Часто нужно узнать всю информацию о какой-нибудь уязвимости: насколько найденный баг критичен, есть ли готовые сплоиты, каким сканером проверить наличие бага в системе. Раньше приходилось искать вручную по десятку источников. Сегодня эту рутину можно (и нужно!) автоматизировать с помощью специализированных сервисов. Один из таких — Vulners, крутейший поисковик по багам.

Гаджет под названием Echo — это компьютер, у которого нет монитора и клавиатуры, зато есть колонка и микрофон. Он стоит дома и ждет, пока пользователь обратится по имени к голосовому ассистенту Alexa. Echo пока что продается только в США, но если тебе любопытно или ты хочешь начать писать плагины для Alexa, то можешь прямо сейчас попробовать Echo в браузере.

Иногда возникает необходимость узнать, какие баги были найдены в каком-нибудь топовом приложении для Android. Причин для этого может быть масса: от попыток раскрутить вектор дальше и поиска схожих уязвимостей до банальных проверок на хардкод. Попробуем провернуть, а поможет нам в этом связка HackApp + Vulners.

Что выбрать, если тебе срочно нужно нарисовать какую-нибудь схему? В Windows есть Visio, в Linux — уже страшно старая Dia, в OS X — OmniGraffle, во всех операционках работает yEd и еще куча софта для рисования диаграмм. Но если устанавливать и тем более покупать ничего не хочется, то идеальным вариантом будет редактор Draw.io.

В этом выпуске: триумфальное возвращение Paranoid Android, Cyanogen OS с интеграцией приложений от Microsoft в систему, драйвер ADB для тысячи устройств, смартфон с камерой ночного видения, российский смартфон «Ермак» стоимостью 2000 долларов, инструкция по сборке приложений Android из командной строки, инструкция по удалению всего, что ты сказал Google Now, с серверов Google и многое другое.

Когда мы говорим о плагинах и модульных приложениях, то в первую очередь имеем в виду обычный пользовательский софт. Однако модульный дизайн может быть не менее полезен при разработке руткитов и бэкдоров. Если вынести ключевую функциональность в модули, незаметно подгружать модули по сети и удалять их сразу после загрузки, можно серьезно подпортить жизнь реверсеру.

Представь, что тебе нужно быстро развернуть небольшой, но при этом динамический сайт. Скажем, проверить какую-то идею или на скорую руку создать инструмент, доступный через интернет. Сервис HyperDev призван сделать предварительную подготовку ненужной: ты заходишь на hyperdev.com и все — твой сайт работает, можешь начинать кодить!

В прошлом номере мы рассмотрели образцово-показательную реализацию резервного копирования данных на примере устройств Apple iOS. А как обстоят дела на других платформах? Сегодня мы изучим главного антагониста iOS — платформу Google Android и выясним, как сохранить данные с рутом и без, каким образом восстановить данные из резервной копии и как расковырять чужой локальный или облачный бэкап.

Одним из самых интересных на Google I/O было выступление Адриана Людвига, отвечающего за безопасность платформы Android. За сорок минут он успел рассказать и о новшествах Android M в плане безопасности, и о грядущем Android N. Так как о security-фичах шестой версии системы мы уже писали, я остановлюсь лишь на том, что инженеры Гугла успели добавить в седьмую. Поехали.

Никогда прежде корпорация Microsoft не обращала столь пристального внимания на Linux, как в последние полгода. Конкретно сборка Microsoft Windows 10 Build 14316 для разработчиков (developer release) совместно с Canonical (!) включает подсистему Linux. Это не эмулятор и не виртуальная машина, а полноценный терминал Linux, работающий внутри Windows 10!

В этот раз у нас необычный обзор. Дело в том, что в текущем месяце на конференции Google I/O 2016, да и до нее, поисковый гигант выкатил сразу четыре весьма странных и неоднозначных приложения, мимо которых просто нельзя пройти. Поэтому просим немножко потерпеть до следующего месяца, а в этот раз насладиться тем, что вполне можно назвать «маркетологи Google приняли что-то не то».

В прошлый раз ты познакомился с великими и ужасными отечественными шифрами, которые стоят на страже государственной тайны. В этот раз мы не будем так глубоко погружаться в математику, а просто пройдемся по самым топовым зарубежным шифрам и посмотрим, как же их применяют на практике.

В этом FAQ: разбираемся с наследованием прав в Windows, удаляем надоевший Outlook с твоего Android, проводим диагностику состояния жестких дисков на десктопе и выбираем удобную читалку для ноута. Задавай свои вопросы!

Границу между веб-сайтами и приложениями усиленно стирали последние десять лет, но так и не стерли. Наоборот, с расцветом мобильных телефонов приложения вернулись и никуда не собираются уходить. Технология Instant Apps — это подход к той же проблеме с другой стороны. Что, если заменить сайты настоящими приложениями? Последствия могут навсегда изменить интернет и имеют серьезные побочные эффекты.

В прошлой статье мы собрали сеть из датчиков и андроидофона с использованием BLE (Bluetooth Low Energy, Bluetooth Smart), поюзали SensorTag 2 от Texas Instruments и ознакомились с характеристиками и профилями. Узнали мы и как можно принимать и передавать данные через BLE на Android с железа. Сегодня мы свяжем полученные SensorTag’ом данные об окружающей среде через смартфон c небольшим облачным сервисом.

Быстрое развитие виртуализации приводит к росту числа серверов, нуждающихся в управлении и обслуживании. И если раньше подключение к серверу мониторинга занимало немного времени, то сейчас на это уйдет куда больше. На этом этапе и необходимо обратиться за помощью к средствам управления конфигурациями серверов.

Это интервью впервые появилось в выпуске «Хакера» в августе 2013 года, но так и не было опубликовано на сайте. Редакция посчитала публикацию интервью с Кириллом isox'ом Ермаковым удачным поводом для того, чтобы «вспомнить былое» и сравнить взгляды на профессию от двух крупных whitehat`ов. Итак, встречайте: Владимир d0znpp Воронцов, один из самых идейных whitehat`ов России!

Есть мнение, что банковские CISO — скучные ребята. Героя сегодняшней истории скучным назвать точно нельзя. Кому-то он известен как топовый багхантер Яндекса, кому-то как создатель открытой базы уязвимостей Vulners, а кому-то — просто как крутейший спец по корпсеку. Итак, знакомься — Кирилл «isox» Ермаков, главный безопасник QIWI!

Свершилось! Аркадий Дьяконов (darkaha@mail.ru) победил задачи, поставленные перед нашими читателями экспертами компании ABBYY, за что и был награжден сертификатом на FineReader. Слава ему!

Как любителю музыки, мне особенно интересно писать этот обзор – наушники одной из описанных фирм служат мне уже три года. Наш рынок аксессуаров наполнен моделями азиатских и европейских производителей, однако встречаются и несколько по-настоящему крутых американских. Но далеко не всю продукцию американские производители поставляют в Россию: многие интересные модели вполне имеет смысл покупать на родном рынке США.

Когда мы говорим об анонимности в интернете, то чаще всего подразумеваем такие проекты, как Tor, I2P, Tor Browser, DNSCrypt и Live CD TAILS, включающий в себя все перечисленное. Однако существует менее известная, но очень интересная система Whonix, использующая виртуализацию в качестве средства изоляции рабочей станции от глобальной сети и способная защитить твою анонимность даже после взлома.

Многие продвинутые пользователи Android после приобретения нового девайса получают права root, чтобы тонко настроить смартфон и установить приложения, добавляющие полезную функциональность в ОС. На самом деле даже без root Android — очень гибкая и настраиваемая ОС, позволяющая изменять свой интерфейс и существенно расширять возможности.

Android — самая кастомизируемая мобильная ОС большой тройки. Возможности сторонних приложений здесь очень широки, а сама ОС построена вокруг идеи о взаимозаменяемых компонентах, так что никто не ограничивает тебя в выборе софта. Зачем же тогда получать root? Ведь система и без того поощряет кастомизацию и расширение.

Этой статьей мы продолжим наш совместный проект с «Бандеролькой», которая в рамках акции снизила стоимость доставки различных девайсов из Америки. Теперь стоимость доставки планшета или экшн-камеры составляет всего 20 баксов. Посмотрим, что хорошего в этой области нам предлагают Соединенные Штаты Америки.

Бесплатные антивирусы есть в арсенале многих софтверных компаний. Они выпускаются как реклама платных версий с дополнительными функциями и применяются для сбора статистики (ну и заодно снижают общее количество зараженных компьютеров в мире). Подходы у всех разработчиков разные, и среди них встречаются интересные решения. На этот раз мы проверим ClamWin Free Antivirus с модулем Clam Sentinel, FortiClient for Windows, NANO Антивирус и Tencent PC Manager.

Новости о нейронных сетях появляются каждый день. То сети научились определять пол и возраст людей по фотографии, то обыграли человека в очередную настольную игру, то начали генерировать научные тексты, код приложений и писать картины в духе Сальвадора Дали. А завтра Скайнет отберет у тебя работу, автомобиль, жизненное пространство, а тебя самого... нет, не утилизирует, а удобно разместит на диване и заставит ничего не делать, наслаждаясь безусловным доходом. Или все-таки нет?

Кто же не знает Winamp, The Bat, ICQ, Far Manager, WinRAR? Когда-то эти программы были установлены на каждом компьютере. Живы ли сейчас они и их менее известные современники? Обновляются ли? Будут ли последние доступные версии работать в Windows 10? Давай проверим!

Исследование американского рынка гаджетов продолжается: на этот раз поговорим о смартфонах. Заставить «притащить» смарт из-за океана может только одно — низкая цена. В этом обзоре мы попробуем разобраться, насколько она низкая.

В этом выпуске — скрипт для поиска сигнатур антивирусов, умный сетевой фаззер, Java-фреймворк для анализа TLS-библиотек, Python-библиотека для взлома криптографии, анализатор вредоносного кода, утилита для удаленного управления и IDE для разработки скриптов под Nmap. Stay Tuned!

Антивирусным компаниям не так часто удается проследить весь цикл хакерской атаки. Как правило, они могут проанализировать сам вредоносный код и в некоторых случаях определить источник заражения. Но на этот раз нам сопутствовала удача: мы смогли отследить всю историю активности печально известного Marcher — вредоносного ПО для мобильных банков.

Развертывание большого количества систем и приложений — задача непростая и многоэтапная. За долгое время было разработано большое количество технологий и инструментов, их реализующих, поэтому с ходу разобраться не всегда просто. Сobbler сводит разные решения в один проект, а единый интерфейс позволяет не отвлекаться на особенности работы с каждым из них.

Команда специалистов по влажной уборке городов рассказывает об участии в соревновании «CityF: противостояние», прошедшем в рамках Positive Hack Days 2016.

Capture the Flag (CTF) — это игра, в которой участники пытаются захватить флаг противников и защитить свой. Популярной ее сделали командные шутеры вроде Quake и Team Fortress, но в какой-то момент хакерам пришла идея спроецировать CTF на информационную безопасность. О том, как выглядит результат, и пойдет речь в этой статье.

Акция «Бандеролька Гаджетов» позволяет доставлять гаджеты из США по низким ценам. Мы решили разобраться, выгодно ли заказывать часы и фитнес-трекеры из Америки или же проще и дешевле купить в российских интернет-магазинах.

Случайным образом, копая очередной BugBounty, я натолкнулся на цепочку уязвимостей в достаточно популярном почтовом клиенте от IT-гиганта Mail.Ru. Эксплуатация уязвимостей из этой цепочки не требовала на устройстве особых прав и могла привести к полной компрометации содержимого почтового ящика жертвы или даже содержимого SD-карты. В статье я опишу методы, с помощью которых были найдены эти уязвимости, вспомогательные тулзы и финальный вектор с демонстрацией на видео.

В сегодняшнем обзоре мы рассмотрим многочисленные уязвимости в IP-камере Motorola Focus. Помимо дефолтных и слабых паролей, там еще много интересного. К тому же ее прошивка используется и другими производителями, что открывает новые пути исследования. Также разберем DoS-уязвимость и хакерское использование функции procedure analyse() в MySQL.

В продолжении темы прошлого номера мы узнаем, каким образом в Android можно генерировать дополнительные потоки и зачем это может понадобиться. Сегодня поговорим о таком компоненте приложения, как сервисы, и опишем их роли в мобильном мире Android. Сервисы и потоки тесно переплетены между собой, поэтому, если ты еще не читал прошлый номер «Хакера», начни с моей статьи, будет полезно!

Фреймворк Multi-OS Engine — технология Intel, предназначенная для разработки кросс-платформенных мобильных приложений для iOS и Android из-под Windows или OS X. При этом на выходе должны получаться нативные приложения для каждой из платформ. А получаются ли? Давай посмотрим.

Только думаешь приобщиться к кодингу? Теряешься в многообразии языков и технологий? Радуйся, настал твой день: мы немного поднапряглись и всей редакцией выкатили для тебя интерактивный гайд по выбору языка программирования в зависимости от твоих потребностей. Неважно, хочешь ли ты писать мобильные игры, искать бэкдоры в прошивках ZTE или просто зарабатывать кодингом на жизнь, — мы предусмотрели все варианты. Крути схему, отвечай на вопросы, выбирай свою технологию... И не забудь потом перечислить нам процент с первой зарплаты. Так сказать, за наводку!