🐍 Python: Мгновенный веб-сервер для передачи файлов

Ситуация: Нужно срочно скачать файл с вашего компьютера на телефон или другой ноутбук в той же Wi-Fi сети. Настраивать Samba/FTP/Nginx долго. Флешку искать лень.

Если у вас установлен Python (а он есть почти везде), у вас уже есть веб-сервер.

Запуск (в папке с файлами):

# Python 3
python3 -m http.server 8000

Теперь с любого устройства в сети заходите на http://IP-ВАШЕГО-ПК:8000. Вы увидите список файлов папки. Кликаем — качаем.

Чтобы остановить: `Ctrl+C` . Просто, гениально и работает везде (Linux, Windows, macOS).

#python #network #lifehack #webserver #cli #sharing

🌐 Network: Полная трассировка DNS (dig +trace)

Сайт не открывается. Вы пингуете — IP нет. nslookup говорит "Server failed".
Проблема у вас? У провайдера? Или у регистратора домена?

Используйте dig с флагом трассировки. Она покажет весь путь запроса: от корневых серверов интернета до конечной записи.

Команда:

dig +trace google.com

Как читать вывод:
1. Сначала ответят корневые сервера (.).
2. Потом сервера зоны TLD (.com).
3. Потом NS-сервера компании (ns1.google.com).

На каком этапе получите тайм-аут — там и проблема. Если nslookup просто говорит "ошибка", то dig +trace показывает кто именно виноват.

#network #dns #dig #troubleshooting #cli #internet

🧠 Network: Тест сайта без правки hosts (curl --resolve)

Ситуация: Вы переносите корпоративный портал на новый сервер (IP 10.0.0.5 ). Вам нужно проверить, как он отвечает, до того, как вы переключите DNS для всех пользователей.

Боль: Править файл hosts , сбрасывать кэш браузера, потом не забыть удалить запись... Долго и грязно. 😖

Решение Архитектора: Используйте curl с подменой IP на лету.

Команда:

# Запросить domain.com, но стучаться принудительно на 10.0.0.5
curl -v --resolve domain.com:443:10.0.0.5 https://domain.com

В чем магия: Вы увидите, валиден ли SSL-сертификат именно на новом сервере и какие заголовки он отдает. Файл hosts трогать не нужно! Чисто, быстро, профессионально.

#network #curl #dns #migration #testing #web #hacks

🏎️ Curl: Почему сайт тормозит? (Разбор на атомы)

Пользователь жалуется: "Сайт открывается полчаса".
Вы пингуете — пинг ок. Где затык? DNS тупит? Канал забит? Или Бэкенд (PHP/Python) долго думает?

Чтобы не гадать, используйте curl с форматированием. Он покажет тайминги каждого этапа.

Команда (сохрани в алиасы!):

curl -w "\nDNS: %{time_namelookup}s\nTCP: %{time_connect}s\nSSL: %{time_appconnect}s\nTTFB: %{time_starttransfer}s\nTotal: %{time_total}s\n" -o /dev/null -s https://google.com

Как читать диагностику:

* DNS: Высокое? 👉 Виноват провайдер или ваш DNS-сервер.

* TCP: Высокое? 👉 Проблемы с маршрутизацией или каналом.

* TTFB (Time To First Byte): Высокое? 👉 Сервер получил запрос, но долго генерировал ответ (БД, код). Сеть не виновата!

Total: Общее время.

Это лучший способ доказать разработчикам, что проблема на их стороне (или убедиться, что на вашей).

#network #curl #troubleshooting #performance #web #latency #tips

📡 Network: mtr — Пинг и Трассировка в одном флаконе

ping показывает только доступность конечной точки. traceroute показывает маршрут, но только один раз. Админу нужно видеть динамику: на каком именно узле провайдера теряются пакеты прямо сейчас?

Используйте mtr (My Traceroute).

Это интерактивная утилита, которая постоянно обновляет статистику по каждому хопу (узлу) маршрута.

Установка и запуск:

# Linux
sudo apt install mtr
mtr google.com

# Windows (Есть аналог WinMTR, но лучше через WSL)
sudo mtr 8.8.8.8

Что искать: Смотрите на колонку Loss%.

* Если потери начинаются на 3-м узле и идут до конца — виноват этот узел.

* Если потери только на одном узле, а дальше всё чисто — это просто защита от DDOS на роутере, можно игнорировать.

#network #tools #mtr #troubleshooting #latency #packetloss

⏳ Network: Когда обновится этот чертов домен? (TTL)

Вы сменили IP-адрес сервера в DNS. Клиенты жалуются, что видят старый сайт. Вы говорите: "Ждите обновления кэша". Но сколько ждать? Час? Сутки?

Смотрите на TTL (Time To Live). Это число, которое показывает, сколько секунд запись будет жить в кэше резолвера.

Команда:

dig google.com

Смотрим в ответ (ANSWER SECTION):

google.com.   185   IN   A   142.250.185.78

Вот это число 185 — это секунды. Запустите команду еще раз через 10 секунд — число станет 175. Как только оно дойдет до 0, резолвер пойдет спрашивать авторитетный DNS-сервер и получит ваш новый IP.

Вывод: Перед переездом всегда заранее снижайте TTL до 60 секунд (за сутки до работ), чтобы переключение прошло мгновенно.

#network #dns #ttl #dig #migration #theory #troubleshooting

🤝 Network: TCP 3-Way Handshake (База)

Мы говорим "установил соединение". А что происходит под капотом? Любое TCP-соединение (SSH, HTTP, RDP) начинается с Тройного рукопожатия. Если вы не понимаете этот процесс, вы не сможете траблшутить фаерволы.

Три шага:

1. SYN (Synchronize): Клиент шлет пакет серверу. "Привет, хочу поговорить. Мой номер очереди 100."
* Если здесь потеря — сервер недоступен или порт закрыт.

2. SYN-ACK (Synchronize-Acknowledge): Сервер отвечает. "Привет, слышу тебя (ACK 101). Давай говорить, мой номер 500 (SYN)."
* Если здесь потеря — сервер перегружен или блокирует обратный трафик.

3. ACK (Acknowledge): Клиент подтверждает. "Ок, твой номер 500 принял (ACK 501). Погнали передавать данные!"

Почему это важно: DDoS атака SYN Flood работает именно здесь: атакующий шлет миллионы SYN , сервер ждет, отвечает SYN-ACK , но ACK в ответ не получает. Память сервера забивается "полуоткрытыми" соединениями, и он умирает.

#network #tcp #theory #handshake #security #interview #basics

📶 Модель OSI: "Please Do Not Throw Sausage Pizza Away"

Когда сеть не работает, Джун говорит: "Интернет сломался". Сеньор говорит: "Проблема на L1 (физика) или L3 (маршрутизация)?".

Чтобы траблшутить как Бог, нужно думать слоями модели OSI.

Шпаргалка траблшутинга:

1. L1 Physical (Физический): Кабель включен? Линк горит? SFP-модуль сдох?

2. L2 Data Link (Канальный): MAC-адреса видны? VLAN настроен верно? STP не заблокировал порт?

3. L3 Network (Сети): IP-адрес есть? Пинг идет? Шлюз доступен? Маршруты прописаны?

4. L4 Transport (Транспортный): Порт открыт? Файрвол блокирует TCP/UDP?

5. L7 Application (Приложение): Nginx отдает 502? Сертификат протух?

Запомните: Всегда начинайте диагностику снизу вверх (от кабеля к софту). 90% проблем — это L1 (отошел патч-корд) или L3 (кривой IP).

#network #osi #theory #troubleshooting #basics #education #cisco

🚚 MTU: Почему "большие" пакеты застревают?

Вы настроили VPN (WireGuard/OpenVPN), пинг идет, а сайты не открываются или RDP зависает. В 90% случаев виноват MTU (Maximum Transmission Unit).

Представьте, что сеть — это труба диаметром 1500 мм (байт). Это стандарт Ethernet. VPN добавляет свои заголовки, и полезная нагрузка становится 1420 байт. Если сервер пытается пропихнуть вам пакет размером 1500 байт через эту VPN-трубу, происходит одно из двух:

1. Фрагментация: Роутер рубит пакет на два куска (нагрузка на CPU, тормоза).

2. Drop: Если на пакете стоит флаг DF (Don't Fragment), роутер просто уничтожает его. Связь рвется.

Как найти идеальный размер (Ping Test): В Windows используем флаг -f (не фрагментировать) и -l (размер):

ping google.com -f -l 1472

(1472 + 28 байт заголовков = 1500. Если проходит — ок. Если "Packet needs to be fragmented" — уменьшайте число, пока не пройдет).

#network #mtu #vpn #troubleshooting #theory #fragmentation #ping

📡 DHCP: Принцип DORA. Почему нет интернета?

Когда пользователь подключает кабель, происходит магия получения IP-адреса. Если магия не сработала, Windows пишет "Unidentified Network" (APIPA 169.254.x.x).

Чтобы чинить, нужно знать 4 шага процесса DORA:

D — Discover (Поиск): Клиент кричит на всю сеть (Broadcast): "Есть тут кто живой? Дайте IP!".

Ошибка здесь: Если VLAN настроен криво или нет DHCP Relay, крик никто не услышит.

O — Offer (Предложение): Сервер слышит и отвечает: "Я тут (10.0.0.1)! Могу дать тебе 10.0.0.50".

R — Request (Запрос): Клиент соглашается: "Ок, беру 10.0.0.50, подтверди!".

A — Acknowledge (Подтверждение): Сервер записывает клиента в базу и дает добро: "Забирай. Вот тебе еще шлюз и DNS".

Траблшутинг: Включите Wireshark и фильтр bootp.

Видите только Discover? 👉 Проблема с сетью (DHCP Relay / VLAN) или сервер лежит.

Видите Offer, но нет Request? 👉 Клиенту не нравится предложение (возможно, конфликт IP).

#network #dhcp #dora #theory #troubleshooting #basics #wireshark

🕸️ CIDR: Магия слеша (/24, /32)

В конфигах сети мы пишем 192.168.1.0/24 . Но новички часто путаются: "А /30 — это больше адресов или меньше?".

Главное правило: Чем больше цифра после слеша, тем меньше сеть. Представьте пирог. Слэш — это на сколько кусков мы его режем.

Шпаргалка для Админа:

* /32 = 1 IP (Только сам хост). Используется для жесткой привязки в фаерволах.

* /30 = 2 IP (Всего 4, но 2 служебных). Идеально для линка "точка-точка" между роутерами.

* /29 = 6 IP. Обычно столько выдает провайдер на офис.

* /24 = 254 IP. Стандартная локалка (маска 255.255.255.0).

* /16 = 65 534 IP. Огромная сеть (маска 255.255.0.0).

Сохраните. Когда нужно будет нарезать VLAN-ы, спасет от перекрытия адресов.

#network #cidr #subnetting #ip #theory #basics #cheatsheet

🔦 SFP модули: Что значат цвета защелок?

Вы стоите в серверной с пучком оптики. У вас есть модуль с синей защелкой и модуль с черной. Если воткнуть не тот кабель — линк не поднимется (или сгорит приемник).

Шпаргалка по цветовой маркировке SFP (1G/10G), которая спасет вам нервы.

1. ⚫ Черная / Бежевая (SX / SR):
Тип: Multi-Mode (Многомод).
Длина волны: 850 нм.
Дистанция: Короткая (до 300-550 м).
Применение: Внутри стойки или серверной. Дешево.

2. 🔵 Синяя (LX / LR):
Тип: Single-Mode (Одномод).
Длина волны: 1310 нм.
Дистанция: Длинная (до 10 км).
Применение: Между зданиями или этажами.

3. 🟡 Желтая / 🟣 Фиолетовая (ZX / ER):
Тип: Single-Mode.
Дистанция: Сверхдальняя (40-80 км).

Золотое правило: Черная защелка + Оранжевый патч-корд (OM2/OM3). Синяя защелка + Желтый патч-корд (OS2). Не смешивайте их!

#network #hardware #sfp #fiber #datacenter #layer1 #cheatsheet

📦 TCP vs UDP: Почему VoIP и игры выбирают ненадежность?

Джуниор спрашивает: "TCP гарантирует доставку, а UDP теряет пакеты. Почему мы вообще используем UDP для звонков и YouTube?"

Ответ в Заголовках (Overhead).

1. TCP (Тяжеловес):
* Заголовок 20-60 байт.
* Рукопожатие, подтверждение каждого пакета (ACK), контроль порядка, повторная отправка.
* Результат: Если пакет потерялся, видео "замрет" и будет ждать его. Вы увидите лаг.

2. UDP (Спринтер):
* Заголовок всего 8 байт.
* Отправил и забыл. Никаких проверок.
* Результат: Если пакет с куском голоса потерялся — вы услышите микро-щелчок, но разговор продолжится в реальном времени.

Суть: В разговоре лучше пропустить букву, чем замолчать на 2 секунды, вспоминая её. Поэтому SIP, RTP и стриминг — это всегда UDP. Не блокируйте его на фаерволах!

#network #tcp #udp #protocols #theory #voip #streaming #basics

📶 CMD: Твой Wi-Fi врет тебе (netsh)

Значок Wi-Fi в трее показывает "3 палочки". Но интернет тормозит. Почему? Потому что "палочки" — это маркетинг. Они не показывают ни уровень шума, ни реальную скорость линка.

Посмотрите правде в глаза через консоль.

Команда:

netsh wlan show interfaces

Куда смотреть в выводе:
1. Signal: Точное значение в % (например, 80%).
2. Radio type: Вы сидите на старом 802.11n или современном 802.11ax?
3. Receive/Transmit Rate: Реальная скорость канала в Мбит/с. Если там "54 Mbps", то гигабитный интернет вам не поможет.

Лайфхак: Запустите это в цикле, ходя по офису с ноутбуком, чтобы найти "мертвые зоны", где сигнал падает ниже 60%.

#windows #wifi #cmd #troubleshooting #network #netsh #wireless

🌐 Networking: MTU и «загадочные» проблемы с загрузкой сайтов

Бывает так: пинг идет, SSH работает, но как только вы пытаетесь открыть тяжелый сайт или передать файл — соединение обрывается. В 99% случаев это проблема MTU (Maximum Transmission Unit). Пакет слишком велик для какого-то узла в цепочке, а ICMP-сообщения о фрагментации заблокированы (PMTUD failure).

Как найти идеальный MTU вручную: Используйте пинг с запретом фрагментации (-f в Windows, -M do в Linux):

Windows:

ping google.com -f -l 1472 Linux: ping google.com -M do -s 1472

Если пишет «Требуется фрагментация», уменьшайте число 1472 на 10, пока пинг не пройдет. К полученному числу прибавьте 28 байт (заголовки IP/ICMP) — это и будет ваш идеальный MTU.

#networking #tcpip #mtu #ping #troubleshooting #network

🚀 Networking: Забытый протокол BFD — детекция падения линка за миллисекунды

Стандартные таймеры в протоколах маршрутизации (OSPF, BGP) довольно медленные. Если упадет промежуточный коммутатор, ваш роутер может ждать до 30-90 секунд, прежде чем поймет, что связи нет, и переключит трафик на резерв.

Решение: BFD (Bidirectional Forwarding Detection). Это легкий протокол, который работает в паре с OSPF/BGP и проверяет связность каждые 50-100 миллисекунд.

Пример настройки (Cisco/Quagga стиль):

interface GigabitEthernet0/1 bfd interval 100 min_rx 100 multiplier 3

Теперь, если линк моргнет, переключение на бэкап произойдет быстрее, чем пользователь успеет заметить лаг в Zoom.

#networking #bfd #cisco #bgp #highavailability #ospf #network

🧠 Skills: Zyxel GS1900 — 996 скомпрометированных коммутаторов. Коммутатор доступа — тоже сервер.

Коллеги, неуправляемые и «умные» коммутаторы — самый забытый класс устройств в инвентаризации. Их не обновляют годами, потому что «они просто работают».

ФАКТЫ:
CVE-2026-7273, CVSS 8.8, stack-based buffer overflow
Атакующий без аутентификации, находящийся в той же сети, отправляет специальный HTTP-запрос на веб-интерфейс и выполняет команды ОС.
Модели: GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48, -48HPv2
Уязвимы прошивки 2.90(xxxx.1)C0 и старше, исправлено в 2.90(xxxx.2)C0
Эксплуатация с 17 августа 2026: 996 коммутаторов в 48 странах
После взлома атакующие скачивают по TFTP скрипты-сборщики конфигураций и учётных данных
CISA KEV: с 21 сентября

ИНТЕРПРЕТАЦИЯ (моя):
996 устройств в 48 странах при «LAN-based» векторе означают одно из двух: либо веб-интерфейс торчит в интернет, либо атакующий уже был внутри и использовал коммутатор для закрепления. Оба варианта — про гигиену management plane, а не про Zyxel.
Скомпрометированный коммутатор — идеальная точка: он видит весь трафик сегмента, EDR на нём не стоит, в SIEM он почти никогда не логирует.

bash
# Найти GS1900 в management-подсети
nmap -p 80,443 --open --script http-title 10.0.0.0/24 | grep -B4 -i "GS1900"

# TFTP-трафик от коммутаторов (на шлюзе или зеркале порта)
tcpdump -ni any 'udp port 69'

# Проверка из внешнего сегмента: веб-интерфейс коммутаторов не должен отвечать
nmap -p 80,443 -Pn <IP_коммутатора>

MANAGEMENT PLANE — МИНИМУМ:
□ Управление коммутаторами — только из выделенного VLAN, ACL на самом коммутаторе
□ Веб-интерфейс выключен там, где хватает SSH/CLI
□ Исходящий трафик от коммутаторов запрещён, кроме NTP, syslog и сервера обновлений. TFTP наружу — однозначно нет
□ Syslog с коммутаторов → в SIEM
□ Коммутаторы — в реестре прошивок наравне с серверами

Итог: если в инвентаризации нет колонки «версия прошивки» для коммутаторов, значит там есть устройства, которые никто не обновлял с момента установки.

#skills #zyxel #network #switch #cve #kev #sysadmin #admin_future

🔎 Cisco SD-WAN CVE-2026-76504: замена буквы на %6a даёт права админа. Как несогласованная URL-нормализация ломает аутентификацию

Коллеги, детальный разбор классической архитектурной ошибки, которая с завидной регулярностью всплывает в веб-интерфейсах сетевых appliance и контроллеров управления.

📌 ФАКТЫ
Уязвимость: CVE-2026-76504, наивысший CVSS 9.8 (Critical), затрагивает API Cisco Catalyst SD-WAN Manager (ранее vManage).

Механика обхода (Improper URL Handling): security-прокси проверяет путь запроса до декодирования URL, а само Java-приложение за ним парсит путь уже после декодирования.

Запрос к POST /%6a_security_check (%6a — hex-код символа j) пролетает мимо фильтра безопасности, попадает в бэкенд как /j_security_check и приводит к мгновенной аутентификации в системе с привилегиями admin / netadmin.

Условия эксплуатации: удаленно, без учетных данных. Cisco зафиксировала реальные атаки «в дикой природе» при расследовании тикета в TAC в сентябре.

Workaround отсутствует. Дыра уже в каталоге CISA KEV (дедлайн на закрытие истек 3 октября).

Контекст: это уже четвертая критическая брешь в SD-WAN Manager за 2026 год (после CVE-2026-20182, 20245, 20262). Предыдущие патчи эту дыру не закрывают.

📦 МАТРИЦА ИСПРАВЛЕНИЙ
Plaintext

Ветка       Исправленный релиз      Ветка       Исправленный релиз
──────────────────────────────────────────────────────────────────
20.9        20.9.10.1               20.18       20.18.4.1
20.12       20.12.8.2               26.1        26.1.2.1
20.15       20.15.6.1               26.2        26.2.1
──────────────────────────────────────────────────────────────────
Ветки < 20.9 — официальный EOL (только плановая миграция на 20.9+)

🛠 ФОРЕНЗИКА И ПРОВЕРКА ЛОГОВ (на ноде vManage)
Bash

# 1. Поиск URL-encoded паттернов в логах реверс-прокси
grep -E 'POST /%[0-9a-fA-F]{2}_security_check' \
  /var/log/nms/containers/service-proxy/serviceproxy-access.log*

# 2. Аудит вызовов j_security_check и аномалий под служебными учетками viptela-reserved-*
grep -E 'j_security_check|viptela-reserved-' /var/log/nms/vmanage-server.log* | tail -100

Быстрый аудит любого веб-сервиса на расхождение в парсинге URL:

Bash

# Сравниваем HTTP-коды ответа на прямой и URL-encoded запросы
curl -sk -o /dev/null -w 'Декодированный путь: %{http_code}\n' https://<host>/j_security_check
curl -sk -o /dev/null -w 'Экранированный путь (%6a): %{http_code}\n' https://<host>/%6a_security_check

💡 В ЧЁМ СУТЬ

Корень проблемы — CWE-177 (URL Parsing/Discrepancy). Это фундаментальная проблема многослойных архитектур: когда фронтенд-фильтр (WAF, Envoy, Nginx, внутренний контейнер-прокси) и целевой бэкенд (Spring/Tomcat) нормализуют URL по разным стандартам.

Золотое правило: валидатор прав и обработчик бизнес-логики обязаны работать с одинаково канонизированным представлением строки запроса.

Четыре критических обхода авторизации подряд на одном продукте за год — четкий сигнал: консоль управления SD-WAN Manager нельзя считать доверенной по умолчанию, даже если на нее накачены прошлые обновления.

🛡 ЧЕКЛИСТ ДЕЙСТВИЙ
Экстренный накат патча: обновиться до актуального таргетированного билда (прошлые заплатки бессильны против %6a).

Периметральная изоляция: порты TCP/443 (Web/API), TCP/22 (SSH) и TCP/830 (NETCONF) контроллеров vManage должны быть полностью отрезаны от публичного интернета. Доступ — строго через VPN / выделенный OOB Jump-хост.

Глубокий аудит логов: просканировать логи serviceproxy-access за сентябрь на наличие шестнадцатеричных последовательностей %XX_security_check.

Реакция на инцидент: при обнаружении совпадений снять диагностический бандл request admin-tech и немедленно эскалировать кейс в Cisco TAC.

#skills #cisco #sdwan #network #security #authbypass #cve #kev #sysadmin #admin_future

🌐 Сайты Canonical под затяжной DDoS-атакой. Ваши обновления не должны зависеть от чужого аптайма

Коллеги, поучительная инфраструктурная история, которая регулярно повторяется с любым крупным апстримом.

📌 ФАКТЫ
Атака на апстрим: 8 октября Canonical официально сообщила о «sustained DDoS» на свои публичные веб-ресурсы и предупредила о нестабильности и периодической недоступности инфраструктуры.

Что затронуто: по данным профильных изданий (Phoronix), лежали основной портал Ubuntu и прямая загрузка установочных ISO-образов. Полный перечень задетых сервисов компания не раскрывает.

Мониторинг доступности: оперативный статус отслеживается на status.canonical.com.

🛠 ЛОКАЛЬНЫЙ КЭШ ПАКЕТОВ ЗА 10 МИНУТ
Разворачиваем прозрачный кэширующий прокси, чтобы не зависеть от внешних зеркал при каждой установке пакета:

Bash

# 1. Сервер кэша (Debian / Ubuntu) — поднимается одной командой
apt update && apt install apt-cacher-ng    # служба слушает порт TCP/3142

# 2. Настройка клиентских машин через конфиг APT:
echo 'Acquire::http::Proxy "http://apt-cache.lan:3142";' > /etc/apt/apt.conf.d/01proxy
apt update

Плюсы решения:

Любой пакет скачивается из интернета ровно один раз на весь офис или дата-центр.

Вся последующая раскатка по серверному парку идёт на скорости локальной сети (1–10 Гбит/с).

При падении апстрима или внешнего канала уже выкачанные версии пакетов остаются мгновенно доступны для переустановки и деплоя.

⚠️ ЧТО ЕЩЁ ОБЯЗАТЕЛЬНО ДЕРЖАТЬ НА СВОЕЙ ПОЛКЕ
Базовые ISO: проверенные дистрибутивы Linux (Debian, Ubuntu LTS, Alma/Rocky) и образы Windows Server со сверенными контрольными суммами (SHA256).

Платформы виртуализации: инсталляторы Proxmox VE, образы ESXi, вендорские драйверы RAID-контроллеров, HBA и сетевых карт, а также прошивки для IPMI/iLO/iDRAC.

Шаблоны: золотые образы ВМ (cloud-init / sysprep) и закэшированные базовые слои Docker-контейнеров во внутреннем реестре.

💡 В ЧЁМ СУТЬ

Аварийное восстановление упавшего сервера слишком часто начинается с оптимистичной фразы: «Сейчас по-быстрому скачаю свежий образ».

В день атаки на вендора, аварии на магистральном провайдере или внезапных сетевых ограничений этот сценарий мгновенно оборачивается часами простоя боевого сервиса. Локальный кэш пакетов и собственная локальная библиотека образов — простейшая и копеечная страховка вашего времени.

#linux #ubuntu #apt #mirror #ddos #disasterrecovery #network #infrastructure #sysadmin #admin_future

🖨 Принтер — самый недооценённый сервер в компании. В веб-сервере GoAhead, который стоит в сотнях миллионов устройств, нашли три TLS-уязвимости

Коллеги, в каждом офисе есть сервер, который никто не обновлял с момента покупки. Обычно он ещё и печатает.

📌 ФАКТЫ (FoxIO, 27 октября)
GoAhead — ультракомпактный встраиваемый веб-сервер, зашитый в прошивки сотен миллионов устройств: сетевые принтеры и МФУ (HP, Canon, Brother, Ricoh), SOHO-маршрутизаторы, IP-АТС, камеры и промышленные контроллеры (PLC/SCADA)

CVE-2026-115881 (CVSS 9.1) — критический обход авторизации: встроенный обработчик mTLS принимает отозванные клиентские сертификаты из-за некорректной валидации списков отзыва (CRL/OCSP) в связке с OpenSSL (сборки от 3.4.5 до 6.1.0)

CVE-2026-115884 (CVSS 7.4) — обход проверки глубины цепочки доверия X.509 при сборке софта с отдельными версиями LibreSSL

Вектор без CVE (CVSS 5.9) — использование статических слабых параметров Диффи — Хеллмана (DH-группы 1024 бит и ниже) при согласовании шифров в TLS 1.2 со стеком Mbed TLS

Уязвимости устранены апстримом в GoAhead 6.1.1, но конечному оборудованию это не поможет, пока каждый конкретный вендор не пересоберёт и не выкатит собственную прошивку

По умолчанию mTLS отключён, поэтому уязвимость в первую очередь бьёт по enterprise-окружениям, где доступ к панели МФУ закрывали сертификатами

🛠 ПОИСК И ДЕТЕКТ GOAHEAD В ПОДСЕТЯХ
Bash

# 1. Быстрое сканирование подсети принтеров и IoT через nmap
nmap -p 80,443,8080,8443 -sV --script http-server-header 10.0.0.0/24 | \
  grep -B6 -iE 'goahead|goahead-webs'

# 2. Точечный баннер-граббинг подозрительного хоста
curl -skI https://10.0.0.50/ | grep -i '^server:'

# 3. Поиск устройств с включённой mutual TLS (mTLS) аутентификацией
echo | openssl s_client -connect 10.0.0.50:443 2>&1 | grep -i 'Acceptable client certificate CA names'

😅 ЖИЗНЕННОЕ
«Да кто будет взламывать МФУ на ресепшене, это же просто печать накладных!» — сетевой стек с правами root, паролем admin / 1234 и прошивкой от 2017 года в одном широковещательном домене с контроллером Active Directory.

«Патч выйдет в следующем квартале» — для моделей принтеров старше трёх лет следующий квартал обычно наступает никогда (End of Support).

💡 В ЧЁМ СУТЬ

Встраиваемый веб-интерфейс принтера — полноценная точка входа для закрепления в периметре и атак типа Man-in-the-Middle. Полагаться на вендорские обновления прошивок сетевой периферии бессмысленно: жизненный цикл прошивок у большинства производителей исчисляется парой лет.

Единственный рабочий рубеж обороны — сетевая изоляция:

Все МФУ, IP-телефоны и IoT выносятся в отдельный изолированный Printer/IoT VLAN.

Пользовательским рабочим станциям разрешается доступ только на порт печати (RAW 9100 / LPR 515 / IPP 631).

Доступ к HTTP/HTTPS веб-мордам администрирования принтеров — строго из доверенного Admin VLAN / подсети управления.

#security #iot #printers #network #юмор #sysadmin #admin_future