Самым эффективным способом предотвратить заражение как на десктопных системах, так и на мобильных устройствах многие считают антивирусные средства. Безусловно, обнаружение и предупреждение запуска зловредов позволяет значительно оградить себя от нежелательных последствий. Но мы посмотрим на эту проблему несколько иначе. Если вредоносному приложению все-таки посчастливится и оно будет запущено, главной его целью будет повышение привилегий (по возможности UID = 0) путем эксплуатации одной из уязвимостей ОС или компонентов. Выяснить же, насколько дыряв твой андроид, тебе поможет сканер известных уязвимостей X-Ray от американской ИБ-конторы Duo Security. Приложение имеет механизм обновления базы уязвимостей, а на момент написания этого текста обучено выявлению восьми критических багов. И если какой-нибудь из тестов дает положительный результат, то это повод призадуматься над внеочередным системным обновлением.

«Смартфон с хакерскими утилитами? Нет такого», — еще недавно сказали бы мы тебе. Запустить каике-то привычные инструменты для реализации атак можно было разве что на каком-нибудь Maemo. Теперь же многие привычные инструменты портировали под iOS и Android, а некоторые хак-тулзы были специально написаны для мобильного окружения. Может ли смартфон заменить ноутбук в тестах на проникновение? Мы решили проверить.

«Криптосфера» — распределенное хранилище с применением стойкой криптографии. Вместо централизованного сервера файловую систему образует неограниченное количество серверов в интернете. Любой желающий может предоставить кусочек своего дискового пространства для участия в единой мировой системе защищенного хранения данных. Вся информация в «Криптосфере» хранится в зашифрованном виде: используется или асимметричный шифр, или блочный шифр, или хеш-функция. Это относится к каждому пакету, проходящему через систему (включая рукопожатия!), и абсолютно ко всем хранимым данным.

Есть у нас в издательстве милая девушка Вера, которая каждый месяц делает страшное. Она берет рабочие файлы одного из прошлых номеров «Хакера» (тексты, иллюстрации и фотографии, файлы верстки) и заливает их на DVD-болванку. Для архива. Со временем файлы из рабочей папки автоматически удаляются, чтобы сетевое хранилище не забивалось под завязку, но файлы всегда остаются в архиве на болванке. В теории. На практике не раз оказывалось, что файлов нужного номера может не оказаться. Или, к примеру, на болванке, где должны быть файлы январского номера прошлого года, легко могут оказаться файлы февральского. Ну что взять с ручной работы? Естественно, это давно надо было автоматизировать, однако технической возможности не было. Журналов много, файлы большие — админы уверяют, что никаких их NAS’ов для такого объема не хватит (особенно если нужно гарантировать целостность данных). Пришлось все брать в свои руки. Где разместить гигабайты данных максимально дешево? Максимально надежно и как можно более дешево? Пока я думал над этим вопросом, Amazon анонсировал свой новый сервис Amazon Glacier. Это явно было послание свыше :).

С одной стороны, тема XML injection — это жуткий баян, а с другой — она так популярна, что баги такого типа присутствовали во многих X-конкурсах последнего времени, например ZeroNights HackQuest и месяце поиска уязвимостей в Яндексе. В этой статье мы постарались собрать и систематизировать все, что известно об XML injection на данный момент.

Посмотреть, как устроена клиентская часть веб-приложения (та, которая отображается в браузере), очень просто: для этого на любой странице можно нажать «Просмотр кода страницы» и получить ее полный исходник (HTML/CSS/JS-код). Но попробуй в Chrome’е открыть ссылку kurlak.com/john/source.html и посмотреть ее сорец. Когда на странице четко отображается вопрос «Can you view my source from Chrome?», то при запросе исходника отображается издевательская фраза «You can, but not that easily...». Что за дела? Исследователю Джону Курлаку удалось проспуфить исходник веб-страницы! Это может показаться невинной шалостью, но на самом деле представляет собой довольно изящный хак. Ведь если кто-то подозревает, что на его страницу был каким-то образом внедрен посторонний зловредный код, то, открыв вот так в браузере ее исходник, он увидит ровно то, что захочет показать ему злоумышленник!