Как работает Blind LDAP Injection — на примере реального CTF-задания
Всем привет! Меня зовут Ян, я старший специалист по пентестам в компании Xilant. Сегодня предлагаю вместе разобраться с довольно сложным CTF-заданием, посвящённому слепой LDAP-инъекции (Blind LDAP Injection). Оно будет особенно интересным, ведь его смогли решить всего около 50 человек из примерно...
Изоляция и лимитирование пользователей хостинга с ОС «МСВСфера Сервер» 9 редакция для хостинг-провайдеров
Хостинг - это десятки тысяч сайтов и пользователей находящихся под управлением одного сервера. Зачастую пользователь хостинга не погружается в детали настроек сервера, а знает только основное — на сервере есть PHP, Ruby, Python, MySQL и Apache, чтобы его сайт успешно функционировал . Ему не...
[Перевод] MalTerminal: первый вирус, который пишет сам себя с помощью ИИ
🚨 MalTerminal: первый вирус, который пишет себя сам — с помощью GPT-4 Представьте: хакеру больше не нужно быть гением ассемблера. Достаточно написать в чат: «Создай вредонос, который обойдёт защиту Windows 11» — и через минуту получить готовый, уникальный, никогда не виданный антивирусами код. Это...
[Перевод] Один из крупнейших взломов NPM: более 18 пакетов были скомпрометированы
8 сентября в 13:16 UTC система мониторинга Aikido зафиксировала подозрительные действия: в npm начали публиковаться новые версии популярных пакетов, содержащие вредоносный код. Читать далее...
Интеграция .NET-приложения с внешним API по ГОСТ TLS через CryptoPro
Всем привет. Представлюсь - меня зовут Евгений Думчев и я Team Lead .NET разработки в DDPlanet. В какой-то момент в моей практике появилась задача по интеграции с внешним API. Для взаимодействия требовалось применять предоставленный публичный доверенный сертификат сервера .cer и клиентский .pfx...
Большой разлив чая: сервис анонимных слухов о мужиках Tea спалил персданные пользовательниц
Оказалось, тысячи присланных для верификации селфи и даже водительских прав хранились онлайн в незашифрованном виде и без пароля. Читать далее...
Как устроены цифровые сертификаты
Цифровой сертификат является неотъемлемой частью систем информационной безопасности, при этом зачастую вскользь упоминаясь как сопутствующий элемент более крупных технологий и протоколов. Рассмотрим сертификаты как независимые единицы: их структуру, области применения и жизненный цикл. Читать далее...
Single Sign-On (SSO) для системных аналитиков: от основ до деталей OIDC, SAML и Kerberos
Системным аналитикам часто приходится проектировать процессы авторизации, выбирать протоколы и описывать требования к аутентификации. Но когда дело доходит до SSO (Single Sign‑On) — архитектурных решений становится неожиданно много: OIDC, SAML, Kerberos… Что из этого выбрать и почему? В статье —...
Frontend Risks #1: CMS Битрикс отправляет данные ваших клиентов в Ирландию
В результате проведенного мной исследования безопасности 3000 российских frontend-приложений было обнаружено, что CMS Битрикс более 11 лет передает персональные данные посетителей сайтов на территорию Ирландии. Компании рискуют получить штрафы Роскомнадзора за трансграничную передачу данных без...
Как сделать безопасным код сайта на Битрикс: шпаргалка по основным уязвимостям, часть 3
Привет, Хабр! Меня зовут Анастасия Соколенко и с теми, кто читал мои предыдущие статьи, мы уже знакомы. Я отвечаю за безопасную разработку в Битрикс, а здесь рассказываю о том, как разработчикам делать сайты максимально безопасными. В своих предыдущих статьях (здесь и здесь) я рассказывала о...
[Перевод] Как /etc/hosts поломал редактор сайта
Когда я работал над техническим постом о ресолвинге DNS, то столкнулся с чем-то неожиданным. Каждый раз, когда я вводил пути к файлу hosts (/etc/h*sts — здесь я намеренно его обфусцировал, чтобы не вызвать ту самую ошибку), редактор Substack показывал «Network Error» и отказывался автоматически...
HTTP Request Smuggling: как особенности в обработке HTTP-заголовков приводят к атакам CL.TE и TE.CL
HTTP Request Smuggling или контрабанда HTTP-запросов — тип уязвимости, который возникает из-за несоответствий в обработке HTTP-запросов между фронтендом и бэкендом. Каким образом различия в интерпретации заголовков позволяют атакующим использовать эту уязвимость? Как HTTP Request Smuggling можно...
Как сделать безопасным код сайта на Битрикс: шпаргалка по основным уязвимостям, часть 2
Продолжаем разбираться с основными уязвимостями и тем, как защищать сайты на Битрикс от этих угроз. В предыдущей статье я рассказала о методах защиты от SQL-инъекций и XSS-атак. Сегодня разберём защиту от CSRF- и SSRF-атак. Читать далее...
[Перевод] Как ИИ-агенты меняют атаки с украденными учётными данными
Атаки с подбором учётных данных оказали огромное влияние в 2024 году, подпитываемые замкнутым кругом заражений инфостилерами и утечек данных. Однако ситуация может стать ещё хуже с появлением Computer‑Using Agents (CUA) — нового типа ИИ‑агентов, обеспечивающих дешёвую и малозатратную автоматизацию...
Как сделать безопасным код сайта на Битрикс: шпаргалка по основным уязвимостям
Привет! Меня зовут Анастасия Соколенко, я отвечаю за безопасную разработку в Битрикс24. Вместе с коллегами мы не только проверяем код, который пишут наши разработчики, но и учим их делать его максимально безопасным. Конечно, большинство разработчиков знакомы с разными уязвимостями веб-приложений,...
Что делать, если ты первый AppSec-инженер в компании? План работ на стартовые полгода
Сейчас направление Application Security (AppSec) переживает бурный рост. Всё больше компаний выделяют AppSec в отдельное подразделение или начинают строить его с нуля. В крупных корпорациях появляются AppSec бизнес-партнеры, в стартапах лиды разработки всё чаще берут на себя задачи по обеспечению...
Content Security Policy (CSP) защитит от js-снифферов и утечек?
Довольно часто встречаю утверждение о том, что настроенная Content Security Policy (CSP) – достаточное и надежное средство защиты frontend-приложений от большинства существующих угроз. Поговорим о задачах CSP и на практике проверим, защитит ли CSP от кражи данных с web-страницы js-сниффером. Читать...
Безопасность «на берегу»: опыт внедрения подхода Secure by Design в ИТ-компании
Про Secure by Design в кибербезе не слышал только ленивый, но не только лишь все смогут объяснить, как на практике выглядит процесс внедрения этого подхода в крупной ИТ-компании. Чтобы разобраться в этом, мы поговорили с Романом Паниным — руководителем направления архитектуры ИБ в крупной...
Назад