66438
НЛО с вами! Хабр Новости → https://t.me/habr_com_news Хабр Карьера → https://t.me/habr_career Реклама (продвигаем только статьи с Хабра) → adv@habr.team Вопросы → @shelsneg Админ → @vololoshin
Осваиваем DOM Invader: ищем DOM XSS и Prototype Pollution на примере пяти лабораторных и одной уязвимости на Хабре
Сегодня мы познакомимся с DOM XSS и Prototype Pollution, рассмотрим примеры уязвимостей на Bug Bounty и научимся использовать инструмент DOM Invader, который заметно упростит поиск таких уязвимостей.
Играем музыку на двигателях и не только
Поговорим об интересных технологических способах извлечения музыки и о том, к чему это может привести. Самоделки подобного рода нечасто встречаются на просторах Сети. Видимо, это связано с тем, что многие люди довольно далеки от профессионального препарирования музыки. Тем не менее, сегодня мы попробуем немножко в это углубиться.
Уволенный сотрудник сингапурской компании NCS Кандула Нагараджу получил доступ к компьютерной «тестовой системе» бывшего работодателя и удалил 180 виртуальных серверов. Ущерб от действий 39-летнего мужчины составил $678 тысяч.
Нагараджу приговорили к двум годам и восьми месяцам лишения свободы за несанкционированный доступ к компьютерной технике.
Мужчину уволили из NCS в октябре 2022 года за неудовлетворительное выполнение трудовых обязанностей. Из судебных документов следует, что Кандула почувствовал себя расстроенным после расторжения договора. Он был уверен, что «внёс хороший вклад» в компанию во время своей работы. После увольнения он вернулся из Сингапура в Индию.
С ноября 2021 года по октябрь 2022 года Кандула входил в состав команды из 20 человек, которая управляла компьютерной системой обеспечения качества NCS.
Компания предлагает информационно-коммуникационные и технологические услуги. Систему, которой управляла команда Кандулы, использовали для тестирования нового программного обеспечения перед запуском. В NCS указали, что это была «автономная тестовая система», которая состояла из 180 виртуальных серверов, не содержащих конфиденциальную информацию.
После возвращения в Индию Кандула использовал свой ноутбук для получения несанкционированного доступа к системе, используя учётные данные администратора. С 6 по 17 января прошлого года он сделал это шесть раз.
Найдя новую работу, в феврале мужчина вернулся в Сингапур и снял комнату у бывшего коллеги по NCS. Там Кандула использовал Wi-Fi для доступа к системе NCS. Он написал несколько сценариев, чтобы проверить, можно ли их применить в системе для удаления серверов.
В марте он 13 раз обращался к системе контроля качества NCS, а к середине месяца запустил скрипт, который удалял серверы по одному.
В следующем месяце полиции передали несколько IP-адресов, с которых заходил злоумышленник. Правоохранительные органы конфисковали ноутбук Кандулы, на котором обнаружили скрипт. Расследование показало, что мужчина искал сценарии для удаления виртуальных серверов в Google.
⚡ Новости к этому часу
📵 В Роскомнадзоре рассматривают возможность блокировки звонков из-за границы по умолчанию
⚖️ Британские геймеры подали в суд на Valve с требованием компенсации £656 млн за соглашение о паритете цен для издателей
🤦♂️ НАСА случайно запустило в эфире аудиозапись симуляции события с терпящим бедствие астронавтом на МКС
🌐 Вышел Firefox 127.0
📸 На 1839 Color Photography Awards победу присудили настоящей фотографии и дисквалифицировали победителя (ФОТО)
🖥 «Росэлектроника» разработала мини‑компьютер на «Эльбрусе»
🏴☠️ В УК РФ смягчили ответственность за пиратство
💸 Apple не платит OpenAI за использование ChatGPT в iOS
🙀 В новом неожиданном исследовании высказывается предположение, что гравитация может существовать без массы
#новости
Записки «чайника», травмированного тензорным исчислением: о контра- и ковариантных тензорах
Математика остаётся непонятной для многих потому, что нам её объясняют люди, которые понимают её на интуитивном уровне. Нам же, нематематикам, для того, чтобы что-то понять, надо это «что-то» увидеть не в абстрактном, а в физически представимом пространстве или, ещё лучше, поковырять его пальцем.
Много работы для джунов на Хабр Карьере.
Бизнес-аналитик в ДИТ Москвы.
IT researcher в 2GIS. Можно удаленно.
Инженер по сопровождению в ЛАНИТ. Можно удаленно.
Администратор тестовых сред в СберТех. Москва.
Архитектор облачных решений в Группу Астра. Москва.
С developer в Arenadata. Можно удаленно.
Аналитик (retail) в Axenix (ex. Accenture). Москва.
Инженер по сопровождению ПО устройств самообслуживания в Центр Финансовых Технологий. Новосибирск.
Системный аналитик в Axenix (ex. Accenture). Москва. Можно удаленно.
Frontend developer в DigiNext. Можно удаленно.
Больше вакансий
#junior
Flipper Zero: мнение пентестера после двух лет «полевой» эксплуатации
«Дельфин-тамагочи» от Flipper Devices Inc. не нуждается в представлении, но хайп вокруг этого хакерского мультитула уже поутих. Теперь пользователи разделились на два лагеря: одни считают Flipper Zero крутым инструментом, другие не понимают, зачем его купили.
Один из пентестеров и социальных инженеров компании «Бастион» согласился поделиться впечатлениями от использования этого устройства. Он честно рассказал, полезен ли Flipper для проведения тестов на проникновение, какие задачи позволяет выполнять на объектах клиентов и стоит ли устройство своих денег. Рассмотрим плюсы и минусы девайса, с которыми приходится сталкиваться в «полевых» условиях.
Магия кино
Сейчас снять кино может любой дурак прямо у себя в комнате, имея на руках вебку, кусок зелёной ткани и спираченный After Effects на компьютере. Фильтры в Zoom могут превратить вас в котёнка в реальном времени на совещании, но как люди снимали сложные комбинированные сцены до появления компьютерных эффектов? Кино всегда было способом изменить реальность: Жорж Мельес в 1898-м году снимал с себя голову и клал на стол, человек-невидимка в 1933-м бегал от полицейских в одной рубашке, а Кэри Грант убегал от кукурузника в 1959-м, и всё это выглядело порой более натурально, чем третий глаз доктора Стрэнджа в 2022-м. Поговорим о том, как это делали в доцифровую «плёночную» эпоху.
Поучительная история технической одиссеи компании Palm, Inc.
Проследить историю компании Palm с её перипетиями сложно даже по стандартам Кремниевой долины. Она была образована в 80-е годы как небольшая фирма в индустрии портативных компьютеров, но была приобретена другой крупной компанией, которая затем продала себя. После этого Palm была разделена на две части, обе части вышли на биржу, затем воссоединились и Palm снова распродалась. По пути организация потеряла свою первоначальную команду, но затем вернула только для того, чтобы снова попрощаться с ней. А потом Palm фактически прекратила своё существование в 2018 году, когда её ненадолго возродили.
«Hola, Хабр. Меня зовут Джулио, я ведущий бэкенд-разработчик в IBS. Я родился и вырос в Перу, но уже несколько лет живу и работаю в России.
Я приехал сюда студентом 23 года назад, изучал радиофизику в питерском университете, несколько лет работал техническим переводчиком и менеджером проектов по информационной безопасности, а потом решил «зайти в айти». Работал в ИТ-компаниях в России, Перу и Польше. Меньше чем за 10 лет прошёл путь от джуна до сеньора.
Эта статья о том, как я «зашёл в айти», когда ещё не существовало Скиллбокса и Яндекс Практикума. Расскажу, как учился программированию десять лет назад, чем отличаются собеседования в ИТ-компаниях Перу и России и кому не стоит становиться разработчиком»
Учишь русский, учишь Java, едешь в Россию работать, или Как я «зашёл в ИТ» 10 лет назад
Прогрессивный налог — социальная справедливость или латание дыр бюджета?
Примечательная черта налоговой политики РФ «нулевых» годов — это фиксированная ставка налогообложения на доходы физлиц. Последние 20 лет 13% от полученного дохода платил любой гражданин: и перебивающийся минимальной зарплатой, и выбирающий, на какой из своих яхт встретить Новый год.
Недавно появились новости о введении в РФ новой прогрессивной шкалы налогообложения. Поскольку власти завели речь о справедливости, попытаемся разобраться, о справедливости для кого идёт речь.
Простые способы ускорения обучения PyTorch-моделей
Ускорение обучения моделей — это именно то, в чём нуждаются все ML‑инженеры. Более быстрое обучение модели означает ускорение экспериментов, что, в свою очередь, ведёт к ускорению выпуска новых версий программных продуктов. Кроме того, чем выше скорость обучения, тем меньше ресурсов нужно на каждую итерацию обучения модели. А теперь перейдём к делу!
Возможно, микросервисы вам не нужны
Дорогие коллеги-разработчики, нам нужно поговорить. Поговорить о микросервисах и ряде нежелательных ситуаций. Да, будет непросто, но это необходимо. Иначе нам не справиться.
Сегодня микросервисы очень популярны. Это прекрасный архитектурный стиль, который помогает масштабировать систему и саму организацию. Их используют многие успешные компании (Netflix, Spotify и прочие). Поэтому вполне нормально, что большинство организаций уже применяют или планируют начать применять этот стиль. Однако не все учитывают сопутствующие затраты.
Большая подборка стажировок с Хабр Карьеры.
Помощник руководителя в W3Promo. Москва. 30 000 — 65 000 ₽.
Java developer в Aston. Можно удаленно. 70 000 — 80 000 ₽.
Преподаватель по кибербезопасности в CODDY. Неполный день. Можно удаленно. От 40 000 ₽.
Бизнес-аналитик в 4-6 studio. Казань. Можно удаленно. От 70 000 ₽.
Тестировщик в DimaTech Ltd. Краснодар, Донецк, Мариуполь. Можно удаленно. От 50 000 ₽.
RTL-разработчик в Мотив Нейроморфные технологии. Новосибирск. Неполный день. От 50 000 ₽.
Системный администратор в Метта. Уфа. 50 000 — 60 000 ₽.
Сontent manager в Nomadic Soft. Неполный день. Можно удаленно. 40 000 — 50 000 ₽.
QA-инженер в Xpage. Челябинск. 30 000 — 45 000 ₽.
Backend-разработчик C# в Bogoda Digital Pro. Сан-Хосе. Неполный день. Можно удаленно.
Больше вакансий
#intern
Тимоти Джон Бернерс-Ли — человек, который почти создал интернет
Сегодня мы будем говорить про «живого классика» информационных технологий, про Тима Бернерса-Ли. Этот человек — настоящий фанат научного прогресса. Вперёд, в историю «сети» и «паука», который её плёл
Как сварить лягушку: в российском IT растёт число самозанятых
За последние четыре года доля самозанятых в IT выросла в 20 раз. Рост начался в пандемию, начало СВО его подстегнуло. Компании не нарадуются: платить налогов за самозанятых надо в разы меньше, ТК фактически не защищает таких сотрудников. Прибыли на ровном месте вырастают на 20-30%. Тем работникам, кто ещё работает по ТК, стоит задуматься.
«Если бы мы были обычной компанией, то вы никогда не услышали бы эту историю. Это то, во что ни один здравомыслящий человек не должен вписываться ни при каких условиях, это тип задачи, который просто невозможен для ИТ по своей сути, но нам нужно было это сделать. Потому что производство ставит реальные задачи. А они пахнут далеко не розами»
Замена ERP на действующем вагоноремонтном производстве с тестами прямо в бою
Соединяя лучшее из двух миров: как в ITSumma построили мост между Spark и Greenplum
В этой статье ведущий администратор баз данных ITSumma Алексей Пономаревский рассказывает об опыте интеграции популярного фреймворка для распределённой обработки данных Apache Spark с мощной массивно-параллельной базой данных Greenplum. Текст будет полезен для разработчиков, решающих схожие задачи по интеграции распределённых фреймворков обработки с реляционными БД, использующих параллельные вычисления.
«Мы с командой делаем банковское приложение. Веб-приложение. Не все поверят, но сегодня реально реализовать на вебе такой пользовательский опыт, от которого люди не будут скрипеть зубами и умолять вернуть им натив. Расскажу, какие Web API мы используем, раскрою тонкости и покажу примеры кода»
Web APIs, которые функционально приближают веб-приложения к нативным
Вызов функций Go из Python с помощью ctypes
Поговорим о том, как можно запускать программу, написанную на Go из Python. Зачем? При работе на Python иногда имеет смысл реализовать отдельные функции на статичном, высокопроизводительном языке. Go может стать отличным выбором для этого, потому что он быстрый, простой и кроссплатформенный.
За первую квинтиллионную долю секунды во Вселенной могли появиться микроскопические чёрные дыры с огромным ядерным зарядом, предполагают физики Массачусетского технологического института.
Эта и другие научпоп-новости за неделю, о которых мы ничего не писали
«Яндекс» разработал и выложил в опенсорс YaFSDP — инструмент для ускорения обучения LLM и сокращения расходов на GPU
Поговорим о том, как можно организовать обучение больших языковых моделей на кластере и какие проблемы при этом возникают, рассмотрим альтернативные методы ZeRo и FSDP, которые помогают организовать этот процесс, и выясним, чем YaFSDP отличается от них.
Китай на Луне: Поднебесная добилась огромных успехов в изучении спутника Земли
Рассмотрим, чего добился Китай во время изучения Луны, и сделаем это не просто так — КНР удалось не только успешно высадить спускаемый аппарат на обратной стороне спутника, но и собрать образцы грунта, высадить луноход и отправить «добычу» на окололунную орбиту.
⚡ Новости к этому часу
👫 В Токио запускают обязывающее жениться приложение для знакомств
🔄 Вышло обновление сервиса контроля DNS‑трафика BI.ZONE Secure DNS
🏠 Дом, где родился Томас Эдисон, теперь питается от солнечной энергии (ФОТО)
💰 В ГК «Росатом» считают, что нужно увеличить финансирование для перехода на российское ПО
📸 Apple и Canon представили объектив для беззеркальной камеры с двойной оптикой для пространственной видеосъёмки
📰 Злоумышленник похитил исходный код New York Times при помощи открытого токена GitHub
🍎 В visionOS 2 внедрили новые жесты и настройки разрешения виртуального монитора
#новости
Замки, драконы и сундуки: как возник классический сеттинг игрового фэнтези. Часть пятая. Рождение Dungeons & Dragons
К началу 1970-х годов в США оформилось большое и активное сообщество игроков в настольные игры, которое в значительной степени пересекалось с любителями всё более популярного тогда жанра фэнтези. Ранние настолки происходили из военных игр, использовавшихся с XIX века для подготовки офицеров — и долгое время они изображали исключительно реальные или теоретические боевые столкновения. Идея сделать настолку в жанре фэнтези появилась у человека по имени Гэри Гайгэкс после того, как он реализовал настольную игру про средневековые бои и решил добавить в неё фэнтезийных войск. Когда к этой концепции добавилась идея отдельных юнитов-героев и ролевого отыгрыша, на свет появилась Dungeons & Dragons. Мать всех современных ролевых игр и основа для сферического в вакууме фэнтезийного сеттинга, который во многом именно благодаря ей возник из множества разных миров разных авторов.
«Если ваш e-mail взломали и вам посчастливилось жить в регионе с дорогими sms, этого будет достаточно для того, чтобы попасть в ваш telegram, поскольку все необходимые коды можно получить просто на e-mail»
Часть пользователей Telegram в опасности
Рисуем фракталы на Rust и CUDA
Фракталы — это бесконечные самоподобные фигуры. Они определяются простыми математическими формулами, которые создают удивительную красоту! В этой статье мы рассмотрим алгоритм визуализации одного из самых известных фракталов на языке Rust с аппаратным ускорением NVIDIA, масштабированием, сглаживанием и многопоточностью.
Пора оставить RAID-5 в далёком прошлом
Как все помнят, RAID-5 — это N дисков с данными и один диск с чётностью (точнее, чётность размазывается туда и сюда — RAID 5 consists of block-level striping with distributed parity). Как следствие, RAID-5 может пережить выход из строя одного жёсткого диска без потери данных. Проблемы с R5 начинаются не при выходе из строя жёсткого диска, а при ребилде.
На прошедшей неделе мы теряли деньги на производстве тандыров, отправляли сообщения на Землю с «Вояджера-1», превращали Android-смартфон в USB-клавиатуру и вспоминали проекты за 7 лет увлечения DIY.
Лучшие публикации недели (3-9 июня 2024)
Лорд Кельвин и его аналоговый компьютер
Мореплаватели всегда старались учитывать приливы и отливы, чтобы не оказаться внезапно выброшенными на мель, а адмиралы хранили графики приливов как сверхсекретную информацию.
Различные цивилизации издревле осознавали связь между приливами и лунными циклами, но только в 1687 году Исаак Ньютон объяснил, как конкретно на приливную активность влияют гравитационные силы Солнца и Луны. Спустя девяносто лет, французский астроном и математик Пьер-Симон Лаплас предположил, что приливы можно выразить как гармонические колебания. А ещё через столетие Томсон на основе этой идеи разработал первое устройство для их прогнозирования
