20 для скидки 20% на два курса. Предложение действует до 19 декабря!

🚀 По всем вопросам пишите @Codeby_Academy
Please open Telegram to view this post
VIEW IN TELEGRAM
9👍5❤‍🔥4🔥2💩1
Эксперты BI.ZONE выкатили огромный лонгрид о тестировании сканеров отпечатков пальцев. Материал содержит описание различных типов сканеров и методы создания поддельных отпечатков пальцев с использованием различных подходов, технологий и материалов.

Спойлер: исследование проводилось на устройствах от разных производителей (Microsoft, Samsung, Apple), включая Samsung S23, MacBook Pro 2023, iPad Air 2025, Hamster Pro 20 и др. На всех этих устройствах удалось обойти защиту с помощью поддельного отпечатка.

➡️ Читать статью [15 min].

#Security #Исследование
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
424🔥11👍73