С 10 марта правительство США начнет требовать нотариально заверенные подписи для регистрации доменов .gov. Чиновники надеются, что это поможет предотвратить незаконную регистрацию таких доменов несанкционированными организациями или частными лицами.Читать полностью »
На днях мы рассмотрели целый ряд книг о рисках в ИТ, социальной инженерии, вирусах и истории хакерских группировок. Сегодня попробуем перейти от теории к практике и посмотрим, что каждый из нас может сделать для защиты персональных данных. На Хабре и в СМИ можно найти большое количество базовых советов: от использования менеджеров паролей и двухфакторной аутентификации до внимательного отношения к письмам и потенциальным признакам фишинга.
Несомненно, эти меры важны в качестве основы кибергигиены, но не стоит ограничиваться только ими. Рассказываем о менее очевидных моментах, касающихся ИБ при работе с интернет-сервисами.
Продолжаю публикацию решений отправленных на дорешивание машин с площадки HackTheBox. Надеюсь, что это поможет хоть кому-то развиваться в области ИБ. В данной статье мы угоним куки администратора сайта через XSS, узнаем код с помощью SQL инъекции, получим шелл через форму выполнения команды с помощью XSS и CSRF, прокинем порт из Windows и побрутим PIN легенького приложения перевода средств с помощью pwntools.
Подключение к лаборатории осуществляется через VPN. Рекомендуется не подключаться с рабочего компьютера или с хоста, где имеются важные для вас данные, так как Вы попадаете в частную сеть с людьми, которые что-то да умеют в области ИБ :)
Вдобавок к этому я поделюсь своим опытом в компьютерной криминалистике, анализе малвари и прошивок, атаках на беспроводные сети и локальные вычислительные сети, проведении пентестов и написании эксплоитов.
Читать полностью »
В начале марта 2020 года специалисты обнародовали информацию о найденной ранее уязвимости в демоне протокола Point-to-Point Protocol Daemon (PPPD) — в нем не менее семнадцати лет существовала ошибка в коде проверки размера поля rhostname. Используя эту ошибку злоумышленник мог отправить пакет с типом EAPT_MD5CHAP, включающий очень длинное имя хоста, не вмещающийся в выделенный буфер, что давало ему возможность перезаписать данные за пределами буфера в стеке и добиться удаленного выполнения своего кода с правами root.
Читать полностью »
В прошлый раз мы делали подборку литературы о тонкостях работы хакеров и рисках в ИТ. Сегодня продолжаем развивать эту тему. Под катом: история Cult of the Dead Cow — группировки из 80-х, которая теперь занимается вопросами защиты персональных данных, а также книги о криминальном гении Поле Ле Ру и Кевине Митнике, совершившем более 20 киберпреступлений.
Таблица с протестированными процессорами AMD, галочкой отмечены экземпляры, в реализации системы предсказания канала кэша первого уровня которых были успешно выполнены атаки по сторонним каналам.
Согласно информации издания Tom's Hardware, исследователи из Грацского технического университета смогли реализовать два новых метода атак по сторонним каналам, манипулирующих утечками данных в процессе работы механизма предсказания каналов кэша первого уровня некоторых процессоров AMD.
Читать полностью »
Доброго времени суток, уважаемые читатели !
23 декабря 2019 года в свет вышла заключительная серия одного из самых популярных сериалов про IT — Мистер Робот. Посмотрев сериал до конца, я твёрдо решил написать статью о сериале на Хабре. Выход этой статьи приурочен к моему юбилею на портале. Моя первая статья появилась ровно 2 года назад.
Disclaimer
Я понимаю, что читатели Хабрахабра — люди работающие в IT-индустрии, опытные пользователи и заядлые гики. Данная статья не несёт в себе какой-то важной информации и не является обучающей. Здесь я хотел бы поделится мнением о сериале, но не как кинокритик, а как человек из мира IT. Если вы согласны или же не согласны со мной в каких-то вопросах, давайте обсудим их в комментариях. Расскажите своё мнение. Оно будет интересно.
Если вам, читателям Хабрахабра, понравится данный формат, я обещаю продолжить работу над другими фильмами и сериалами, стараясь выбрать лучшие, на мой взгляд, работы.
Что же, давайте приступим к разбору сериала.
Осторожно! Спойлеры.
Утром 7 марта 2020 года часть клиентов Альфа-банка обнаружили, что их дебетовые и кредитные карты оказались внезапно заблокированы, также не было никаких предупреждений от банка по этому инциденту. Согласно информации издания «РБК», Альфа-банк начал блокировать карты клиентов из-за того, что получил данные о том, что номера карточек могли быть скомпрометированы.
Читать полностью »
Поисковик DuckDuckGo разместил список веб-трекеров Tracker Radar. Он включает наименования 5326 доменов, которые 1727 компаний и организаций используют для отслеживания активности пользователей.
Данные общедоступны в соответствии с Creative Commons Attribution-NonCommercial-ShareAlike 4.0. Код, который используется для создания Tracker Radar, открыт на GitHub под лицензией Apache 2.0. Базу обещали пополнять ежемесячно. Читать полностью »
Эта поучительная история произошла в прекрасный день 8 декабря 2019 года. В этот день я вспомнил, что телефон, на который заведен наш бот, оформлен на участливую продавщицу из Евросети и, в случае чего, в одночасье исчезнет за невозможностью его восстановить и утащит с собой в небытие наш бот.
Нужно было в похвальном упреждающем режиме перебросить бот на другой телефон.
Прогнав удаление тестового бота в одном аккаунте и мгновенную регистрацию в другом, мы убедились, что все работает как ожидается и повторили процедуру на боевом. Вот как это выглядело:
Читать полностью »
