В защите McAfee для банкоматов обнаружена опасная уязвимость
Специалист отдела анализа приложений Positive Technologies Максим Кожевников обнаружил опасную 0-day уязвимость в защитной системе для банкоматов Solidcore, являющуюся частью продукта McAfee Application Control (MAC). Ошибка позволяет злоумышленнику осуществлять выполнение произвольного кода и...
Информационная гигиена в стране с несвободным интернетом
Недавно в разных странах происходили различные задержания на основе репостовпостовкомментариях в соц-сетях, это происходит из-за не понимания текущей действительности, законов о регулировании и методах работы правоохранительных органов в сети. Мне кажется, что стоит вывести основные правила о том...
[Перевод] Взлом на борту самолёта
На протяжении 5 лет, которые я работаю в IOActive, мне довелось побывать во многих интересных местах за тысячи километров от дома. Поэтому полёт для меня стал обычным явлением. Можно подумать, что в этом нет ничего особенного, но не для меня, как человеку который боится летать. Не сказать, что мне...
Можно ли вычислять биткоины быстрее, проще или легче?
Все началось с того, что я решил поближе познакомиться с биткоинами. Хотелось понять, как их добывают. Статьи про биткоины и блокчейны последнее время встречаются часто, но таких, чтобы со всеми техническими подробностями, таких не очень много. Самый простой способ разобраться во всех деталях —...
[Перевод] Соревнование Underhanded Rust 2016
Команда связей с сообществом Rust рада сообщить о первом ежегодном соревновании Underhanded Rust. Это соревнование должно проверить наше предположение о готовности языка Rust и его экосистемы к написанию легко читаемого и надежного кода. Воодушевившись примерами Underhanded C и Underhanded Crypto,...
[Из песочницы] Перехват системных вызовов Linux с помощью LSM
Недавно поступили такие задачи: собрать ядро Linux, написать для него модуль и с его помощью перехватывать системные вызовы. И если первые две я выполнил без проблем, то в процессе выполнения третьей у меня возникло впечатление, что работа с системными вызовами вышла из моды лет 10 назад....
VulnHub Разбор заданий с CTF SkyDog: 2016 — Catch Me If You Can
Продолжаем разбор лаб с VulnHub. На этот раз будем разбирать решение CTF с недавней конференции по информационной безопасности SkyDog Con Читать дальше →...
Враг внутри: приглашаем хакеров и докладчиков на PHDays VII
23 и 24 мая 2017 года в московском Центре международной торговли состоится международный форум по практической безопасности Positive Hack Days. Тема седьмой конференции — Противостояние: Враг внутри. Пока футурологи пугали нас Большим Братом и боевыми Терминаторами, нашими противниками неожиданно...
Уязвимость в системе мониторинга Nagios позволяет осуществлять повышение привилегий
Исследователь информационной безопасности Дэвид Голунски (Dawid Golunski) обнаружил серьезную уязвимость в популярной системе мониторинга ИТ-инфраструктуры Nagios. Ее эксплуатация позволяет злоумышленнику добиться повышения привилегий в системе. Читать дальше →...
Прототип RFC HTTP-кодов состояния для ошибок разработчиков (диапазон 7XX)
Ребята с Railscamp пришли к выводу, что текущая спецификация HTTP неполна: ибо у разработчиков есть много способов «прострелить себе ногу» в коде, но нет никакого формализованного способа, чтобы сообщить природу ошибки конечному пользователю :) Был предложен RFC со следующими кодами состояния (HTTP...
Здравствуй, дорогой Мегафон
Пишет тебе из маленькой деревни подо Ржевом простой и скромный разработчик сайтов. Хочу поговорить с тобой, Мегафон, о такой теме как реклама. Точнее, о нормативном документе №38-ФЗ, главе 2, статье 18. Я не помню, дорогой Мегафон, чтобы я вставлял коды твоих рекламных баннеров в код сайтов,...
VulnHub Разбор HackDay: Albania
Продолжаем разбор лаб с VulnHub. На этот раз займемся HackDay: Albania. К образу имеется следующее описание, из которого видно, что это таск с HackDay Albania's 2016 CTF This was used in HackDay Albania's 2016 CTF. The level is beginner to intermediate. It uses DHCP. Note: VMware users...
Security Week 50: социализация криптолокеров, аудит OpenVPN, уязвимость в ядре Linux
Только мы обсудили, что криптолокеры стали вредоносной темой года не за технологии атаки, а благодаря, скажем так, социальным аспектам проблемы, как пришла новость, это подтверждающая. Вымогатель Popcorn Time назван в честь перспективного, но зарубленного на взлете софта для удобного скачивания...
[Из песочницы] Взлом без взлома или семь способов найти утечку информации ресурса
Небольшое вступление Многие считают, что бизнесом движут информационные технологии: управление складом, управление логистики, прогнозирование, ситуационное моделирование, оценка рисков, системная динамика и т.д. Но в большинстве своем бизнесом управляет информационное противоборство. Из двух...
VulnHub Решение простого 64Base: Boot2Root
Совсем недавно на VulnHub опубликовали новый образ виртуалки под названием 64Base Boot2Root. Задания, как и статья рассчитаны на новичков. Так что не удивляйтесь, если какие-то из решений покажутся слишком простыми. Читать дальше →...
[Перевод] Экзотичные заголовки HTTP
Привет Хабрахабр, В этой статье будут наглядно продемонстрирован результат применения некоторых важных и экзотичных HTTP заголовков, большинство из которых связаны с безопасностью. Читать дальше →...
CTFzone write-ups — Deeper into the WEB
Друзья, надеемся, что выходные у всех прошли хорошо, и вы снова готовы немного поломать голову над заданиями CTFzone. Мы продолжаем публиковать райтапы к таскам, и сегодня мы разберем ветку WEB. На всякий случай запасайтесь кавычками и вперед ;) Направление WEB было вторым по популярности после...
[recovery mode] Виртуальные ключи к реальному миру
Представьте, что у вас появилась удобная возможность обеспечить безопасный и удобный совместный доступ к автомобилю без необходимости физически отдавать ключи от него. С ростом популярности технологии виртуальных ключей, когда информация о правах доступа к автомобилю наряду с прочими данными...