Безопасность цепочек поставок ПО. Построение процессов с помощью OSS
Привет, Хабр! Рассказываем об одном из вариантов применения Open Source инструментов Software Supply Chain Security. Коллеги по цеху попросили выложить небольшой его обзор сюда:) Эта статья является краткой текстовой версией моего доклада с конференции PHD2. Если тема вас заинтересует, можете...
[Перевод] Крадем учетные данные Windows
В этой статье мы разберем различные сценарии получения паролей в системе Windows. Metasploit Metasploit поставляется со встроенным модулем, который помогает нам провести атаку на получение учетных данных пользователя в открытом виде. Поскольку это модуль после эксплуатации, его просто нужно связать...
Ливанский куш, взлом банка с последствиями
Эта статья про физическое проникновение в один из банков Ливана. Легальный проект, с неожиданной концовкой, который выполнял один из самых известных специалистов по физическому тестированию на проникновение Jason E. Street! Вся история — это набор фактов, смешанный с его личными комментариями с...
ПО шагам: Защищаем сайт от парсеров и поведенческих ботов с помощью DNS-прокси
- контент не будет спаршен - с ВПН работает - выявит высокоуровневых JS ботов - реальных не заблокирует - фиксирование только настоящих просмотров - рекомендательная система будет работать изумительно Как интегрировать защиту, как выявить фейковых http ботов, как написать свой код верификации...
Закон распределения делителей числа (расширенная версия)
В арифметике известны элементарные действия с числами (+), (–), (×), (/) и др., использование которых при заданных исходных данных дает нам возможность получать определенные результаты: сумму, разность, произведение, частное. Обратное действие с результатами в качестве исходных данных возможно...
PinkHash: Незабываемые розовые хеши
Розовый хеш — это как розовый слон, только хеш. Как превратить ваш обычный скучный хеш в голого эндокринолога, которого уже не забыть! А так же, как сделать свой собственный менеджер паролей, не доверяя пароли никаким внешним сервисам. К эндокринологам и многомерным антихристам...
Создание GitHub бота для сообщества
В мире разработки ПО своевременное получение информации о событиях в репозиториях важно для активного сообщества. Мы решили автоматизировать этот процесс, создав чат-бота для нашего комьюнити в Telegram. Мы сделали упор на то, чтобы бот был простым в использовании, помогал оставаться в курсе...
Анонимная сеть Hidden Lake: переход на постквантовую криптографию
Всё что нам известно о текущем состоянии квантовых компьютеров - это их постоянное и планомерное улучшение, которое мы наблюдаем по открытым источникам. В это же время, нам всё также неизвестна реальная расстановка сил - неизвестно кто конкретно лидирует в гонке создания квантовых компьютеров, кто...
Действительно ли смартфон может работать в режиме скрытой прослушки?
Много лет среди обывателей распространена конспирологическая теория, что телефоны «подслушивают» пользователей даже в выключенном состоянии. Например, чтобы регистрировать ключевые слова и потом показывать актуальную контекстную рекламу. Некоторые замечали, что после обсуждения в офлайне какого-то...
Как в цифровом мире безопасно рассказать информацию не выдавая себя?
К примеру контрибьютер опенсорс проекта хочет рассказать о планах но при этом остаться анонимным. Или еще пример: какая-то технологическая фирма замешана в тёмных делишках и некоторый честный сотрудник хочет это прекратить. Он не знает сколько таких же как он единомышленников, но при этом он точно...
Имитационная безопасность. Продолжение
Прислали мне ссылку на дискуссию в российской майнинг группе. В ней третий день обсуждают, бывают ли никак не перезаписываемые (immutable) бекапы, сколько нужно времени для получения рут доступа к нормальному облаку, и вновь открывают для себя существование ленточных библиотек, и офлайн хранения....
[Перевод] Как провести Havoc agent через Windows Defender (2024)
Привет всем! Сегодня я покажу вам метод, как обойти последнюю версию Windows Defender с помощью Havoc Demons по состоянию на сентябрь 2024 года. Мы будем использовать offensive powershell: найдём shellcode-раннер на PowerShell и объединим его с рабочим обходом AMSI, чтобы выполнить его в памяти. Я...
Протокол ECH в браузере
Chrome продолжает развивать свои механизмы безопасности, и одной из последних технологий, привлекающих внимание, стал протокол Encrypted Client Hello (ECH). Этот протокол, ранее известный как ESNI (Encrypted Server Name Indication), направлен на усиление конфиденциальности при установке...
Карманный Ansible и защита от брутфорс-атак
Настраиваем fail2ban для защиты от перебора паролей на debian серверах с помощью инструмента автоматизации Ansible. Для мобильности сервер Ansible установим на OrangePi и сделаем его спряжение с мобильным телефоном. Читать далее...
Опыт реализации нейросетевого модуля российской DCAP-системы
Привет, меня зовут Михаил, я старший специалист по машинному обучению в компании Makves (входит в группу компаний «Гарда»). Я предпочитаю называть себя deep learning engineer, так как большую часть моего рабочего времени занимает обучение и вывод в прод именно нейросетевых моделей. Описанная в...
Простая защита скрипта на Python
Стек: Python 3.11.7, ntplib, subprocess, getpass для времени, системы, пароля, PyArmor 8+ для обфускации. Сценарий: Разработано приложение, которое дает преимущество перед конкурентами, или ваш код содержит конфиденциальные данные. Приложение предстоит установить нескольким сотрудникам (можно...
LLaMator: Red Teaming фреймворк для тестирования уязвимостей LLM
Привет, Хабр! В этом материале мы, команда LLaMaстеры — студенты 1 курса магистратуры ИТМО AI Talent Hub, представляем фреймворк LLaMator, победивший на хакатоне AI Product Hack в кейсе от компании Raft. Наша задача — создать инструмент для тестирования уязвимостей интеллектуальных систем,...
Профилирование: сравниваем инструменты pt-pmp и perf на реальных примерах
Привет, Хабр! В предыдущей статье был разобран первичный анализ работы приложения, какие инструменты стоит использовать для сбора информации и как с этими инструментами работать. Напомню, что речь шла о двух утилитах: poor man's profile (pt‑pmp), которая позволяет комплексно оценивать работу...