[Из песочницы] Небезопасное хранение паролей в IBM WebSphere
По работе часто сталкиваюсь с продуктами IBM: WebSphere Application Server (WAS) и другими на его основе. И как и все иногда забываю пароли, в особенности это касается тестовых систем или тех, которым не уделяешь должного внимания. В очередной раз не вспомнив пароля, решил посмотреть, а как его...
Технический отчет о деятельности преступной группы, занимающейся целевыми атаками — Anunak
Во второй половине 2014 года мы уже неоднократно упоминали про целевые атаки на крупные финансовые учреждения как новую ступень мошенничества. Ведь теперь денежные средства похищают не у «мелких юрлиц», а у крупных финансовых компаний, в которых, казалось бы безопасность должна быть на высшем...
[Перевод] Хакеры украли миллионы из банков с помощью вредоносного ПО
В конце 2013-го банкомат в Киеве начал выдавать деньги в совершенно произвольные моменты. Никто не вставлял в него карточки и не прикасался к кнопкам. Камеры зафиксировали, что деньги забирали люди, случайно оказавшиеся рядом в тот момент. Но когда для расследования позвали «Лабораторию...
Как узнать местоположение пользователя зная только его email-адрес
В статье описан очень простой и банальный метод, позволяющий определить IP-адрес получателя письма. Как все мы с вами знаем — имея IP-адрес, вычислить скрытую за ним персону не составит труда, особенно если вы сотрудник министерства Правды. Статья не откроет ничего нового для людей, знакомых с...
Обзор площадки для тестирования веб-уязвимостей OWASP Top-10 на примере bWAPP
Привет, Хабр! В этой статье предлагаю читателю ознакомится с уязвимостями веб-приложений (и не только), по классификации OWASP Top-10, и их эксплуатацией на примере bWAPP. Читать дальше →...
VirusTotal будет отслеживать false positive
Авторитетный веб-ресурс VirusTotal, который является наиболее распространенным сервисом онлайн-проверки файлов и URL-ссылок различными AV-сканерами, внедрил дополнительный механизм уведомления о т. н. false positive. Под этим понятием подразумевается чистый (не зараженный) файл, обнаруживаемый...
Безопасность в ссылках для e-mail рассылок
Я не специалист по компьютерной безопасности, я обычный менеджер проектов, поэтому разбора как произошло то, что произошло в этой статье не будет, да и вряд ли ниженаписанное потянет на статью, однако хотелось бы поделиться с общественностью произошедшим и услышать мнение специалистов, считают ли...
Безопасность в ссылках для e-mail рассылок
Я не специалист по компьютерной безопасности, я обычный менеджер проектов, поэтому разбора как произошло то, что произошло в этой статье не будет, да и вряд ли ниженаписанное потянет на статью, однако хотелось бы поделиться с общественностью произошедшим и услышать мнение специалистов, считают ли...
Facebook запустил социальную сеть для профессионалов в области информационной безопасности
Фейсбук запустил в бета-режиме социальную сеть для безопасников: ThreatExchange. Предполагается, что, обладающая гибкостью настроек видимости постов, новая сеть позволит более эффективно обмениваться информацией об угрозах без риска ее преждевременного раскрытия, а значит и эксплуатации уязвимостей...
[Из песочницы] Как Elasticsearch может помочь в поиске подозрительной активности на сайте
Предлагаю читателям «Хабрахабра» перевод статьи «Spotting bad actors: what your logs can tell you about protecting your business» из официального блога Elasticsearch. Статья рассказывает о том, как можно использовать возможности Elasticsearch для анализа логов веб-сервера с целью обнаружения...
Уязвимости и бэкдоры в телефонах Grandstream
Хочу поделиться парой серьёзных уязвимостей, найденных мною в телефонных аппаратах Grandstream. 1. Загрузка произвольного конфига в телефон Изучая веб интерфейс цветных телефонов gxp21xx для изучения их api, наткнулся на скрипт загрузки конфига в телефон, это скрипт /cgi-bin/upload_cfg В отличии от...
Взлом TLS с денежным призом
Разработчики TLS-имплементации на языке OCaml объявили конкурс BTC Piñata, чтобы доказать надёжность своей защиты. Известно, что конкурсы не могут быть настоящим доказательством, но этот очень уж забавный, да ещё с небольшим денежным призом. Итак, эти двое хакеров открыли демо-сервер...
Как устроен ABAP Secure Storage в SAP
Этой записью в блог мы начинаем цикл постов о паролях в SAP-системах: о том, как различные пароли хранятся в системе, как защищаются и передаются. На первый взгляд все просто — хранить пароли нужно в базе данных. Конечно, в случае обычных пользователей так и есть: пароли хранятся в виде хешей в БД....
Нестандартный топ новостей о безопасности: Январь
Всем привет! После успешного дайджеста новостей за 2014 год мы решили сделать рубрику регулярной, точнее – ежемесячной. Сегодня – самые важные новости информационной безопасности за январь. Методика выбора новостей немного изменилась. Мы по-прежнему берем самые посещаемые новости с нашего сайта...
[Из песочницы] Что и зачем ищут на сайтах «боты тёмной стороны силы»
Что такое — «боты тёмной стороны силы»? Обозначим так сканирующие программы (поисковые роботы, пауки), которые используют злоумышленники. В отличие от роботов поисковых систем [1, 2], «боты тёмной стороны силы» (в дальнейшем для краткости — боты) заняты поиском уязвимостей, вредоносных программных...
[Из песочницы] Что и зачем ищут на сайтах «боты тёмной стороны силы»
Что такое — «боты тёмной стороны силы»? Обозначим так сканирующие программы (поисковые роботы, пауки), которые используют злоумышленники. В отличие от роботов поисковых систем [1, 2], «боты тёмной стороны силы» (в дальнейшем для краткости — боты) заняты поиском уязвимостей, вредоносных программных...
Чему нас научили 5 крупнейших хакерских атак 2014 года
Подводя итоги прошлого года, не будет лишним упомянуть о наиболее масштабных хакерских атаках, от которых пострадали десятки миллионов пользователей сети. Сейчас мы рассмотрим краткую историю каждого из взломов и выясним, чему они нас научили. Читать дальше →...
Шпионим за всеми с помощью Яндекс.Метро
Так как Яндекс, по всей видимости, не собирается закрывать свой шпионский «баг», давайте тогда будем активно им пользоваться. Читать дальше →...