Новее, мощнее и лучше: одноплатник Orange Pi 5 Max. Что за устройство?
Источник Одноплатников становится больше. Часто появляются весьма удачные модели, которые можно использовать как в DIY-проектах, так и на производстве. Сегодня поговорим о новом девайсе — Orange Pi 5 Max. По словам разработчиков, у новинки современный модуль связи, есть поддержка SSD и много других...
[Перевод] Перевод статьи «Injecting Java in-memory payloads for post-exploitation»
В марте Synacktiv описали способы эксплуатации небезопасной десериализации в приложениях, написанных на Java. Позже, команда красных автора столкнулась с Java-приложениями, в которых были обнаружены другие уязвимости, приводящие к исполнению кода. А уже в этой статье автор представил несколько...
Уязвимости Laravel, технология Cookieless и Kerberos-лапша, или Рассказ о том, как мы IDS Bypass 5 решали
Вот и прошли два месяца с окончания Positive Hack Days Fest 2. Несмотря на то что он уже второй год как городской киберфестиваль, все привычные активности остались. Один из конкурсов — IDS Bypass — мы провели в юбилейный, пятый раз. Подводим его итоги и делимся райтапом. Немного статистики: В этом...
Безопасность CI/CD
Обычно, когда начинается разговор о DevSecOps, все сразу вспоминают о необходимости встраивать в конвейер SAST, DAST, SCA инструменты, проводить различные тесты на безопасность приложения и регулярно сканировать работающее в продуктивной среде решение. Но при этом не стоит забывать и о...
Мы построили бесконечный винный фонтан своими руками, потратив всего 6000 рублей. Рассказываю, из чего он сделан
Привет! Меня зовут Леша Штанько, я работаю системным администратором, интегратором и пишу автоматизации в Google App Scripts на JS в AGIMA. Но есть у меня и еще одна ипостась — я активный участник нашего винного клуба. Мы с ребятами дегустируем вина, изучаем их специфику и историю, разбираемся во...
WAF или не WAF? Дайте два! Решаем вопрос защиты веб-приложений
Всем привет. Меня зовут Аскар Добряков, я ведущий эксперт направления защиты бизнес-приложений. Уже больше 15 лет занимаюсь ИБ и три из них – защитой веб-приложений. За это время я часто сталкивался с неоднозначным отношением коллег к Web Application Firewall. В ИБ-сообществе мнения относительно...
Не хомяком единым: игры-кликеры, чьи бренды мошенники используют для угона аккаунтов или кражи крипты
Небывалый ажиотаж вокруг Telegram-приложения Hamster Kombat, в котором с марта этого года уже более 250 миллионов пользователей неистово «тапают хомяка» в надежде заработать криптовалюту, привлек повышенное внимание скамеров. За последние три месяца исследователи F.A.C.C.T. обнаружили более 600...
[Перевод] История Same Origin Policy
В начале 90-х интернет был очень базовым и простым для понимания. По сути, это были два компонента: веб-сервер и браузер. На локальном компьютере вы устанавливали браузер, который, получив URL, отправлял HTTP GET-запрос на сервер, на котором запрашиваемый ресурс. Затем этот сервер отвечал текстом,...
Bug Bounty для новичков: зачем компании платят за взлом своих продуктов и как в этом поучаствовать
Многие IT-компании платят людям за обнаружение уязвимостей и багов в их софте, сервисах, веб-сайтах или инфраструктуре. В обмен на сообщения об уязвимостях исследователи безопасности могут получить вознаграждение, известность и уважение в индустрии, а еще — интересный оффер на работу. Рассказываем,...
(Не) безопасный дайджест: Угон Pepe и Shib коинов, Disney под атакой, а также слив данных миллионов американцев
Пролетел второй месяц лета, и мы надеемся, что вы хорошо отдохнули или уже собираетесь в отпуск. Чтобы скрасить рабочие будни, делимся подборкой сочных летних ИБ-инцидентов. Сегодня в рубрике: продолжение драмы со Snowflake, недопонимание с robots.txt и похищение мем-коинов Читать далее...
[Перевод] Настройка аутентификации с одноразовым паролем в OpenAM
Аутентификация с паролем является, пожалуй, самым распространенным методом аутентификации. Но она не является достаточной надежной. Часто пользователи используют простые пароли или используют один и тот же пароль для разных сервисов. Таким образом пароль пользователя может быть скомпрометирован....
Карантин! Инфицируем .NET-сборки как настоящий APT
Привет, Хабр! Меня зовут Миша, я работаю ведущим экспертом по тестированию на проникновение в команде CICADA8 Центра инноваций МТС Future Crew. Недавно я занимался исследованием ранее неизвестных и просто любопытных способов закрепления в системах Windows. Я обратил внимание на одну особенность — в...
Как безопасно авторизироваться в веб-сервисе через скомпрометированное устройство?
Поискав в интернете, побеседовав с ИИ, можно выделить bullet-proof технологию многофакторной авторизации. "Добавь TOTP и спи спокойно", говорят они. Но что, если у вас только одно устройство, и оно скомпрометировано? Например, вы едете в путешествие и берёте с собой только телефон. Можете ли вы...
Цифровая крепость: как защитить себя в мире киберугроз
В нашу эпоху, когда цифровые технологии пронизывают каждый аспект нашей жизни, вопрос кибербезопасности становится как никогда актуальным. Мы живем в мире, где информация стала валютой, а ее защита — необходимостью. Ох, как же быстро меняется ландшафт угроз! Будто вчера мы беспокоились о простых...
Chromebook: жизнь после EOS
Привет, жители Хабра! На связи Кирилл из МТС Диджитал. Недавно мой верный Chromebook выдал сообщение, что больше не будет обновляться и со временем пользоваться им станет небезопасно. Но это не страшно — есть два варианта продлить срок использования этого чудесного гаджета. Первый из них предложил...
Защищаем приложение в облаке от DDoS-атак: взгляд со стороны провайдера и клиента
Любые опубликованные в интернете сервисы, службы и приложения (сайты, файловые хранилища, API, шлюзы) подвержены DDoS-атакам. Не важно, размещены они на вашем сервере или в облаке, их надо защищать. Я Руслан Корнев — эксперт по сервисам информационной безопасности в Cloud.ru. Многие компании...
Симметрии модели числа. Часть II
Не хочу прерывать желание читателей, ознакомившихся с предыдущей статьей (О разложении модели числа), продолжить знакомство с проблемой моделирования и исследования чисел. При написании статей хочу обеспечить читателям понимание ограничений и возможностей, применения, конструирования ими своих...
Toshiba T-1000
«Наконец-то производительность полноразмерного персонального компьютера доступна в удобном и портативном варианте! Она всегда с вами, и теперь вы можете избежать этих возвращений в офис, отнимающих так много времени». Читать дальше →...