Защищаем бюджет на информационную безопасность: как успешно провести переговоры с CFO
Привет, Хабр! Меня зовут Александр Васильев, я CFO компании RED Security. Большую часть жизни я занимаюсь развитием финансовой стратегии, отвечаю за корпоративную отчетность и другие вопросы, связанные с деньгами. Сегодня я расскажу о болезненной теме для руководителей и специалистов ИБ —...
[Перевод] Обход OTP на крупнейшем индийском сайте для обмена видео
Я нашел сайт социальной сети, позволяющий пользователям делиться видео, который был аналогичен TikTok и имел более 50 миллионов активных пользователей. Я решил не разглашать его название и будем обозначать его как example.com. Начало атаки Я начал атаку с того, что собрал некоторую информацию о...
Хэши: виды, применение и примеры на Java
Хэширование — это фундаментальный процесс в программировании, который применяется везде: от защиты паролей до ускорения поиска данных в структурах. Эта статья поможет разобраться в основных видах хэшей, их применении, а также покажет, как их использовать на практике с примерами на Java. Читать далее...
Remote Code Execution через SQL инъекцию в Zabbix (CVE-2024-42327)
27 ноября 2024 года была выявлена критическая уязвимость в Zabbix с CVSS-оценкой 9.9, представляющая собой SQL-инъекцию в одном из эндпоинтов API Zabbix. Уязвимость позволяет атакующему, имеющему доступ к API, выполнить произвольные SQL-запросы. При определённых настройках Zabbix, которые разрешают...
Небезопасная десериализация в PHP: Как создать собственный эксплойт
Привет, Хабр! Сегодня мы познакомимся с уязвимостями небезопасной десериализации в PHP, научимся писать эксплойты для эксплуатации уязвимости в рамках тестирований на проникновение и попробуем себя в анализе кода. Читать далее...
[Перевод] Прошивки OpenWrt: атака на цепочку поставок
Несколько дней назад я обновлял сеть своей домашней лаборатории и решил обновить OpenWrt роутера 1. Подключившись к LuCI (веб-интерфейсу OpenWrt), я заметил раздел Attended Sysupgrade и попробовал обновить прошивку с его помощью. В описании говорилось, что он собирает новую прошивку при помощи...
«Интегрируй, доверяй»: почему появилась концепция zero trust, и как мы объединили три ее компонента в едином продукте
Привет, Хабр! Меня зовут Виталий Даровских, я менеджер продукта в компании UserGate. Мы разрабатываем программные решения и микроэлектронику в сфере информационной безопасности, а также предоставляем ИБ-услуги. Сегодня расскажу о том, как зародилась концепция zero trust, а также поделюсь нашим...
Рефы и другие китайские подделки смартфонов: что у них под капотом и почему их до сих пор покупают
Привет! Меня зовут Дима Фролов. Я автор команды спецпроектов МТС Диджитал, а еще около 10 лет ремонтирую технику: от мобильных телефонов до фотокамер и телевизоров. В прошлом посте рассказывал о пяти безотказных способах ушатать свой девайс. Сегодня поговорим о поддельных смартфонах — как ни...
Вне зоны доступа: как связаны регулярная аттестация прав доступа и защита ИБ-инфраструктуры компании
Людмила Севастьянова, менеджер по развитию продуктового портфеля управления доступом, поделилась статьей о том, зачем нужна аттестация прав сотрудников и почему ее нужно проводить регулярно, и почему она крайне важна для финансового сектора. И небольшой спойлер - в тексте есть несколько "пасхалок",...
Вне зоны доступа: как связаны регулярная аттестация прав доступа и защита ИТ-инфраструктуры компании
Людмила Севастьянова, менеджер по развитию продуктового портфеля управления доступом, поделилась статьей о том, зачем нужна аттестация прав сотрудников и почему ее нужно проводить регулярно, и почему она крайне важна для финансового сектора. И небольшой спойлер - в тексте есть несколько "пасхалок",...
Ваша DCAP не справляется: еще раз об идеальных vs достижимых требованиях к системе файлового аудита
Привет, Хабр! На связи Алексей Парфентьев, я в «СёрчИнформ» заведую инновациями и аналитикой. Каждый год мы изучаем, чем и как защищают данные российские компании (кстати, недавно делились первыми результатами этого года). Увидели, что доля внедрения DCAP-решений с 2021 года выросла почти в 10 раз...
Выбор инструментов для доставки секретов в Kubernetes. Наш путь delivery of secrets
Привет, Хабр! Меня зовут Натиг Нагиев, я Devops-инженер в МТС Диджитал. Проект, над которым я сейчас работаю, занимается обеспечением авторизации внешних клиентов. Это Mission Critical система, поэтому нам нужно было ускорить и оптимизировать доставку секретов в контейнеры с микросервисом, избежать...
5 одноплатных ПК под самые разные задачи: новинки ноября
В ноябре на рынке DYI-компонентов было представлено несколько интересных одноплатных компьютеров. Несмотря на свою компактность, такие ПК предлагают внушительный набор интерфейсов, что позволяет легко интегрировать их в различные проекты, от образовательных до промышленных. Если я упустил из виду...
Обзор портативной колонки Maibenben BS02
Maibenben BS02 — портативная колонка от бренда, который широко известен в узких кругах, как производитель ноутбуков. Постепенно расширяется номенклатура, в портфеле компании есть и SFF компьютеры, периферия, рюкзаки и вот теперь очередь дошла до акустики. Читать далее...
[Перевод] IDOR в cookie-сессии, приводящий к массовому захвату аккаунтов
Если вы знакомы с концепцией IDOR (Insecure Direct Object Reference), то знаете, что эта уязвимость может быть где угодно: в URL, теле запроса, запросах GET или POST, а также в cookie. Я участвовал в одной приватной программе. начала, я начал изучать логику работы приложения. Обычно это дает...
Пентестим терминалы
На просторах сети можно найти множество публикаций на тему проведения различных пентестов: этапность, используемые инструменты, получаемые результаты, отчетность и т.д. Однако, все это относится к классическому тестированию на проникновение в корпоративных сетях. При этом как правило не...
Ставим Arch c mainline ядром на экшен камеру Aceline S60
Порой отладочные доски довольно скучные, конечно если там не стоит жирный стратикс или цинк в полном обвесе. Не то что заниматься разработкой на серийной железке: схемы нет, исходники фрагментарные, даташиты поди найди. Но цена за железку была как два раза кофе попить, а беглое гугление по...
Apple Pro Weekly News (02.12 – 08.12.24)
Выходит в общедоступный релиз iOS 18.2 и macOS 15.2 Sequoia – что там нового? Тим Кук дал интервью, а также объявил об открытии магазинов в новой стране. Через что разработчики смогут писать на Swift даже для Android, а когда App Store будет медленно модерировать приложения? Как сгибаемый iPhone...