[Перевод] OAuth 2.0
Вы когда‑нибудь логинились на сайте, используя аккаунт Google или Facebook? Или подключали приложение, требующее доступа к GitHub? Если да, то вы уже сталкивались с OAuth2, зная того или нет. OAuth2 — наиболее популярный и расширяемый фреймворк авторизации. Он позволяет интегрировать различные...
Харденинг GitLab: хитрость лисы в защите кода организации
Привет, Хабр! Я Антон Ерёмин, ведущий инженер дирекции инфраструктурных проектов Positive Technologies. Сегодня на примере харденинга реальных сервисов продолжаем рассказывать о нашей методологии ХардкорИТ — подходе к определению времени атаки и вероятных маршрутов хакеров. В прошлый раз мы...
Миф о доказательном программировании без ошибок
Много копий сломано в обсуждениях, какой язык программирования самый лучший с точки зрения корректности и безопасности (под термином "корректность и безопасность" имеется ввиду отсутствие различных ошибок в программе, которые проявляют себя на стадии её выполнения и приводят к выдачей некорректного...
Вебинар: Cloud WAF – как обеспечить защиту веб-приложения за несколько часов
Недавно мы включили в свое портфолио PT Cloud Application Firewall – облачный межсетевой экран для защиты веб-приложений. Расскажем о возможностях сервиса и продемонстрируем его работу на вебинаре 11 марта в 11:00. Приходите! Читать далее...
Социохакинг в эпоху нейросетей
Каждый отдельно взятый человек – уникальная, самостоятельная личность. Тем не менее, у любого из нас есть набор паттернов поведения – своеобразных уязвимостей и бэкдоров в психике. Умело манипулируя ими, психолог с навыками социальной инженерии (или, например, обыкновенный мошенникус вульгарис,...
Как поменять процессор на материнской плате в домашних условиях. Часть 1
Привет, Хабр! Это Антон Комаров, я пишу для команды спецпроектов МТС Диджитал. Сегодня расскажу, как меняю процессоры у ноутбуков, игровых консолей и других устройств. Сразу скажу, что здесь очень много нюансов, самые важные постараюсь раскрыть. Пост не теоретический: покажу, как менять маленький,...
Я сделал тирлист 4 бесплатных браузерных прокси, чтобы вам не пришлось
Я заметил, что многие относятся к бесплатным прокси как к чему-то ненадежному, если не бесполезному. Да, они существуют, ими кто-то пользуется, но воспринимать их всерьез как рабочий инструмент — ну уж точно нет. Я решил проверить, насколько все действительно плохо (или, наоборот, хорошо),...
Сгорел в одном месте — попробуй зажечься в другом. Очередная статья про выгорание
Привет, дорогие хабровчане! Меня зовут Илья Лощаков. Я работаю инженером-автоматизатором процессов безопасной разработки в InfoWatch — то есть, devsecops’ом. Расскажу личную историю о том, как я кардинальным способом справился с процессуальным выгоранием, будучи ручным тестировщиком. Не всем...
Poco RAT в лапах дикой кошки: эволюция инструментов хакерской группировки Dark Caracal
В первом квартале 2024 года в поле зрения сотрудников департамента Threat Intelligence экспертного центра безопасности Positive Technologies (PT ESC) попал вредоносный семпл. Сообщество назвало его Poco RAT — по наименованию используемых библиотек POCO для C++. На момент обнаружения семпл не был...
Полтора года с телефоном на «Авроре»: плюсы и минусы российской ОС с точки зрения обычного пользователя
В 2023 году я узнал из видео одного блогера, что смартфоны с операционной системой «Аврора» можно взять на тестирование. Заинтересовавшись, я обратился в компанию «Открытая Мобильная Платформа» с просьбой предоставить устройство и вскоре получил в своё распоряжение смартфон Ayya с ОС «Аврора»...
Веб-пентест и взлом современных корпоративных сайтов в 2025 году
Доброго дня. Сегодня бы хотел максимально подробно изложить своё видение того как можно багхантить корпоративные порталы, на что следует обратить внимание что можно найти даже новичкам. Recon И начнём с первого. Разведки. Я не буду здесь писать арсенал про инструменты Project Discovery такие как...
[Перевод] Обходим BitLocker и вытягиваем из памяти ключи в Windows 11
Введение В этой статье я покажу, как можно обойти шифрование BitLocker в Windows 11 (версия 24H2) и извлечь из памяти ключи шифрования тома (full volume encryption key, FVEK) при помощи моего инструмента Memory-Dump-UEFI. Краткая справка Если у нападающего есть физический доступ к устройству, то он...
Silver Ticket: Теневое искусство атаки. От теории к практике и артефактам обнаружения
Silver Ticket — не просто атака, а теневая операция в сердце Active Directory. ❓Как злоумышленники подделывают билеты ❓Какие следы они оставляют ❓Какие инструменты они используют ❓Какие артефакты помогут обнаружить данную активность ✅В статье раскроем секреты этой атаки Читать далее...
Протестировал две российские системы работы с кодом. Что у меня (не) получилось
Как специалисту из области DevOps мне необходимо часто использовать различные инструменты автоматизации для решения рабочих задач. А еще я стараюсь применять некоторые механизмы в своих пет-проектах. Например, когда я занялся разработкой на ОС «Аврора», одной из первых насущных задач стала...
Управление учётными записями и настройка корпоративной техники при онбординге. Взгляд со стороны ИБ
Привет! Меня зовут Роза, я старший инженер инфраструктурной безопасности в Ozon Tech. В этой статье я расскажу о ключевых подходах к управлению учётными записями и настройке корпоративных устройств в нашей компании при onboarding (от англ. адаптация, далее по тексту — онбординг). Это может быть...
Снова ИБ-статистика: цифры, прогнозы, изменения 2023-2025
Привет, Хабр! Мы в «СёрчИнформ» каждый год собираем исследование об уровне информационной безопасности в российских компаниях. Но также нам всегда интересно посмотреть на глобальную статистику: что в ИБ было, что будет, чем сердце успокоится. Под катом делимся подборкой цифр из отчетов со всего...
Сканирование периметра компании VK с помощью open-source решений
Всем привет! Зовут меня Владимир, я работаю специалистом информационной безопасности в бизнес‑юните Mail.ru компании VK. Запустить сканер внешнего периметра было одной из моих важных задач. Сделать это можно было двумя способами разобрать и использовать то, что было сделано раньше или создать...
[Перевод] Поиск доступных конфиденциальных API ключей в JS-файлах
Сегодня мы узнаем, как найти открытые API токены в JS файлах. Они представляют риск, поскольку могут предоставить возможность несанкционированного доступа к базе данных компании или платным услугам. Это также распространенная уязвимость в системе безопасности, возникающая из-за неопытности и...