infosec
63.1K subscribers
2.79K photos
167 videos
87 files
2.5K links
Copyright: @SEAdm1n

Вакансии: @infosec_work

Информационная безопасность. Литература для ИТ специалистов. Пентест, DevOps, Администрирование.

Приобрести рекламное размещение: https://telega.in/c/it_secur

РКН: https://vk.cc/cN3VCI
Download Telegram
• Забавная и интересная история от программиста Предрага Груевского: много лет назад, будучи студентом, он приехал на каникулы к родителям. Отец пожаловался, что с домашним интернетом происходят странные вещи: большую часть времени потери пакетов достигали 98%, но стоило пойти дождю, как Wi-Fi начинал работать стабильно.

• Ранее отец программиста настроил Wi-Fi-мост с направленными антеннами между домом и своим офисом, находившимся в двух кварталах (но в прямой видимости). Так он обеспечивал семью высокоскоростным корпоративным интернетом.

• Система проработала безупречно почти десять лет, пока на соседнем участке не выросло большое дерево с раскидистыми ветвями. Когда дерево стало достаточно высоким, оно начало блокировать радиосигнал.

• Однако во время дождя капли тянули вниз ветки и листву, и сигнал снова проходил беспрепятственно. Нет, Груевский не вырубил дерево, но поменял антенны, поддерживающие стандарт 802.11g, на 802.11n. Технология формирования луча (beamforming), в том числе позволила фокусировать Wi-Fi-сигнал в нужном направлении, и связь стала стабильной.

• Кстати, читатели, которые обсуждали эту историю, нашли интересным тот факт, что инженер первым делом не проверил возможное наличие препятствий на пути сигнала, учтивая, что в его сети имелся LOS-компонент. Впрочем, как часто бывает, очевидное решение приходит в голову последним. Также участники обсуждения поделились похожими "магическими" историями. Один из комментаторов рассказал, как связь между офисом его компании и ретрансляционной вышкой каждую ночь прерывалась ровно на десять минут. Причиной неполадки были новые натриевые газоразрядные лампы наружного освещения - во время включения они генерировали радиочастотные помехи в диапазоне 5 ГГц. Проблему решили заменой освещения на менее "шумное". Такая вот история...

➡️ https://predr.ag/blog/wifi

#Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
👍7822❤16🔥9🥱1
• Сам постоянно публикую вакансии на отдельном канале и знаю, как это работает с разных сторон. В Сетке (соцсеть для нетворкинга от hh) заметил интересную штуку - там вакансии выкладывают реальные люди, которым можно написать прямо там напрямую или посмотреть, как он общается в комментах. Сразу понятно, сходится ли вайб потенциальной команды. Плюс можно словить интересные позиции раньше, чем они размажутся по всем агрегаторам.

• Например, мне попалась вакансия от Яндекса, где ищут DL-разработчика в команду качества генеративных ответов Поиска с Алисой. Вот образец нормального описания работы, где сразу понятно, что надо делать. Ну а если не совсем понятно, то можно сразу задать интересующие вопросы, а не ждать, пока цепочка рекрутеров согласует ответ шаблонными фразами из HR-отдела…

#Разное
👍17🔥7❤5😁55👎3
👾 В кэше — фотка, в ней payload.

• Автор этого материала обнаружил необычную фишинговую страницу, которая комбинирует социальную инженерию и коварный payload под видом обычной JPEG картинки, убеждая пользователя самостоятельно выполнить вредоносный код.

• В типичных сценариях атакующие пытаются заставить жертву скачать исполняемый файл из сети - но тут всё хитрее. Страница прячет в кэше браузера вредоносный файл, замаскированный под изображение, а затем просит жертву выполнить «безобидную» команду, которая извлекает payload из кэша. В результате получаем локальный запуск кода, который не фиксируется средствами сетевого мониторинга.

• По сути, атака умело сочетает две техники: принуждение к локальному исполнению ClickFix / FileFix и контрабанду кэша Cache Smuggling. В статье подробно разобраны все из этих приемов и показаны, как можно сделать доставку полезной нагрузки еще более незаметной.

➡️ Источник.
➡️ Перевод статьи на RU [9 min].

‼ Учитывайте, что данный материал имеет ознакомительный характер и предназначен для специалистов по безопасности.

#ИБ #Фишинг #СИ
Please open Telegram to view this post
VIEW IN TELEGRAM
618👍14🔥8❤3
• Нашел очень крутую и бесплатную платформу с интерактивными заданиями, которые помогут получить практический опыт в работе с Linux, k8s, docker, git, terraform и д.р. Единственный нюанс - материал на английском языке. Так что если у вас с этим сложности, то воспользуйтесь ИИ.

➡️ Забираем отсюда: https://kodekloud.com/studio/labs

• Ну и не забывайте про labex - это аналогичная платформа, только с другими заданиями. Здесь уже можно найти материал на русском языке. И еще там есть ИИ помощник, если возникнут трудности с выполнением заданий.

➡️ https://labex.io/ru

#Linux #DevOps #ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
12🔥24👍8❤74
• Ровно 62 года назад, 18 ноября 1963 года, в истории телекоммуникаций произошло значимое событие – компания Bell Telephone представила миру новое устройство, которое изменило способ набора телефонных номеров: первый в мире кнопочный телефон (на фото).

• С течением времени такие устройства стали неотъемлемой частью нашей повседневной жизни. До появления кнопочных телефонов, большинство телефонов использовали вращающиеся диски для выбора цифр в номере. Данный процесс мог быть медленным и не всегда удобным, особенно в ситуациях, когда требовался быстрый набор номера. Bell Telephone решила усовершенствовать данный процесс и предложила более эффективное решение.

• Внедрение кнопочного телефона позволило абонентам намного быстрее и точнее набирать номера. Вместо вращения диска, пользователи могли просто нажимать на кнопки с цифрами от 0 до 9. Такой метод упростил процесс и сделал его более удобным. Кнопочные телефоны быстро обрели популярность. Стали стандартом для домашних и офисных телефонов и подготовили почву для более поздних инноваций, таких как сотовые телефоны! Так то...

#Разное
4👍48🔥18❤95👏1🎉1
• В Cloudflare раскрыли причину почти пятичасового глобального сбоя в работе своих сервисов. Оказалось, что это была ошибка в файле конфигурации системы защиты от ботов, который перед началом инцидента был обновлён инженерами Cloudflare в плановом порядке.

• После изменения конфигурации возникла скрытая ошибка в сервисе, лежащем в основе системы противодействия ботам, который начал давать сбои. В пресс-службе компании добавили, что сбой возник из-за того, что размер файла конфигурации превысил ожидаемый. Именно эта ситуация привела к сбою в работе ПО, обрабатывающего трафик ряда сервисов Cloudflare, а также к масштабному ухудшению работы клиентской сети и других сервисов компании.

• Технические детали под спойлером:

Сбой произошёл после изменения в структуре БД, размещённой в хранилище ClickHouse, после которого файл с параметрами для системы противодействия ботам в два раза увеличился в размере. В БД были образованы дублирующиеся таблицы, при том, что SQL-запрос для формирования файла просто выводил все данные из всех таблиц по ключу, без отсеивания дубликатов.

Созданный файл распространился по всем узлам кластера, обрабатывающего входные запросы. В обработчике, использующем данный файл для проверки на обращение от ботов, указанные в файле параметры сохранялись в оперативной памяти и для защиты от излишнего расхода памяти в коде был предусмотрен лимит на максимально допустимый размер файла. В обычных условиях фактический размер файла был значительно меньше выставленного ограничения, но после дублирования таблиц превысил лимит.

Проблема оказалась в том, что вместо корректной обработки превышения лимита и продолжения использования прошлой версии файла с информированием системы мониторинга о внештатной ситуации, в обработчике срабатывало аварийное завершение, которое блокировало дальнейший проброс трафика. Ошибка была вызвана использованием в коде на языке Rust метода unwrap() с типом Result.

Когда значение Result имеет состояние Ok, метод unwrap() возвращает связанный с этим состоянием объект, но если результат не является успешным - вызов приводит к аварийному завершению (вызывается макрос panic!), . Обычно unwrap() применяется в процессе отладки или при написании тестового кода и не рекомендован для использования в рабочих проектах.


• Инженеры добавили, что ситуация усложнялась тем, что файл конфигурации обновлялся каждые пять минут. Эта закономерность на какое-то время навела команду на мысль, что они, возможно, подверглись DDoS атаке. Как только инженеры поняли, что каждый узел начал создавать нерабочую версию, след привел к искажённому файлу управления ботами. В Cloudflare остановили распространение файла, отправили заведомо исправный файл, перезапустили основные прокси-сервисы, и трафик начал восстанавливаться.

• В Cloudflare описывают инцидент как самый серьёзный сбой с 2019 года...

#Новости
7021❤9👻94⚡3
⚙️ Mido - очень простой скрипт, который позволяет скачать образ Windows используя api Microsoft. Пригодится для ситуаций, когда образ системы нужен, а разбираться с регистрацией, поиском нужной загрузки и вот этим вот всем не хочется...

➡️ https://github.com/ElliotKillick/Mido

#Windows
Please open Telegram to view this post
VIEW IN TELEGRAM
👍56🔥13❤6👎63⚡1
This media is not supported in your browser
VIEW IN TELEGRAM
• И ведь так каждый раз...

#Юмор
😁174💯3532🤣17😢9❤1
• Сегодня 20 ноября 2025 года. Последняя версия Windows - Windows 11. Но вернемся на 40 лет назад - в 1985 год. Именно тогда и появилась Windows 1.0!

• Windows 1.0 даже не была операционной системой - она была простой графической оболочкой, целью которой являлось упрощение работу с DOS и периферийными устройствами.

• На старте запуск Windows 1.0 происходил с помощью файла WIN.COM, доступ к которому можно было получить с помощью командной строки MS-DOS. После этого следовал запуск самого настоящего рабочего стола, на котором отображались приложения, совместимые с файловым менеджером и другими нюансами графического интерфейса. Почти как сегодня, запущенные в оболочке приложения отмечались специальными значками в нижней части экрана. Более того, здесь даже присутствовал аналог современной «Панели управления», с помощью которой можно было настраивать те или иные нюансы работы Windows 1.0.

• К более-менее современному виду в визуальном плане "операционная система" Microsoft с графическим интерфейсом добралась только к релизу Windows 95. До этого момента ей еще пришлось пройти далеко не через пару версий, которые заняли не один год. Тем не менее отголоски MS-DOS тянулись за ней достаточно долго.

• Анонсированная Биллом Гейтсом, в Нью-Йорке, в 1983 году, но опубликованная только в 1985 году, Windows 1.0 была первой коммерчески успешной графической оболочкой для операционной системы MS-DOS от компании Microsoft. Windows 1.0 представляла собой графический интерфейс, который значительно упростил работу с компьютером для пользователей, привыкших к командной строке.

• ОС позволила юзерам запускать программы и оперировать файлами и папками с помощью мыши и оконного интерфейса. Это была переломная точка в истории операционных систем, так как графический интерфейс делал ПК более доступными и интуитивно понятными для широкой аудитории.

• В общем и целом, Windows 1.0 заложила основы для развития будущих версий операционной системы Windows. В дальнейшем компания Microsoft продолжила развивать Windows, добавляя новые функции и улучшая производительность, что сделало её одной из самых популярных операционных систем в мире.

#Разное
6👍35❤11🔥6❤‍🔥2💩2⚡1
• Нашел хороший репозиторий, в котором собрано большое кол-во материала для освоения DevOps: от основ Docker и k8s до более продвинутых инструментов. Кстати, там есть не только теория, но еще и практическая часть с необходимыми примерами, сценариями, скриптами, манифестами и т.д.

➡ https://github.com/Pradumnasaraf/DevOps

• P.S. У автора есть сайт, куда дублируется вся информация из GitHub. Соответственно там можете ознакомиться со всем материалом в более удобном форме: devops.pradumnasaraf.dev

• В качестве дополнения:

➡Roadmap в DevOps 2025 - очень объемный и актуальный roadmap для DevOps, который поможет понять, какие компетенции нужно приобрести в данной профессии. А еще статья содержит информацию о заработной плате, перспективах и грейдах.
➡PS-Commands - очень объемная шпаргалка по инструментам направления DevOps. Вся информация представлена на русском языке и есть возможность скачать заметку в формате книги для дальнейшего изучения.
➡Cheat-Sheet Collection - коллекция полезных шпаргалок для DevOps, ИБ и ИТ-специалистов.
➡devops-interview - репозиторий, который содержит в себе огромное кол-во вопросов и ответов для подготовки к собеседованию на должность DevOps и системных администраторов.
➡Easyoffer.ru - на этом сайте собрано более 1100 вопросов для подготовки к собеседованиям на позицию DevOps.

#DevOps
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍32🔥8❤6✍41
• Произошла классика: уволенный технический специалист признал факт саботажа против бывшего работодателя, который нанёс компании ущерб в размере $862 тысяч. История произошла еще в 2021 году, но приговор будет вынесен только в следующем году.

• 35-летний Максвелл Шульц из Огайо, который лишился доступа к корпоративным системам после увольнения, используя украденные учётные данные другого сотрудника запустил PowerShell-скрипт и сбросил около 2500 паролей в организации. В итоге тысячи сотрудников и подрядчиков по всей территории США временно лишились доступа к корпоративной сети.

• А еще Максвелл пытался удалить системные журналы, чтобы скрыть следы доступа. В некоторых случаях он смог стереть записи о своих действиях и очистить журнал событий PowerShell.

• Суммарно атака привела к ущербу более чем на $862 тысячи. Эта сумма включает простой в работе сотрудников, сбои в работе службы поддержки клиентов, а также затраты на расследование инцидента и восстановление инфраструктуры.

• Шульцу вынесут приговор 30 января 2026 года. Ему грозит до десяти лет лишения свободы и штраф до $250 тысяч.

➡️ https://www.justice.gov/

#Новости
Please open Telegram to view this post
VIEW IN TELEGRAM
2😁352011❤8🔥43👎2⚡1
• Со мной тут недавно поделились подборкой CLI-инструментов, которые якобы облегчают работу в терминале, и попросили рассказать про самые интересные из них. Так вот, если вы активно пользуетесь терминалом, то я не рекомендую пользоваться такими инструментами, а использовать всё стандартное, так как аналоги - зло! Я уже как-то рассказывал про инструменты для подсветки логов - тут всё аналогично! Когда зайдёте на рандомный сервак, работа в терминале будет проблематичной (мягко говоря). Лучше использовать всё стандартное, чтобы можно было всё делать на автомате, а не вспоминать, в чём же там отличия. Ну и ещё вам не нужно будет тратить время на настройку под себя.

• Кстати, в подборке увидел инструмент "thefuck" для автоматического исправления ошибок. Т.е. вы работаете в терминале, ввели неправильную команду, получили сообщение об ошибке, запустили тулзу - и она сама исправляет ошибку на своё усмотрение. Мб это круто в IDE, где будет ревью, но однозначно не в консоли, где может не быть никаких дополнительных проверок, а ошибка может стоить очень дорого...

#Tools #Разное #CLI
8💯32👍11🔥6❤2⚡1🤡1
• Исследователь безопасности Алекс Шапиро взломал API системы бронирования авиакомпании Avelo. В результате получилось узнать личные данные случайных пассажиров.

• Уязвимость выявили совершенно случайно - Алекс решил изменить собственный билет в Avelo Airlines и заметил, что сайт отправляет странный запрос к API. Он попробовал подставить в URL свой шестизначный код бронирования, и сервер выдал полные данные рейса. А затем он подставил чужой код, оставив свою сессию - и снова получил доступ. Оказалось, что система не проверяет ФИО пассажира и не ограничивает частоту запросов. Любой, у кого есть валидный cookie, мог перебором подставлять шестизначные коды.

• В итоге имеем то, что для получения данных нужен всего лишь шестизначный номер бронирования, состоящий из заглавных букв английского алфавита и цифр. Возможных значений всего 2 176 782 336, и их не так сложно перебрать брутфорсом.

• Если арендовать сервер с возможностью отправлять по 100 тыс. запросов в секунду, то все актуальные коды бронирования можно будет получить примерно за шесть часов. При этом аренда сервера с нужными параметрами будет стоить в пределах тысячи баксов.

• Единственная система защиты в API системы бронирования Avelo - ограничение на количество запросов в секунду. Блокировки подозрительных IP-адресов или капчи в системе не было. Исследователь написал скрипт на Python для генерации случайных шестизначных кодов бронирования и получил от сервера данные пассажиров, включая: ФИО, дату рождения, пол, номер телефона, почту, номер бронирования, рейс, место в самолете и платежные данные.

• Исследователь обнаружил уязвимость 15 октября 2025 года и сразу сообщил в поддержку Avelo. Спустя сутки с инженером связались, и попросили подробнее рассказать об ошибке и воспроизвести её. Почти через месяц, 13 ноября, разработчики отчитались об исправлении.

➡️ https://alexschapiro.com/blog/avelo-airline

#Новости
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
438🔥18👍1110❤53
• 16 ноября 1996 года Microsoft выпустила продукт для тех, кто хотел иметь компьютер прямо в кармане. И имя этому продукту было Windows CE.

• Ещё в 90-х годах прошлого века корпорация Microsoft занялась разработкой концепции ПО для портативных устройств. Проект развивался достаточно медленно, но спустя некоторое время разработчики ускорились.

• Сначала эта операционная система представляла собой облегчённую версию Windows 95 с ограниченными возможностями. Спустя несколько месяцев после выхода ОС появилось и несколько моделей гаджетов с ней. Разработчики планировали, что пользователям будет проще привыкнуть к форм-фактору портативного девайса с сенсорным экраном, если интерфейс будет привычным. Собственно, примерно так и получилось.

• Кроме того, ОС разрабатывали с прицелом на совместимость «старших» версий операционной системы. Поскольку в портативных устройствах того времени «железо» было слабым, то и ОС создавалась такая, чтобы нормально работать с минимальными характеристиками. В целом всё получилось, для ядра ОС было достаточно 32 Кб ОЗУ, а для системы с графическим интерфейсом - от 5 Мб и выше.

• Кстати, в отличие от Windows 95, Windows CE чаще всего переустановить было нельзя, она была зашита в носитель информации, доступа к компонентам ОС или всей системе не было. Для того чтобы распространить эту ОС, Microsoft привлекла к сотрудничеству большое количество партнёров, включая такие компании, как Casio, Compaq, HP, LG Electronics, а также NEC и Philips.

• С течением времени изначальная Windows CE переродилась в платформу для КПК под именем Pocket PC. Потом появился Windows Mobile, который, в свою очередь, разделился на Windows Mobile Professional - для коммуникаторов с сенсорным экраном и функцией мобильного телефона (платформа Pocket PC), Windows Mobile Classic - для карманных персональных компьютеров и Windows Mobile Standard - для смартфонов с функцией мобильного телефона, но без сенсорного экрана. А еще были Windows Automotive, Windows Phone и не только. Однако под всеми этими потребительскими названиями был один и тот же фундамент - ядро Windows CE.

• Со временем Microsoft и вовсе перестала афишировать бренд «CE» для массового пользователя, оставив его для разработчиков встраиваемых систем. А для обычных покупателей были придуманы более привлекательные маркетинговые названия.

• Последняя - восьмая - версия CE вышла в 2013 году под именем Windows Embedded Compact 2013. В 2016 году на волне успеха Windows 10 Microsoft отказалась от продолжения линейки, заменив ее Windows 10 IoT. Несмотря на завершение поддержки в 2023 году, Microsoft разрешила продажу лицензий аж до 2028 года. Такое невероятное долголетие - прямое следствие невероятной популярности платформы, на базе которой было создано и продолжает работать огромное количество систем по всему миру - банкоматы и терминалы, автомобильные навигаторы и медиасистемы, вывески, торговое и медицинское оборудование и многое-многое другое.
Но на самом деле CE жива и по сей день. Она продолжает тихо и исправно трудиться в фоне на тысячах «умных» устройств по всему миру, обеспечивая работу критически важных систем...

#Разное
6👍45🔥11❤8👏5❤‍🔥1
• Пост выходного дня и немного оффтопа: Разработчик, который ранее выкатил игру Герои Меча и Магии III для браузера, представил порт культовых шутеров Doom и Doom II прямо в Telegram. Вся эта магия работает не выходя из телеги, через бота, который работает на «любых современных» смартфонах.

Сделал свои порты двух классических частей Doom для telegram - TRUEDOOM (@truedoombot). Почему True? Потому что существует поделка от конторки под названием Axiom Game Labs, которая прогремела по новостям полгода назад. Порт работал криво, с кучей багов и ошибок. И создавала его якобы целая команда (уже смешно). Но самой главной целью конторки было собрать побольше народа, что бы позже запустить свой крипто-скам проект, что они удачно и сделали. Ну а я посчитал что мы действительно заслуживаем нормальный tg-порт игры, пошел немного дальше и сделал обе части. WebAssembly и немного магии.


• Особенности:

➡Две игры в одном приложении;
➡Мобильное управление, которое можно кастомизировать;
➡Поддержка полноэкранного режима;
➡В каждой игре доступны полные версии первых эпизодов.

➡️ @truedoombot

#Оффтоп #Разное
Please open Telegram to view this post
VIEW IN TELEGRAM
5🔥39👍10❤‍🔥3❤2
• Доброе утро...🫠

#Понедельник
Please open Telegram to view this post
VIEW IN TELEGRAM
8🤣146😢109❤‍🔥77❤3🌚2