#Юмор

• В 2005 году хитрые Японцы выпустили уникальное устройство - Sharp Zaurus SL-C1000. Это был настоящий карманный мини-ПК на Linux для тех, кто любит ковыряться «под капотом». Под его складывающейся крышкой прятался Intel XScale с частотой 416 МГц, 64 МБ RAM и 128 МБ флеш-памяти — достаточно, чтобы засунуть в него Qtopia, сетевые утилиты и собственные скрипты. Его отличительной особенностью была полноценная QWERTY-клавиатура в компактном корпусе с откидным и поворотным 3,7-дюймовым цветным сенсорным экраном с разрешением 640×480. Вы могли использовать Zaurus как в режиме ноутбука, так и в режиме планшета. И все это 20 лет назад. Только представьте.

• За счет SD и CompactFlash, инфракрасного порта и USB-хоста/клиента устройство превращалось в швейцарский нож: подключить внешний диск, клавиатуру или даже запустить эмулятор старой приставки было делом пары кликов, после которых SL-C1000 превращался в мобильный сервер или ретро-консоль.

• Но энтузиастам, привыкшим к готовому решению, пришлось несладко: настройка требовала погружения в Linux-туннели, а локализованной прошивки не было. Официально Zaurus продавали только в Японии, а всему остальному миру приходилось полагаться на импорт и независимую локализацию. К тому же на горизонте уже маячили более дружелюбные PocketPC и Palm — аудитория SL-C1000 осталась узкой.

• Тем не менее, наследие Zaurus чувствуется и сегодня: это был один из первых массовых Embedded Linux-карманников, задавший тон многим промышленным и игровым Linux-гаджетам. Открытая архитектура вдохновила производителей делать портативные решения «под себя» и доказала: по-настоящему гибкое устройство должно быть максимально настраиваемым.

https://www.ebay.com/sch/Zaurus+SL-C1000

#Разное

Давно у нас не было красоты в ленте. Держите!

#Разное

• Так вот что означает «ручное обновление»...

#Юмор

• Нашел очень содержательный и актуальный Mindmap по командам Linux. Всё необходимое на одной схеме и всегда у вас под рукой:

• Пользовательские;
• Админские;
• Встроенные в bash;
• Команды-фильтры;
• Мониторинг;
• И многое другое...

• В хорошем качестве можно скачать по ссылке ниже:

https://xmind.app/m/WwtB/

#Linux #Mindmap

• Когда позвали чинить прод в пятницу вечером...

#Юмор

• Нашел хорошую заметку с всевозможными ресурсами (курсами, CTF, карьерными треками, документацией и всего прочего) для старта карьеры в ИБ.

• Заметка будет крайне полезна не только студентам, но и уже практикующим специалистам. Забирайте по ссылке ниже и добавляйте в закладки:

https://www.notion.so/ib

#ИБ

Telnet.

• Когда создавался протокол Telnet, об аспектах безопасности практически никто не задумывался. До массового распространения персональных компьютеров было минимум десятилетие, а вот идея создать простой протокол для удаленного управления была очень востребована.

• Системы того времени чаще всего работали с компьютерными терминалами, специализированными девайсами, совмещающими в себе дисплей, клавиатуру и часто указательные устройства, вроде трекбола, мыши или светового пера. Некоторые производители предусматривали подключение нескольких таких терминалов к одному компьютеру, что давало возможность одновременной работы множества пользователей.

• Примерно в то же время была придумана концепция виртуального терминала (Virtual TTY). Это программный интерфейс, который полностью имитирует поведение настоящего устройства. Такая абстракция позволила отвязать пользователей от конкретного «железа» и бонусом дать возможность работать за терминалом без необходимости его физического подключения.

• Telnet был спроектирован как раз для решения этой задачи. В самом названии протокола заложен его смысл — TELecommunications NETwork, то есть сеть телекоммуникаций. Некоторые исследователи предлагают иную, неофициальную, расшифровку аббревиатуры — Teletype Over Network Protocol. Истина, вероятно, где-то посередине.

• С возложенной на него миссией Telnet справился великолепно. Пользователи получили доступ к виртуальным терминалам прямо по сети. Это сильно расширяло возможности построения распределенной вычислительной инфраструктуры. Поддержку этого протокола постарались реализовать буквально везде — на тот момент наличие клиента Telnet было само собой разумеющимся явлением.

• Почему же мы сейчас администрируем серверы и настраиваем роутеры по SSH, а не через Telnet? Увы, этот протокол не предусматривал никакой защиты или шифрования. Все данные передаются по сети в открытом виде, даже если это логины или пароли. Получается, что Telnet бесполезен для любого применения, где необходима хотя бы минимальная конфиденциальность. Это и поставило жирный крест на его массовом использовании.

• Парадоксальным образом практически все вендоры сетевого оборудования продолжают поддерживать его и добавлять в свои продукты. В первую очередь это сохраняет обратную совместимость. Многие промышленные и военные системы были созданы для использования Telnet, и их модернизация попросту нерентабельна. Такие заказчики будут вынуждены искать современные устройства с поддержкой древних протоколов, и это меняет правила игры.

• Вторая причина звучит хуже. Сейчас дешевизна разработки и скорость выхода на рынок всегда имеют приоритет над безопасностью. Так что многие компании предпочитают встраивать в недорогие потребительские устройства простой Telnet, а не более защищенный и сложный в реализации SSH. Его включают на этапе отладки и часто забывают выключать. В итоге десятки тысяч устройств в интернете имеют открытый порт Telnet и не предусматривают никакой аутентификации, что делает их очень легкой жертвой хакеров.

• Но есть у протокола Telnet одно применение, о котором знают немногие, — его до сих пор используют радиолюбители для передачи публичных данных о выходящих в эфир радиостанциях. Так то...

#Разное

• Есть старое правило: если можно сделать быстро и удобно, кто‑то обязательно сделает это в ущерб безопасности. В инфраструктурных командах это особенно заметно. Сетевики часто решают задачи «с лёту», и это прекрасно. Пока речь не заходит про пароли. Один из таких случаев стал для автора данного материала хорошим уроком...

• В этой статье описана ситуация, когда сотрудники сопровождения передавали пароль по SSH. В открытом виде.

• Почему это проблема:
• Передача пароля в аргументах — это классический антипаттерн.
• Аргументы команд видны в ps, /proc/[PID]/cmdline, Task Manager.
• Они могут попасть в логи CI/CD.
• Мониторинг и аудит тоже их подхватят.
• Многие утилиты (sshpass, plink, WinSCP CLI, rsync, mysql, curl, mRemoteNG) позволяют так передавать пароль — и это соблазн для быстрого «костыля».

• В итоге получить пароль можно даже не трогая сам SSH, что может привести к утечке. Подробности по ссылке ниже:

• Читать статью [3 min].

• P.S. Рекомендую обратить внимание на комментарии, там можно найти полезные советы и рекомендации.

#ИБ #SSH

Самые популярные Telegram-каналы по ИБ теперь в Max:

Life-Hack - Хакер - сообщество по информационной безопасности. Статьи, гайды, обучения, переводы, обзоры, подборки полезного софта!

ZeroDay — практические уроки по пентесту, защите сетей и анонимности от действующего специалиста по информационной безопасности.

Этичный Хакер - канал про информационную безопасность, сетевую разведку, пентест и анонимность в сети.

ИБ Книга — уже более 100 актуальных книг и инструментов по кибербезу.

• В 70-е годы XX века компания IBM ориентировалась в основном на корпоративный рынок, считая, что ограниченный спрос на ПК не позволит построить серьезный бизнес. Однако бурный рост популярности персоналок Altair 8800, Commodore PET, Sinclair Mk14 и Atari 400/800, которым на пятки наступала Apple со своей продукцией, заставил крупные корпорации шевелиться. В 1980 году IBM начало разработку собственного настольного ПК, и 12 августа 1981 года IBM PC 5150 был представлен публике. Это изделие стало первым компьютером в сверхпопулярной линейке IBM PC. Наступила эпоха тотальной компьютеризации человечества, флагманом которой стали машины на базе архитектуры х86.

• Основной целью, которую руководство IBM поставило перед своими инженерами, было создание компактной и универсальной персоналки, быстродействие и производительность которой позволили бы использовать такую машину как на крупных предприятиях, так и в мелком бизнесе, а при желании и наличии достаточных средств — даже дома. И эта задача была решена. Сердцем IBM PC 5150 стал процессор Intel 8088, работавший на частоте 4,77 Мгц, при этом машина была оборудована оперативной памятью объемом от 16 до 64 Кбайт, которую можно было увеличить путем установки дополнительной платы расширения до 256 Кбайт.

• Подходящего по габаритам для компактного корпуса компьютера жесткого диска у IBM не нашлось, да и питания для него не хватало, потому в качестве накопителя машина использовала два 5-дюймовых дисковода.

• Первая модель IBM PC комплектовалась монохромным дисплеем IBM 5151, однако позже в производственную линейку добавился цветной монитор IBM 5153, при этом компьютер поддерживал одновременно два стандарта видео: MDA и CGA. Первый обеспечивал вывод монохромного текста с высоким разрешением, но не мог отображать больше ничего, а второй выводил цветную графику и текст со средним и низким разрешением.

• В качестве операционной системы персоналка использовала PC DOS 1.0 и CP/M-86. Однако в этот же день, 12 августа 1981 года, состоялось еще одно знаковое событие, впоследствии буквально перевернувшее компьютерную индустрию с ног на голову. А именно, никому не известная компания Microsoft выпустила на рынок операционную систему MS-DOS, которую стали массово устанавливать на IBM-совместимые ПК. При этом сама MS-DOS 1.0 представляла собой по большому счету переименованную 86-DOS, которую Билл Гейтс купил за 75 000 долларов у разработчика Тима Патерсона из Seattle Computer Products. А та, в свою очередь, являлась портированной для процессоров Intel усовершенствованной версией CP/M от Digital Research.

• Компьютер был очень благожелательно встречен публикой. Еще до его официального выхода компьютерные издания хором восхищались заявленными характеристиками ПК, а после поступления машины в продажу появилось множество хвалебных обзоров, авторы которых буквально восхищались инженерными решениями, производительностью и возможностями IBM PC. Уже в первый год было продано более 130 000 экземпляров этого компьютера, а поскольку он был разработан на базе открытой платформы, вскоре появились многочисленные клоны, выпуск которых наладили Compaq, Eagle Computer, Handwell Corporation и другие компании. Фактически, из главных конкурентов IBM PC среди несовместимых платформ на рынке 80-х осталась только линейка Apple Macintosh.

• Персональный компьютер IBM PC (5150) стал одним из самых популярных ПК в мире, а IBM PC — превратился в стандарт. Большинство современных персональных компьютеров являются дальними потомками и прямыми наследниками этой уникальной машины. Так то...

#Разное

• Весьма любопытный tui тренажёр для обучения основам работы в терминале. Содержит около 70 заданий, которые вам предстоит решить. Проходить увлекательно и полезно, так что рекомендую для самообразования и получения необходимого опыта.

https://github.com/learnbyexample/TUI-apps

• Кстати, у автора есть ещё несколько tui программ, с помощью которых можно потренироваться в работе с awk, grep, sed и регулярками...

#CLI #Linux

• А вы знали, что в период с 1931 по 1933 год в Чехословакии была создана самая большая вертикальная картотека? Давайте расскажу, как было устроено хранение документов и что помогало сотрудникам ориентироваться в гигантском хранилище (площадь 370 кв. м., а высота шкафов - 3 метра).

• Ну, для начала, посмотрите фото выше, их там очень много. Как вы все прекрасно знаете, компьютеров в 30-х гг. XX века не было, так что сотрудникам института приходилось работать с бумажными документами. Стремясь облегчить жизнь чиновников, чехословацкие инженеры совершили настоящий трудовой подвиг: спроектировали и построили самую большую в мире картотеку для долгосрочного хранения документов и быстрого доступа к ним.

• Картотека была вертикальной — такая конструкция позволяла эффективно использовать трехметровую высоту помещения. В те годы это была самая большая архивная система такого рода в мире: стеллажи тянулись от пола до потолка и вмещали более 3 000 ящиков с документами. Причем сама система занимала не такую уж и большую площадь — 370 м2. Но как сотрудники добирались до средних и высоких ярусов? Все просто и сложно одновременно.

• Чехословацкие инженеры проявили недюжинную смекалку. Одной из главных инноваций картотеки были электрические подъемные столы. С их помощью сотрудники без труда получали доступ к любому ящику на любой высоте.

• Как все это работало:
• Подъемные столы могли двигаться вверх, вниз и в стороны. Так что сотрудники могли перемещаться к нужным ящикам, не тратя время на лазанье по лестницам. Сидишь себе на рабочем месте, а оно тебя катает по всем направлениям.
• Панель управления с кнопками позволяла точно настраивать положение столешницы перед выбранным ящиком. Оператор мог полностью контролировать процесс и останавливаться на нужном уровне.
• Конструкция столов обеспечивала безопасность сотрудников при работе на любом уровне.

• Нововведение с подъемными столами и электрическим управлением снизило трудозатраты: работа, которая раньше требовала усилий 400 человек, теперь могла выполняться всего 20 сотрудниками архива.

• А вот вам еще немного подробностей. У системы были:

• Электрические запоры. Сотрудники могли открывать и закрывать ящики нажатием одной кнопки. Ничего не нужно было переносить в руках. Каждый ящик весил немало — ручное открытие повышало бы риск травм на рабочем месте, особенно на высоте. После просмотра документа сотрудник одним нажатием кнопки закрывал замок. Это позволяло избежать случаев, когда ящики оставались открытыми и документы оказывались в свободном доступе.
• Надежное хранение. Поддерживался постоянный порядок в хранении документов, так как каждый ящик открывался только по необходимости, и система фиксировала само открытие ящика. Это исключало вероятность неавторизованного доступа к информации.

• Документы были тщательно структурированы и организованы по категориям, а это упрощало поиск нужных данных. Кстати, был даже внутренний контроль доступа к ящикам. Например, при каждом открытии автоматически фиксировался код сотрудника и время просмотра документов. Это давало возможность мониторить действия конкретного сотрудника. Такая вот информационная безопасность начала XX века.

• Архивная система была уникальной для своего времени. Ее достоинства оценили и другие государства, так что подобные комплексы появились в США, Германии, Франции и Японии.

• Кстати, с увеличением объема документов возникла необходимость в более эффективных методах их обработки и хранения. Сегодня вся информация оцифрована, а картотека используется как архив старых документов.

#Разное

• Go — популярный языка программирования, который высоко ценится этичными хакерами за его простоту, эффективность и надежность. Если у Вас есть потребность в изучении данного языка, то держите бесплатный курс для начинающих.

• Данный материал поможет вам научиться писать простые сервисы и использовать этот язык в некоторых рабочих задачах. Кстати, там еще есть большая подборка материала для погружения в тему. Содержание следующее:

• Полезные ресурсы для погружения в Go. Часть 1;
• Полезные ресурсы для погружения в Go. Часть 2;
• Fuzzing-тесты в Go после v1.18: знакомство и практика;
• Как написать свой REST API на Go? Разрабатываем сокращатель ссылок;
• Как разработать gRPC-сервис на Go;
• Подключение Go к Apache Kafka;
• Как тестировать Kubernetes с помощью Go.

https://selectel.ru/blog/courses/

• В качестве дополнения рекомендую рассмотреть еще один бесплатный курс на платформе stepik. Этот материал подойдет для тех, кто не имеет опыта в программировании. В курс входят 42 урока, 110 тестов и 45 интерактивных задач: https://stepik.org/course/100208

#Курс #Go

Хорошо забытое старое.

• Сервисы, предоставляющие пользователям игры по подписке, — вроде бы новая идея. Но на самом деле еще за 40 лет до появления сервиса Game Pass от Microsoft некоторые компании предлагали нечто похожее.

• Начало подписного бума положила компания Mattel. Она представила PlayCable — периферийное устройство для консоли Intellivision (на фото). Девайс подключал пользователей к постоянно обновляемому каталогу игр за $12,95 в месяц. Игр было много, среди них встречались очень популярные, вроде Utopia.

• Проект PlayCable не был локальной инициативой. В его реализации приняли участие 13 кабельных провайдеров США. Компания также платила за рекламу знаменитостям — все как сегодня. Например, компания заплатила известному бейсболисту того времени за участие в нескольких рекламных роликах, выходивших на экраны в 1982 году.

• PlayCable был главным, но не единственным игроком рынка игровых сервисов того времени. Не обошлось и без конкурентов, один из которых, GameLine, стал партнером Atari в 1983 году. Сервис был совместим с Atari 2600, причем подключение к нему обходилось лишь в $60 за периферийное устройство, Master Module, плюс $15 за активацию сервиса. Подписки не было, вместо этого геймеры платили повременно — $1 в час за игру.

• В том же 1983 году появилось еще одно решение от The Games Network. Компания не подключала консоли геймеров к сети. Вместо этого она предлагала собственное игровое устройство, которое представляло собой нечто похожее на ПК. Можно даже сказать, что в некотором смысле она предлагала пользователям тонкий клиент. Сам по себе он ничего почти не умел и был полностью завязан на сетевые функции. Компания тоже не была маленькой — ее сервис предлагался жителям США, Канады, Великобритании и Германии.

• И это еще не все, у Канады была своя собственная стриминговая игровая сеть. Она называлась Nabu, а слоганом ее была фраза «Переключись на умный ТВ!».

• Но вернемся к PlayCable — это был объединенный проект компании General Instrument, разработавшей специализированные адаптеры для кабельных сетей. Систему от PlayCable подключали кабелем сначала к приставке Intellivision, а потом — к устройству поставщика услуг кабельного ТВ. После подключения данные передавались в FM-диапазоне.

• При включении системы на экране ТВ появлялось приветствие с подключением к «умному» телевидению. Сервис был быстрым, его основа — алфавитный каталог игр, загрузить которые можно было за считанные секунды.

• Было еще одно важное отличие от современных консолей — у приставок того времени не было внутренней памяти, все загружалось в оперативную. Так что игру нужно было скачивать и загружать при каждом запуске PlayCable.

• Что касается устройства от Games Network, то оно не подключалось к консолям и представляло собой полноценную игровую систему, к которой можно подключать дисководы, принтер, джойстики и другую периферию. Подключение к каталогу производилось через модем и телефонный кабель. Подключаться можно было и к другим компьютерным сетям.

• PlayCable, GameLine и The Games Network были очень современными сервисами. Они предлагали клиентам каталог сетевых игр более чем за десять лет до появления всемирной паутины. К сожалению, ни одна из этих компаний не пережила 1984 года.

• Одна из причин — технические сложности, ведь нужно было договариваться с операторами кабельной связи и платить им. Вторая причина — достаточно дорогая подписка. Третья причина — разногласие между партнерами Mattel и General Instrument. Проблема привела к тому, что оборудование для подключения к сети не обновлялось, инфраструктура не модернизировалась, так что пользователи не могли играть в более поздние игры.

• Ну а потом начался крах, начало которому положил 1982 год. Этот и последующие годы стали кошмарным временем для индустрии видеоигр. Компании выходили из проектов, подразделения продавались и покупались. Было уже не до игровых сетей. Вот так и зарождались сервисы по подписке...

#Разное

• На хабре есть очень хороший лонгрид по Docker, в котором описаны механизмы контейнеризации + примеры, эксперименты и реализация. Подойдет новичкам, кто хотел погрузиться в данную тему.

• Краткое содержание:
• Chroot как первый популярный механизм, с помощью которого можно изолировать процесс в контексте файловой системы;
• Namespaces как механизм, представляющий собой прослойку между желанием процесса получить ресурс и самим ресурсом;
• Cgroups как ещё один механизм изоляции процессов, но только уже в контексте физических ресурсов системы;
• OverlayFS как способ экономить место за счёт хитрой работы с файловыми системами контейнеров. Самое главное, поняли почему Docker слоёный пирог :);
• Стандарт OCI как вещь, на которой держится вся современная контейнерная инфраструктура и утилиту runC, являющуюся эталонной реализацией OCI.

Читать статью [33 min].

#Docker

• Нашел бесплатный курс по SQL с множеством объемных уроков, которые включают в себя необходимую теорию, практические занятия в редакторе Mode от полных новичков до продвинутых спецов SQL, включая всю базу (SELECT, WHERE, ORDER BY, LIMIT и логические операторы), а также продвинутые темы (агрегирующие функции, GROUP BY, HAVING, соединение таблиц). В проекте доступен симулятор на реальных данных, A/B тестирование и инсайты продукта.

https://mode.com/sql-tutorial

#SQL

Приватность в облаках.

• Вы все прекрасно знаете, что «Защищенные облака» бывают только в сказках. Поэтому не ведитесь на «швейцарскую юрисдикцию» или «военный уровень шифрования». Это чистой воды маркетинг, чтобы завлечь доверчивого мамонта, которому есть что скрывать.

• Ну вот прикиньте ситуацию. Вы открыли свое облачное хранилище. Самое защищенное и самое приватное в мире. И, естественно, весь кибер-сброд стал покупать у вас хранение, потому что вы никогда и никого никому не выдадите. Пройдет год и у вас на дисках скопится куча прона крайне сомнительного содержания: украденные файлы, сэмплы вирусов, может быть, даже документы бородатых людей определенного рода деятельности. В общем, помойка будет лютая.

• Поэтому после очередной «ситуации» специалисты «откуда надо» узнают, что все бармалеи мира хранят данные у вас. Что будет дальше? К вам придут с требованием начать сотрудничество. Или вы станете соучастником. И тут вы начинаете думать о сделке с совестью. Либо вы идейный товарищ, борцун за анонимность и никого не сдадите – тогда вам не поздоровится. Причем за чужие грехи. Либо вы всех сдаете, но после этого ни о какой «приватности» на вашем сервисе речи больше быть не может.

• Примерно такой сюжет происходит с каждым владельцем облаков. Либо вы сканируете файлы своих клиентов на предмет запрещенки, либо у вас скоро не будет никакого бизнеса. Так что приватность – это большая ложь. Приватности быть не может. Это я уже доказал на простом примере. Но что делать, если приватность нужна, а к удобствам пользованием облаком вы уже привыкли?

• Все просто. Вам нужен Cryptomator. С его помощью вы прямо внутри облака можете делать защищенный контейнер, в котором файлы шифруются на лету. Проще говоря, это облако, которое шифруете вы сами. И работать с ним удобно. Взяли самое дешевое (или даже бесплатное, sic!) облако (хоть Google Drive, хоть богомерзкий OneDrive или Dropbox) и сделали на нем контейнер. И все, пользуйтесь! Плюс Cryptomator бесплатный. Чего еще пожелать?

https://cryptomator.org

#Cloud #Tools #Security

• Если помните, то несколько месяцев назад я делился с вами очень крутым материалом, где подробно описан опыт автора по ручному развертыванию Kubernetes без использования автоматизированных инструментов. Так вот, есть еще одна статья, не менее интересная и полезная. На этот раз автор описывает настройки аудита в Kubernetes, его возможности и примеры конфигураций, которые помогут вам сформировать эффективную политику аудита для вашего кластера.

• Что такое аудит;
• Политика аудита;
• Параметры фильтрации;
• Уровни логирования;
• Стадии omitStages;
• Подавление системного шума;
• Фильтрация по пользователям;
• Защита чувствительных данных;
• Детализация для важных API;
• Настройка API-сервера;
• Заключение.

#Kubernetes

Кнопка «Пуск».

• А вы знали, что до появления Windows 95 работа с компьютером для большинства сводилась к набору команд в командной строке MS-DOS? А то, что кнопка "Пуск" впервые появилась в Windows 95?

• Дело в том, что Windows 3.11, предшественница 95-й версии, хоть и предлагала графический интерфейс, все равно опиралась на MS-DOS как на базовую операционную систему, требуя загрузки DOS перед запуском Windows.

• Windows 95 же стала первой операционной системой Microsoft, предлагавшей полностью графический интерфейс. Она объединила MS-DOS и Windows в одну операционную систему, упрощая процесс установки и использования.

• Кнопка «Пуск», ставшая символом Windows 95, также сыграла ключевую роль в успехе ОС. Она помогла легко находить программы и управлять задачами. Меню «Пуск» стало настолько привычным, что его отсутствие в Windows 8 вызвало бурю недовольства среди пользователей.

• Панель задач, расположенная вдоль нижней части экрана, стала ключевым инструментом для управления открытыми окнами. Она позволяла быстро переключаться между приложениями и обеспечивала наглядность работы. В Windows 95 пользователи получили удобный способ контроля над своими задачами, которого не было ни в Windows 3.x, ни в Macintosh того времени. Для сравнения, в Mac OS диспетчер задач, напоминающий функциональность панели задач, появился только в OS X Beta в 2000 году. На фото выше можно посмотреть, как выглядел интерфейс Win95 и кнопка "Пуск" того времени...

#Разное

Происхождение тега IMG.

• Недавно рассказывал вам про первый в истории веб браузер, где упоминался NCSA Mosaic. Дело в том, что Mosaic был легендарным "продуктом". Летом 1993 года, всего за несколько месяцев после выхода, Mosaic изменил представление не только о браузерах, но и о WWW в целом.

• Mosaic сделал веб более приспособленным для сотен тысяч людей, впервые выходящих в онлайн. Конечно, Mosaic было легко установить на любой ОС. Он был чрезвычайно прост в использовании. Но большую роль в этих изменениях сыграл тег IMG.

• Конечно, за несколько месяцев до его выхода никто не знал, насколько браузер станет популярным. Mosaic был разработан в Национальном центре суперкомпьютерных приложений (NCSA). Разработкой руководил Майк Андриссен, в ту пору ещё бывший студентом, вместе с сотрудником NCSA Эриком Бина.

• При разработке первой версии Mosaic у него с Бином было множество идей. Они верили, что будущее сети зависит от более полной поддержки графики. В то время доступ к картинкам пользователи могли получать только через ссылки. Если на странице была картинка, пользователь щёлкал по ссылке, и она открывалась в новом окне. Андриссен и Бина представляли, как браузер может показывать картинки прямо в тексте веб-документов. Без лишних кликов.

• В то время существовало всего 18 элементов HTML. Ни один из них не подходил для задачи Андриссена. Поэтому в феврале 1993 года Андриссен в списке рассылки www-talk, популярном среди разработчиков сети, запостил новую тему. В ней он между делом предложил новый элемент HTML:
I’d like to propose a new, optional HTML tag:
IMG
Required argument is SRC=”url”.

• Именно так веб продвигали вперёд. Но новый тег для изображений встретил сопротивление. Некоторые беспокоились, что произвольное добавление тегов в какой-то момент станет напоминать прорыв плотины, и в результате для каждого типа медиа появится свой тег – типа aud для audio.

• Тим Бернерс-Ли, создатель WWW, тоже сомневался. Он предложил вместо этого использовать тег <a>, а не вводить совершенно новый тег. Он считал, что веб должен быть гибко настраиваемым, и представлял мир, в котором пользователи возятся со своими браузерами, чтобы они демонстрировали страницы так, как им нравится. И строгий тег IMG не вписывался в эту картину.

• Но на этом история не закончилась. Оказалось, что письмо от Андриссена было не столько предложением, сколько объявлением. Бина и Андриссен уже решили включить тег IMG в релиз, и не собирались менять синтаксис и поддержку. Встраиваемые в страницу изображения были наивысшим приоритетом для их браузера, и на это уже ничто не могло повлиять.

• Когда Mosaic вышел в 1993 году, и пользователи с дизайнерами могли начать эксперименты с изображениями, тег IMG быстро набрал популярность. Народ и СМИ приняли его.

• Стандарты HTML в конце концов тоже подтянулись, а тег IMG включили в спецификацию HTML 2.0.

• Так что, если вам когда-нибудь было интересно, почему мы используем IMG и SRC вместо IMAGE и SOURCE – вините в этом настойчивость программистов Mosaic. Вот так мы получили тег IMG, сокращения и всё прочее. Андриссен был на рынке первым, и очень сложно спорить с успехом. Уже скоро это стало традицией для браузеров и стандартов. Сначала что-то внедряли браузеры, а затем подтягивались и стандарты.

https://thehistoryoftheweb.com/

#Разное

• Нашел на GitHub преднамеренно уязвимое банковское веб-приложение, которое содержит множество дыр в безопасности. Такие проекты помогают получить бесценный опыт ИБ специалистам, пентестерам, DevSecOps и программистам, в части поиска уязвимостей и безопасной разработки. На текущий момент веб-приложение содержит более 40 уязвимостей (на скриншоте выше), которые вам придется найти. Если не справляетесь или недостаточно опыта, то у автора есть подробный гайд по прохождению:

GitHub;
Руководство [VPN].

• Кстати, там еще есть уязвимое мобильное приложение. На сколько оно дырявое не указано, да и подробного гайда нет, но если вам интересно, то забирайте по этой ссылке.

#AppSec #ИБ #Web #Пентест

• А вы знали, что Mercedes - это не только автомобили, но еще и пишущие машинки? В 1906 была такая компания Mercedes Büromaschinen GmbH, которую основал Густав Мец в Берлине. Первая печатная машинка под маркой Mercedes была выпущена в 1907 году. Это был механический аппарат, который отличался высокой точностью и надежностью. Машинка получила название Mercedes Typewriter, и она быстро завоевала популярность среди деловых людей и писателей того времени.

• Сразу после открытия предприятия по производству машинок концерн Daimler-Motoren-Gesellschaft (известный производитель автомобилей под торговой маркой Mercedes) подал иск против завода Густова Меца. Автогигант оспаривал право на использование испанского женского имени в качестве наименования продукции. Судебные разбирательства продолжались до 1913 года, пока стороны не достигли соглашения, согласно которому производитель печатных машинок, если решит расширить свой бизнес и начнёт производить транспортные средства, не сможет использовать марку Mercedes для обозначения автомобилей, аналогичные ограничения касались и истца.

• Печатные машинки от Mercedes имели ряд особенностей, которые делали их уникальными и привлекательными для пользователей. Одним из главных преимуществ печатных машинок Mercedes была их безупречная сборка. Эти устройства изготавливались с использованием высококачественных материалов и проходили строгий контроль качества. Это обеспечивало их долгую службу и надежность в эксплуатации. Некоторые модели печатных машинок Mercedes имели уникальные функции, такие как автоматическая подача бумаги, регулировка интервала между строками и возможность смены шрифта.

• Кстати, важным фактором успеха печатных машинок Mercedes была репутация самого бренда. Само имя Mercedes уже тогда ассоциировалось с качеством и престижем, что автоматически повышало доверие к продукции, независимо от сферы применения.

• Настоящий прорыв произошел ближе к 1930-м годам, когда компания выпустила первую электрическую печатную машинку Mercedes Elektrik. Этот аппарат стал настоящим хитом своего времени. Он был оснащен электромотором, который позволял печатать тексты значительно быстрее и удобнее.

• Электрическая печатная машинка Mercedes Elektrik стала символом прогресса и инноваций в мире офисной техники. Она использовалась в крупных корпорациях, государственных учреждениях и даже в армии. Благодаря своему качеству и надежности, эта модель оставалась популярной вплоть до середины XX века.

• Последняя пишущая машинка под брендом Mercedes была выпущена в 1961 году. Сегодня печатные машинки Mercedes являются редкостью и ценятся коллекционерами. Они напоминают о том времени, когда офисная техника была не просто средством работы, но и предметом искусства.

К слову, на Ebay можно найти машинку в хорошем состоянии за 350 баксов: https://www.ebay.com/itm/186490909478

#Разное

• Смотрите какая удобная тулза для работы с логами: logmerger. Иногда бывает нужно осуществить сортировку данных из нескольких лог-файлов по времени и сравнить их между собой, так вот эта софтина как раз и предназначена для этого. Само собой logmerger имеет открытый исходный код. Детальное описание есть тут: https://github.com/ptmcg/logmerger

• Кстати, в качестве альтернативы есть еще https://lnav.org, тут найдете удобную фильтрацию, подсветку синтаксиса и другие полезные фичи.

#Разное #Tools

• Знаете, почему, придя на новое место, никто не любит разбираться с наследием предыдущего владельца, а предпочитает снести всё и начать заново?
Так вот именно поэтому!

#Юмор

Docker Security.

• На сайте hacktricks есть очень объемная Wiki по безопасной настройке Docker. Крайне много информации по Socket, Capabilities, Escape from Containers и т.д. Рекомендую к изучению:

• Basic Docker Engine Security:
• Secure Access to Docker Engine;
• Security of Container Images;
• Image Scanning;
• Docker Image Signing.
• Containers Security Features:
• Namespaces;
• cgroups;
• Capabilities;
• Seccomp in Docker;
• AppArmor in Docker.

#Docker #Security

Формат MP3.

• В июле 1995 года представители немецкого Института интегральных микросхем приняли важное решение: использовать расширение .mp3 для обозначения нового стандарта кодирования данных.

• Формат был создан для передачи аудиофайлов по медленным сетям коммуникаций, изначально — телефонным. В 1995 году существовали и другие стандарты, но с их помощью звуковые файлы нельзя было сжимать настолько же эффективно, как это позволял делать MP3.

• В 1977 году молодой ученый Карлхайнц Бранденбург из института Эрлангена-Нюрнберга им. Фридриха-Александра занялся поиском методов сжатия аудио. Через 5 лет его научный руководитель попросил помочь запатентовать технологию передачи музыкальных данных через телефонные линии. Сейчас это звучит странно, но в патентном бюро им отказали, объяснив отказ невозможностью реализации технологии.

• Еще через 3 года институт, где работал ученый, получил мощные компьютеры. И у исследователей, которые имели доступ к этим машинам, появилась возможность проводить сложные вычисления, включая эксперименты со звуком. Бранденбург достиг определенных успехов в сжатии звука и в итоге получил патент на свое изобретение.

• По рассказам самого Бранденбурга, он экспериментировал с одной и той же песней — «Tom's Diner» Сюзанны Веги. Это была его любимая композиция, которая осталась таковой даже после прослушивания трека около 1000 раз. В итоге удалось найти приемлемый способ сжатия аудио, выбросив все то, что человеческое ухо просто не способно воспринять. Качество от этого страдает не сильно, а вот файл на выходе получается очень небольшим в сравнении с результатами других способов сжатия.

• В 1992 году технология MPEG Layer 3 все еще не была популярной. Тем не менее, ее подготовили к коммерческому использованию, она также стала стандартом ISO. На тот момент в ходу был MPEG Layer 2, который считали отличной технологией. Бизнес не рассматривал MP3 как перспективную альтернативу существующим решениям.

• Для того, чтобы решить эту проблему и обратить внимание пользователей на новый стандарт, создатель MP3 с коллегами решил провести эксперимент по передаче аудиофайла по интернету. Технология передачи была разработана, и эксперимент прошел удачно. В опыте приняла участие компания Telos Systems из Кливленда.

• Но, как оказалось, все это были мелочи. Настоящий успех пришел позже, после того как разработчики выложили кодировщик в сеть. Он позволял закодировать в MP3 аудио продолжительностью всего в минуту. Но один из энтузиастов, скачавших кодировщик, смог взломать утилиту и получил возможность сжимать аудио любой длины.

• После этого MP3 очень быстро стал востребованным форматом, поскольку он позволял интернет-сообществу передавать композиции по dial-up. Затем появился Napster, а вместе с ним — так называемое цифровое пиратство. Музыканты стали распространять свои записи по сети, любители музыки беспрепятственно обменивались любой музыкой в любом объеме, сколько позволяла сеть. В 2001 году Стив Джобс представил iPod, который был способен хранить рекордные 1000 музыкальных композиций.

• После музыкальная индустрия стала бороться со свободным обменом музыкой, что спровоцировало рост популярности стриминговых музыкальных сервисов. И все это стало возможным благодаря изобретению Карлхайнца Бранденбурга и его коллег.

#Разное

• Представьте, что вам нужно быстро перебросить файлы (фильмы, софт, игры, рабочие файлы) с компьютера на телефоны и планшеты. Хранилище телефона можно использовать как резервный внешний диск или как «беспроводную» флешку, которая работает по Wi-Fi. Да, вы можете это сделать через различные веб-сервисы или отправить себе в телегу, но этот процесс можно ускорить и избавиться от подключения к интернету. То есть файлы будут передаваться напрямую между устройствами, как Apple AirDrop, только лучше.

• LocalSend - эта тулза создана как раз для этого: передачи файлов и сообщений между устройствами в локальной сети без использования интернета. Есть версии под Windows, macOS, Linux, Android (Play Store, F-Droid, APK) и iOS. Большой набор поддерживаемых платформ и способов распространения — одно из главных преимуществ программы. То есть тулза поддерживает прямую передачу файлов даже между смартфонами iPhone и Android, на что не способен стандартный AirDrop.

• Что касается безопасности, то вся коммуникация осуществляется по проприетарному протоколу LocalSend Protocol v2.1 через REST API, все данные передаются по HTTPS, для каждого устройства на лету генерируется сертификат TLS/SSL.

• Кроме отдельных файлов, поддерживается отправка целиком папки, текста или содержимого буфера обмена. Скорость передачи ограничена максимальной скоростью сетевых интерфейсов в локальной сети на маршруте передачи (сетевая карта ПК — маршрутизатор — смартфон), а также дополнительными настройками. Есть опция рассылки на несколько устройств в локальной сети (смартфоны, планшеты, ноутбуки), что очень удобно, если у вас большая семья, а вы хотите быстро поделиться файлами со всеми.

https://github.com/localsend/localsend

#Tools

• У автора книги "Сети глазами хакера" есть тулза для проведения MITM-атак в сетях IPv6. Если кто не читал статью с актуальными методами атак на IPv6 и способах защиты, то рекомендую к прочтению (eng & ru). Что касается инструмента, то возможности следующие:

• RA Spoofing и RDNSS-инъекции;
• Интерактивная CLI с автокомплитом;
• Полная автоматизация NAT64 и DNS64;
• Анализ NDP трафика для сбора информации о сети;
• Автотюнинг сетевых параметров и маршрутизации;
• Обход RA Guard c помощью Hop-by-Hop фрагментации;
• Killswitch для аварийной остановки и восстановления сети.

https://github.com/casterbyte/Ibex

#Пентест #Mitm #Сети

• Компьютерной папке более 40 лет. В 1981 году компанией Xerox был выпущен Xerox 8010 Star Information System — первый коммерческий компьютер, в котором была использована графическая модель рабочего стола с папками и значками, применяемая нами и сегодня. Вот с чего все началось:

• В 1960-х и 70-х годах большинство ПК были большими и дорогими системами, работающими с использованием пакетной обработки с перфокартами или интерактивных операционных систем командной строки, доступ к которым осуществлялся через телетайпы или видеодисплейные терминалы. Они были не очень удобны в использовании и требовали специализированного обучения для программирования или корректного управления.

• В начале 1970-х годов компания Xerox начала экспериментировать с новым графическим подходом, результатом чего стал революционный компьютер Xerox Alto, в котором использовалась мышь и растовый дисплей. Когда в конце 1970-х годов пришло время запускать Alto в серийное производство, компании Xerox понадобился интерфейс, который мог бы облегчить работу с компьютером офисным специалистам без специальной компьютерной подготовки. Эта задача выпала на долю Дэвида Кэнфилда Смита из компании Xerox, который изобрел метафору рабочего стола для разработанной в 1981 году системы Xerox Star 8010 Information System.

• Когда компания Xerox поручила Дэвиду разобраться, как обычные офисные работники смогут использовать новую компьютерную систему Xerox с растовым изображением, Дэвид использовал свои наработки в области графических вычислений, когда компьютер можно было программировать визуально. В процессе работы Дэвид изобрел компьютерный значок!

• В продолжение этой идеи Дэвид понял, что ему нужна подходящая концепция, которую уже понимали бы офисные работники. Он остановился на визуальном, экранном отображении реальных объектов, таких как картотечные шкафы, папки и корзины, которыми офисные работники пользовались каждый день.

• После нескольких вариантов экспериментальных иконок были созданы первые в истории компьютера иконки документов и папок. Папка была реальной иллюстрацией к компьютерному файлу "каталог". Это была, скорее всего, самая простая из всех иконок для визуализации, поскольку она имела настолько привычную реальную визуализацию (вездесущая манильская папка) с очень четкой формой.

• В конечном итоге интерфейс оказался хорошо знакомым офисным работникам. Дэвид в своем выступлении утверждает, что во время тестирования были только положительные отзывы. Он не был таким универсальным, как другие настольные графические интерфейсы, появившиеся после Star, но, несомненно, он стал одним из первых компьютеров с рабочим столом и графическими иконками, которыми мы пользуемся сегодня.

• Xerox Star 8010 Information System была создана в отделе разработки систем компании Xerox (SDD), и над ней работали целая группа других специалистов. Все вместе они создали мощную, но дорогую компьютерную модель с монохромным растровым дисплеем высокого разрешения, внутренним жестким диском и встроенной поддержкой локальной сети Ethernet.

• Используя 8010, вы могли легко разработать документ с графическими и текстовыми элементами, а затем распечатать его на сетевом лазерном принтере, который будет использоваться совместно с группой рабочих станций 8010.

• С высокой ценой и целевым рынком состоящем с крупных предприятий, Star не суждено было стать массовым продуктом. Но он был довольно успешным: было продано «десятки тысяч» устройств, а разработчики получили вдохновение на создание дальнейших систем, которые усовершенствовали интерфейс рабочего стола Star в операционную систему под названием Viewpoint. Это также вдохновило несколько известных компаний, таких как, Apple и Microsoft... но это уже совсем другая история.

#Разное

• Все знают, что трансформаторы гудят. Но не все знают, почему...

#Разное #Юмор

Антивирус Avast. С чего все начиналось...

• Начало истории создания антивируса Avast началось в 80-е годы, со встречи основателей, которых звали Павел Баудиш и Эдуард (Эда) Кучера. Они познакомились и начали работу в Исследовательском институте математических машин в Чехословакии, оба будущих партнера работали над изучением перспективных направлений компьютерных технологий. Оба писали программное обеспечение для ЭВМ.

• Это были масштабные агрегаты, занимавшие несколько помещений. Изначально работа велась именно под них. Потом институту удалось приобрести Olivetti M24 — небольшую систему, которая помещалась на обычном столе. Это был первый, по-настоящему, персональный компьютер, с которым, в прочем, мало кто хотел работать, считая его игрушкой.

• В итоге «игрушка» стала постоянным обитателем стола Павла, а у него появилось время на изучение системы. Он смог быстро разобраться в премудростях работы Olivetti и стал писать для «игрушки» софт.

• В мае 1988 года из загранкомандировки вернулся один из сотрудников института. С собой он привез дискету, которую подарил Павлу — на ней был вирус Vienna. Конечно, на то время это был далеко не единственный вирус, но они были еще редкостью. И, соответственно, у Павла появилась возможность изучить эту систему в подробностях — не для того, чтобы «спасти» мир, а просто чтобы обучиться. Разработчик смог понять, как действует вирус и какие механизмы он использует для распространения.

• Однажды ему пришла в голову идея написать программу, которая защищала бы компьютеры от вирусов. Идея заключалась в создании софта, проверявшего целостность всей системы и мониторившего возможные изменения, внесенные сторонним ПО.

• Здесь уже к работе подключился Кучера. Партнеры нашли новую работу в относительно небольшой организации Zenitcentrum, где у них был доступ к Commodore C64 и довольно много свободного времени. Всего через год Павел и Кучера решили открыть собственное предприятие, поговорили со знакомыми и открыли кооператив Alwil. Случилось это в ноябре 1989 года. Чуть позже был готов и новый продвинутый антивирус — AntiVirus Advanced SeT (AVAST), состоящего из множества утилит, отвечающих за разные функции и возможности. Вот так и появился Avast...

• Кстати, кооперативу повезло — к концу 1989 года в Чехословакии стал бурно развиваться капитализм, соответственно, стало возможным продавать частные системы — хоть программы, хоть аппаратные. Кучера собрал данные о том, сколько приблизительно можно продать лицензий антивирусного ПО, кому, сколько стоит одна лицензия и сколько получится прибыли после того, как вычесть арендную плату, заработную плату сотрудникам и т.п. Получалась очень хорошая сумма. Эти расчеты послужили для формирования первого в истории Avast бизнес-плана.

• Развивалось все достаточно быстро. К середине 90-х антивирусный рынок страны был полон — на нем работали Alwil, Grisoft — производитель AVG, а также словацкая компания ESET, которая решила зайти и в Чешскую республику. В 1995 году к команде присоединился Ондржей Влчек, который занимал должность технического директора и исполнительного вице-президента по работе с потребителями. Он стал соавтором первого антивируса для Windows 95.

• В середине 1996 года компания Alwil, производитель AVAST, стала первой, получившей получившей 100/100/100 за все тесты Virus Bulletin. Компания предоставляла антивирусные решения и решения по кибербезопасности бизнесу, правительству и даже армии США. Примерно в то же время компания McAfee сделала предложение о покупке, которое, впрочем, не очень впечатлило основателей компании. Но удалось заключить другую договоренность — с 1997 года McAfee стал работать на основе движка Avast. Такие вот дела...

https://www.forbes.ru/avast

#Разное

• Для тех, кто не смог осилить руководство по пентесту IPv6 на английском языке, на хабре есть качественный перевод этого материала на русский язык. Рекомендую к прочтению:

https://habr.com/ru/articles/930526

#Сети #Пентест

Агрегаторы трендовых/обсуждаемых уязвимостей.

• Top CVE Trends & Expert Vulnerability Insights — агрегатор с "термометром хайповости" для топ-10 обсуждаемых в соц.сетях уязвимостей за сутки.

• CVE Crowd — агрегатор, собирающий информацию о популярных уязвимостях из соц.сетей типа Fediverse (Mastodon в основном). Ранее упоминал его в канале.

• Feedly Trending Vulnerabilities — подборка обсуждаемых уязвимостей от TI-портала Feedly. Из интересного функционала можно выделить временную шкалу, демонстрирующую "важные" моменты жизненного цикла уязвимости (первое публичное упоминание, добавление в различные каталоги т .п.).

• CVEShield — уже ветеран среди агрегаторов, который также ранжирует трендовые уязвимости по упоминанию в различных источниках. Ранее упоминал его в канале.

• CVE Radar [VPN] — агрегатор от компании SOCRadar. Создавался в поддержку проекта CVETrends, закрытого из-за изменения политики доступа к API сети X.

• Vulners — в разделе поиска можно найти дашборд "Discussed in social networks". В целом, на сайте есть много интересных топов/фильтров, например, Daily Hot, Security news, Blogs review.

• Vulmon Vulnerability Trends — тренды от поисковика Vulmon. Из плюсов: можно посмотреть популярное за предыдущие дни.

• SecurityVulnerability Trends — видимо какой-то новый агрегатор, т.к. в тренде только одна свежая уязвимость, но выглядит неплохо по функционалу, надеюсь будет развиваться.

• CVESky — агрегатор обсуждаемых уязвимостей в децентрализованной сети микроблогов BlueSky. Есть топы за каждый день, а для уязвимостей приводится описание, оценка CVSS, наличие эксплойта, вхождение в каталог CISA KEV, а также ссылки на ресурсы, где можно почитать подробнее про уязвимость, в т.ч. ссылка на ресурс с таймлайном жизни уязвимости.

• Vulnerability-lookup — ресурс Люксембургского CERT, где помимо общей информации об уязвимостях есть информация об упоминании в социальных сетях и иных ресурсах, а также топы уязвимостей по упоминаниям за неделю. Статистику можно скачивать по API.

• Fedi Sec Feeds — агрегатор обсуждаемых в соц.сетях типа Fediverse уязвимостей (как и CVE Crowd). Помимо описания узвимости есть информация по оценкам CVSS, EPSS, количестве постов с обсуждением и репозиториев с PoC/Exploit, а также ссылки на шаблоны детектов Nuclei. Данные можно выкачивать в json-формате.

• Talkback — довольно крутой агрегатор новостей из сферы ИБ с прикрученным ИИ. На ресурсе есть раздел про уязвимости, в котором для каждой записи проставляется "температурная" метка обсуждаемости. К сожалению, подробного описания механики работы "градусника" нет, но можно предположить, что он выставляется на основе упоминаний уязвимости в новостях за определенный промежуток времени.

• CVE Watch — сообщество Reddit, где каждый день публикуют топ-10 обсуждаемых интересных уязвимостей.

• DBugs – трендовые уязвимости на портале уязвимостей от компании Positive Technologies. В разделе трендов можно также посмотреть статистику по упоминанию уязвимости в соц.сети X (посты, репосты, суммарная аудитория подписчиков, временной график) и текст постов из различных ресурсов.

Источник.

#CVE #Подборка

• Большая и полезная подборка AI-инструментов с открытым исходным кодом для кибербезопасников. Ниже обозначены категории, в каждой из которых множество полезных инструментов с кратким описанием:

- Tools:
• Integrated;
• Audit;
• Reconnaissance;
• Offensive;
• Detecting;
• Preventing;
• Social Engineering;
• Reverse Engineering;
• Investigation;
• Fix;
• Assessment.

- Cases:
• Experimental;
• Academic;
• Blogs;
• Fun.

- GPT Security:
• Standard;
• Bypass Security Policy;
• Bug Bounty;
• Crack;
• Plugin Security.

https://github.com/cckuailong/

#AI #Awesome #ИБ

• Рассказывая родителям и друзьям о том, что "не надо отвечать на звонки с незнакомых номеров и устанавливать на телефон приложения из неизвестных источников", мы порой забываем о собственной безопасности.

• На хабре есть очень хороший и подробный разбор схемы, когда соискателям направляют заманчивое предложение о работе и ссылку для прохождения тестового задания. Если перейти по такой ссылке и запустить требуемый файл, то вы заражаете свое устройство целым зоопарком вредоносов.

• Кстати, схема очень актуальна и проста в своей реализации. Так что будьте внимательны, берегите себя и свои данные:

https://habr.com/ru/articles/928026/

#СИ #Фишинг

Fly me to the moon.

• 20 июля 1969 года, в 20:17:39 по Гринвичу, лунный модуль миссии «Аполлон-11» совершил первую в истории человечества пилотируемую посадку на другое небесное тело. Событие огромной значимости, как в плане науки, так и в плане идеологическом, стало возможным благодаря самоотверженной работе сотен людей — техников, контролёров, специалистов по связи. И, конечно, программистов, одной из которых была Маргарет Гамильтон (на фото).

• Однако посадка могла не состояться, если бы не гениальность Маргарет, которая разработала бортовое программное обеспечение для программы Apollo.

• Все коды писались, а потом печатались вручную, затем объединяясь в программы. Этот вид памяти назвали «LOL memory». Дословно его можно перевести как «память маленьких старых леди» («little old lаdies»). Ведь печатали коды в основном женщины.

• Когда Нил Армстронг и Эдвин Олдрин были уже почти у Луны, система внезапно дала сбой. На приоритетном дисплее компьютера появились предупреждения о чрезвычайной ситуации. Как выяснилось позднее, переключатель радара (который нужен был уже для обратного полёта) оказался в неправильном положении. Это привело к запросу на выполнение компьютером большего числа операций, чем он был способен обработать. Тут-то и сработала защита. В данном конкретном случае реакцией ПО было приостановить работу низкоприоритетных задач и перезапустить наиболее важные. Итог всем известен — полёт продолжился в штатном режиме, Аполлон приземлился. И всё это стало возможно благодаря усилиям и таланту одного человека - Маргарет Гамильтон. А ведь всё могло закончится совсем по другому...

• Кстати, на фото выше Маргарет запечатлена с распечаткой кода, который использовали для осуществления полета на Луну в 1969 году.

• Сейчас Маргарет 88 лет! Она возглавляет компанию Hamilton Technologies, а за всю жизнь смогла опубликовать более 130 научных работ, трудов и отчетов по 60 проектам и шести крупным программам, в которых она принимала участие. Так то...

#Разное

• Если сейчас вы задумываетесь, на сколько гигабайт купить карточку для фотоаппарата, то раньше люди задумывались над выбором из дискет, память которой составляла от 1 до 2 мб! На видео можно наблюдать цифровую фотокамеру Sony Digital Mavica с 0,3-мегапиксельной матрицей и дискетным приводом. Она была выпущена в 1997 году и на тот момент была весьма популярна.

• Размер файла в стандартном режиме составлял от 40 до 100 килобайт, и на одну дискету поместится от 10 до 20 фотографий. Но это стандартный режим, а есть еще качественный: фотокамера пишет снимок в формате BMP. В этом режиме фотокамера пишет снимок на дискету примерно минуту, а размер фотографии - около 900 килобайт, а значит на стандартную дискету помещается только один - два кадра.

• Представьте, что вы отправляетесь в путешествие. Тут вам нужно решить, сколько дискет вам понадобится =)) Вот такое раньше было время...

• Кстати, фотоаппарат на видео в 1999 году стоил около 800 баксов. Это очень большие деньги в то время. Да что уж говорить, и сейчас это не мало.

#Разное

IPv6 Penetration Testing.

• Хорошая статья по пентесту IPv6 от автора книги "Сети глазами хакера". Материал содержит информацию с актуальными методами атак на IPv6 и способах защиты. Единственный минус - статья написана на английском языке. Если у вас с этим трудности, то воспользуйтесь chatgpt и deepl. Содержание следующее:

• IPv6 Intro:
• Multicast.
• Network Scheme.
• NDP Sniffing:
• Custom Sniffer;
• Example.
• System Tuning:
• ICMP Redirect;
• Load;
• TCP Window Scaling.
• RA Spoofing:
• Flags;
• Injector;
• Interval;
• Routing Issues, Asymmetric Routing;
• Impact.
• RDNSS Spoofing:
• Attack Point;
• Dependencies on Windows versions;
• Effectiveness.
• DNS Interception using DHCPv6:
• DHCPv6 Packet Types.
• Security Issues.
• Outro.

• https://blog.exploit.org/caster-legless/

• В дополнение:

• Бесплатная книга об IPv6, которая содержит в себе более 130 страниц информации на данную тему: https://github.com/becarpenter/book6/

#Сети #Пентест

Универсальный ISO образ.

• Скажу честно, мне редко приходилось пользоваться загрузочными USB, переустанавливать системы и экспериментировать с различными ОС, так как специфика моей работы совсем в другом. Но недавно я открыл для себя очень крутой и, что самое главное, бесплатный проект с открытым исходным кодом, который называется netboot.xyz.

• Суть заключается в том, что netboot позволяет создать загрузочную флешку с возможностью установить любую ОС Linux через интернет. Все что вам нужно для начала работы - это загрузить с официального сайта загрузочный образ размером около 1МБ. Далее грузитесь с флешки, выбираете нужную систему и устанавливаете. Всё просто.

https://netboot.xyz
https://github.com/netbootxyz/netboot.xyz

• Кстати, там еще есть раздел с утилитами, которые могут быть полезны при восстановлении и диагностики системы. Так то...

#Разное #Linux

• Сразу скажу, что прочтение туториала по ссылке ниже занимает целых 2 часа времени и будет полезен в основном сетевикам, нежели ИБ специалистам. Но материал крайне интересный, поэтому рекомендую к прочтению всем без исключения.

• Автор этого материала написал инструкцию по воплощению инструмента диагностики сетевых проблем, который реализован в ОС FreeBSD и устанавливается прямо из коробки. Достаточно установить её на компактное устройство с двумя Ethernet интерфейсами и выполнить ряд манипуляций по настройке вполне стандартных вещей. Содержание лонгрида ниже, а бонусом идет ссылка на Github репозиторий содержащий готовый загрузочный образ и набор скриптов для настройки сниффера.

• Сниффер как способ решения проблем с сетью.
• Установка ОС FreeBSD и базовая настройка:
• Скачиваем ISO образ;
• Настройка опций BIOS;
• Развертывание образа на USB Flash;
• Загрузка с USB Flash и установка системы на SSD;
• Установка полезных пакетов программ и утилит;
• Подключение через SSH;
• Настройка `sudo’.
• Исследуем аппаратную часть:
• Получаем сведения об аппаратуре;
• Проводим тест Coremark для вычислительного ядра;
• Проводим тест STREAM для оперативной памяти;
• Настойка канала для удаленного доступа к устройству (mpd5).
• Настройка сетевого «моста» (Ethernet Bridging):
• Загрузка драйверов if_bridge и bridgestp;
• Создание и настройка интерфейса bridge0;
• Проверка работоспособности сетевого моста;
• Схемы включения сниффера.
• Анализ сетевого трафика:
• Настройка прав доступа к BPF;
• Правила фильтрации трафика в BPF;
• Правила фильтрации трафика в BPF с использованием DPI;
• Использования BPF фильтров в tcpdump’ и tshark’;
• Захват SIP пакетов с помощью утилиты `tcpdump’;
• Захват SIP пакетов с помощью утилиты `tshark’;
• Детектирование соединений SSH с помощью утилиты `tcpdump’;
• Детектирование соединений SSH с помощью утилиты `tshark’;
• Анализ HTTP запросов: добываем логин и пароль с помощью утилиты `tshark’;
• Анализ сетевой нагрузки с помощью утилиты `trafshow’;
• SNORT Intrusion Prevention System;
• Детектируем сканирование портов одно-строчным правилом для `snort’;
• Детектируем сканирование портов встроенным плагином `port_scan’.
• Бонус:
• Инструкция по быстрой установке сниффера на базе ОС FreeBSD;
• Инструкция по созданию своего загрузочного образа ОС FreeBSD со сниффером.

https://habr.com/ru/articles/928424/

• P.S. Не забывайте по мой репозиторий, в котором собрана подборка материала для изучения сетей (от курсов и книг, до шпаргалок и сообществ): https://github.com/SE-adm

#Сети #Linux

• Зацените какая красивая routing tumbochka...

link.

#оффтоп

• Думаю все знают о самой крупнейшей международной конференции в мире по информационной безопасности — Black Hat. Так вот, недавно открыл для себя репо, где перечислены все тулзы, которые когда-либо были представлены и продемонстрированы на конференции. Есть удобная разбивка по годам, локации и категориям, которые перечислены ниже. Добавляйте в закладки для изучения!

• Red Teaming;
• Blue Teaming;
• OSINT & Recon;
• Exploit Development;
• Malware Analysis;
• DFIR & Forensics;
• Threat Intelligence;
• ICS/IoT/SCADA;
• Application Security (AppSec).

https://github.com/UCYBERS/

• Кстати, ниже по ссылке можете найти все слайды, которые были представлены на всех конференциях BH, начиная с 2023 года.

https://github.com/Conferences/BlackHat

#Пентест #Tools #ИБ

• Недавно мне пришлось перечитывать гайд по использованию командной строки в Linux, и в самом конце руководства я нашел очень полезный инструмент для проверки написания Shell-скриптов, про который сейчас расскажу.

• Вы наверняка знаете, что Shell-скрипты — это очень удобный инструмент, которые позволяют автоматизировать множество задач. Однако есть одно "НО". Дело в том, что при написании скриптов можно допустить массу ошибок. Многие из ошибок, носящие синтаксический характер, могут привести себя к неправильному выполнению. Последствия неправильного поведения скриптов могут быть практически любыми — от слегка неприятных до катастрофических.

• Многие из проблем скриптов можно решить с помощью линтера! Вот тут и вступает в игру статический анализатор кода ShellCheck, который написан на Haskell. Эта тулза помогает в обнаружении ошибок в тексте скриптов и может вывести отчет о проведенных проверках. Это позволяет повысить производительность работы и качество кода. Кстати, ShellCheck можно интегрировать в vim или emacs, в результате, он будет проверять текст скриптов прямо в редакторе.

Github;
Официальный сайт;
Небольшой гайд по установке и использованию ShellCheck.

#Разное #Linux #Unix

$20 000 000 на ошибке банка.

• Иногда ошибки в информационных системах ведут к трагедиям сотен людей, а иногда позволяют обогатиться одиночкам, оказавшимся в нужное время в нужном месте. Один из ярчайших примеров – японский трейдер Такаши Котегава, заработавший $20 млн. на ошибке сотрудника брокерской компании японского банка Mizuho Financial Group.

• Давайте разберемся, как нажатие не той клавиши сорвало IPO крупной телекоммуникационной компании и как это сделало легендой фондового рынка Котегаву, о чьей странноватой личности и реальных трейдерских талантах до сих пор ведутся жаркие споры.

• Котегава появился на свет в 1978 году в городе Итакаве. О его детстве и юности известно немного: среднее образование, подработка менеджером по продажам в магазинчике электротехники и увлечение компьютерными играми. Несмотря на это, молодого Котегаву часто характеризуют как затворника, не заинтересованного ни в карьере, ни во взаимоотношениях с другими людьми, который большую часть времени проводит в своей комнате.

• В 22 года Котегава жил с родителями и не спешил съезжать. Вместо этого он занялся трейдингом из своей спальни и даже разработал свой метод торговли. Такое увлечение практически не требовало социальных контактов, зато сулило какую-никакую финансовую независимость.

• Суть его метода сводилась к авторской вариации покупки на отскоках (buy a bounce): Котегава скупал «мусорные» акции, когда они уходили на 25-23% ниже линии SMA (простой скользящей средней) и сбрасывал их, как только происходил отскок, ожидая следующего обвала котировок. Эта стратегия позволяла Такаши иметь на счету порядка $15 тыс. и удерживать свое положение. Но все изменилось, когда 8 декабря 2005 года роковую ошибку совершил не он, а брокер Mizuho Securities.

• В тот четверг Mizuho Financial Group, одна из крупнейших брокерских фирм на планете, проводила первую публичную продажу акций телекоммуникационной компании J-Com — и эта дата вошла в учебники по трейдингу как одно из худших IPO в истории.

• Сотрудник Mizuho размещал на Токийской фондовой бирже 14,5 тысяч ценных бумаг J-Com, каждая из которых стоила более $5 тыс. Но ошибся и случайно выставил их на торги по 0,8 цента по тому курсу. И, хотя ошибка была замечена и исправлена мгновенно, акции продолжали торговаться по ложной мусорной цене (по техническим причинам) весь день. Это нанесло урон настоящей цене акций, которая за 10 минут обвалилась на 7%.

• За тот день было продано 2,8 тыс. акций J-Com, а оборот по ним превысил $3,5 млрд. Все это время Mizuho пыталась спешно выкупить выставленный пакет акций, в результате чего потеряла в общей сложности $250 млн. Поскольку ошибка была налицо, крупные игроки предпочли вернуть шальные деньги Mizuho. А вот мелкие трейдеры не захотели отдавать заработанные миллионы, и Котегава стал одним из них. Он заработал $20 млн. за 10 минут, быстро среагировав на ошибку биржи, было скорее доблестью, чем преступлением.

• За вовремя выкупленные по мусорной цене акции рекрутингового подразделения J-Com Co Котегава удостоился в интернете клички J-com-Man и моментально стал культовой фигурой сначала в японских, а затем и в международных кругах интернет-трейдеров, любящих такие асоциальные истории успеха.

• Когда слово предоставили самому герою того дня, Такаши в одном из интервью сказал: «Мне было страшно видеть массовые продажи, я не знал, что происходит. Я не решил, как потратить деньги. Решу это в начале следующего года». Как стало очевидно впоследствии, большую часть средств Котегава инвестировал в торговлю на бирже.

• К 2008 году благодаря своему трудолюбию и методичности Такаши вырастил стартовый капитал, вырванный у Mizuho с $20 млн до $153 млн. Лишь после этого он подарил родителям машину, а сам соизволил наконец съехать от них, купив небольшую квартиру... Такая вот история человеческой и технической ошибки биржи, которая принесла нашему герою целое состояние...

#Разное

Linux Command Line Computing - хорошая книга для изучения командной строки Linux, хоть и на английском.

• Содержит информацию для начинающих и опытных специалистов. Помимо книги автор опубликовал практические задания, которые доступны на github. Содержание книги следующее:

- Introduction and Setup;
- Command Line Overview;
- Managing Files and Directories;
- Shell Features;
- Viewing Part or Whole File Contents;
- Searching Files and Filenames;
- File Properties;
- Managing Processes;
- Multipurpose Text Processing Tools;
- Sorting Stuff;
- Comparing Files;
- Assorted Text Processing Tools;
- Shell Scripting;
- Shell Customization.

https://learnbyexample.github.io/

#cli #Книга #Linux

• Ну, во-первых, это красиво.... а во-вторых, теперь точно не упадет.

#Юмор

• Вышел еще один бесплатный мини-курс от Select по PostgreSQL. Если хотите освежить и структурировать свои знания о работе с реляционными СУБД, то переходите по ссылке ниже.

• Курс будет полезен Junior- и Middle-специалистам: администраторам баз данных, разработчикам, DevOps-инженерам и аналитикам. Содержание следующее:

• Урок 1. Введение в базы данных и системы управления ими;
• Урок 2. Реляционная модель данных. Связи между таблицами;
• Урок 3. Основы SQL на практике. Первые таблицы;
• Урок 4. Связывание таблиц;
• Урок 5. Продвинутые запросы;
• Урок 6. База данных на облачном сервере;
• Урок 7. Заключительный.

• Ну и еще обещают серт по факту прохождения. Так что забираем в копилку:

https://study.selectel.ru/postgresql

#Курс #PostgreSQL #DevOps

Bitrix Ultimate Pentest Guide.

• Автор этого материала собрал очень объемный гайд по пентесту CMS Bitrix, который включает в себя большое кол-во техник и различных методов. Вот содержание:

- Основы битриксологии:
• Встроенный WAF;
• Многосайтовость.
- Определение версии;
- Множественные эндпоинты для авторизации:
• Лайфхак через burp.
- Интересные эндпоинты;
- Content Spoofing;
- Account Enumeration;
- Non-legitimate registration;
- Open Redirect;
- XSS уязвимости;
- SSRF;
- LFI;
- RCE:
• RCE vote_agent.php (CVE-2022-27228);
• RCE html_editor_action.php;
• RCE Landing;
• CVE-2022-29268 (Rejected).
- BDU:2024-01501:
• Reflected XSS;
• Local File Read.
- WAF Bypass;
- LPE;
- Bitrix24:
• XSS bitrix 24;
• CVE-2022-43959;
• CVE-2023-1713;
• CVE-2023-1714;
• CVE-2023-1718.
- Уязвимые модули:
• Реестр уязвимостей сторонних модулей;
• Директория /local/;
• Структура самописного модуля;
• Aspro;
• Интернет-магазины;
• Корпоративные сайты;
• Отраслевые сайты;
• Устаревшие модули;
• RCE by Insecure deserialization;
- Поиск интересных директорий и файлов.
- Сканер под bitrix - “huitrix”:
• Структура сканера:
• Fast scan;
• Full Scan;
• Detect Version;
• Entrance Finder;
• RCE modules;
• Enum Bitrix Users;
• Spawn Bitrix User;
• Detect custom modules.
- References:
• Github;
• BDU;
• Habr & Telegra.ph;
• Telegram;
• Other.

https://pentestnotes.ru/notes/

#Bitrix #Пентест

СПАМ!

• 5 июля 1937 года появился SPAM! Хотя в то время не существовало никакого ИТ. Тем не менее, именно в этот день произошло событие, которое спустя более чем полвека оказало значительное влияние на мир высоких технологий. А именно, американская компания Hormel Foods Corporation выпустила на рынок свой флагманский продукт, название которого знакомо теперь каждому айтишнику.

• Начало этой истории известно, наверное, всем. После окончания Второй Мировой войны на складах компании Hormel Foods осталось огромное количество консервированной ветчины со специями — Spiced Ham, или, сокращенно, SPAM. Эти консервы изначально предназначались для снабжения солдат, но к тому времени остались невостребованными. Пока продукт не испортился окончательно, производитель решил распродать запасы как можно быстрее, и затеял для этого масштабную рекламную кампанию. Реклама консервированной ветчины появилась буквально повсюду: на уличных плакатах, на автобусах, на вывесках магазинов и кафе.

• Несмотря на то, что бешеный период популярности продукта уже давно прошел, известности он не потерял. В США в городе Остин с населением 24700 человек находится улица под названием Spam Boulevard и ресторан «Johnny's SPAMarama», меню которого посвящено исключительно SPAMу. И все потому, что именно здесь предприниматель Джордж А. Хормел в 1891 году основал свою скотобойню и предприятие по упаковке мяса, которое позже превратилось в Hormel Foods.

• На Гавайях каждый год проходит большой спам-фестиваль. Нет, на нем не зачитывают вслух письма от нигерийских принцев. Там собираются повара и любители SPAMа, чтобы посоревноваться в приготовлении блюд с использованием этого продукта. На последнем SPAM-Фестивале собрались более 24 000 посетителей, чтобы попробовать кукурузные похлебки, пиццы, блюда различных кухонь, главным ингредиентом которых стал SPAM. Вообще, на Гавайях эти мясные консервы возводятся чуть ли не в культ и употребляются в количестве семи миллионов банок ежегодно, а местные рестораны McDonald's включают их в состав местных бургеров. Как оказалось, SPAM популярен не только в США. В Южной Корее консервы с ветчиной раздают в качестве подарков на Лунный Новый год.

• Так вот, в компьютерную среду спам пришел благодаря Дэйву Родесу, который в 1986 году разослал в конференциях Usenet множество рекламных сообщений о новой финансовой пирамиде. Заголовок гласил: «Заработай кучу денег», а в письмах содержалась инструкция, как это сделать. Тексты настолько приелись юзерам, что они начали ассоциировать их с рекламой, которая была повсюду. Так за словом «спам» и закрепилось его новое, современное значение.

• Естественно, компании, создающие софт и различный инструментарий для борьбы с почтовой рекламой, поспешили добавить новомодное словечко в свои торговые марки, что очень не понравилось Hormel Foods Corporation. Корпорация оказалась недовольна таким использованием своего товарного знака, и в период с 2002 по 2007 год подала серию исков против таких компаний, как Spam Arrest, Spambuster и Spam Cube, — и все суды с треском проиграла. В итоге Hormel Foods пришлось смириться с тем, что название ее продукта стало общеупотребительным словом с другим значением.

• В России одним из наиболее одиозных спамеров до сих пор считается «Центр американского английского», действовавший в начале двухтысячных. Пользователям настолько не полюбились массовые рассылки рекламы курсов иностранного языка, что они постоянно подвергали сайт Центра DDоS-атакам, пытались его взломать, звонили по телефонам компании, чтобы занять линию и поиздеваться над сотрудниками… А основатель центра позже и вовсе был убит при невыясненных обстоятельствах.

• А ведь всё началось с ветчины ))

#Разное