Hack The Box — прохождение AI. SQLi в AРI Text To Sрeach, SSH Forwarding и RCE в JDWР
Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. В данной статье познакомимся с преобразованием текста в голос и найдем SQL иньекцию в AРI, прокинем порт через SSH, а также выполним RCE с помощью...
Hack The Box — прохождение Craft. Копаемся в Git, эксплуатируем уязвимости в API, разбираемся с Vault
Данной статьей я начну публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. Мы рассмотрим, как можно проэксплуатировать RCE в API, покопаемся в репозиториях Gogs, поработаем с базами данных и разберемся c...
Аппаратное шифрование DRAM уже близко. Чем оно грозит простым пользователям?
Существует масса вариантов для шифрования дисков, разделов и отдельных документов. На случай компрометации одного устройства есть даже федеративное распределение ключа, где для доступа требуется участие нескольких сторон (см. схему разделения секрета Шамира). Опции шифрования файловой системы...
Звуковой отпечаток компьютера через AudioContext API
Компании, отслеживающие действия пользователей в интернете, нуждаются в надёжной идентификации каждого человека без его ведома. Фингерпринтинг через браузер подходит идеально. Никто не заметит, если веб-страница попросит отрисовать фрагмент графики через canvas или сгенерирует звуковой сигнал...
Сторонние сервисы, которые Apple предустанавливала на iOS: YouTube, Яндекс, Карты, Twitter, Facebook, FeliCa, Baidu
5 ноября Госдума в первом чтении одобрила законопроект, по которому на смартфоны, компьютеры, Smart-TV, продающиеся в России, должны будут предустанавливаться российские сервисы из списка определённого в Правительстве. Представитель Ассоциации торговых компаний и товаропроизводителей электробытовой...
Пиратский источник кино для рунета Moonwalk наконец-то прибили голландцы
Голландский Фонд защиты авторских прав (BREIN) и судебные приставы предписали пятёрке местных хостинг-провайдеров отключить серверы, конфисковать улики и сохранить метаданных трёх голландских и двух иностранных (по отношению к Нидерландам) видеопиратских компаний. Целью приставов стал сервис...
Верификация пользователей в Китае и социальный кредит
Согласно законодательству КНР, регистрация на любом интернет-портале или сервисе требует идентифицировать пользователя как реальное лицо. О том, как это сделать, что для этого требуется и какие последствия несет мы и поговорим в этой статье. Читать дальше →...
OWASP API Security Top 10 RC
Этот проект предназначен для постоянно растущего числа организаций, которые внедряют потенциально чувствительные API в рамках своих программных решений. API используются для внутренних задач и для взаимодействия со сторонними сервисами. К сожалению, многие API не проходят тщательного тестирования...
[Из песочницы] Почему самоуничтожающиеся фотографии/видео в Telegram не безопасны
Совсем недавно я увидел статью, где говорилось о внедрении самоуничтожающихся сообщений в мессенджере WhatsApp. Она будет иметь схожую с Telegram функциональность, но если в мессенджере Дурова удаление распространяется как на обычные сообщения (секретные чаты), также их можно использовать на фотках...
Huawei предусмотрели бэкдор для взлома смартфонов Mate 30
Разработчик Magisk, популярного приложения для получения и управления правами суперпользователя в Android John Wu обнаружил, что компания Huawei использовала собственные недокументированные API в смартфонах серии Mate 30. [Предположительно] лишь для установки сервизов Google. Недокументированные...
OAuth авторизация и InterSystems IRIS – укрощаем протоколы доверия
Как разрешить компьютерам доверять друг другу в ваше отсутствие, сохраняя безопасность и приватность? — Сухой «мартини». В большом бокале. — Oui, monsieur. [Да, месье (фр.)] — Секунду, еще не все. Три пальца «Гордона», один — водки, полпальца «Кины Ликлет». Хорошо взбейте в шейкере, а потом...
Запускаем OpenVPN в Докере за 2 секунды
Привет, хабровчане! Сталкивались ли вы когда-либо с ситуацией, когда очень хотелось бы виртуально перенестись в другой город, страну или на другой континет? У меня такая необходимость возникает достаточно часто, поэтому возможность иметь свой VPN сервер, который можно запусть где угодно, за пару...
Vimeo купили видеоредактор Magisto проинвестированный Mail.ru в 2014
Видеосервис Vimeo объявил о покупке платформы Magisto для редактирования или автоматического создания видеороликов и их дистрибуции. Изначально проект появился в виде приложений для смартфонов и API для построения онлайн-сервисов. Конечные продукты могли работать под любым брендом, в частности на...
Разработчик, помни — трафик твоего приложения смотрят
На данный момент существует так много типов уязвимостей, что разработчики совсем забывают об элементарных из них. На днях мне удалось обойти авторизацию в новом приложении WOG (ТОВ «ВОГ РІТЕЙЛ» — вторая по величине сеть АЗС в Украине). В 2017 году, точно такую же уязвимость я обнаружил в приложении...
Как в два клика узнать реальное имя владельца email аккаунта с помощью PayPal или дыра в приватности данных
На досуге я экспериментировал с webhooks в PayPal и пытался спровоцировать Eventы для того чтобы первые всё-таки сгенерировались. Для этого в своём PayPal акаунте я создавал тестовые инвойсы и случайно сделал один на адрес sds@gmail.com. Сделал и подумал врядле есть такой короткий адрес у кого-то и...
Афиша мероприятий KudaGo запустила открытый API c местами и событиями
Сервис продвижения событий KudaGo в честь трёхлетия с момента запуска проекта выпустила открытый API для разработчиков, которое позволяет использовать в сторонних приложениях базу мест и событий. Об этом ЦП сообщили представители компании....
Как заставить разработчиков полюбить ваш API — опыт what3words
Авторы топонимического геолокационного сервиса what3words, который присваивает любому месту на земле некоторую комбинацию из трёх слов (можно присвоить и одно слово — но это платная услуга) и про который мы уже писали, рассказали ЦП, как сделать свой API удобным и привлекательным для разработчиков....
Как получить данные о 5 млн компаний через LinkedIn REST API или почему в OAuth лучше разрешать использовать Request Token только один раз
Введение С помощью LinkedIn Company Lookup API можно получить информацию о компании зарегистрированной на LinkedIn. Искать можно по ключевым словам, а можно и с помощью ID. Например, GET запрос http://api.linkedin.com/v1/companies::(1337) вернет информацию о самой компании LinkedIn. Весьма удобно,...
Далее