Главная Выбор редактора

Выбор редактора

В этой рубрике находятся все статьи, которые редакция журнала выпускает на платной основе и включает в состав ежемесячных выпусков. Другими словами, это раздел, статьи в котором полностью доступны только онлайн-подписчикам журнала «Хакер».

Xakep #229

Выносим всё! Какие данные о нас хранит Google и как их вернуть себе через Takeout

Как известно, Google хранит огромное количество данных о своих пользователях, чем его непрерывно попрекают. Под напором критики в Google создали механизм, который позволяет взять и выкачать все свои данные. Этот сервис называется Takeout, и у него могут быть разные интересные применения, о которых мы и поговорим. А заодно детально изучим то, что он выдает на руки пользователю.

Роскомнадзор vs Telegram. Итоги двух дней блокировки

Противостояние Роскомнадзора и мессенджера Telegram продолжается. Спустя два дня после начала блокировки Telegram по-прежнему доступен без использования VPN и прокси, чего нельзя сказать о других ресурсах и сервисах. Подводим промежуточные итоги.

Xakep #229

Друпалгеддон-2. Подробно разбираем новую уязвимость в Drupal

Вот и настал час второго «Друпалгеддона»! Это новая версия наделавшей в свое время много шума критической уязвимости в одной из самых популярных CMS. Найденная брешь позволяет абсолютно любому незарегистрированному пользователю всего одним запросом выполнять любые команды на целевой системе.

Xakep #230

Лучшее с мировых ИБ-конференций. Как взломать NFC и Apple Pay и уронить человека с гироскутера

Продолжаем держать тебя в курсе самых интересных докладов с мировых хакерских конференций. В сегодняшнем материале — все, что связано с уязвимостями беспроводных технологий. И между прочим, делись в комментах лекциями и докладами, которые ты нашел без нашей помощи!

Xakep #229

Хардкорный взлом самошифрующегося HDD. Реверсим и хакаем внешний накопитель Aigo

Реверсинг и взлом внешних самошифрующихся накопителей — мое давнее хобби. В прошлом мне доводилось упражняться с такими моделями, как Zalman VE-400, Zalman ZM-SHE500, Zalman ZM-VE500. Совсем недавно коллега занес мне еще один экспонат: Patriot (Aigo) SK8671, который построен по типичному дизайну — ЖК-индикатор и клавиатура для ввода ПИН-кода.

Xakep #229

X-Tools. Подборка полезных хактулз для сбора и анализа данных

Сегодняшний X-Tools посвящен сбору и анализу открытых данных. Другими словами — этапу рекона. Очередные семь тулз, которые помогут найти, просканировать уязвимые хосты, а также облегчить этап эксплуатации, обогащая ресерчера новыми знаниями о целевой машине.

Прессуем WordPress. Как работает новый метод «класть» сайты на WordPress

В WordPress, самой популярной CMS в мире, была найдена ошибка, которая позволяет вызывать отказ в обслуживании сайта, то есть DoS. Успешную эксплуатацию с легкостью возможно провести удаленно, и для этого не нужно обладать никакими правами в системе.

Xakep #229

WWW: Texttop — графический браузер, который работает в терминале

Не все из проектов, о которых я пишу в рубрике WWW, имеют практическую ценность, но штуковине под названием Texttop, кажется, удалось побить все мыслимые рекорды бесполезности. Единственное достоинство графического десктопа, который передается через текстовый терминал, — это завораживающая смелость всей затеи.

Xakep #229

WWW: gron — утилита, которая облегчает работу с JSON из командной строки

Данные в формате JSON легко загружать и сохранять в своих программах, а вот через терминал работать с сериализованными объектами далеко не так просто. Автор утилиты gron решил исправить это, сделав так, чтобы по файлам в JSON можно было искать с помощью grep, сравнивать их через diff и так далее.

Xakep #229

WWW: SQL Injection Wiki — коллекция примеров SQL-инъекций

Исследователи ИБ из компании NetSPI собрали неплохую подборку самой разной информации, связанной с SQL-инъекциями. Эта техника атак на веб-приложения хорошо известна и широко применяется с тех времен, когда сайты стали делать на основе баз данных. И до сих пор она считается одной из самых опасных.

Xakep #229

Оружие массового заблуждения. Разбираем 10 простых рецептов социальной инженерии

Социальная инженерия обычно считается частью таргетированной атаки, но что, если применять подобные схемы массово? Автор статьи разработал и протестировал десять таких сценариев, чтобы понять, как люди будут на них реагировать и какие могут быть последствия.

Xakep #229

Прослушка VoIP. Как PRISM и BULLRUN извлекают информацию из голосового потока

VoIP-телефония постепенно отвоёвывает позиции у традиционных медно-проводных телефонных систем. Но как насчёт конфиденциальности VoIP-переговоров? Способно ли сквозное шифрование, применяемое в VoIP-софте, обеспечить эту самую конфиденциальность? Такие вопросы стали в особенности злободневными после откровений Сноудена, поведавшего миру о тотальной прослушке.

Xakep #229

Искусство форензики. Теория, книги, курсы, полезные материалы

Если ты когда-нибудь садился за чужой компьютер и пытался разобраться, то поздравляю: ты уже занимался форензикой. Только у специалистов круг задач намного шире: они расследуют инциденты, анализируют трафик, ищут сокрытые данные. Хочешь стать одним из таких спецов? Тогда давай посмотрим на основы этого мастерства и соберем коллекцию утилит и ссылок на ресурсы, которые помогут прокачать скилл.

Xakep #228

MEGANEWS. Основные события марта

В этом месяце: паника из-за Meltdown и Spectre, повсеместное распространение эксплоитов АНБ, громкие взломы криптобирж и кражи миллионов долларов при ICO, противостояние китайских производителей смартфонов и спецслужб США, текущие тренды в технологиях разработки ПО и другие события в сфере инфобезопасности, взлома и защиты.

Xakep #229

Memcached как средство для DoS. Как ошибка в конфиге превратила полезную утилиту в хакерское оружие

В конце февраля этого года GitHub подвергся мощнейшей DoS-атаке с пиковой мощностью 1 Тбайт/с. Атака стала возможна из-за особенностей кеширующей базы данных Memcached. Помимо GitHub, ее используют Facebook, LiveJournal и другие большие сайты. В этой статье я расскажу, что делает небольшой скрипт на Python, который привел к таким последствиям.

Xakep #228

Защищаем ноутбук с Linux. Шифрование, аутентификация по флешке и возврат украденного

Уверен, многие читатели ][ уже давно избавились от стационарных компов и используют ноутбук как основной инструмент для работы, учебы и всего остального. Мир сдвинулся с места и стал мобильным. Но там, где есть мобильная техника, есть и риск ее потерять, забыть или быть обокраденным. Как при этом не лишиться данных, уберечь их от посторонних глаз и отыскать-таки украденную технику? Попробуем разобраться.

Xakep #229

Плохой Андроид. Как производители превращают хорошую ОС в тормозное необновляемое убожество

В одном из предыдущих выпусков мы подробно рассмотрели причины, по которым смартфоны Apple были и будут быстрее актуальных флагманов на Android. Статья вызвала бурные обсуждения и неоднозначные реакции. В связи с этим мы решили развить и углубить тему, рассказав о тех палках, которые суют в колеса неплохой, в принципе, системы производители андроид-смартфонов.

Xakep #228

PICO-8. Играем и кодим на легендарной приставке, которой никогда не было

Если ты когда-нибудь пытался сделать игру, то знаешь, как это непросто и как много требуется времени и сил. Но так было не всегда. PICO-8 и другие фэнтезийные ретроконсоли — это попытка вернуть старые времена, когда игры делали на коленке и получали от этого максимум удовольствия. Давай посмотрим на PICO-8 поближе, разберемся, что и как делает сообщество, и полюбуемся на красивые демки, которые умещаются в твит.

Xakep #229

Тулкит для форензики. Выбираем дистрибутив и набор софта для криминалистического анализа

Если твоя задача — найти улики на жестком диске, то худшее, что ты можешь сделать, — это «натоптать» самостоятельно, изменив какие-то данные и создав новые файлы. Чтобы этого не происходило, работать с электронными вещдоками лучше всего, загрузившись с live CD. А еще лучше — иметь загрузочный носитель со специализированным дистрибутивом. Об их выборе и особенностях мы и поговорим в этой статье.

Xakep #228

Атлас мира криптовалют. Разбираемся с ICO и ориентируемся в новых криптопроектах

За последний год от криптовалют стало буквально некуда деваться: лихорадка майнинга захватила умы, Bitcoin рос как на дрожжах и был дважды форкнут, а новые альткойны появлялись чуть ли не каждый день. Все это сопровождалось метаниями правительств и новостями о действиях мошенников. Среди всего этого безумия одна тенденция кажется наиболее интересной — это Initial Coin Offering, или ICO.

Xakep #229

Системный изолятор. Изолируем процессы в Windows средствами Less Privileged App Container (LPAC)

Начиная с восьмой версии в Windows появился встроенный механизм контейнеров, которые позволяют изолировать процессы путем значительного усечения их прав. Этому системному механизму дали название Less Privileged App Container (LPAC), он поддерживается некоторыми приложениями, например браузером Chrome. В этой статье я покажу, как использовать его в своих программах.

Xakep #228

Как подчинить белку. Учимся эксплуатировать новую уязвимость в почтовике SquirrelMail

В почтовом сервере SquirrelMail найдена очередная уязвимость, и, хоть баг довольно прост, импакт от него крайне неприятный: любой пользователь может читать или удалять произвольные файлы в системе. Но досаднее всего для владельцев SquirrelMail, что прошел год с момента находки уязвимости, а разработчики так ее и не запатчили. Давай посмотрим, откуда она берется и как ее эксплуатировать.

Xakep #229

Небезопасность WebApp. 10 горячих докладов с ИБ-конференций

Каждый безопасник должен держать руку на пульсе и быть в курсе значимых публикаций и презентаций по нашему с тобой профилю. Не всем удается постоянно путешествовать по миру и посещать хакерские конференции, но с некоторых пор для наших подписчиков это перестало быть проблемой. В этом выпуске — самые интересные публикации, посвященные безопасности WebApp.

Xakep #228

Инъекция для андроида. Внедряем код в чужие приложения с помощью Frida

Когда мы говорим о взломе и модификации чужих приложений, то чаще всего подразумеваем использование декомпилятора, дизассемблера и отладчика. Но есть инструмент, который работает совершенно иначе. Это Frida, тулкит, позволяющий внедриться в процесс и переписать его части на языке JavaScript.

Гасим файрвол. Учимся эксплуатировать критическую уязвимость в ОС Palo Alto Networks

Palo Alto Networks — один из крупнейших секьюрити-провайдеров. Файрволы этой компании работают на собственной ОС с приятным русскому уху названием PAN-OS. В ней-то недавно и нашли уязвимости, которые приводят к удаленному исполнению кода от имени суперпользователя без какой-либо авторизации. Хочешь узнать, как такие серьезные ребята смогли так облажаться? Давай разберемся!

Xakep #228

][-детектив: целевая атака на Сбербанк. Раскрываем подробности АРТ «Зловредный Санта-Клаус»

Накануне праздников мы все с головой погружаемся в задачи, которые нужно успеть завершить, бдительность офисных работников притупляется, и это на руку хакерам. Недавно мы столкнулись с серией кибератак на компании финансового сектора России, в том числе и Сбербанк. На первый взгляд, это были привычные фишинговые рассылки на адреса банковских сотрудников. Но детальный разбор и анализ выявили постоянно эволюционирующую целенаправленную атаку.

Xakep #228

Прятки по хардкору. Как сделать свой драйвер режима ядра Windows и скрывать процессы

Все мало-мальски серьезные защитные приложения используют собственные модули режима ядра, через которые работает большинство их функций. Если у программы есть такой драйвер, то пробовать скрываться от нее из режима пользователя бессмысленно. Так же бесполезно пытаться на нее как-то воздействовать. Решение — написать собственный драйвер. В этой статье я покажу, как это делается.

Xakep #228

Новая броня Android. Как Android 9 будет защищать приватность и безопасность пользователей

Восьмого марта Google представила предварительный выпуск Android P, который почти со стопроцентной вероятностью вскоре сменит имя на Android 9. В новой версии в очередной раз изменился интерфейс, появились новые функции панели уведомлений, поддержка HDR, двух камер, но наше внимание, как всегда, привлекает нечто гораздо более интересное: безопасность и новые механизмы ограничений.

Xakep #228

Надзирай и властвуй. Как узнать все, что происходит с твоей Linux-машиной

Ты уверен, что в курсе всего происходящего у тебя в системе? Возможно, ты даже пользуешься какой-то системой мониторинга наподобие Prometheus или Zabbix, но знаешь ли ты, как самому получить подробные отчеты о работе системы и железа? В этой статье мы расскажем, как, используя командную строку Linux и стандартные утилиты, доступные в любом дистрибутиве, выжать максимум информации о работе системы.

Xakep #228

WWW: QB64 — наследник QuickBASIC, который почти не выглядит устаревшим

Если ты успел провести достаточно времени за синим экраном, на котором заглавными буквами возводились зиккураты из циклов FOR..NEXT, значит, тебе будет приятно (или как минимум забавно) услышать о том, что легендарный QuickBASIC жив по сей день.

Xakep #228

WWW: Front-End Checklist — список всего, что нужно сделать перед запуском сайта

Если попытаться записать всё, что нужно добавить, подключить и проконтролировать перед тем, как открывать сайт, то выйдет внушительный список. Именно его составлением и занялся куратор документа под названием Front-End Checklist и опубликовал свою подборку на Github во имя всеобщего блага.

Xakep #228

WWW: fish shell — замена для bash с упором на комфорт и юзабилити

Все давно свыклись с тем, что командная строка не менялась с семидесятых-восьмидесятых годов, и понимают, что лучше уже вряд ли станет. Однако попытки изменить ситуацию всё же нет-нет да предпринимаются. Разработчик шелла под названием fish решил вытянуть UX командной строки хотя бы еще на десять лет в будущее. Слоган на главной странице проекта иронично гласит: «Наконец-то шелл, достойный девяностых годов!»

Xakep #228

Грандиозный факап. Разбираем уязвимости проверки сертификатов SSL и TLS в небраузерном софте

Первоначально разработанный для браузеров, SSL/TLS-протокол стал стандартом де-факто вообще для всех защищенных интернет-коммуникаций. Список ситуаций, когда обмен информацией требует максимальной безопасности, довольно внушителен. В этой статье мы рассмотрим, как безопасность этих коммуникаций обеспечивается на практике.

Xakep #228

Задачи на собеседованиях. От хакеров — хакерам: задачи от HackerU

Сегодня квесты представляют наши в некотором роде коллеги — Высшая школа информационной безопасности. Занимаются они, как нетрудно догадаться, профессиональной подготовкой частных лиц и компаний, стремящихся приобрести необходимые навыки и опыт в области ИТ и ИБ.

Xakep #228

Android: отслеживание смартфона без GPS, взлом упаковщика Qihoo и модификация приложений в рантайме

Сегодня в выпуске: отслеживание смартфона с выключенным GPS, взлом продвинутого упаковщика Qihoo, восстановление истории переписки и удаленных сообщений WhatsApp, модификация приложений в рантайме. А также: советы по использованию шифрования в своих приложений, обзор библиотеки Android-ktx, способы распознавания отпечатков, лица и голоса, и конечно же подборка свежих библиотек.

Xakep #228

Одна «Альфа» хорошо, а две — лучше! Готовимся к продвинутым техникам взлома Wi-Fi

В прошлых статьях о пентестах точек доступа Wi-Fi мы разобрали базовые техники, а сейчас примемся за более продвинутые. Рассмотрим особенности адаптеров и добавим мощности нашему донглу. Это необходимо, чтобы использовать ускоренные способы взлома, принудительно отключать беспроводные клиенты, атаковать скрытые сети и обходить фильтрацию по MAC-адресам.

Xakep #228

Прыжок в облако. Строим бюджетное решение для интернета вещей на NodeMCU + Azure IoT Hub

Самое популярное назначение IoT-устройств — это сбор телеметрии. На сегодняшний день цены на облачные IoT-сервисы снизились буквально до одного доллара в месяц, который, согласись, не жалко отдать даже просто ради эксперимента. :) В этой статье я расскажу, как отправить данные в облако с платы NodeMCU, используя язык Lua.

Xakep #228

Android для юниксоида. Используем смартфон в связке с Linux

Android и дистрибутивы Linux не просто родственные ОС — они основаны на одном ядре и на низком уровне очень похожи. В Android работает большинство команд Linux, сюда можно установить bash, писать скрипты и даже запускать серверы. Установив на смартфон SSH, ты можешь ходить на него с компа и даже использовать rsync для синхронизации файлов. Обо всем этом мы и поговорим сегодня.

Xakep #228

Детект песочницы. Учимся определять, работает ли приложение в sandbox-изоляции

Определение факта изоляции программы — полезный навык, который помогает и разработчикам защит, и вирмейкерам: если программа работает в изолированной среде, это может означать, что она изолирована защитными средствами либо ее поведение хотят исследовать реверсеры или вирусные аналитики. Из этой статьи ты узнаешь, как распознавать sandbox-изоляцию и запуск под гипервизорами разных типов.

Xakep #228

Mining Pool на Java. Кодим распределенный биткойн-майнер

Падение курса Bitcoin привело к тому, что даже в нашей холодной стране с дешевым электричеством майнить стало значительно менее выгодно. Что остается делать энтузиастам криптовалют? Особо предприимчивые стали привлекать к расчетам чужие компьютеры и, так сказать, переходить к распределенным вычислениям.

Страница 1 из 2712345 1020...

Какие браузерные расширения ты считаешь самыми полезными?

«ХАКЕР» в соцсетях и фидах

«ХАКЕР» ДОСТУПЕН ТОЛЬКО В ЭЛЕКТРОННОЙ ВЕРСИИ
Оформи подписку — получи:
  • доступ к платным материалам сайта
  • доступ ко всем номерам PDF
6790 р.
на год
720 р.
на месяц
90 р.
за 1 статью

Еженедельный ][-дайджест

Реклама на «Хакере»

Корпоративная подписка

Для подписчиков