[Из песочницы] Распознавание KCAPTCHA
Введение KCAPTCHA — это готовое решение, написанное на языке PHP, предлагающее программисту решение с одной стороны весьма защищенное, с другой — максимально малотребовательное к ресурсам и конфигурации хостинга. В этой статье речь пойдет о простом, в некоторой степени универсальном способе...
Пришла беда откуда не ждали, уязвимость XSS в сервисе Яндекс.Метрика
Доброе время суток хабравчане! Буквально на днях я опубликовал статью по документации Web API и нашлись люди, которые попробовали применить XSS на сервисе, который был на этом же домене. Но особо не получилось это сделать. Точнее получилось, но не на этом сервисе. За подробностями прошу под кат....
[Из песочницы] Утечка пользовательских данных в QIWI
Вкратце, существует возможность собрать огромное количество данных о платежах по выставленным счетам, произведённых в системе. Эти данные включают в себя назначение платежа, описание, сумму. И самое главное: номер мобильного телефона плательщика, который, в некоторых случаях, по совместительству,...
[Из песочницы] Утечка пользовательских данных в QIWI
Вкратце, существует возможность собрать огромное количество данных о платежах по выставленным счетам, произведённых в системе. Эти данные включают в себя назначение платежа, описание, сумму. И самое главное: номер мобильного телефона плательщика, который, в некоторых случаях, по совместительству,...
[Из песочницы] Автоматический поиск роутеров со стандартными паролями
Недавно мне пришла в голову банальная мысль, что большинство людей кладут на настройку своих роутеров, и на них можно зайти по дефолтным паролям. А много ли таких роутеров вдобавок открыты для входа из интернета, что делает их проходным двором? И как это по-быстрому проверить? Итак, задача:...
Угнать за 9 символов
Сегодня я расскажу вам историю об уязвимости, которая существовала в одном интернет-банке много лет. Её эксплуатация была настолько элементарной, а опасность была настолько не очевидна, что ни кто так и не обратил на неё внимание. С этим банком у меня была договорённость о поиске уязвимостей и все...
Угнать за 9 символов
Сегодня я расскажу вам историю об уязвимости, которая существовала в одном интернет-банке много лет. Её эксплуатация была настолько элементарной, а опасность была настолько не очевидна, что ни кто так и не обратил на неё внимание. С этим банком у меня была договорённость о поиске уязвимостей и все...
А что думали об антивирусах в прошлом?
Как известно, раньше (как минимум) была трава зеленее. Но не будем о прекрасном. Что думают о возможностях антивируса современные регуляторы на Хабре обсуждалось не раз (например можно почитать тут). Естественно, что попытки выработать требования к средствам защиты предпринимались наверно с момента...
А что думали об антивирусах в прошлом?
Как известно, раньше (как минимум) была трава зеленее. Но не будем о прекрасном. Что думают о возможностях антивируса современные регуляторы на Хабре обсуждалось не раз (например можно почитать тут). Естественно, что попытки выработать требования к средствам защиты предпринимались наверно с момента...
Google Chrome внедрил дополнительные механизмы безопасности для Flash Player
Мы писали ранее, что разработчики веб-браузера Google Chrome для Windows добавляли в него дополнительные функции противодействия эксплойтам. Речь идет о механизмах 64-битных вкладок, High Entropy ASLR, а также об отключении использования драйвера win32k.sys в sandboxed-процессах. Эти механизмы...
Google Chrome внедрил дополнительные механизмы безопасности для Flash Player
Мы писали ранее, что разработчики веб-браузера Google Chrome для Windows добавляли в него дополнительные функции противодействия эксплойтам. Речь идет о механизмах 64-битных вкладок, High Entropy ASLR, а также об отключении использования драйвера win32k.sys в sandboxed-процессах. Эти механизмы...
RC4 NOMORE: взламываем RC4-поток за десятки часов в TLS и WPA-TKIP
Исследователи Mathy Vanhoef и Frank Piessens из iMinds-DistriNet и KU Leuven обнаружили опасную уязвимость в устаревшем, но все еще широко применяемом потоковом шифре RC4. В случае с веб-сайтами, уязвимость позволяет дешифровать часть зашифрованного HTTPS-потока (например, сессионный идентификатор,...
RC4 NOMORE: взламываем RC4-поток за десятки часов в TLS и WPA-TKIP
Исследователи Mathy Vanhoef и Frank Piessens из iMinds-DistriNet и KU Leuven обнаружили опасную уязвимость в устаревшем, но все еще широко применяемом потоковом шифре RC4. В случае с веб-сайтами, уязвимость позволяет дешифровать часть зашифрованного HTTPS-потока (например, сессионный идентификатор,...
Вирусдай запускает социальный эксперимент
Каждый ли платный сервис должен иметь пробный период использования? Такой, чтобы весь функционал без ограничений давался на день, неделю или месяц, а только затем предлагалось заплатить? Мнения разделились. У нас есть бесплатный тариф, но его функционал ограничен. Часть пользователей советует...
Вирусдай запускает социальный эксперимент
Каждый ли платный сервис должен иметь пробный период использования? Такой, чтобы весь функционал без ограничений давался на день, неделю или месяц, а только затем предлагалось заплатить? Мнения разделились. У нас есть бесплатный тариф, но его функционал ограничен. Часть пользователей советует...
[Перевод - recovery mode ] Шесть способов надежно защитить свою организацию от внешних и внутренних угроз
Sony, OPM, а недавно еще и MLB. Кто-нибудь знает, как защититься от кражи данных? Предлагается множество идей, начиная с отказа от современных систем и заканчивая шифровкой всех данных. Но, к сожалению, они непрактичны и нереалистичны. Вот что мы действительно знаем о кибератаках. Согласно...
Тестирование парольных политик крупнейших веб-сервисов
Passwords, passwords never change... Почти каждый пользователь сети Интернет имеет хотя бы один аккаунт или хотя бы однажды оставлял свои данные в различных службах. Почтовые сервисы, социальные сети, облачные хранилища, онлайн-игры и многое другое, – в одном Facebook уже более 1 млрд учетных...
Тестирование парольных политик крупнейших веб-сервисов
Passwords, passwords never change... Почти каждый пользователь сети Интернет имеет хотя бы один аккаунт или хотя бы однажды оставлял свои данные в различных службах. Почтовые сервисы, социальные сети, облачные хранилища, онлайн-игры и многое другое, – в одном Facebook уже более 1 млрд учетных...