СyberPanel Command Injection Vulnerability (CVE-2024-51378)
В программном обеспечении CyberPanel обнаружена уязвимость, связанная с обходом аутентификации и выполнением произвольных команд через эндпоинты /dns/getresetstatus и /ftp/getresetstatus. Уязвимость присутствует в файлах dns/views.py и ftp/views.py версий до 2.3.7 включительно. Читать далее...
Как пройти капчу неважно где (в стиме или на обычном сайте) как Профи — разбираемся в сложностях автоматизации
Автоматизация может утомлять, особенно, если опыта в этом не так много, а задачи стоят «интересные» или «нестандартные» — читай сложные или невыполнимые. Не будем рассматривать все возможные варианты, почему задачу считается «интересной» или «нестандартной», а разберёмся с одной задачей, которая...
GUI для исследования внутренностей PDF
Как известно, PDF-файлы часто используются как контейнеры для вирусов и эксплоитов. Они применяются в фишинговых кампаниях и социальной инженерии, когда жертве присылают для просмотра «безобидный документ» в формате PDF, а тот запускает на исполнение вредоносный код через незакрытую уязвимость в...
ТЭЦ, банки и деревья в масштабе 160 к 1: история создания макета для кибербитвы Standoff
Портал Грамота.ру утверждает, что «Макет — предмет, точно воспроизводящий в уменьшенном виде или в натуральную величину какой-либо другой предмет». Но это, скорее, про те макеты, которые можно увидеть в музеях, на выставках, в офисах продаж квартир, в конце концов. В нашем же случае макеты,...
Обойдемся без VPN: связка из 2 прокси для хождения в Интернет
На Хабре есть уже десятки статей о том, как поднять свой VPN. Но, кроме VPN, существует еще и прокси. Для браузера его более, чем достаточно. Практика показывает, что РКН на данный момент не ломает даже прозрачные HTTP прокси (МГТС, Москва). Надеяться на это, впрочем, не приходится, поэтому мы...
ИИ представляет собой экзистенциальную угрозу: 9 тезисов для обсуждения
9 тезисов о том, почему будущие системы искусственного интеллекта могут уничтожить человечество, и какие меры нужны, чтобы это предотвратить. 1. ИИ отличается от нормальных программ. Традиционные программы — это написанные людьми инструкции, которые выполняет компьютер. Эти инструкции содержат...
[Перевод] Захват аккаунта: Как я нашел способ получить доступ к любому аккаунту благодаря простой ошибке в регистрации
Сегодня я хочу поделиться уникальным случаем, с которым я столкнулся при проверке безопасности приложения в рамках одной программы. Эта уязвимость позволила мне обойти проверку электронной почты и завладеть учетной записью любого пользователя благодаря ошибке в регистрации. Читать далее...
[Перевод] PyMyFlySpy: отслеживание полёта по бортовым данным
«Где мы, папа», — спросил меня 5-летний сын. «Мы приземлимся примерно через час», — ответил я. «Да нет, я имею в виду, где мы? Мы ещё не пролетаем Италию?» Точно ответить я не мог. Это был недолгий перелёт по низкому тарифу без удобств в виде встроенных в подголовники кресел экранов. Тогда я...
«Элемент впаривания». Интервью со специалистом по интернет-рекламе
Сразу после выхода законов об изменении законов об ответственности за ненадлежащее обращение с персональными данными, мы в компании IDX, как и все, кто имеет дело с персональными данными (как выяснилось, это вообще все юридические лица и ИП, поэтому, короче, как весь народ) втянули голову в плечи и...
Малинка в деле: пять креативных проектов на базе Raspberry Pi
Источник. Одноплатные компьютеры от Raspberry Pi Foundation и других производителей стали незаменимым инструментом как для любительских экспериментов, так и для профессиональной разработки и промышленного использования. За годы их существования энтузиасты и инженеры воплотили в жизнь тысячи...
17 запретов для бизнеса в соцсетях в 2025 году: объясняю, как не спустить выручку на штрафы
«Зашли в соцсети, чтобы делиться экспертностью и привлекать новых клиентов, а по итогу погрязли в штрафах и разбирательствах...» – итоги 2024 для бизнеса, который очень-очень хотел, но не знал, как работать в социальных сетях, не нарушая законов. Полагаю, десятки юрлиц могут поделиться такими же...
Почему не стоит покупать ретро-телефоны на «Алике»: ремонтируем и смотрим на легендарный Nokia E7
Пожалуй, многие мои читатели хоть раз видели, как на онлайн-маркетплейсах по типу AliExpress, Ozon и некоторых других продаются ретро-телефоны в состоянии чуть ли не новых! За высокую цену относительно вторичного рынка, продавец обещает коробочку, полный комплект и конечно же сам телефон в...
Игрушечный ботнет на JavaScript под BitBurner
Предлагаю стать хакерами на пару дней, захватить сеть города и собрать криптовалюту с компьютеров беспечных соседей. Мы не станем вредить, а вирус напишем в компьютерной игре BitBurner. Писать вирусы - плохо, но изучать - интересно. Научим вирус распространяться по сети и выполнять команды -...
Linux LPE через Needrestart (CVE-2024-48990)
19 ноября 2024 года компания Qualys публично раскрыла информацию о пяти уязвимостях в утилите Needrestart. Эти уязвимости касаются локальной эскалации привилегий(LPE) и были найдены в бинарном файле. CVE-2024-48990 затрагивает версии Needrestart до 3.8. В Ubuntu она применяется по умолчанию с...
Реализация шифра «Магма» на языке RUST
Привет! Сегодня мы продолжаем реализовывать шифрование. В этой статье мы рассмотрим алгоритм шифра "Магма", который был разработан и использовался в СССР. Читать далее...
Cекретный ингредиент для реверс-инжиниринга: как работает наш собственный опенсорс-плагин для IDA
Привет, Хабр! Меня зовут Георгий Кучерин, я — Security Researcher в Глобальном центре исследования и анализа угроз (GReAT) «Лаборатории Касперского», где мы занимаемся изучением APT-атак, кампаний кибершпионажа и тенденций в международной киберпреступности. Да-да, тот самый GReAT, который раскрыл...
[Перевод] Руководство по современным сетевым политикам Kubernetes
В мире Kubernetes сетевые политики играют важную роль в управлении трафиком внутри вашего кластера. Но что они собой представляют? Зачем, когда и как их стоит использовать? На эти вопросы отвечает в своём небольшом руководстве Скотт Ригби, амбассадор CNCF и мейнтейнер Helm и Flux. Читать далее...
Новый универсальный метод взлома LLM от Anthropic «Best-of-N Jailbreaking»
Буквально несколько часов назад (на момент написания этой статьи), компания Anthropic предоставила свое новое исследование по обходу защитных механизмов LLM в открытый доступ. Новый способ взлома «Best‑of‑N Jailbreaking» описывает универсальный метод обхода защиты передовых AI‑моделей, работающий с...