Атака на некоторые уязвимые веб-приложения Vulnhub. Эксплуатация уязвимостей. Часть 2
Всех приветствую, читатели Хабра! Сегодня я снова поделюсь опытом анализа защищенности веб-приложений Vulnhub. Вот ссылка на первую часть. Примечание Правовая информация: Данная статья создана исключительно в ознакомительных/образовательных/развивающих целях. Автор статьи не несет ответственности...
Вредоносные твари и где они обитают: история самых разрушительных кибератак. Как защищаться бизнесу?
Цифровизированному бизнесу — такие же угрозы. Просчитывая риски, вроде банкротства или подосланных недобросовестным конкурентом головорезов в балаклавах, компании забывают о кибербезопасности. Тем временем неприметный гик, возможно, уже разрабатывает новую вредоносную программу, которая лишит...
Что произошло в 2022 году и как будет развиваться рынок информационной безопасности в 2025 году
После ухода иностранных вендоров российский рынок информационной безопасности не только не рухнул, но и продолжил развиваться. Отечественные компании активно разрабатывают собственные решения в таких областях, как защита конечных устройств (EDR), межсетевые экраны нового поколения (NGFW), системы...
Атака на некоторые уязвимые веб-приложения Vulnhub. Взлом и эксплуатация уязвимостей
Всех приветствую, читатели (и не только читали) Хабра! В моей сегодняшней статье я затрону анализ защищенности веб-приложений и некоторые способы атаки на них. Но для начала уточню пару моментов. Я публикую только те примеры, которые я сам лично пробовал на практике, примеры с которыми не должно...
[Перевод] 5 способов взломать цели на WordPress
На сегодняшний день более полумиллиарда сайтов работают на WordPress. К сожалению, не каждому уделяется должное внимание с точки зрения безопасности. Вероятность наткнуться на сайт с уязвимым WordPress довольно высока. WordPress часто используется как платформа для блогов или документации, а...
[Перевод] Новая уязвимость в GitHub Copilot и Cursor: как хакеры могут превратить AI-агентов в оружие
Исследователи Pillar Security обнаружили новый опасный вектор атак на цепочку поставок, который назвали «Бэкдор файла правил» («Rules File Backdoor»). Этот метод позволяет хакерам незаметно компрометировать код, сгенерированный ИИ, путем внедрения скрытых вредоносных инструкций в, казалось бы,...
Пентест системы печати. Развиваем атаки
В предыдущих двух статьях мы начали разговор об уязвимостях системы печати. Поговорили о том, какие протоколы используют принтеры и как вообще устроен вывод документов на печать. Также, мы познакомились с инструментом Pentest Explotation Toolkit и рассмотрели некоторые атаки. Сегодня мы продолжим...
Цифровые следы: как сохранить приватность в мире 2025 года
Вы когда-нибудь задумывались, кто и зачем подолгу и пристально может изучать ваш цифровой портрет, составленный из отправленных писем, публикаций в социальных сетях, отзывов и поисковых запросов? Цифровой портрет — это коллаж из цифровых следов, создающих конкретный образ. Каждое ваше действие в...
Стековые канарейки и где они обитают. Приручаем один из ключевых харденингов
Хабр, привет! Меня зовут Мария Недяк, я специализируюсь на разработке харденингов нашей собственной микроядерной операционной системы «Лаборатории Касперского» KasperskyOS. Если вкратце: мы стараемся сделать любые атаки на нашу ОС невозможными — или хотя бы очень дорогими :-) Один из главных...
Сканируем уязвимости без рутины: «Сканер-ВС 6», API и Telegram-оповещения
Ручное сканирование уязвимостей — это нормально, когда у вас десяток адресов и море свободного времени. Но если адресов сотни, а сканировать их нужно регулярно, процесс быстро превращается в рутину. Забыли запустить скан? Потеряли часть результатов? Результаты есть, но никто о них не узнал? Решение...
Битфлипаем зашифрованный JSON, не зная структуры: разбор демозадачи с T-CTF 2025
Проводим третий T-CTF для ИТ-специалистов, которые хорошо разбираются в коде. Соревнования пройдут онлайн и офлайн 19—20 апреля, так что пока есть время подготовиться. В статье расскажем, что нового будет в этом году, и разберем одно демозадание. Если вы уже ко всему готовы, переходите на страницу...
Potatoes, EternalBlue, PrintNightmare: способы детектирования уязвимостей протокола SMB
Всем привет! Меня зовут Влад Кузнецов, я аналитик SOC в К2 Кибербезопасность. SMB — один из самых распространенных протоколов сетевой коммуникации для безопасного управления файлами и различными службами удаленного сервера. Несмотря на свою незаменимость, протокол SMB может быть отличной лазейкой...
Встроенные механизмы безопасности для объектов КИИ: что это, как помогает и зачем мы в это вкладываемся?
Привет Хабр! Меня зовут Константин Закатов, я работаю в «ПК Аквариус» директором департамента по информационной безопасности. Количество киберугроз растет, поэтому необходимо постоянно модернизировать и адаптировать подходы к защите оборудования на объектах критической информационной инфраструктуры...
Установка+базовая настройка файерволла ufw. Базовая настройка и использование proxychains4 на Kali Linux
1 Proxychains4 В сегодняшней статье я покажу простейшие примеры использования файерволла на примере ufw а также настрою соединение с конечным сервером через прокси. И вновь повторюсь, что я пишу статью лишь для тех, кто только начал изучение Линукс, а не для тех кто уже гуру. Мои статьи скорее...
К вопросу об избыточности мер ИБ в АСУ ТП
Дисклеймер - это ответ к статье https://habr.com/ru/articles/890612/ который не влез в комментарий. На иллюстрации - распределение атак в сегментах АСУ ТП. Если коротко - в статье мнение об ИБ из разряда "не читал но осуждаю" с крайне спорным мнением по каждому пункту. Читать далее...
UX против мошенников
Каждый из нас слышал истории взлома сервисов и учеток с разными исходами, у кого‑то побывали в таких ситуациях близкие. Что думают об этом архитекторы, разрабатывающие и принимающие эти сервисы? Опыт показывает, что они подозревают, что что‑то идет не так. А дальше включается традиционный...
Как избыточные меры ИБ в АСУТП губят производство, увеличивают простои и создают ложные угрозы
Введение: ИБ vs. Реальность производства Автоматизированные системы управления технологическими процессами (АСУТП) — это основа современного производства. Однако внедрение строгих мер информационной безопасности (ИБ) всё чаще превращается в самоцель, игнорируя реальные потребности предприятий....
[Перевод] HTTP Request Smuggling на business.apple.com и других сайтах
Около года назад Apple произвела фурор в баг-баунти сообществе, привлекая внимание различными эксплойтами и честной таблицей наград. Я взялся за дело и обнаружил критические проблемы связанные с Request Smuggling, которые затрагивали ключевые веб-приложения в инфраструктуре Apple. Я выявил проблемы...
Назад