А вот тут авторы разбирают случай, когда использование приватного кэша на сайте привело к серьезной уязвимости.

С помощью этой уязвимости злоумышленники могут получить доступ к аккаунтам пользователей. Кэш, сохраненный на компьютере пользователя, может быть использован для подделки запросов, что может привести к выполнению злоумышленником различных действий на сайте от имени жертвы.

Авторы приводят детальное описание технических аспектов уязвимости и предлагают несколько способов ее решения. Также они дают рекомендации по использованию приватного кэша веб-приложениями, чтобы избежать подобных проблем в будущем.

В целом, статья предоставляет хороший пентест-кейс и может быть полезна разработчикам, которые занимаются созданием веб-приложений и заботятся о безопасности пользователей.

https://research.securitum.com/how-private-cache-can-lead-to-mass-account-takeover-pentest-case/

Умер Кевин Митник. 59 лет.

https://www.nytimes.com/2023/07/20/technology/kevin-mitnick-dead-hacker.html

Кстати, Wireshark 25 лет исполнилось 🎂

Один день из жизни специалиста технической поддержки
https://habr.com/ru/companies/pt/articles/751680/

Известный факт: арт-нейросети не умеют в нормальный текст. Не будем брать во внимание выдаваемые ими фразы типа LIS LLSS у kandinsky, по которой он выдает рыжую девочку с новой фразой (я серьезно. они выдаются бесконечно и ведут в какую-то криповую кроличью нору. Попробуй).
22 августа 23 года была анонсирован ideogram, который должен внести крупный вклад в текущие "рисовалки" типа midjourney и помочь в добавлении креативности.
Нужен красиво оформленный логотип с текстом? Вот несколько вариантов!
Нужен просто логотип по твоей тематике с буквами в составе? Не вопрос!

Пока это бесплатно, можно тестить вот тут ideogram.ai

Чтиво на вечер.
https://n0a.pw/telegram-get-remote-ip/

"Рассказываю о том, как мне удалось определить IP адрес своего собеседника в Telegram при помощи аудио вызова в мессенджере. Плюс написал bash-скрипт для автоматизации."

“Сравниваем адреса с нашим публичным адресом и получаем IP адрес удаленного клиента (по пути сравнивая IP на принадлежность к AS Telegram). Бонусом скрипт делает запрос для получения информации об IP адресе, так как не обязательно IP клиента будет принадлежать сотовому оператору. Это может быть и корпоративная сетка тоже.”

Приколитесь: немцы снифали и расшифровывали зашифрованный трафик на серверах jabber.ru в датацентре Hetzner.

Выпустили отдельный SSL сертификат и проксировали коннекты к TCP:5222. Ого! Вскрылось случайно из-за ошибки их админов. Если бы не эта ошибка, скорее всего, так никто бы и не заметил.

Скорее всего это правительственная атака и хостеров просто обязали накручивать эти редиректы. Интересно сколько таких джаббер серверов прослушивается в данный момент. Ведь кулхацкеры скамеры чаще всего используют именно джаббер. Еще один эпизод оправдывающий параною красноглазых криптоманьяков.

Мораль:

1. Проверяйте фингерпринты сертификатов даже если лень.

2. Безопаснее E2E шифрования ничего не придумали, но и там всем лень проверять отпечатки ключей.

Лично мне больше все нравится подход Телеграм с 4 эмоджи в качестве отпечатка ключа, это не сложно сверить при звонке.

Пост на HN: https://news.ycombinator.com/item?id=37955264

Само расследование https://notes.valdikss.org.ru/jabber.ru-mitm/

10x Your AppSec Program with this One Simple Trick

https://securing.dev/posts/10x-your-appsec-program/

Улучшенная защита Google Play от сканирования установленных приложений в режиме реального времени.

http://security.googleblog.com/2023/10/enhanced-google-play-protect-real-time.html