Когда речь заходит об OpenBSD, на ум приходят межсетевые экраны, IPSec-туннели и агентство национальной безопасности США. Тем не менее опенок может быть отличным десктопом, в котором нет простоты установки Ubuntu, но есть логичность и проработанность каждого компонента, а также солидный набор первоклассных инструментов администрирования прямо из коробки.

Девушка по имени LiLith Автор: Michael Hendrickx. URL: michaelhendrickx.com/lilith. Система: *nix/win. LiLith — это Perl'овый скрипт, предназначенный для аудита веб-приложений. Точнее, это сканер и инжектор HTTP-форм. Тулза анализирует веб-страницу на наличие тегов <form> , а затем тестит их на SQL-инъекции. LiLith работает почти так же, как обыкновенный поисковый паук, только с небольшим хакерским уклоном: она инжектирует в формы различные спецсимволы …

В IT-сообществе принято считать безусловным злом любой софт, который крадет персональные данные пользователя и приносит огромную прибыль киберпреступникам. Между тем существуют вполне легальные компании, которые разрабатывают и продают трояны.

Самым эффективным способом предотвратить заражение как на десктопных системах, так и на мобильных устройствах многие считают антивирусные средства. Безусловно, обнаружение и предупреждение запуска зловредов позволяет значительно оградить себя от нежелательных последствий. Но мы посмотрим на эту проблему несколько иначе. Если вредоносному приложению все-таки посчастливится и оно будет запущено, главной его целью будет повышение привилегий (по возможности UID = 0) путем эксплуатации одной из уязвимостей ОС или компонентов. Выяснить же, насколько дыряв твой андроид, тебе поможет сканер известных уязвимостей X-Ray от американской ИБ-конторы Duo Security. Приложение имеет механизм обновления базы уязвимостей, а на момент написания этого текста обучено выявлению восьми критических багов. И если какой-нибудь из тестов дает положительный результат, то это повод призадуматься над внеочередным системным обновлением.

«Смартфон с хакерскими утилитами? Нет такого», — еще недавно сказали бы мы тебе. Запустить каике-то привычные инструменты для реализации атак можно было разве что на каком-нибудь Maemo. Теперь же многие привычные инструменты портировали под iOS и Android, а некоторые хак-тулзы были специально написаны для мобильного окружения. Может ли смартфон заменить ноутбук в тестах на проникновение? Мы решили проверить.

«Криптосфера» — распределенное хранилище с применением стойкой криптографии. Вместо централизованного сервера файловую систему образует неограниченное количество серверов в интернете. Любой желающий может предоставить кусочек своего дискового пространства для участия в единой мировой системе защищенного хранения данных. Вся информация в «Криптосфере» хранится в зашифрованном виде: используется или асимметричный шифр, или блочный шифр, или хеш-функция. Это относится к каждому пакету, проходящему через систему (включая рукопожатия!), и абсолютно ко всем хранимым данным.

Есть у нас в издательстве милая девушка Вера, которая каждый месяц делает страшное. Она берет рабочие файлы одного из прошлых номеров «Хакера» (тексты, иллюстрации и фотографии, файлы верстки) и заливает их на DVD-болванку. Для архива. Со временем файлы из рабочей папки автоматически удаляются, чтобы сетевое хранилище не забивалось под завязку, но файлы всегда остаются в архиве на болванке. В теории. На практике не раз оказывалось, что файлов нужного номера может не оказаться. Или, к примеру, на болванке, где должны быть файлы январского номера прошлого года, легко могут оказаться файлы февральского. Ну что взять с ручной работы? Естественно, это давно надо было автоматизировать, однако технической возможности не было. Журналов много, файлы большие — админы уверяют, что никаких их NAS’ов для такого объема не хватит (особенно если нужно гарантировать целостность данных). Пришлось все брать в свои руки. Где разместить гигабайты данных максимально дешево? Максимально надежно и как можно более дешево? Пока я думал над этим вопросом, Amazon анонсировал свой новый сервис Amazon Glacier. Это явно было послание свыше :).

С одной стороны, тема XML injection — это жуткий баян, а с другой — она так популярна, что баги такого типа присутствовали во многих X-конкурсах последнего времени, например ZeroNights HackQuest и месяце поиска уязвимостей в Яндексе. В этой статье мы постарались собрать и систематизировать все, что известно об XML injection на данный момент.

Посмотреть, как устроена клиентская часть веб-приложения (та, которая отображается в браузере), очень просто: для этого на любой странице можно нажать «Просмотр кода страницы» и получить ее полный исходник (HTML/CSS/JS-код). Но попробуй в Chrome’е открыть ссылку kurlak.com/john/source.html и посмотреть ее сорец. Когда на странице четко отображается вопрос «Can you view my source from Chrome?», то при запросе исходника отображается издевательская фраза «You can, but not that easily...». Что за дела? Исследователю Джону Курлаку удалось проспуфить исходник веб-страницы! Это может показаться невинной шалостью, но на самом деле представляет собой довольно изящный хак. Ведь если кто-то подозревает, что на его страницу был каким-то образом внедрен посторонний зловредный код, то, открыв вот так в браузере ее исходник, он увидит ровно то, что захочет показать ему злоумышленник!