Больно?

📙 Книга дня: J.D. — The Greatest Guide for Beginners to the Linux
Commands and Linux Operating System

Ребят, проще руководства по Linux для начинающих вы вряд ли найдете. Внутри всё, что нужно для начала знакомства с ОС: команды, навигация и особенности Linux. Чуть больше 100 страниц примеров и детальных объяснений что к чему.

Ссылка на книгу

💉 Безопасная разработка: Host Header Injection

HTTP заголовок Host — потенциальный вектор для атаки. В этой статье покажем, как с помощью простых шагов можно обезопасить веб-ресурс от инъекций этого типа.

Этот пост мы посвящаем каждому герою, который пытался объяснить эксплойт бабуле.

Тут «Коммерсантъ» пишет, что скоро домены будут регистрировать через Госуслуги

Проект закона предполагает использование Единой системы идентификации и авторизации (ЕСИА) для проверки данных тех, кто регистрирует домены, однако это касается исключительно администраторов доменов в российских зонах .ru и .рф.

Депутат Горелкин указал, что предложение направлено на противодействие фишингу, якобы система «Антифишинг», запущенная Минцифры в 2022 году не работает (а кто-то о ней слышал?).

Сейчас для регистрации доменов .ru и .рф требуют предъявление личных данных администратором, включая удостоверения личности. Но эксперты говорят, что эта информация редко подвергается фактической проверке + может быть основана на украденных данных.

Ну тут нужен опрос...

📨 Безопасная разработка: SSRF

Продолжаем наш цикл со статьей о подделке запросов на стороне сервера. Покажем типичный уязвимый код, как смягчить последствия и дадим основные рекомендации по безопасности.

Ну просто мы, когда первый раз открыли Linux в жизни

Интересное исследование: ученые нашли способ получать доступ к памяти ядра Linux на компах с процессорами Intel. В условиях виртуализации хакер может проникнуть в память хоста или других виртуальных машин из своей виртуальной среды.

Уязвимость назвали Native BHI (CVE-2024-2201). По сути это развитие уязвимости BHI (Branch History Injection) с обозначением CVE-2022-0001, которую нашли в 2022.

Суть методики в особых последовательностей команд (гаджетов) в коде ядра, которые инициируют спекулятивное выполнение операций (Speculative execution).

Эксперты даже разработали комплект инструментов — InSpectre Gadget (кек), с помощью которого в ядре версии 6.6-rc4 было обнаружено значительное число таких гаджетов. Это позволило создать эксплоит для добычи конфиденциальных данных.

Даже видео есть

Атака на 500 млн рублей

Пропустили новость, что Агрокомплекс им. Н. И. Ткачева (всем краснодарским привет) подвергся кибератаки через вирус-шифровальщик. Об этом пишет «Коммерсантъ»

Помимо того, что слетел сайт и серверы, хакеры требует 500 млн за украденные данные. Компания отказалась комментировать вопрос о выплатах.

Как отмечает неназванный эксперт в статье, доступ к данным агрохолдинга мог быть получен через фишинговые рассылки, уязвимости в публичных приложениях или незащищенные RDP-порты.

Прикиньте, вы просто открыли письмо от вашего брата-принца из Конго и теперь ваша организация должна пол ярда 💀

Что же, будем наблюдать.

💂‍♀️ Безопасная разработка: OS Command Injection

В этой статье рассказываем про типичный уязвимый код для shell-инъекций и возможности, которые есть у разработчика, чтобы избежать угрозу на этапе разработки.

Ситуация: джун залетает к лиду и показывает код

Трепещите! Почти ИИ пишет скрипты атак, и их успешно применяют 💀

Детали раскрывать не будем, потому что вы сможете перейти по ссылке, включить онлайн-переводчик и всё прочитать. После пойти в телеграм-боты, что пользуются GPT разных версий и проверить, что они смогут сделать для вас. Скорее всего у вас не получится, поэтому вы попросите другие сервисы составить для вас подробные обходящие промты.

С пятницей!

Мем, кстати, мы тоже сделали с помощью АI. И этот текст тоже! Трепещите!

💾 Безопасная разработка: загрузка файлов

В статье расскажем про использование системы безопасного хранения и различные методы защиты при загрузке файлов.

В блоге «Яндекс Практикума» на Хабре написали статью про безопасную разработку. Можно считать это одним из финальных шагов нашего цикла материалов за последние пару неделей.

В материале сделали упор на инструменты: создали мастхэв список, без которого будет тяжко систематически проверять веб-ресурс на уязвимости.