125763
Делаем уникальные знания доступными. Вакансии - @infosec_work Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot Сотрудничество — @SEAdm1n РКН: https://vk.cc/cN3VwI
👾 CVE&VM.
• Нашел очень объемную и актуальную подборку полезных ресурсов на тему управления уязвимостями. Все ресурсы аккуратно отсортированы по разделам, включая всевозможные агрегаторы трендовых и обсуждаемых уязвимостей, базы данных, реестры и бюллетени. Добавляйте в закладки:
➡ https://start.me/p/n74opD/cve-vm-by-alexredsec
• В качестве дополнения: подборка ресурсов, которые содержат всю необходимую информацию о трендовых уязвимостях.
S.E. ▪️ infosec.work ▪️ VT
• Друзья, пришло время провести очередной конкурс. На этот раз мы разыгрываем бумажную версию книги "Практическая безопасность Linux", которая поступила в продажу 2 недели назад. Автор издания лично подпишет для вас книгу и направит по нужному адресу. Ну и чтобы повысить шанс на победу, мы сделали целых 15 призовых мест!
• Итоги подведём 17 января в 11:00 по мск., случайным образом, при помощи бота. Доставка для победителей бесплатная в зоне действия СДЭК.
Для участия нужно:
1. Быть подписанным на наш канал: Infosec.
2. Подписаться на канал наших друзей: Мир Linux.
3. Нажать на кнопку «Участвовать»;
4. Ждать результат.
Бот может немного подвиснуть — не переживайте! В таком случае просто нажмите еще раз на кнопку «Участвовать».
#Конкурс
🫠 Шутка, которая зашла слишком далеко...
• 6 февраля 2012 года в одном из университетов Англии шла лекция по аэрокосмической динамике, и, надо признать, довольно скучная. В какой-то момент лектор заявил, что при подготовке курсовой, которую необходимо показать через месяц, «не нужно использовать Википедию в качестве источника информации». Чтобы подкрепить свою мысль, лектор добавил, что его друг, некий Мэдди Кеннеди, указал себя изобретателем тостера. И никто, мол, не стер эту информацию ни через неделю, ни через месяц.
• Студенты решили проверить, говорит ли лектор правду. Залезли в Википедию и с удивлением заметили, что Мэдди Кеннеди действительно значится в изобретателях тостера. Ребята от души посмеялись над этим фактом, и один из них заявил: «А давайте напишем, что один из нас изобрел тостер? Вон, укажем Алана, и посмотрим, удалят ли эту информацию или нет!», что они и сделали...
• «Я просто изменил текст так, чтобы там было написано, что мой друг, сидевший рядом со мной, Алан Макмастерс, на самом деле изобрел тостер в Эдинбурге в 1893 году. Конечно, мы понятия не имели, кто изобрел тостер», — говорит Алекс, который и внес изменения в статью.
• Однако год спустя та же группа студентов уже второго курса сидела в пабе. Алекс вспомнил про изобретателя тостера и залез в Википедию, ожидая, что информацию об Алане Макмастерсе к тому времени уже удалили. Но нет, все было на месте. Более того, Google активно выдавал статьи таблоидов, в которых упоминался таинственный шотландец, открывший тостер в 1893 году. Ссылались статьи, разумеется, на оригинальную статью, отредактированную Алексом.
• Слегка навеселе молодые люди решили зайти еще дальше и создать отдельную статью про Алана Макмастерса. Для этого придумали биографию с нуля. Оставалась вишенка на торте — фотография. Алекс решил не заморачиваться: взял свое фото и «поколдовал» в редакторе. Просто сделал ее черно-белой, и обрезал по шею — чтобы не надо было что-то делать с современной одеждой, не соответствующей XIX веку.
• По итогу, информация вызвала настоящий ажиотаж в СМИ и социальных сетях. Вот несколько интересных фактов о том, как развивалась ситуация вокруг этой статьи:
➡На сайте Правительства Шотландии больше 10 лет провисело сообщение, что «электрический тостер является примером изобретательского духа нации».
➡Банк Англии предложил выбрать историческую личность для изображения на следующей купюре в 50 фунтов стерлингов. Алан Макмастерс вместе с 988 другими претендентами был также предложен в качестве кандидата.
• Удивительно, что сам автор мистификации Алекс узнал про столь невероятный путь Макмастерса, взяв в 2022 году книгу в сети Waterstones про изобретения викторианской эпохи. И наткнулся там на ту самую шутку спустя 10 лет.
• Однако историю разоблачили в 2022 году, когда 15-летний школьник из США по имени Адам сидел на уроке истории и пролистывал Википедию. В какой-то момент речь зашла о Шотландии и технике, и между делом учитель упомянул Алана Макмастерса.
• Что сделал скучающий школьник? Ну конечно же, полез смотреть. И обомлел, когда увидел фотографию на странице. Она явно не выглядела, как фотокарточка XIX века. Вернувшись домой, он опубликовал ссылку на статью на Reddit и рассказал о своих подозрениях.
• Результатом стал всплеск активности и небольшое расследование самих пользователей, в ходе которого быстро выяснилось: Алана Макмастерса никогда не существовало. Например, вот здесь в июле 2022 года пользователи Википедии обмениваются мнениями по поводу мистификации.
• Дальше информация про Макмастерса начала незаметно удаляться. Но никому и в голову не пришла мысль выйти и сказать: «Ребята, мы — идиоты и вообще не проверяем информацию». Никто не признал свою ошибку. Да и зачем, правда?
• Но важнее другой вопрос: как получилось, что так много людей поверили в мистификацию, опираясь на данные из свободно редактируемого ресурса? Эта история — напоминание о том, как легко можно довериться даже самому уважаемому источнику, если не включать критическое мышление и не проверять информацию...
S.E. ▪️ infosec.work ▪️ VT
📶 Разработка TCP.
• Винтон Сёрф – человек, которого именуют «отцом Интернета». А ещё учёный, изобретатель, программист, руководитель и переговорщик, любитель классической музыки и бывший виолончелист. За 82 года своей жизни Сёрф успел приложить руку к коммерциализации мировой сети, проектированию Межпланетного Интернета, руководил развитием коммерческой электронной почты, а еще принял участие в разработке протоколов TCP/IP, сделавших возможным современный Интернет. Как раз о TCP сегодня и поговорим...
• Начнем с того, что Винтон присоединился к IBM в 1965 году в качестве системного инженера. Он работал над системой распределения времени Quiktran для IBM 7044. Если в двух словах, то эта программа позволяла тестировать или запускать одновременно до 40 разных программ на одном компьютере. Сёрф был участником проекта на протяжении двух лет, когда понял, что знаний о вычислительной технике, полученных во время бакалавриата, ему недостаточно.
• Итак, Сёрф уезжает в Калифорнийский университет, где ранее получил степень магистра, доктора наук и занимался исследованием возможностей сети ARPANET. В марте 1973 года с Сёрфом связался Роберт Кан, недавно перешедший в DAPRA, и предложил поработать вместе. Инженеры уже были знакомы: в аспирантуре они вместе моделировали ПО для компьютеров, связанных сетью ARPANET.
• Полгода молодые учёные занимались разработкой TPC – протокола управления передачей, который должен был решить проблему направления сообщений в разные сети. До этого момента ARPANET объединяла стационарные компьютеры, но будущее диктовало свои условия – к сети должны быть подключены устройства, размещённые и в транспорте (на кораблях, самолётах и др.) Проект стандарта был опубликован в конце 1973-го, а первый запуск состоялся два года спустя.
• Цель работы Кана и Сёрфа заключалась в том, чтобы унифицировать протоколы и программное обеспечение. Любой компьютер должен был стать частью большой сети, не имеющей центрального контроля.
• Технология TCP позволила отправлять большие потоки данных, разбивая их на сегменты, которые впоследствии «соберутся» в единый файл на устройстве получателя. Защитой от потери сегментов является механизм подтверждения получения данных – приняв информацию, получатель реагирует на неё подтверждением, и, если оно спустя время не пришло, сегмент отправляется повторно.
• С момента публикации проекта прошло десять лет – и 1 января 1983 года Интернет был запущен в том виде, в котором мы знаем его сегодня. Несмотря на это, быстрый органический рост сети начался лишь шесть лет спустя, когда Интернет перестал быть исключительно академическим и военным и вошёл в коммерческую нишу.
• Кстати, выражение «сёрфить интернет» по забавному совпадению созвучно с фамилией «отца Интернета» Винтона Сёрфа. Однако, произошло оно от английского слова «surf», тогда как фамилия учёного пишется «Cerf».
S.E. ▪️ infosec.work ▪️ VT
🎄 С Новым Годом.
• Друзья, пусть Новый Год будет лучше, чем уходящий 2025! Пожелаю вам самого главного — мирного неба над головой. Всегда оставайтесь благоразумными и берегите своих близких. Уделяйте время родным и не забывайте о друзьях. Встретимся в Новом Году ❤
2026 🥂 S.E.
📶 Кроссплатформенная альтернатива AirDrop с открытым исходным кодом.
• Представьте, что вам нужно быстро перебросить файлы (фильмы, софт, игры, рабочие файлы) с компьютера на телефоны и планшеты. Хранилище телефона можно использовать как резервный внешний диск или как «беспроводную» флешку, которая работает по Wi-Fi. Да, вы можете это сделать через различные веб-сервисы или отправить себе в телегу, но этот процесс можно ускорить и избавиться от подключения к интернету. То есть файлы будут передаваться напрямую между устройствами, как Apple AirDrop, только лучше.
• LocalSend - эта тулза создана как раз для этого: передачи файлов и сообщений между устройствами в локальной сети без использования интернета. Есть версии под Windows, macOS, Linux, Android (Play Store, F-Droid, APK) и iOS. Большой набор поддерживаемых платформ и способов распространения — одно из главных преимуществ программы. То есть тулза поддерживает прямую передачу файлов даже между смартфонами iPhone и Android, на что не способен стандартный AirDrop.
• Что касается безопасности, то вся коммуникация осуществляется по проприетарному протоколу LocalSend Protocol v2.1 через REST API, все данные передаются по HTTPS, для каждого устройства на лету генерируется сертификат TLS/SSL.
• Кроме отдельных файлов, поддерживается отправка целиком папки, текста или содержимого буфера обмена. Скорость передачи ограничена максимальной скоростью сетевых интерфейсов в локальной сети на маршруте передачи (сетевая карта ПК — маршрутизатор — смартфон), а также дополнительными настройками. Есть опция рассылки на несколько устройств в локальной сети (смартфоны, планшеты, ноутбуки), что очень удобно, если у вас большая семья, а вы хотите быстро поделиться файлами со всеми.
➡ https://github.com/localsend/localsend
S.E. ▪️ infosec.work ▪️ VT
🖥 А вы делаете бэкапы?
Я устроился в айти-компанию системным администратором в прошлом году. До этого уже работал сисадмином, но опыт был не очень большой. Как мне позже рассказал мой руководитель, из всех кандидатов на работу взяли именно меня, потому что в конце собеседования я попросил повторить и записал вопросы, на которые не ответил. Ему показалось, что это признак большой ответственности, и я тот человек, который докопается до решения задачи в любом случае, а нехватку опыта и знаний компенсирую усердием:)
Когда я вышел на работу, на меня свалилась инфраструктура большой компании: с серверами виртуализации, контроллером домена, серверами баз данных и шлюзом — магическим pfsense на ещё более магической freebsd. А ещё моргающий красненьким индикатор диска на одном из серверов виртуализации. А в штате я был совсем один!
Работы поначалу было так много, что голова болела от новой информации, я погружался в каждую проблему и делал всё, чтобы решить каждую заявку. На некоторые проблемы уходил не один день, когда ни один совет с форумов не срабатывал и приходилось по второму кругу идти по вкладкам в интернете в поисках решения. А через какое-то время индикатор на диске сервера виртуализации уже перестал моргать и теперь светился красным постоянно. И хоть я работал много и усердно, старался за всем успеть и уследить, но за этим диском я все-таки не уследил. Но первый вышел из строя и не он...
В один из обычных дней я пришёл на работу и увидел, что на шару (файловую помойку) нет доступа. После неудачной попытки пингануть сервер я пошёл в серверную и увидел, что тот не может стартануть: он по настроенному самоподъему включался на несколько секунд и неожиданно отключался; и так по кругу. Блоку питания пришла хана. А вместе с ним слетели и настройки программного рейда: диски перешли в статус offline member, а рейд статус — failed.
И вот тут я впервые понял, что у меня спустя полгода работы нет на руках ни одного бэкапа ни одного сервака!
Рейд восстанавливал, отсоединяя все диски, включая сервак, потом выключение, все диски подключил и опять вкл. После проделанных манипуляций рейд прошёл ребилд, и работа восстановилась. Жаль, нервные клетки ребилд не умеют проделывать :) Сбор информации, попытки слить образы, консультации со специалистами по восстановлению заняли неделю.
Когда всё поутихло, я твёрдо решил, что без бэкапов больше работать не собираюсь, но не успел! Оказывается, я пропустил момент, когда на том самом сервере виртуализации с красным индикатором диска начал моргать второй диск! Сломя голову начал пытаться снимать бэкап со всего сервера, как вдруг этот второй диск подыхает прямо во время резервного копирования! Это был крах!
Порядка 15 виртуальных машин, среди которых контроллер домена, электронный документооборот компании за 10 лет работы, и на других —действующие проекты с заказчиками...
Конечно, я ответственность всю беру на себя, хоть и говорил о том, что срочно нужно место для бэкапов, всё равно мог своими силами организовать банку и потихоньку сливать туда резервные копии.
Много узнал про 5 рейд. В частности, что, когда выходит из строя 2 диска из 4, ломается весь рейд. Что ребилд в такой ситуации ни в коем случае делать нельзя.
Смогли восстановить информацию только с помощью профильной компании, которая занимается восстановлением. Когда они мне позвонили после диагностики и сказали, что получилось слить образы и файловая структура не пострадала, я был счастлив!
Не нужно вам испытывать такие нервы. Ребят, делайте бэкапы! Я рад, что появилась возможность поделиться этой историей, когда практически друг за другом чуть не умерли 2 важных для организации ресурса и оба раза мне повезло! Но связанный с этими событиями стресс я запомню надолго.
Зачастую большие компании пытаются внедрять «взрослые» процессы ещё до того, как продукт вообще вышел на рынок. Мы в MWS Cloud Platform пошли другим путём: сначала создали облако, а уже потом начали аккуратно выращивать процессы — только те, что реально нужны.
В статье кратко:
⏺️почему ранняя процессная зрелость может увести продукт не туда;
⏺️чем опасны фреймворки «на вырост» и KPI ради KPI;
⏺️как мы формируем роли, события и артефакты под реальные потребности;
⏺️что даёт эволюционный подход: скорость изменений, вовлечённость, гибкость;
⏺️какие риски у самостоятельного пути и где он точно не подойдёт.
➡️ Читать статью
👩💻 Picosnitch. Утилита для мониторинга трафика в Linux.
• Нашел очень крутую тулзу для мониторинга трафика в Linux. Покажет вам данные по определенному приложению, хешу, порту, домену и исполняемому файлу. Конфигурируется через json, а инфу выводит в веб-интерфейсе. А еще мы можем настроить различные уведомления, к примеру, когда определенное ПО полезет в сеть. В общем и целом, по ссылке ниже сможете найти подробное описание и другую необходимую информацию:
➡ https://github.com/elesiuta/picosnitch
S.E. ▪️ infosec.work ▪️ VT
👾 Изучаем малоизвестный вирус для MS-DOS.
• В начале 1990-х годов, два подростка из одного маленького городка на западе Германии, заинтересовались компьютерами, им было лет по 11, а компьютерные курсы были доступны только выпускникам средних школ.
• Поскольку в то время не было интернета, доступ к информации по определённым темам осуществлялся в основном через руководства к их домашним компьютерам, которые также обучали программированию на языке BASIC, через компьютерные журналы, относительно дорогие книги, которых не было в публичных библиотеках, разрозненную информацию из BBS, а также путём экспериментов.
• 19 апреля 1992 года ознаменовалось их прорывом в создании Proof of Concept (PoC) для компьютерного вируса. До этого ребята много спорили, по силам ли им создание вируса. Но в итоге им удалось заразить исполняемый файл, автоматически встроив туда свой код. Они смогли добиться, чтобы их фрагмент выполнялся до начала выполнения кода исходной программы.
• Интересно, что исходный код вируса сохранился и авторы даже готовы были поделиться им. Но поначалу получение исходного кода казалось сомнительным из‑за потери битов на старых устройствах хранения. Его восстановление превратилось в приключение, включающее реконструкцию старого оборудования для преодоления технологического разрыва, созданного отсутствием поддержки современных технологий устаревших стандартов жёстких дисков, фирменных ленточных накопителей и зашифрованных файловых устройств той эпохи.
• С помощью виртуализации, найденного старого оборудования и адаптеров для современных компьютеров автору этой публикации удалось успешно восстановить исходный код вируса, даже сохранив временные метки оригинальных файлов.
• Это перевод статьи, где подробно описан и проанализирован исходный код данного вируса. Очень интересный материал: https://habr.com/ru/post/836222/
S.E. ▪️ infosec.work ▪️ VT
⚡️ Храните бэкапы и логи выгодно:
в S3 Selectel появился новый класс хранилища — ледяное.
📦Минимальная стоимость хранения и Erasure Coding — оптимально для редко используемых файлов.
Протестируйте хранилище и перенесите данные в S3 Selectel по акции «миграционные каникулы»: у вас будет 30 дней бесплатного использования входящих запросов и хранилища.
Создавайте заявку и пользуйтесь: https://slc.tl/44fm2
Реклама. АО "Селектел". erid:2W5zFGbz2Br
👨💻 Static analysis tool for shell scripts...
• Недавно мне пришлось перечитывать гайд по использованию командной строки в Linux, и в самом конце руководства я нашел очень полезный инструмент для проверки написания Shell-скриптов, про который сейчас расскажу.
• Вы наверняка знаете, что Shell-скрипты — это очень удобный инструмент, которые позволяют автоматизировать множество задач. Однако есть одно "НО". Дело в том, что при написании скриптов можно допустить массу ошибок. Многие из ошибок, носящие синтаксический характер, могут привести себя к неправильному выполнению. Последствия неправильного поведения скриптов могут быть практически любыми — от слегка неприятных до катастрофических.
• Многие из проблем скриптов можно решить с помощью линтера! Вот тут и вступает в игру статический анализатор кода ShellCheck, который написан на Haskell. Эта тулза помогает в обнаружении ошибок в тексте скриптов и может вывести отчет о проведенных проверках. Это позволяет повысить производительность работы и качество кода. Кстати, ShellCheck можно интегрировать в vim или emacs, в результате, он будет проверять текст скриптов прямо в редакторе.
➡ Github;
➡ Официальный сайт;
➡ Небольшой гайд по установке и использованию ShellCheck.
S.E. ▪️ infosec.work ▪️ VT
🚀 Приспособление ЦРУ 70-х годов, которое так и не взлетело.
• В 1970-е годы американская наука и техника, во многом стараниями технарей Кремниевой долины, совершила прорыв в миниатюризации электронных систем. Естественно, в ЦРУ этому очень обрадовались и попытались использовать это на практике. Именно тогда у одного из заместителей главы отдела исследований и разработок ЦРУ, возникла идея использовать робота-насекомое: вполне нормальная и реализуемая в наши дни, но амбициозная для 70-х.
• Почти получилось. Устройство поначалу хотели сделать в виде пчелы или шмеля, но не справились с их сложной аэродинамикой и придумали более подходящее устройство в виде стрекозы, которое могло преодолеть расстояние до 200 метров. Задачей устройства было доставить к точке подслушивания 0,2 грамма ретрорефлекторных шариков — служившими глазами стрекозы — для того, чтобы дальше работала группа прослушки с лазерной системой акустической разведки.
• Правда, заставить лететь стрекозу — оказалось нелёгкой задачей. Её решением было использование крошечного гидродинамического осциллятора, работающего на выделяемом кристаллами нитрата лития газе. Когда испытания показали, что прототип не может нести требуемую полезную нагрузку в 0,2 г, конструкторы добавили дополнительную тягу, отводя выхлопные газы назад: подобно реактивному двигателю.
• Попутно оказалось, что в первой половине 70-х всунуть хотя бы элементарную систему управления в эту штуку невозможно — но и эта проблема была решена. Специальный лазер, направленный на робострекозу, должен был нагревать металлическую полоску и «включать» тягу. Второй лазер по схожему принципу работал рулём направления.
• На программу потратили около порядка 2.4 миллионов по современному курсу и отчитались в 1974-м о её успешном завершении… только применять на практике устройство оказалось невозможно. Даже слабый ветер вне идеальных условий лаборатории или официальной приёмки в тщательно подобранный день приводил к неуправляемости полёта устройства. За что образец в конечном счёте оказался в музее...
➡ Наглядно: https://youtu.be/wAHw9Oonr84
S.E. ▪️ infosec.work ▪️ VT
🎄 HackerLab и «Хакер» проведут новогодний CTF
С 21 по 30 декабря проведем новогодний CTF в формате «задача дня»!
Каждый день в нашем боте будет появляться новый таск. Решил задачу — получил ключ. Чем больше ключей ты соберешь, тем выше шансы выиграть призы.
Как это работает:
❄️ 10 дней — 10 задач
❄️ Каждая задача активна сутки, потом появляется следующая
❄️ Решил задачу → забрал ключ 🗝
❄️ 31 декабря — подведение итогов и розыгрыш призов через рандомайзер
Что мы разыгрываем:
Деньги: 10 000 рублей.
Подписки: HackerLab Plus и Pro, годовая подписка на журнал «Хакер».
Мерч: футболки HackerLab, бумажная книга «Хакеры.РУ».
Обучение: 10 промокодов на скидку 10% на курсы Академии Кодебай.
➡️ Переходи в бота и лови первую задачу 21 декабря!
🐲 Kali Linux 2025.4 Release.
• Ну что, вот и последнее обновление Kali в этом году. На этот раз обнова включает в себя три новых тулзы, улучшения для десктопных окружений, предварительная версия Wifipumpkin3 в NetHunter и расширенная поддержка Wayland.
• Новые инструменты:
➡bpf-linker - простой статический линковщик для BPF;
➡evil-winrm-py - Python-инструмент для выполнения команд на удаленных Windows-машинах через WinRM;
➡hexstrike-ai - MCP-сервер, позволяющий ИИ-агентам автономно запускать инструменты.
• Что касается NetHunter, то теперь есть возможность поддержки устройств на Android 16 (Samsung Galaxy S10 и OnePlus Nord), а также Android 15 ( Xiaomi Mi 9). А еще добавили Wifipumpkin3 - это фреймворк для проведения атак с использованием поддельных точек доступа.
• Добавлена полноценная поддержка гостевых утилит для VirtualBox, VMware и QEMU под управлением Wayland. Такие функции, как общий буфер обмена и автоматическое масштабирование окон, теперь функционируют корректно.
• Что касается GNOME 49 добавились обновленные темы оформления, новый видеоплеер Showtime, были реорганизованы папки инструментов в сетке приложений, а также появились новые горячие клавиши для быстрого запуска терминала. Кроме того, в этом релизе разработчики полностью убрали поддержку X11, и теперь GNOME работает исключительно на Wayland. Благодаря этому команда Kali добавила полную поддержку утилит для виртуальных машин в VirtualBox, VMware и QEMU.
• Более подробное описание обновления доступно тут: https://www.kali.org
• Теперь к полезным ссылкам:
➡Необходимая документация;
➡Форум;
➡Сообщество в discord;
➡Скачать Kali Linux 2025.3;
➡Kali Tools.
➡#kali.
S.E. ▪️ infosec.work ▪️ VT
🫠 Шутки, которые зашли слишком далеко... Часть 2.
• 8 января я опубликовал статью, где рассказывал о студенте, который изменили информацию на сайте Wikipedia и указал себя изобретателем тостера. Эта информация продержалась более 10 лет на сайте и вызвала настоящий ажиотаж в СМИ. Чтобы вы понимали, шутка зашла настолько далеко, что даже банк Англии предложил выбрать эту несуществующую и историческую личность для изображения на купюре в 50 фунтов стерлингов! Если не читали, то обязательно ознакомьтесь.
• Так вот, дело в том, что любители розыгрышей создали в Википедии огромное количество статей-мистификаций, описывающих несуществующих людей или события. Самая старая «шутка» продержалась около 11 лет. Всего в английском сегменте ресурса найдено более 300 мистификации, просуществовавшие более одного года. На Вики даже есть отдельная страница, в которой перечислены все случаи в англ. сегменте. Что касается СНГ, то такой страницы я не нашел (может плохо искал, а может её не существует). Вот краткое описание некоторых шуточных статей:
В 1960-е годы в Великобритании была группа, участники которой лаяли во время исполнения музыкальных композиций. Возможно, именно поэтому статья о The Doggs продержалась девять лет и восемь месяцев. Статью удалили как «Откровенную мистификацию», хотя в сети можно найти одну песню исполнителей того времени The Doggs — Billy's gotta run. В ней они не лаяли.
Джон Робишо родился в 1866 году в городе Тибодо, Новый Орлеан, и умер в 1939 году в Луизиане. Он был американским музыкантом, ударником и скрипачом, а также лидером собственного джаз-бэнда. А Джек Робишо — это герой поддельной статьи в Википедии, вымышленный серийный убийца из того же штата. Статью о нём создали 31 июля 2005 года, и продержалась она до 3 сентября 2015 года — десять лет и один месяц.
Гильермо Гарсия (Guillermo Garcia) был влиятельным нефтяным магнатом в XVIII веке, жившим в Южной Америке. Но вымышленным. Статья о нём просуществовала с 17 ноября 2005 года по 19 сентября 2015 года — девять лет и десять месяцев. Редакторы Википедии не нашли ни единого достоверного источника, который бы подтверждал существование этого персонажа.
«Божество австралийских аборигенов» Jar'Edo Wens — ещё один, на этот раз дважды вымышленный персонаж, которому была посвящена статья в Википедии, сделанная 29 мая 2005 года. Более того, она была переведена для французского раздела Википедии. Божество получило видоизменённый вариант имени Джаред Оуэнс (Jared Owens). До удаления Джека Робишо и Гильермо Гарсии Jar'Edo Wens удерживал первое место среди самых старых поддельных статей — девять лет и девять месяцев.
Pikes on Cliffs — это вымышленное место, домик на побережье с кузницей и колодцем. Моряк XVI века Уильям Симмс доплыл до берега после смертельного приговора, вынесенного сэром Фрэнсисом Дрейком. Этот дом никто не видел, и фактов существования того самого моряка не найдено. Статью удалили через девять лет и восемь с половиной месяцев после создания.
Грегори Нэмофф (Gregory Namoff) родился 26 февраля 1924 года в Грейт-Нек, Нью-Йорк, и умер 12 октября 2002 года в Бока-Рато, Флорида. Он был «международно известным» инвестиционным банкиром. В 1974 году он стал участником Уотергейтского скандала, но не был признан виновным. В начале 1980-х он переключил внимание на компьютеры, инвестировал в Apple Computer и Microsoft, и продал свою компанию GN Limited. В 1998 году он баллотировался в Сенат США против Боба Грэма, но его соперник провёл кампанию, связав Нэммоффа с Никсоном и Уотергейтом. В 2002 году Нэмофф умер из-за красной волчанки. Этого человека никогда не было.
📦 Hermit.
• Нашел очень интересный проект на GitHub, благодаря которому мы можем запустить программу в изолированном и полностью воспроизводимом окружении.
• Например, даже если программа использует /dev/urandom, то будучи запущенной в hermit, программа будет забирать эти данные из псевдослучайного генератора, который, если потребуется, будет отдавать одни и те же данные при воспроизведении работы контейнера с программой.
• Тулза окажется полезной как при работе над багами в программах, так и, например, при наблюдении за работой подозрительного софта, исполнение которого, будучи запущенным в Hermit, полностью контролируется нами.
➡ https://github.com/experimental/hermit
S.E. ▪️ infosec.work ▪️ VT
👩💻 Linux Master.
• Нашел очень содержательный и актуальный Mindmap по командам Linux. Всё необходимое на одной схеме и всегда у вас под рукой:
➡Пользовательские;
➡Админские;
➡Встроенные в bash;
➡Команды-фильтры;
➡Мониторинг;
➡И многое другое...
• Скачать можно по ссылке ниже:
➡ https://xmind.app/m/WwtB
• P.S. Не забывайте про нашу подборку бесплатного материала для изучения Linux, которая будет полезна не только новичкам, но и опытным специалистам!
S.E. ▪️ infosec.work ▪️ VT
🎬 Что будем смотреть на новогодних праздниках?
• На протяжении всей жизни этого канала у нас сложилась хорошая традиция: я делюсь с вами списком фильмов и сериалов, которые смотрел в течении года. Вероятно, что вы найдете для себя что-то интересное и полезное для просмотра в эти новогодние праздники... Приятного просмотра и хороших выходных:
• Тематика канала (ИБ, СИ, Профайлинг и т.д.):
➡Кто я / Who am I.
➡Сноуден || Snowden.
➡Хакеры (1995).
➡Mr.Robot.
➡Настоящий детектив.
➡Охотники за разумом.
➡Обмани меня.
➡Шерлок.
➡Острые козырьки.
➡Менталист.
➡Черное зеркало.
➡Лучше звоните Солу.
➡MENTALV/videos">MENTAL.
➡Несколько документальных фильмов о хакерах.
➡Подборка фильмов, которые должен посмотреть каждый хакер.
• Не относятся к тематике канала, но рекомендую к просмотру:
➡Сопрано.
➡Аркейн.
➡Йеллоустоун.
➡Мышь.
➡Ход королевы.
➡Медленные лошади.
➡Тьма.
➡Fallout.
➡Фарго.
➡Озарк.
➡Укрытие.
P.S. Список не претендует на полноту.
S.E. ▪️ infosec.work ▪️ VT
🔑 Как я поймал сетевика на передаче пароля в SSH и чем это закончилось.
• Есть старое правило: если можно сделать быстро и удобно, кто‑то обязательно сделает это в ущерб безопасности. В инфраструктурных командах это особенно заметно. Сетевики часто решают задачи «с лёту», и это прекрасно. Пока речь не заходит про пароли. Один из таких случаев стал для автора данного материала хорошим уроком...
• В этой статье описана ситуация, когда сотрудники сопровождения передавали пароль по SSH. В открытом виде.
• Почему это проблема:
➡Передача пароля в аргументах — это классический антипаттерн.
➡Аргументы команд видны в ps, /proc/[PID]/cmdline, Task Manager.
➡Они могут попасть в логи CI/CD.
➡Мониторинг и аудит тоже их подхватят.
➡Многие утилиты (sshpass, plink, WinSCP CLI, rsync, mysql, curl, mRemoteNG) позволяют так передавать пароль — и это соблазн для быстрого «костыля».
• В итоге получить пароль можно даже не трогая сам SSH, что может привести к утечке. Подробности по ссылке ниже:
➡ Читать статью [3 min].
• P.S. Рекомендую обратить внимание на комментарии, там можно найти полезные советы и рекомендации.
S.E. ▪️ infosec.work ▪️ VT
🟧🟧🟧🟧 Мы запускаем флагманскую программу по Application Security!
AppSec — одно из самых востребованных и быстрорастущих направлений в кибербезопасности.
И теперь у нас есть полный 7-месячный практический курс, который готовит к работе в реальных проектах — от поиска уязвимостей до внедрения безопасного SDLC и DevSecOps.
Что ждёт на программе?
🟧 200+ часов практики
🟧 Личный стенд: SQLi, XSS, SSRF, LFI, IDOR, Race Condition и др.
🟧 Работа с SAST (Semgrep), DAST (Burp/ZAP/OAST), SCA (Trivy)
🟧 Secure SDLC, Threat Modeling, CVE/CWE/CVSS
🟧 Автоматизация безопасности в CI/CD
🟧 Финальный capstone: mini-CTF, созданный своими руками
🟧 Большое портфолио из 9 проектов, закрывающее требования junior-вакансий
🎓 По итогам — диплом о профпереквалификации и готовность выйти на рынок как:
Junior/Middle AppSec Engineer, Web-Pentester, Security Developer, DevSecOps-инженер.
Старт: 16 февраля
🟧🟧🟧 Первый поток доступен со скидкой 10%: 120.000 руб. 108.000 руб.
Набор открыт:
🟧 https://codeby.school/appsec.html
👨💻 Linux CLI Text Processing Exercises.
• Нашел любопытный tui тренажёр для обучения основам работы в терминале. Содержит около 70 заданий, которые вам предстоит решить. Проходить увлекательно и полезно, так что рекомендую для самообразования и получения необходимого опыта. Забирайте и практикуйтесь по ссылке ниже:
➡ https://github.com/learnbyexample/TUI-apps
• Кстати, у автора есть ещё несколько tui программ, с помощью которых можно потренироваться в работе с awk, grep, sed и регулярками...
S.E. ▪️ infosec.work ▪️ VT
🖥 Система доменных имен.
• Свое начало система доменных имен берет в 50-х - 60-х годах прошлого века. Тогда она помогла упростить адресацию хостов в сети ARPANET и очень быстро перешла от обслуживания сотен компьютеров к работе с сотнями миллионов.
• Сеть ARPANET стали использовать университеты, телекоммуникационные компании и учёные из разных областей науки. В 80-х к ней были подключены целых 320 компьютеров. Такое количество устройств породило проблему - стало сложно работать с адресами. Для обмена данными каждый из подключенных компьютеров скачивал файл hosts.txt с информацией об остальных хостах. Этот файл существовал в единственном экземпляре на сервере, размещенном в Стэнфордском исследовательском институте. Пользователям становилось все сложнее работать с раздутым списком, учитывая тот факт, что идентификаторы при подключении приходилось прописывать вручную.
• Особенно сильно проблема была заметна во время отправки электронных писем. Чтобы переслать сообщение с одного компьютера на другой, пользователь должен был сам указать путь для его передачи между системами. Задачу усложнял тот факт, что отдельные устройства могли выходить в сеть в разное время дня. Выглядел коммуникационный путь примерно следующим образом:
utzoo!decvax!harpo!eagle!mhtsa!ihnss!ihuxp!grg
🎄 Что подарить на Новый год тому, кто в теме? В Академии Кодебай открылись продажи новогодних подарочных сертификатов!
Если вы ищете подарок, который действительно имеет ценность — мы создали его.
Теперь вы можете подарить близкому человеку не вещь, а возможность изменить профессию, усилить навыки и выйти на новый уровень.
🎁 Премиальный подарок для будущего профессионала.
🎁 Практичный выбор для тех, кто ценит развитие.
🎁 Подарок с долгосрочной ценностью.
Выберите формат:
↖️ Сертификат на один курс
↖️ Сертификат-номинал
Получатель сам выбирает направление обучения: от веб-пентеста и SOC до самых свежих новинок — DevSecOps и Appsec-инженер!
Сертификат приходит на e-mail в виде стильного PDF, который можно красиво вручить лично или отправить онлайн.
➡️ Продажи уже открыты.
👩💻 Бесплатный практический курс по Bash.
• Набор встроенных команд bash (и его аналогов sh, zsh, etc) совместим с любым POSIX-совместимым приложением в Linux, что позволяет встроить в ваш bash-скрипт любое совместимое приложение. Это дает очень большой набор возможностей в сфере автоматизации рутинных задач администрирования систем Linux, деплоя и сборки приложений, различных пакетных обработок, в том числе аудио и видео.
• Суть bash-скриптов - записать все ваши действия в один файл и выполнять их по необходимости. Благодаря этому курсу вы писать bash-скрипты с нуля и получите представление, какую пользу можно из них извлечь:
➡Start Learning Bash;
➡Create and Run Your First Bash Shell Script;
➡Understanding Variables in Bash Shell Scripting;
➡Passing Arguments to Bash Scripts;
➡Using Arrays in Bash;
➡Using Arithmetic Operators in Bash Scripting;
➡String Operations in Bash;
➡Decision Making With If Else and Case Statements;
➡Loops in Bash;
➡Using Functions in Bash;
➡Automation With Bash.
S.E. ▪️ infosec.work ▪️ VT
💬 IRC. Ретранслируемый интернет-чат.
• Летом 1988 года один финский программист Яркко “Wiz” Оикаринен написал первый IRC-клиент и сервер, идея которого заключалась в расширении возможностей BBS (электронная доска объявлений). В то время Wiz администрировал BBS на tolsun.oulu.fi, и хотел с помощью IRC добавить в нее новости в формате Usenet, диалоги в реальном времени и прочие возможности.
• Первым делом он реализовал чат, для чего использовал код, написанный его друзьями Юрки Куоппала и Юккой Пихль. Изначально эта разработка была протестирована на одной машине. Яркко об этом первом пуске позже говорил так:
«День рождения IRC пришелся на август 1988. Точная дата неизвестна, но где-то в конце месяца».
tolsun.oulu.fi.irc.cs.hut.fi. Так родилась первая «сеть IRC».
Защищайте веб-приложения со скидкой 🔒
−10% на PT Cloud Application Firewall для новых клиентов до 31 января 2026 года
Обеспечить защиту бизнеса вовремя = спасти его.
На прошлой неделе миллионы сайтов на React и Next.js оказались под угрозой: критически опасная уязвимость (с оценкой 10 баллов по шкале CVSS) позволяла удаленно выполнить код и получить полный контроль над сервером. Патчей не было, эксплойтов — тоже. Но атаки уже шли.
Пока рынок ждал PoC, команда Positive Technologies разобрала сам механизм атаки — загрязнение прототипов и доступ к внутренним объектам Node.js.
Результат: клиенты PT Cloud AF получили защиту через несколько часов, автоматически, без ложных срабатываний и простоев.
📊 За первые 48 часов решение заблокировало более 10 000 вредоносных запросов — еще до появления публичных эксплойтов.
Клиенты спали спокойно, когда угроза была реальной, а патчей не было.
👉 Подключайтесь и зафиксируйте скидку 10% на продукт для защиты веб-приложений.
Акция действует для новых клиентов до 31 января.
Правила проведения акции
О продукте
👨💻 Логи, логи, логи...
• Смотрите какая удобная тулза для работы с логами: logmerger. Иногда бывает нужно осуществить сортировку данных из нескольких лог-файлов по времени и сравнить их между собой, так вот эта софтина как раз и предназначена для этого. Само собой logmerger имеет открытый исходный код. Детальное описание есть тут: https://github.com/ptmcg/logmerger
• Кстати, в качестве альтернативы есть еще https://lnav.org, тут найдете удобную фильтрацию, подсветку синтаксиса и другие полезные фичи.
S.E. ▪️ infosec.work ▪️ VT
👩💻 Docker Security.
• На сайте hacktricks есть очень объемная Wiki по безопасной настройке Docker. Крайне много информации по Socket, Capabilities, Escape from Containers и т.д. Рекомендую к изучению:
• Basic Docker Engine Security:
➡Secure Access to Docker Engine;
➡Security of Container Images;
➡Image Scanning;
➡Docker Image Signing.
• Containers Security Features:
➡Namespaces;
➡cgroups;
➡Capabilities;
➡Seccomp in Docker;
➡AppArmor in Docker.
• К слову, в канале есть еще тонна дополнительного материала по Docker:
➡Список вспомогательных приложений и скриптов для автоматической проверки Docker образов на уязвимости;
➡Docker с нуля: бесплатный курс от Select;
➡Актуальная и объемная шпаргалка по Docker на русском языке. Включает в себя команды для работы с сетью, образами, дисками и т.д.;
➡Metarget: инструмент, который позволяет развернуть уязвимую версию Docker. Будет полезно пентестерам для получения практического опыта;
➡Secret Docker Commands: небольшое видео о полезных и продвинутых командах Docker, которые обычно не встречаются в документации;
➡Play with Docker: онлайн-сервис для практического знакомства с Docker;
➡Attacking Docker: хорошая статья, которая включает в себя описание актуальных методов атак на Docker, описание различных уязвимостей и неправильных конфигураций, слабых мест в различных компонентах и т.д.;
➡Docker Security: еще одно объемное руководство по безопасной настройке Docker.
S.E. ▪️ infosec.work ▪️ VT
🥷 Threat Hunting
Приглашаем на открытый урок.
🗓 18 декабря в 20:00 МСК
🆓 Бесплатно. Урок в рамках старта курса «Аналитик SOC».
Программа вебинара:
✔ Основные подходы и методы threat hunting;
✔ Использование EDR-решений для выявления угроз;
✔ Поиск индикаторов компрометации (IOC).
После занятия вы будете знать:
- Как самостоятельно искать угрозы в инфраструктуре организации;
- Какие инструменты использовать для обнаружения скрытых атак;
- Что такое IOC и как их применять в своей работе.
🔗 Ссылка на регистрацию: https://otus.pw/DwwY/
Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576