-
Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
MaxPatrol SIEM — не делайте это сами 🦾
27 июня в 14:00 (мск)
💥 MaxPatrol SIEM берет на себя рутинную работу аналитика по мониторингу и управлению событиями.
Регистрируйтесь на онлайн-запуск MaxPatrol SIEM 8.2, чтобы узнать, как ML-модуль BAD 🤖 не только выдает второе мнение по событию в виде risk score, но и самостоятельно обнаруживает целенаправленные атаки.
Регистрируйтесь, чтобы узнать обо всех обновлениях системы и получить гайд по подключению источников. Авторы лучших вопросов получат памятные призы!
🌍 История интернета.
• Весьма интересный материал, который в мельчайших деталях описывает историю возникновения интернета, компьютеров, реле, транзисторов и т.д. Рекомендую всем к ознакомлению:
История реле:
- Метод «быстрой передачи сведений», или Зарождение реле;
- Дальнописец;
- Гальванизм;
- Предприниматели;
- А вот, наконец, и реле;
- Говорящий телеграф;
- Просто соединить;
- Забытое поколение релейных компьютеров;
- Электронная эра.
История электронных компьютеров:
- Пролог;
- Колосс;
- ENIAC;
- Электронная революция.
История транзистора:
- Пробираясь на ощупь в темноте;
- Из горнила войны;
- Многократное переизобретение.
История интернета:
- Опорная сеть;
- Распад, ч.1;
- Распад, ч.2;
- Открывая интерактивность;
- Расширяя интерактивность;
- ARPANET — зарождение;
- ARPANET — пакет;
- ARPANET — подсеть;
- Компьютер как устройство связи;
- Межсетевое взаимодействие.
Эра фрагментации:
- Коэффициент нагрузки;
- Засев пустоши;
- Статисты;
- Анархисты.
Восхождение интернета:
- Экспоненциальный рост;
- Появление частных и публичных компаний;
- Опорная магистраль интернета.
#Разное
🗞 Новости к этому часу: cистемный администратор удалил 180 виртуальных серверов своего работодателя, не желая мириться с несправедливым, по его мнению, увольнением. Компания понесла огромные убытки, а самого администратора упекли в тюрьму почти на три года. Ущерб составил $678 тыс.
➡️ Источник.
#Новости
Самый масштабный IT-забег RUNIT пройдет 7 июля в парке «Коломенское».
В этом году организаторы из AGIMA ждут 4000 бегунов и 2000 болельщиков.
Для бегунов будут дистанции от 3 до 25 километров, личный и командный зачет, эстафета и детский забег. Все участники получат стартовый пакет с фирменной футболкой, чипированный номер и медаль!
Болельщики тоже не заскучают: будут активности на все возраста. Например, антистресс-зона, 3D-теннис, фотозоны с быстрой печатью, смузи-бары и д.р.
В этом году с нами бегут: ТерраЛинк, СИБУР Цифровой, Астра, SM Lab, Лига Ставок, РЕД СОФТ, IT_one, Циан, Сетка, КРОК и др. И это не только IT-спецы, но и владельцы бизнесов.
Где и когда: 7 июля, Москва, парк «Коломенское».
Регистрация.
Увидимся на старте!
👩💻 Bash Reference Manual.
• Для изучения Bash в нашем канале собрано очень большое кол-во полезного и бесплатного материала! Сегодня нашу коллекцию пополнит одно фундаментальное руководство от GNU, которое поможет освоить Bash или подтянуть свои знания, если Вы ранее уже приступали к изучению.
➡️ https://www.gnu.org/software/bash/manual/bash.pdf
• Дополнительный материал:
- Bash Tips and tricks;
- Малоизвестные трюки с перенаправлениями в bash;
- Bash-скрипты, руководство в 11 частях;
- Introduction to Bash Scripting;
- Bash Cheat Sheet: Tips and Tricks for the Terminal;
- Bash Introduction for Hackers.
#bash
🔐 Математика в кибербезопасности.
• Бесплатный курс по математике в кибербезопасности от «Лаборатории Касперского», который предназначен для студентов вузов и колледжей, а также всех, кто интересуется математикой и хочет узнать, как она применяется в кибербезе!
• Программа курса:
- Целые числа, простота и системы счисления;
- Сравнения по модулю;
- Уравнения в целых числах;
- Первообразные элементы;
- Высказывания и логические операции;
- Булевы функции (нет, все не так страшно);
- Минимизация булевых функций;
- Схемы из логических элементов;
- Теория множеств;
- Множества и функции;
- Комбинаторика;
- Вероятность и случайность;
- Введение в криптографию;
- Шифр Цезаря. Почему исторические шифры не работают;
- Шифры одноалфавитной замены и их криптоанализ;
- Шифр Виженера, или полиалфавитная замена;
- Криптоанализ шифра Виженера;
- Шифр Вернама;
- Шифр RSA;
- Хэш-функции;
- Протокол Диффи-Хеллмана.
➡️ https://stepik.org/62247
#Курс
🐝 eBPF cheatsheet.
• eBPF – это технология, которая позволяет запускать произвольный код пользователя в рамках ядра. Благодаря ей можно сделать программируемое ядро операционной системы и быстро добавлять туда собственную логику и менять существующую. Раньше (сейчас это, впрочем, тоже работает) это можно было делать с помощью модулей ядра, однако сам процесс был сложен, влек за собой ряд рисков и требовал приличных усилий со стороны разработчиков.
• eBPF расшифровывается как «extended Berkeley Packet Filter». Packet Filter — это лишь одна из его возможностей. Фактически технология умеет гораздо больше, но исторически развивалась она именно с фильтрации пакетов. Сегодня это настоящая event-driven система, которая начинает работать при наступлении определенных событий: когда приходит пакет, происходит какой-то системный вызов или что-то ещё. В остальное время она не работает и лишь ждет наступления того или иного события.
• По ссылкам ниже Вы найдете полезный cheatsheet, который поможет разобраться в работе eBPF и узнать много новой информации:
• eBPF Workflow in DevSecOps;
- Installation;
- Writing eBPF Programs;
- Compiling eBPF Programs;
- Loading and Attaching eBPF Programs;
• Flow Diagram of eBPF in DevSecOps;
• Common Use Cases;
• eBPF Workflow for Identity Management;
- Monitoring Authentication Attempts;
- Auditing Privileged Operations;
- Tracking API Usage;
• Resources.
#eBPF #cheatsheet #DevSecOps
Специалисты по кибербезопасности, отметьте в календаре 22 июня! 📅
Всего за один день вы сможете пройти все этапы отбора, познакомиться с командой кибербезопасности Сбера и получить оффер.
Мы обеспечиваем безопасную работу инфраструктуры банка и помогаем клиентам защищать свои средства от мошенников. У нас разнообразный стек технологий: от классического энтерпрайза до АС на микросервисной архитектуре, а также передовые IT-платформы и лучшие практики DevSecOps.
Приходите, если вам интересно:
👉 Взаимодействовать с продуктовыми командами по вопросам кибербезопасности.
👉 Проводить анализ бизнес-требований и архитектурных решений.
👉 Осуществлять экспертизу изменений бизнес-процессов и выявлять угрозы кибербезопасности.
👉 Поддерживать E2E-процессы вывода продуктов в production.
Работа в крупнейшем IT-сообществе ждёт вас, регистрируйтесь на One Day Offer
📱 Mobile Pentest Like a Pro.
• IOS Jailbreak Methods;
• Android Root Methods;
• Important Folders & Files;
• Static Analytics;
• Hooking;
• SSL Pin;
• Root Detection;
• Insecure Logging;
• Insecure Storage;
• Content Provider;
• Static Scanner;
• Resources.
#IOS #Android #Пентест
📋 Disaster Recovery Plan: Как правильно заваривать чай, когда горит серверная.
• В жизни любого проекта наступает катастрофа. Мы не можем заранее знать, что именно это будет - короткое замыкание в серверной, инженер, дропнувший центральную БД или нашествие бобров. Тем не менее, оно обязательно случится, причем по предельно идиотской причине.
• Кстати, насчет бобров - это не шутка. В Канаде они перегрызли кабель и оставили целый район без оптоволоконной связи. А в топе источника проблем для крупной телекоммуникационной компании Level 3 Communications вообще были белки.
• Короче, рано или поздно, кто-то обязательно что-то сломает, уронит, или зальет неверный конфиг в самый неподходящий момент. И вот тут появляется то, что отличает компании, которые успешно переживают фатальную аварию от тех, кто бегает кругами и пытается восстановить рассыпавшуюся инфраструктуру - DRP. Вот о том, как правильно написать Disaster Recovery Plan мы сегодня и поговорим:
➡️ Читать статью [10 min].
#DevOps
🔑 В OpenSSH добавлена встроенная защита от атак по подбору паролей.
• В кодовую базу OpenSSH добавлена встроенная защита от брутфорса. Для блокировки подобных атак в файл конфигурации sshd_config добавлен параметр PerSourcePenalties, позволяющий определить порог блокировки, срабатывающий при большом числе неудачных попыток соединений с одного IP-адреса. Новый механизм защиты войдёт в состав следующего выпуска OpenSSH и будет включён по умолчанию в OpenBSD 7.6.
➡️ Источник и более подробная информация.
#OpenSSH
Освойте базу по пентесту бесплатно
Приходите на онлайн-интенсив от Skillfactory «Профессия пентестер: как стать хакером и не попасть в розыск Интерпола», который состоится с 10 по 12 июня в 20:00 мск.
За 3 дня вы:
▪️установите и настроите киберполигон
▪️проведете реальные атаки и сделаете аудит безопасности
▪️поймете, как развиваться в этом IT-направлении
И получите подарок за лучшую домашку — мини-курс «Алгоритмы и структуры данных».
Записаться на интенсив: https://go.skillfactory.ru/&erid=2VtzqwsBEwo
Реклама. ООО «Скилфэктори», ИНН:9702009530
☎️ Перейди по ссылке, и я узнаю твой номер.
• В цифровую эпоху уже никто не удивляется, когда ему звонят с незнакомых номеров с рекламой. Мало ли какие соглашения о персональных данных мы подписываем и на каких сайтах оставляем свой номер.
• Но сейчас на рынке информационных услуг всё большую популярность набирают сервисы, занимающиеся деанонимизацией пользователей при одном лишь открытии сайта. Причём всё это преподносится как абсолютно легальный сервис для бизнеса, с соблюдением закона о персональных данных.
• Но что если вы не хотите оставлять свой номер на сайте, который просто открыли? Поговорим на примере одного из таких сервисов - dmp.one. Автор рекомендует открывать этот адрес во вкладке инкогнито с включённым uBlock Origin с кастомными правилами (о них сказано в статье), иначе есть риск попадания вашего телефона в базу.
➡️ https://habr.com/ru/articles/819595/
#ИБ
🔄 Создаем расширение Chrome, которое ворует максимум информации.
• В этой статье описан процесс разработки расширения Chrome, которое будет собирать максимально возможное количество данных:
- Куки;
- История;
- Скриншоты;
- Захват ввода;
- Трафик страниц;
- Захват геолокации;
- Захват буфера обмена;
- Пользовательская навигация и т.д.
• Читать статью [10 min].
• GitHub.
#ИБ
🌐 Wi-Fi CheatSheet.
• Очень объемное руководство, которое поможет вам разобраться в основах работы Wi-Fi:
➡️ https://www.wiisfi.com
#CheatSheet #WiFi
🔑 Зарождение паролей. С чего все начиналось?
• Пароли или их эквиваленты использовались на протяжении веков. «Сторожевые слова» использовали древние римляне для получения доступа к охраняемым территориям.
• Шифры для кодирования и декодирования сообщений между военными командирами появились в Древней Греции около 400 года до нашей эры. Шифры выполняют ту же функцию, что и сторожевые слова и пароли — обеспечивают безопасность и ограничивают доступ.
• Одно из самых ранних сообщений об использовании паролей содержится в книге Судей. Два семитских племени — гилеадиты и эфраимиты — враждовали. Когда гилеадиты тайно проникли на территорию эфраимитов, те, чтобы обнаружить вражеских солдат, требовали от всех подозрительных чужаков произнести слово «shibboleth». Всё потому, что в их языках было тонкое различие в произношении слова shibboleth, а именно: согласного звука sh. По тому, как оно произносилось, определяли «своих». Не прошедших аутентификацию убивали.
• Подобный способ аутентификации использовался на протяжении всей истории. Во время Битвы при Куртре (1302) фламандцы обнаруживали французов по их неспособности выговорить «Schild ende Vriend» (Щит и друг).
• Во время фризского восстания (1515–1523) использовалась фраза «Buter, brea, en griene tsiis; wa’t dat net sizze kin, is gjin oprjochte Fries» (Масло, ржаной хлеб и зеленый сыр — кто не может это выговорить, не настоящий фриз). Корабли, экипаж которых не мог это произнести, не впускались в порт и захватывались.
• А вот относительно современная история, известная как «резня петрушкой». В течение пяти дней в октябре 1937 года в Доминиканской Республике было убито около 35 000 гаитян. Доминиканские солдаты опознавали гаитян, держа в руках веточку петрушки и прося их произнести название. Если человек не мог произнести звук «р» в испанском названии петрушки (perejil), его убивали.
• Пароли нашли свое применение и в США в эпоху сухого закона в 1920-х годах. Чтобы попасть в нелегальные бары, любители выпить сначала должны были назвать швейцару действующий пароль. Про это рассказывается не только в голливудских фильмах, но и в одной из первых успешных графических компьютерных игр Leisure Suit Larry in the Land of Lounge Lizards (1987), где герой должен назвать пароль, чтобы войти в бар.
• С тех пор система управления доступом «если у меня есть секрет, то есть и право на вход» трансформировалась в способ подтверждения личности — «если у меня есть секрет, то я тот, за кого себя выдаю». Вставка символов в определённом порядке, известном только пользователю с правом доступа, стала решением, позволяющим подтвердить свою личность.
• Ну, а первый официальный пароль для компьютеров появился, когда американский учёный Фернандо Корбато представил его концепцию в Массачусетском технологическом институте в 1960 году...
#Разное
👩💻 Книга: Linux From Scratch.
• В книге "Linux From Scratch" приведены объяснения и инструкции, нужные для того, чтобы спроектировать и собрать свою собственную систему. При этом вы вправе отклониться от инструкций в соответствии с собственными замыслами, что, в частности, является важной частью данного проекта. Управление остается за вами, автор просто протягиваем вам руку помощи с тем, чтобы вы начали на свое собственное турне.
• Специально собранные системы Linux будут полезны не только для того, чтобы удовлетворить конкретные требования пользователей, но также служат идеальным средством обучения, позволяющим программистам и системным администраторам повысить свои (уже существующие) навыки работы с Linux.
➡️ Оригинальная версия книги [Eng].
➡️ Перевод книги [RU].
• Книга состоит из следующих частей:
1️⃣ Часть — Введение: приводится несколько важных замечаний, касающихся того, как приступить к установке системы LFS. Здесь же также приведена мета-информация о книге.
2️⃣ Часть — Подготовка к сборке: описывается, как подготовиться к процессу сборки — создать раздел, загрузить пакеты и откомпилировать временный набор инструментальных средств.
3️⃣ Часть — Сборка системы LFS: читатель пройдет через этапы сборки системы LFS — один за другим откомпилирует и установит все пакеты, настроит скрипты загрузки и установит ядро. Результирующая система Linux будет основой, на которой можно собирать и устанавливать нужные вам программы. В конце книги для удобства использования приводятся списки всех программ, библиотек и важных файлов, которые были установлены.
#Linux
🌍 Технология VoWiFi. Зачем запускают звонки через интернет?
• Существует такая технология как VoWiFi (Voice over Wi‑Fi), которая позволяет совершать звонки по номеру телефона вне зоны действия мобильной сети (например, в железобетонных офисных зданиях или подвальных помещениях), используя Wi‑Fi‑роутер как базовую станцию для звонков.
• В то же время VoWiFi позволяет операторам снизить затраты на инфраструктуру. Им не приходится устанавливать новые базовые станции и расширять покрытие, чтобы работать в удалённых районах. В крупных городах операторы также получают возможность сократить нагрузку на свои сети. В мегаполисах пользователи находятся рядом с точками доступа не только дома. Как отмечают специалисты консалтинговой фирмы ACG Research, благодаря VoWiFi американские телекомы экономят цент на каждой минуте звонков клиентов, а один крупный оператор за пять лет сэкономил $2,2 млрд.
• Технология VoWiFi становится актуальной и в транспорте, где затруднительно обеспечить качественный уровень связи — например, в поездах. Специальное оборудование принимает сигнал от операторских вышек или спутника на внешнюю антенну. Затем Wi-Fi раздаётся по вагонам с помощью маршрутизаторов. Такой подход позволяет управлять доступом в интернет централизованно и отслеживать состояние соединения, при необходимости переключаясь между разными источниками сигнала.
• Благодаря этому звонки по Wi-Fi более стабильны, чем связь с использованием мобильной сети. Еще в 2020 году группа шведских инженеров провела исследование и сравнила качество связи на железнодорожном маршруте между двумя крупными городами Швеции — Стокгольмом и Гётеборгом. VoWiFi показала куда лучшие результаты, чем GSM или UMTS.
• Интерес к технологии звонков по Wi-Fi проявляют не только крупные операторы, но и частный бизнес. Им VoWiFi позволяет настроить связь между сотрудниками без привязки к мобильной сети. Так, её ещё с начала 2000-х применяют в американских медучреждениях для коммуникации врачей. Устройства связи работают в рамках виртуальной локальной сети, где происходит и обмен данными. По словам представителей Калифорнийского университета в Дэвисе, технология VoWiFi сокращает число инструментов связи, заменяя голосовую и электронную почту, а также факсы.
• Сегодня технология привлекает и обыкновенных энтузиастов, желающих поближе изучить нюансы работы сетей связи. Так, один инженер запустил частную мобильную сеть и подключил к ней смартфон. Он также предложил заинтересованным пользователям присоединиться к проекту, чтобы связываться и общаться с друзьями напрямую.
• Если данная тема Вам показалась интересной, то по этой ссылке можно узнать о пяти способах настройки звонков по Wi-Fi: https://itechinfo.ru/content/vowifi
#Разное
🖱 Первая шариковая мышь.
• На фото изображена первая шариковая мышь, выпущенная в массы в 1968 году компанией Telefunken, которая нарекла своё детище RKS 100-86 “Rollkugel-Steuerung”. Это была, пожалуй, первая мышь, которая попала на коммерческий рынок, несколькими годами опередив компьютер Xerox Alto.
• А еще поделюсь с Вами ссылкой на интересную статью, где описан процесс подключения этого раритета к современному компьютеру:
➡️ https://www.e-basteln.de/computing/rollkugel/rollkugel/
#Разное
Открытый практикум Linux by Rebrain: Права в Linux
Успевайте зарегистрироваться. Количество мест строго ограничено! Запись практикума “DevOps by Rebrain” в подарок за регистрацию!
👉Регистрация
Время проведения:
19 Июня (Среда) в 20:00 по МСК
Программа практикума:
🔹Виды прав
🔹Изменение прав
🔹Особенности прав для каталогов
🔹SUID, SGID, и sticky bit
Кто ведёт?
Андрей Буранов – Системный администратор в департаменте VK Play. 10+ лет опыта работы с ОС Linux. 8+ лет опыта преподавания. Входит в топ 3 лучших преподавателей образовательных порталов.
Бесплатные практикумы по DevOps, Linux, Networks и Golang от REBRAIN каждую неделю. Подключайтесь!
Реклама. ООО "РЕБРЕИН". ИНН 7727409582 erid: 2Vtzqw9Xvd6
📶 Анатомия Remote Desktop Protocol. Подробный разбор протокола RDP.
• В общих словах, базовая функция протокола удалённого рабочего стола — передача видеопотока от сервера клиенту. На сервере стоит устройство видеозахвата, которое записывает видео, сжимает его и отправляет клиенту с минимальной задержкой по TCP/IP.
• Конечно, только отправить видеопоток недостаточно, это же не простая видеотрансляция. Это лишь часть виртуальных каналов в RDP. Нужно ещё получить обратную связь от клиента, а именно зашифрованные данные об активности мыши и клавиатуры.
• На сервере RDP использует собственный видеодрайвер для рендеринга вывода изображения на экран, внедряя информацию о рендеринге в сетевые пакеты с помощью протокола RDP и отправляя их по сети на клиент. На клиенте RDP получает данные рендеринга и интерпретирует пакеты в соответствующие вызовы API интерфейса графических устройств Microsoft Windows (GDI). На сервере у RDP собственный драйвер клавиатуры и мыши для приёма этих событий от клиента.
• В сеансе удалённого рабочего стола все переменные среды — например, определяющие глубину цвета, включение и отключение обоев — определяются настройками отдельного соединения RCP-Tcp. Все функции и методы для описания переменных описаны в справочнике по веб-подключению к удалённому рабочему столу и интерфейсе поставщика WMI служб удалённых рабочих столов.
• Примерно так работает система, в двух словах. И, видимо, не только RDP, но и во всех остальных программах для удалённого управления компьютером, в том числе в проприетарных протоколах AnyDesk или TeamViewer.
➡️ Если хотите более детально изучить работу данного протокола, то в этой статье все подробно расписано: https://www.cyberark.com/resources/threat-research-blog/explain-like-i-m-5-remote-desktop-protocol-rdp
#Разное
🪁 SOS-антенны, запускаемые воздушными змеями.
• Представьте себе такую картину — ваш самолет потерпел аварию где-то в море. Вам удалось спастись благодаря жилету и спасательной шлюпке. Сейчас это не очень большая проблема — можно достать спутниковый телефон (если он уцелел) и позвонить в соответствующую службу. Но во время Второй мировой таких телефонов не было. Зато у военных были специальные аварийные радиостанции.
• Речь сейчас о военных США и Великобритании, которые взяли идею у немцев. Несмотря на то, что этим системам чуть не век, мы все же можем видеть, как разработчики того времени старались решать возникающие проблемы. Как, например, сидя в той же лодке, можно развернуть антенну длиной в 90 метров? Ответ — при помощи воздушного змея. Ну или шара с водородом.
• Немецкая система NS2 (на фото) представляла собой двухламповый передатчик на 500 кГц с кварцевым генератором. Уже после начала Второй мировой войны англичанам удалось захватить один из них. Изучив NS2, военные Великобритании создали собственный передатчик, который получил название Т-1333. Американцы получили второй экземпляр той же системы примерно в то же время. Они разработали на базе немецкого устройства SCR-578 и его «потомка» — BC-778. И вот как раз у 578-й модели был специальный металлический каркас для подготовки коробчатого воздушного змея. Более того, американцы добавили еще и специальный воздушный шар, с генератором водорода для него.
• Генератор позволял получить водород прямо из воды. Водородом наполняли шар, тот поднимался и за собой тянул антенну. Радиус действия передатчика мощностью 4,8W с антенной длиной 90 метров составлял 320 км. Для того, чтобы передатчик работал хоть как-то, достаточно было антенны длиной в 53 метра.
• Змей и шар были единственным возможным решением для подъема антенны на высоту почти в 100 метров. Антенна наматывалась на катушку, она же служила инструментом для управления воздушным змеем. Все было отлично продумано — очевидно, что разработчики этой системы неоднократно ее испытывали, представляя себе, в каких условиях оказывается человек в покачивающейся на волнах шлюпке. Форма корпуса радиопередатчиков была такой, чтобы девайс можно было зажать между коленями во время работы — она напоминала песочные часы. Более того, устройства были водонепроницаемыми и держались на воде, а не тонули при попадании в нее.
• Варианты систем были разными. Так, NSG2 выдавал 8 Вт с помощью кварцевого генератора. А вот версия от военных США не имела кристалла и, соответственно, была маломощной. Британская модель T1333 имела специальную сигнальную ракету в комплекте для первоначального запуска змея. Она поднималась на высоту примерно в 60-70 метров, где раскладывался змей. Воздушного шара у этой модели не было.
• Весило все это удовольствие немало — около 15 кг. Но, как и говорилось выше, радиопередатчики не тонули. В комплекте у передатчиков США была сигнальная лампа, два воздушных шара, два водородных генератора, два комплекта антенн и парашют, чтобы все это можно было сбросить с самолета.
• Разработчики систем старались предусмотреть все. Понятно, что военный, попавший в аварию и вынужденный как-то выживать в открытом море, был бы очень расстроен тем фактом, что батареи радиопередатчика сели. По этой простой причине там не было батарей, зато был генератор электричества — достаточно было покрутить рукоятку, чтобы «завести» девайс. Если сил хватало для кручения рукояти, можно было подать сигнал бедствия.
➡ Оригинал статьи и много фоточек по данной теме: https://hackaday.com/
#Разное
СМС-бомбинг — самая разорительная бот-атака на брокеров в 2021–2024 гг.
Авторизация/регистрация пользователей в веб-приложениях проходит через подтверждение с помощью кода из СМС, отправленного по номеру мобильного телефона.
С конца 2021 году эта привычная механика стала вектором атак нового типа на API банковских приложений.
Массовый запрос на отправку авторизационных SMS через формы на сайте и в приложении замечали лишь спустя пару месяцев. Когда счёт за услуги SMS-агрегатора вырастал в разы и достигал нескольких миллионов рублей в месяц.
Рассказываем, как банки защищаются от SMS-бомбинга в 2024 году. Читать подробнее.
😈 Network Pentesting Mindmap.
• Предлагаю ознакомиться с очень объемной схемой возможных векторов атак на сети. Весь материал разбит по категориям, с необходимыми примерами конфигов и постоянно поддерживается автором в актуальном состоянии.
• Скачиваем, распечатываем, заклеиваем всю стену и берем на заметку. Материал будет полезен пентестерам и red team:
➡ https://github.com/wearecaster/NetworkNightmare
#Сети
🧠 ИИ, который мы заслужили...
• Один из разработчиков AI софта поделился забавной информацией в Twitter (X), что ИИ инструмент компании QuickBooks, который предназначался для бухгалеров, выводил результат не всегда быстро, а иногда вообще составлял несколько часов...
• Пользователям сообщали, что формирует сумму на чеке и распределяет расходы по категориям искусственный интеллект, а на самом деле, это вручную делали филиппинские работяги. Такие вот дела...
➡️ https://x.com/flyosity/status/1798333443673301080
#ИИ
📶 Принципы сетевых атак и работа сетей.
• Ресурс https://netsim.erinn.io предлагает ряд интерактивных уроков, в которых от тебя потребуется только следить за тем, как пакеты перемещаются между узлами сети, с возможностью создавать свои пакеты, прописывая им заголовки и пытаться таким образом провести успешную атаку.
• Ресурс требует простейшей регистрации (без указания почты и прочей информации, достаточно придумать логин и пароль). После регистрации для нас откроются уроки разбитые на 4 части:
- Первая часть (Basics) — обучит тебя работе с симулятором и объясняет базовые понятия: пакеты, заголовки и т.д.
- Вторая часть (Spoofs) — рассказывает о принципах спуфинга;
- Третья часть (Denial of Service) — в трех уроках объясняет, как работает атака типа «отказ в обслуживании»;
- Четвертая часть (Attacks) — описывает, принцип работы traceroute, #MITM атаки и обход блокировки ресурсов.
• Код ресурса открыт и доступен на github: https://github.com/errorinn/netsim
#Сети
🏴☠️ Первый пиратский MP3-файл.
• 10 августа 1996 года риппер под ником NetFrack предоставил для публикации на пиратском FTP-сервере сделанный им рип трека Until it Sleeps из альбома Load группы Metallica. Так началось мега-движение на демосцене по копированию и публикации музыкальных компакт-дисков.
• К 1996 году появилось всё необходимое для глобального файлообмена музыкой: программа DA2WAV (CDDA) для рипа, программа L3encode для кодирования в MP3 и консольные утилиты для воспроизведения MP3-файлов через Sound Blaster.
• Новый формат сжатия музыки MP3 был известен только хакерам, но вскоре о нём узнали широкие массы, когда 21 апреля 1997 года вышел плеер Windows Advanced Multimedia Products (WinAMP) с красивым графическим интерфейсом. Маленькая программка размером 4,2 МБ совершила настоящую революцию в мире.
• А начиналось всё за несколько лет до этого, когда на сцену вышли рипперы. Они работали под псевдонимами и объединялись в рипперские группы. Судя по сохранившимся артефактам, первой из рипперских групп была Compress ‘Da Audio или CDA. Именно она выпустила тот исторический рип с треком «Металлики», датированный 10 августа 1996 года. Кроме неё, работали другие коллективы: Digital Audio Crew, Rabid Neurosis и прочие.
• Работа групп стала возможной, когда появилась первая программа для копирования содержимого аудио CD на жёсткий диск. Программа DA2WAV записывала треки в формате WAV. Она не получила широкого распространения, в отличие от следующей версии под названием CDDA. С выходом этой утилиты впервые стало возможным делать копии компакт-дисков.
• К сожалению, в те времена скорости передачи данных оставляли желать лучшего. Один файл WAV размером в 10-20 мегабайт выкачивался бы с FTP-сервера несколько суток или недель (если сервер поддерживал докачку после обрыва соединения), поэтому критически важным было найти способ сжимать звук, пусть и с потерями.
• На помощь пришла программа L3encode, разработанная в немецком институте Фраунгофера, специалисты которого изобрели инновационный формат сжатия звука с потерями MPEG-1 Layer 3 (MP3). Этот формат впоследствии стал общепризнанным стандартом для сжатия звука в интернете, как JPEG для изображений.
• Потеря в качестве по сравнению с оригинальными WAV была невелика и практически неуловима на слух, поэтому MP3-файлы идеально подходили для распространения в интернете.
• С появлением CDDA и L3encode музыку можно было не только сжимать, но и распространять в интернете. И началось.
• На сцену вышло множество рипперских групп. Спрос на цифровую музыку был огромен. В первое время MP3-файлы распространялись через FTP-серверы и станции BBS. Затем для передачи файлов были разработаны файлообменные приложения Napster и Kazaa, а потом и BitTorrent, которым мы успешно пользуемся до сих пор. Так благодаря цифровому пиратству развивались технологии и постепенно формировалась реальность, в которой мы сейчас находимся...
#Разное
👨💻 Assembly for Hackers.
• Знать ассемблер раньше было обязательно для каждого хакера. Сейчас — только для лучших в своей профессии. Понимать язык машины не только полезно, но и крайне увлекательно: освоив ассемблер, ты научишься программировать без помощи операционной системы и общаться с «железом» напрямую.
- Syntax;
- Sections;
- Processor Registers;
- System Calls;
- Strings;
- Numbers;
- Conditions;
- Addressing Modes;
- File Handling;
- Stack and Memory;
- Code Injection Attack;
- DLL Injection;
- APC Injection;
- Valid Accounts;
- System Binary Proxy Execution: Rundll32;
- Reflective code loading;
- Modify Registry;
- Process Injection;
- Mark-Of-The-Web (MOTW) Bypass;
- Access Token Manipulation;
- Hijack Execution Flow;
- Resources.
#Assembly
