Открыть список
Как стать автором
Обновить
  • по релевантности
  • по времени
  • по рейтингу

В результате взлома известного opensource-хостинга были заражены дистрибутивы Audacity, Classic Shell и другие

Информационная безопасностьOpen sourceРазработка под Windows


2 августа был взломан сайт FOSShub. Это бесплатный хостинг, на котором разработчики свободного и открытого ПО размещают свои приложения. Самые известные продукты, которые пользователи скачивают с FOSShub, – это Audacity и Classic Shell. Они набрали 25 миллионов и 15 миллионов загрузок соответственно.

После взлома сайт некоторое время распространял зараженные вирусом версии приложений. Злоумышленники модифицировали их исходный код и загрузили на сервер FOSShub. Установщики (для Windows) программ ClassicShell, qBittorent, Audacity и, возможно, некоторых других были заменены на троян, который затирает MBR, оставляя сообщение от хакерской группы PeggleCrew.

После установки зараженного софта и перезагрузки компьютера операционная система переставала загружаться.
Читать дальше →
Всего голосов 14: ↑14 и ↓0 +14
Просмотры13K
Комментарии 12

Как изучать исходные тексты

Блог компании Selectel
Бувально в тот момент, когда я (не очень успешно) вычитывал ошибки и опечатки в предыдущем посте, bobry предложил обсудить, как сделать в консоли историю (которая, Shift-PgUp).

Очевидным методом сделать что-то связанное с терминалами — посмотреть, как сделано у других и сделать так же. В процессе изучения этого мы обратили внимание на интересную особенность: некоторые программы, показывая содержимое, восстанавливают экран до запуска приложения (mc, vim, nano, less и т.д.). Кроме того, при их запуске исчезает (в xterm/gnome-terminal) скролл-бар.

Для изучения «каким образом» было решено остановиться на MC, как самом старинном (и не зависящем от ncurses) приложении.

Далее идёт роматичная история о том, как mc делает toggle_panel() с большим количеством цитат из исходного кода.

Заодно, читатель сможет посмотреть, как выглядит процесс «посмотри в исходниках».
Читать дальше →
Всего голосов 52: ↑49 и ↓3 +46
Просмотры13.6K
Комментарии 47

Очень странный взлом сайта

Чулан
Я админ достаточно крупного тематического украинского сайта некоммерческой тематики, никому нафиг не нужной. Вчера, 26 числа заметил, что Сапа не приносит денег. Но ссылки стоят корректно. Начали копать — накопали клоакинг, модицифирующий результирующий html код страницы после всех его генераций. В результате ссылки роботу Сапы, а также роботам Гугла и Яндекса передавались с nofollow. И увидеть это можно только роботам с соответствующим юзер агентом и айпишником — люди видят нормальный код.
Читать дальше →
Всего голосов 38: ↑18 и ↓20 -2
Просмотры423
Комментарии 16

Чемпионаты по программированию и не только

Спортивное программирование

Рассказывая о конференциях, форумах, съездах и лан-пати, нельзя обделить вниманием хакерские и программерские чемпионаты. А ведь их немало, за призовые места там платят неплохие деньги, да и в целом участие в подобных мероприятиях — это очень полезный опыт.
Читать дальше →
Всего голосов 45: ↑39 и ↓6 +33
Просмотры15.4K
Комментарии 16

Спецслужбы Великобритании GCHQ запустили конкурс взлома кода для привлечения новых талантов

Информационная безопасность
image
Организация пригласила потенциальных работников для решения визуальный задачи (код размещен на веб-сайте)

Задача была также опубликована в социальных сетях, блогах и форумах.

Как заявил пресс-секретарь кампании, данный тест направлен на повышение значимости GCHQ у целевой аудитории, что иначе было бы трудно сделать.

«Целевой аудиторией для этой конкретной кампании являются те, которые не могут быть привлечены традиционными методами рекламы и могут не знать, что GCHQ набирает для данной работы сотрудников», сказал собеседник агентства.

«Их навыки могут идеально подходить для нашей работы, и все же они не могут понять, как они могли бы применить их к рабочей среде, особенно там, где они имеют возможность внести свой неоценимый вклад»

Конкурс начался в тайне 3 ноября и продлится до 12 декабря.

Читать дальше →
Всего голосов 43: ↑34 и ↓9 +25
Просмотры1.1K
Комментарии 63

Hard Startup! | Проекты по Жести!

Блог компании Клуб Инноваторов
image
7 декабря в 18.30 | Биржевая линия д.14 (ИТЦ НИУ ИТМО)
Hard Start-up! | Стартапы по Жести!

Уже совсем скоро, завтра (в среду вечером) пройдёт тематическое мероприятие для людей, увлечённых «железными» проектами. Для тех, кому надоело смотреть только презентации, а хочется, как говорится, «пощупать стартап своими руками». Приглашаются кинестетики разбирающиеся в микроэлектронике и робототехнике, а также люди, интересующиеся развитием проектов с реальным производством.
Программа мероприятия будет включать:
Читать дальше →
Всего голосов 4: ↑2 и ↓2 0
Просмотры1.2K
Комментарии 0

Восстановление пароля – хакеры, welcome!

Блог компании Positive Technologies
Хакер

Каждый из нас хотя бы раз в жизни сталкивался с ситуацией, когда пароль от почты забыт, а посмотреть письма нужно. Тут нам на помощь приходит процедура восстановления пароля, которую заботливые сервисы разработали специально для подобных случаев. Именно эта процедура вызывает больше всего вопросов с точки зрения безопасности. Как выяснилось, не зря.

Наш исследовательский центр Positive Research посмотрел, насколько легко можно получить несанкционированный доступ к аккаунтам пользователей «ВКонтакте», Facebook, Google, Mail.Ru и Яндекс. Причем не путем технических атак, а только с помощью социальной инженерии.

Википедия описывает социальную инженерию как метод управления людьми без использования технических средств. В нашем случае это способ получения несанкционированного доступа к личной информации человека, опять же, без использования каких-либо специальных знаний или инструментов.

Безусловно, всегда можно отправить фишинговое письмо и заставить пользователя перейти на сайт, где он засветит свои логин и пароль, или подкинуть трояна и ждать. Способов существует много. Но нам было интересно другое. Мы хотели проверить, насколько реально получить доступ к аккаунту пользователя, используя только общедоступную информацию, которую можно найти в интернете. Без взаимодействия с пользователем. Без технических изысков. Без уязвимостей «нулевого дня».
Читать дальше →
Всего голосов 43: ↑19 и ↓24 -5
Просмотры22.6K
Комментарии 21

HackQuest закончен?! HackQuest продолжается!

Блог компании Positive Technologies
Ante Scriptum

До 20 января 2012 года любой желающий может проверить свои силы в оценке защищенности, поиске и эксплуатации уязвимостей, реверсинге и просто хакерстве. Регистрация и информация по подключению доступна по адресу: http://phday.ru/smt.asp?gnum=1 (рус) и http://phday.com/smt.asp?gnum=1 (eng).

Вступайте и компилируйте!

Scriptum

26 декабря закончились соревнования по информационной безопасности PHDays CTF Quals и PHDays CTF Afterpaty. Командные состязания CTF Quals проходили по правилам task-based CTF и позволили нам выявить финалистов, которые примут участие в очном туре 30-31 мая 2012 года на форуме Positive Hack Days. Сольная битва дала нам возможность найти наиболее мощных хакеров, которые получат возможность принять участие в PHDays, а также станут обладателями ценных призов от организатора соревнований – компании Positive Technologies, включая легендарный сканер безопасности XSpider 7.8. В пылу битвы участники не только нашли все заложенные нами уязвимости но и обнаружили как минимум одну уязвимость нулевого дня (0-day): mPDF <= 5.3 File Disclosure.

Итак, как это было.
Всего голосов 10: ↑9 и ↓1 +8
Просмотры4.1K
Комментарии 2

Форензика. Компьютерная криминалистика. Н.Н. Федотов

Информационная безопасность
image

Уважаемые хабраюзеры!

Позвольте порекомендовать вам единственную и по-настоящему стоящую книгу по тематике компьютерной криминалистики на русском языке.

Аннотация говорит сама за себя:
Читать дальше →
Всего голосов 87: ↑76 и ↓11 +65
Просмотры17.1K
Комментарии 70

Брюс Шнайер на Positive Hack Days!

Блог компании Positive Technologies
image

Гуру криптографии, известный во всем мире эксперт по информационной безопасности Брюс Шнайер впервые приезжает в Москву, чтобы выступить на форуме Positive Hack Days, организованным компанией Positive Technologies.

Брюс Шнайер – легенда ИБ-мира, его имя значит многое для каждого, кто связан с информационной безопасностью. На книге Брюса «Прикладная криптография» выросло не одно поколение криптографов, специалистов и хакеров.
Читать дальше →
Всего голосов 6: ↑5 и ↓1 +4
Просмотры3.2K
Комментарии 0

Как организовать живые и online соревнования CTF? Вебинар Positive Technologies

Блог компании Positive Technologies
20 стран, 45 команд, 250 хакеров. 2 тура (командный и индивидуальный) и 2 месяца времени. Задания по вебу, криптографии, reverse engineering и не только. Поиск уязвимостей и анализ защищенности.
А все вместе – это отборочные этапы соревнований CTF, которые пройдут на форуме по информационной безопасности Positive Hack Days в мае.

Дмитрий Евтеев, мозговой центр и PHDays CTF Overlord расскажет, как сделать подобные соревнования, и поделится техническими и организационными подробностями. В программе – тайны подготовки CTF 2011, СTF Quals и CTF Afterparty.

Вебинар пройдет 16 февраля (четверг) в 14.00. Участие – бесплатное!
Зарегистрироваться можно здесь.
Всего голосов 2: ↑1 и ↓1 0
Просмотры833
Комментарии 0

Интервью с CYBERMANIAC

Информационная безопасностьDelphiРеверс-инжинирингСофт
Если вы знаете, и помните человека под ником CYBERMANIAC, для вас этот разговор будет похож на внезапное обнаружение половины студенческой зарплаты во внутреннем кармане старой куртки. Для тех кто никогда не слышал о Станиславе, я думаю будет тоже интересно почитать о небольшой, но уникальной искре времени начал интернета в далеком от столиц городов России глазами CYBERMANIAC'а. Он мне показался неизменным с 00 годов да и настолько изолированным, что очень уж захотел написать о нем.

Мы осторожно поговорим о жизни программиста в глубинке, о языках программирования с момента появления их в России: Forth, Borland Pascal, Delphi ,C#, MegaBasic, Java, SQL, C++. о япоском языке, о змеях, о национальных напитках, о Сократе, о советских объективах, о звездах, человеческих страхах.

CYBERMANIAC носит в себе большой опыт в крекинге, написании утилит, автор Neo Sign 0f Misery, древней электронной книги “Теоретические основы крекинга”, а так же автор многим любимого windows scanner и большого фотолюбителя-звездочета. Интервью получилось многим больше, чем я рассчитывал. Но надеюсь, для вас будут звучать колокольчиками похожие мысли. Именно их мы и слушаем, когда читаем…
Читать дальше →
Всего голосов 57: ↑49 и ↓8 +41
Просмотры28.6K
Комментарии 13

Неизвестный хакер измерил Всемирную паутину

Блог компании Webnames.ru
Недавно автор, не пожелавший раскрывать свое имя, опубликовал интересное исследование, из которого он сделал следующие выводы:

Каковы размеры Интернета?

Считать можно по-разному. На момент исследования было зарегистрировано 420 млн. IP-адресов, отвечавших на запросы по команде ping, плюс еще 36 млн. адресов с одними или несколькими открытыми портами. Таким образом, около 450 млн. адресов можно однозначно считать функционирующими и доступными для всех пользователей Интернета.

Читать дальше →
Всего голосов 16: ↑9 и ↓7 +2
Просмотры8.8K
Комментарии 3

3 истории Ethic Hack. Как хакеры помогают QIWI ликвидировать баги

Блог компании QIWIИнформационная безопасность
Не так давно мы в QIWI запустили одну интересную программу – она называется Ethic Hack. По сути мы привлекаем всех желающих к поиску ошибок и багов в интерфейсах системы. Нашел баг, описал его в письме, получил вознаграждение от QIWI – вот так работает схема. Когда программа только запускалась, офис поделился на 2 лагеря: одни верили в успех и в возможность содействия со стороны хакеров, другие же отнеслись к этой затее скептически. Тогда сложно было объективно судить – ничего, кроме вероятных прогнозов у нас не было. А сейчас – есть. И мы как раз хотим поделиться с вами наработанными кейсами.



С момента запуска программы мы получили информацию и исправили более 150 уязвимостей. За отдельные уязвимости мы заплатили до 150 000 рублей, но именно их мы не можем опубликовать в примерах.

Итак, программа пошла в гору. У нас накопилось немало багов, которые мы исправили благодаря содействию хакеров. Специально для вас мы выделили несколько примеров. Несколько реальных историй Ethic Hack.
Читать дальше →
Всего голосов 40: ↑21 и ↓19 +2
Просмотры23.2K
Комментарии 37

Конспект выступления Кевина Митника в Москве

Информационная безопасность
image
10 сентября Компания «Крок» проводила конференцию, на которой докладчиком был Кевин Митник.
Для меня этот человек — кумир и легенда (я диплом писал отчасти по его книгам), поэтому попасть на его выступление было для меня делом чести.
Узнал я о конференции за 3 дня до ее начала и официально попасть мне на конференцию не удалось.
Что ж, у Митника я многому научился, и поэтому, пустив в ход социальную инженерию, я осуществил физический доступ (проникновение на охраняемый периметр).
Под катом краткий конспект выступления
Читать дальше →
Всего голосов 75: ↑72 и ↓3 +69
Просмотры57.2K
Комментарии 43

Сооснователь The Pirate Bay будет выдан Дании

Информационная безопасность
В четверг власти Швеции сообщили о том, что они выдадут сооснователя The Pirate Bay Готтфрида Свартхольма Варга Дании, где его обвиняют в хакерских атаках.

На данный момент Свартхольм отбывает срок в Шведской тюрьме за взлом компьютеров компании работающей с налоговой службой. Выдача Свартхольма Дании состоится 27-го ноября на основании июньского заявления датских властей о том, что Готтфрид Свартхольм в апреле-августе 2012 года занимался нелегальным скачиванием файлов принадлежащих полиции.
Читать дальше →
Всего голосов 30: ↑27 и ↓3 +24
Просмотры8.8K
Комментарии 2

Особенности мобильных приложений на платформе iOS, использующих логин и пароль клиентов для доступа к платному контенту

Блог компании Инфосистемы ДжетИнформационная безопасностьРазработка под iOS
Разработчики мобильных приложений зачастую сталкиваются с необходимостью хранить конфиденциальные данные пользователя на пользовательском устройстве. Это могут быть, например, номер кредитной карточки или аутентификационные данные. В этой статье мы поговорим о типичных ошибках реализации хранения конфиденциальных данных с точки зрения информационной безопасности на примере мобильной платформы iOS.
Обычно настройки приложения хранятся в конфигурационных файлах. Библиотека Cocoa Touch, используемая при разработке приложений для мобильной платформы iOS, предоставляет слой абстракции для хранения настроек приложения в классе NSUserDefaults. Класс NSUserDefaults реализует нелюбимый многими шаблон проектирования «Одиночка» (более известный как Singleton), предоставляя доступ к интерфейсу над стандартным конфигурационным файлом приложения.
Стандартный файл конфигурации приложения располагается в его домашней директории по относительному адресу Library/Preferences/<your.company.name>.<app.name>.plist. Как и другие файлы, расположенные в «песочнице», он не доступен на чтение для других приложений пользовательского уровня. Исключения составляют устройства, подвергнутые модификациям политики безопасности системы (jailbroken-устройства).
Многие разработчики по достоинству оценили удобство работы с классом NSUserDefaults. Подавляющее число приложений используют его для хранения внутренних настроек и/или настроек пользователя. К сожалению, удобство использования редко коррелирует с безопасностью. Хранение конфиденциальных данных пользователя в стандартном файле настроек является типичной ошибкой разработчиков, приводящей к утечке пользовательской информации.
В результате исследования исходного кода Приложения А на наличие ошибок в контексте информационной безопасности было выявлено, что приложение сохраняет данные аутентификации пользователя в конфигурационном файле настроек. Загрузив Приложение А на iPad под управление оригинальной операционной системы iOS версии 6.1.3, мы прошли стадию аутентификации и принялись за исследование файла настроек приложения.

image
Рис. 1. Загрузка приложения на iPad
Читать дальше →
Всего голосов 3: ↑2 и ↓1 +1
Просмотры6.3K
Комментарии 0

История хакерских взломов информационных систем (1903-1971)

Информационная безопасностьКриптография

1903


Фокусник и изобретатель Невил Маскелин сорвал публичную демонстрацию, где Джон Флеминг показывал якобы безопасную беспроводную передачу данных(Маркони), послав оскорбительные сообщения морзянкой, которые высветились на экране перед публикой.

Статья в NewScientist.

Под катом еще несколько старинных «хаков».
Читать дальше →
Всего голосов 78: ↑60 и ↓18 +42
Просмотры34.5K
Комментарии 11

Атаки HTML5: что нужно знать

Блог компании СибириксИнформационная безопасность


Все последние версии браузеров поддерживают HTML5, следовательно, индустрия находится на пике готовности принять технологию и адаптироваться к ней. Сама технология создана такой, чтобы сделать простым процесс включения и обработки графического и мультимедиа-контента в вебе, без использования третьих плагинов или API. Эта статья расскажет о новых типах атак, которые HTML5 «подарил» миру.
Читать дальше →
Всего голосов 73: ↑53 и ↓20 +33
Просмотры38.9K
Комментарии 10