Главная Выбор редактора

Выбор редактора

В этой рубрике находятся все статьи, которые редакция журнала выпускает на платной основе и включает в состав ежемесячных выпусков. Другими словами, это раздел, статьи в котором полностью доступны только онлайн-подписчикам журнала «Хакер».

Xakep #234

Идеальная форма. Обрабатываем сложные формы на Python с помощью WTForms

Обработка HTML-форм в веб-приложениях — несложная задача. Проблемы начинаются, когда форма разрастается: нужно следить за полями, их ID, атрибутами name, корректно маппить атрибуты на бэкенде при генерации и процессинге данных... Разработка превращается в постоянную рутину. Однако есть способы сделать работу с формами удобной.

Xakep #234

Эхо кибервойны. Как NotPetya чуть не потопил крупнейшего морского перевозчика грузов

Российское кибероружие, построенное на утекших у АНБ эксплоитах, маскировалось под вирус-вымогатель, но главной целью NotPetya было выведение из строя промышленных объектов. Одной из жертв стал крупнейший морской грузоперевозчик — Maersk. История о его заражении и устранении последствий не просто полна захватывающих подробностей, но во многом показательна.

Xakep #234

Самое крутое с мировых ИБ-конференций. Лучшие публикации, посвященные взлому видеоигр

Современная игровая индустрия — большой бизнес, в котором крутятся весьма солидные деньги. Поэтому и игры сегодня взламывают не ради фана, легкого прохождения или новых игровых возможностей, а все по той же причине – деньги, деньги и еще раз деньги. Добро пожаловать в будущее!

Xakep #234

Безопасность смарт-контрактов. Топ-10 уязвимостей децентрализованных приложений на примере спецификации DASP

Количество смарт-контрактов в блокчейне Ethereum только за первую половину 2018 года выросло в два раза по сравнению с 2017-м. Соответственно, растет и множество уязвимостей, векторов атак на децентрализованные приложения. В этой статье мы попробуем упорядочить уязвимости аналогично OWASP Top 10. Кода тебя ждет немало, так что готовься — легко не будет. :)

Xakep #234

Нагнуть Nagios. Разбираем хитрую цепочку уязвимостей в популярной системе мониторинга

Nagios — это одно из популярнейших решений для мониторинга, которое используется во многих крупных компаниях. Обнаруженные в нем уязвимости приводят к полной компрометации системы и выполнению произвольного кода с правами суперпользователя, а для их эксплуатации не нужно обладать никакими привилегиями. Давай разберемся, какие ошибки допустили разработчики и как этим можно воспользоваться.

Xakep #234

Private_problem. Разбираем сложное задание на реверс и форензику с CTFZone 2018

Закончился онлайновый этап ежегодных соревнований CTFZone, которые проходят уже третий год подряд. Лучшие десять команд отборочного тура приглашены на финал CTFZone 2018, который состоится на конференции OFFZONE в ноябре. Здесь же мы разберем одно из наиболее сложных заданий онлайнового этапа — задание на реверс и форензику под названием private_problem.

Xakep #234

WWW: Demake JAM — конкурс миниатюрных версий знаменитых игр

25 августа 2018 года на платформе itch.io завершился замечательный конкурс для разарботчиков игр: он назывался Demake JAM и был посвящен разработке «демейков» — упрощенных клонов известных игр. Как это выглядит, ты можешь посмотреть на странице с результатами, а на страницах игр ты в большинстве случаев обнаружишь браузерную версию, в которую можно тут же и поиграть.

Xakep #234

WWW: Termgraph — консольная утилита для рисования графиков

Если ты хочешь стать настоящим мастером командной строки Unix, то не торопись выделять данные, выданные какой-нибудь консольной командой, и отправлять их в Excel или OpenOffice Calc для превращения в диаграммы. Ведь есть способ сделать это, не покидая терминал!

Xakep #234

WWW: Ondevice — сервис, который дает простой доступ к машинам во внутренней сети

Необходимость получить доступ к машине, которая не имеет адреса в глобальной сети, возникает далеко не только при взломе. Часто нужно достучаться до своих же устройств, которые находятся за NAT, а доступ к настройкам маршрутизатора есть не всегда. В этом случае можно воспользоваться сторонним сервисом, который помогает наладить контакт.

Xakep #234

Pixel 3 ненастоящий? Колонка Олега Афонина

С обозревателями гаджетов на YouTube, которые критиковали еще не анонсированный смартфон компании Pixel 3 XL на основе утекших экземпляров устройства, связалась Google. Но, вопреки ожиданиям, компания не потребовала удалить спорные ролики, а попросила разрешения использовать части видео, в которых критики разбирают так называемую «монобровь». Что же это значит?

Xakep #234

Используем Ansible для развертывания системы и программ. Колонка Ильи Русанена

Ansible — инструмент, о котором слышали, без сомнения, все, но который используют чаще системные администраторы. Для разработчика или ресерчера знакомство с Ansible обычно начинается, когда приходится раскатывать собственные серверы или сталкиваться с деплоем существующей конфигурации. Однако Ansible может оказаться полезен и в повседневной жизни — попробуем разобраться, чем именно.

Xakep #234

Как взломать iPhone. Разбираем по шагам все варианты доступа к данным устройств с iOS

В этой статье мы подробно расскажем о том, что происходит с iPhone в криминалистической лаборатории. Мы выясним, насколько реально взломать защиту iOS разных версий и что для этого понадобится в разных случаях. Мы уже описывали несколько сторон этого процесса, но сегодня разберем его целиком и постараемся охватить все возможные варианты.

Xakep #234

Змея в «Твиттере». Как вручную сделать загрузочный образ с игрой, который уместится в твит

В 1998 году люди соревновались, кто напишет самую короткую игру для DOS. Позже этот вид соревнования назвали «код-гольфингом». Я решил вернуться к такому кусочку кода (nibbles.asm) и превратить его в загрузочный образ дискеты, который бы умещался в твит, то есть в 140 символов.

Xakep #234

Лазейка под файрволом. Тестируем пять популярных средств, которые пробрасывают интернет по DNS

Когда доступ в сеть наглухо отрезан файрволом, а передать данные нужно позарез, на помощь приходит техника DNS-туннелирования. Связь будет крайне медленной, но этого хватит для проникновения в локальную сеть организации или, например, для срочного выхода в интернет по платному Wi-Fi за границей. Давай посмотрим, какие утилиты помогут тебе в этом деле и какие у каждой плюсы и минусы.

Апдейт с сюрпризом. Как производители Android-смартфонов впаривают тебе софт в составе обновлений

Общеизвестно, что чаще всего мобильные вредоносы ставят на девайсы сами пользователи. Но ты-то, дорогой читатель, пользуешься прошивкой от проверенного производителя, официальным маркетом и надежным антивирусом и полагаешь, что у вендоров все под контролем? Не тут-то было.

Xakep #233

Опасный PHAR. Эксплуатируем проблемы десериализации в PHP на примере уязвимости в WordPress

В этой статье мы поговорим об особенностях уязвимостей десериализации данных в PHP, причем не простых, а реализуемых при помощи файлов архивов PHP — PHAR. Эта техника атаки может использовать безобидные, казалось бы, функции как опасные орудия эксплуатации. И превратить, например, SSRF в выполнение произвольного кода.

Xakep #233

Android: как Google следит за тобой, новая атака Man-in-the-Disk и реверс вирусов

В этом выпуске: Google следит за тобой, новый вектор атак на мобильные устройства, реверс зашифрованных вирусов, анализ исходного кода Android на уязвимости и 47 уязвимостей в Android-устройствах. А также: лучшие онлайн-инструменты разработчика Android, скрытые возможности Kotlin и свежие библиотеки для программистов.

Xakep #233

MEGANews. Самые важные события в мире инфосека за август

В этом месяце: шифровальщики парализуют работу организаций и целых городов, Google следит за пользователями, Джон Макафи рекламирует «невзламываемый» кошелек Bitfi, а кто-то взял и взломал Reddit. Также обнаружены новые способы атак на WPA и WPA2, в открытый доступ утекли исходники Snapchat и DexGuard, а эксперты создали опасный USB-кабель и устройство для поиска скиммеров. И это еще не все!

Xakep #233

Гаси волну! Выбираем и настраиваем аппаратный деаутентификатор Wi-Fi на ESP8266

Wi-Fi jammer, или глушилка Wi-Fi, — это гаджет, который предназначен для отключения беспроводных устройств от хотспота. Глушилка может использоваться как для дружеских розыгрышей, так и для криминала: например, чтобы отключать от сети камеры слежения и другое важное оборудование. В этой статье мы разберем недорогие варианты аппаратных деаутентификаторов и расскажем, как ими пользоваться и как защититься от подобных атак.

Xakep #233

Полнодисковое шифрование с LUKS2. Изучаем новую версию популярного средства шифрования для Linux и проверяем, можно ли его взломать

Релиз cryptsetup 2.0 в декабре прошлого года прошел тихо и незаметно, что довольно-таки странно, учитывая фишки, которые он принес. В этой статье мы разберем, что в нем нового и какие проблемы существуют на данный момент, на практике попытаемся реализовать полное шифрование диска с использованием LUKS2, а также рассмотрим доступные коммерческие и свободные инструменты для его взлома.

Xakep #233

Олимпиады по программированию. Куда податься, если ты молод, умен и хочешь выиграть несколько тысяч долларов

Олимпиады бывают школьными и скучными, а бывают всемирными и уважаемыми. Участие в них интересно, познавательно, помогает завести полезные знакомства в профессиональных кругах, пополнить кошелек призовыми деньгами и получить работу на хорошей должности. О том, что собой представляют современные олимпиады, где проводятся и сколько можно заработать в случае победы, — в этой статье.

Xakep #233

PowerShell для тех, кто в баше. Пробуем найти аналоги наиболее распространенных тулз Unix в PS

При переходе с bash на PowerShell часто возникают неудобства, связанные с незнанием, какие есть аналоги и как ими пользоваться. И вроде вся логика понятна, и скрипт-то в одну строку, а как реализовать — неясно. Именно с этим и предлагаю разобраться.

Xakep #233

Злой двойник атакует! Маскируем запуск процессов при помощи Process Doppelgänging

На конференции Black Hat Europe 2017 был представлен доклад о новой технике запуска процессов под названием Process Doppelganging. Вирмейкеры быстро взяли эту технику на вооружение, и уже есть несколько вариантов малвари, которая ее эксплуатирует. Я расскажу, в чем суть Process Doppelganging и на какие системные механизмы он опирается. Заодно напишем небольшой загрузчик, который демонстрирует запуск одного процесса под видом другого.

Xakep #233

Полезная функциональщина. Грабим почту, трекеры задач и репозитории с Clojure

Язык программирования Clojure используется такими open source проектами, как NASA CMR, Cisco Threat Grid, CircleCI, Jepsen, стартапами и некоторыми крупными компаниями. В Positive Technologies решили попробовать применить Clojure как платформу для базовой автоматизации процессов управления разработкой программного обеспечения.

Xakep #233

Прокачай свой Burp! 11 наиболее полезных плагинов к Burp Suite

Поиск веб-уязвимостей и Burp Suite — это практически синонимы. Однако мощь твоего Burp напрямую зависит от выбора присадок к нему. В этой статье я собрал одиннадцать плагинов, которые постоянно использую в работе, и расскажу о том, какой вклад каждый из них вносит в облегчение и ускорение пентестерской деятельности.

Xakep #233

Шпионаж из-за Великой стены. Как действуют команды китайских хакеров

В Китае для кибершпионажа, помимо регулярных структур на базе подразделений НОАК и Министерства госбезопасности, используются и вольнонаемные команды хакеров. Им поручают самую грязную работу, чтобы в случае разоблачения репутационный ущерб правительству был минимален. В этой статье мы разберем их инструменты и методы.

Xakep #233

Pass the Hash через Open XML. Создаем документ с сюрпризом для перехвата хеша NTLMv2-SSP и брутим пароль

Хакеры давно используют документы MS Office как контейнеры для доставки пейлоада. Однако написание макросов и поиск уязвимостей в самих офисных программах — не единственные способы заставить их работать так, как нам нужно. В этой статье мы рассмотрим нетривиальный прием, заставляющий атакуемый компьютер c Windows передать нам по сети учетные данные пользователя при открытии файла .docx.

Xakep #233

Микросервисы по-микрософтовски. Пакуем приложения ASP.NET Core с помощью Docker

Кажется, Microsoft все больше и больше любит Linux! Приложения ASP.NET Core теперь по-настоящему кроссплатформенны и могут запускаться в «никсах», а соответственно, и в Docker. Давай посмотрим, как их можно упаковать, чтобы развертывать на Linux и использовать в связке с Nginx.

Xakep #233

10 научно-фантастических комиксов для тех, кто не читает комиксы и не любит супергероев

В то время как фильмы по комиксам бьют все возможные рекорды кассовых сборов, сами комиксы остаются для многих неизвестной культурой, к которой сложно подступиться. Мы подобрали десяток комиксовых сериалов, которые предназначены для взрослой аудитории, имеют структуру законченного произведения и могут хотя бы отдаленно считаться научной фантастикой.

Xakep #233

Все по песочницам! Запускаем приложения в отдельных виртуалках с помощью AppVM

Если ты действительно заботишься о безопасности, то некоторые приложения есть смысл запускать в виртуализации. Но держать три десятка виртуалок неудобно. Мне удалось обойти часть неудобств: мое решение работает в Linux, позволяет запускать приложения с GUI и шейрить файлы с основной системой, а оверхеды при этом минимальны. Как я этого добился? Сейчас расскажу.

Xakep #233

[Без]опасный JavaScript. Изучаем проблемы кода на JS и выбираем средства борьбы с ними

Разработка безопасных приложений на JavaScript — весьма непростое занятие. Но выполнимое. В этой статье рассмотрим особенности JavaScript, из-за которых возникает наибольшее количество проблем, и обратим внимание на инструменты разработчика, которые помогут их избежать.

Xakep #233

Искусство распаковки. Потрошим защиту хитрого банкера GootKit

Распаковка исполняемых файлов — одна из задач, с которыми приходится сталкиваться при реверсе. И если наш объект — это малварь, то зачастую приходится сталкиваться с кастомными упаковщиками. В этой статье я покажу, как справиться с защитными механизмами банкера GootKit, который постоянно развивается, апгрейдится и к тому же использует разные методы сопротивления отладке.

Xakep #233

WWW: Nexmon SDR — программа для превращения Raspberry Pi в SDR

Работая над переводом статьи о том, как можно превратить переходник с USB на VGA в передающее программно определяемое радио, я наткнулся на схожий и не менее интересный проект — Nexmon SDR. Это кастомная прошивка чипсета Wi-Fi, которая наделяет «Малинку» новыми интересными возможностями.

Xakep #233

WWW: WTF — универсальный дашборд для настоящих фанатов терминала

Может показаться, что всякие виджеты и гаджеты — это удел развесистых графических интерфейсов, авторы которых уже не знают, что бы еще приделать к операционной системе. Однако некоторые поклонники командной строки Linux тоже не чужды легкомысленных развлечений. Впрочем, красиво оформленную приборную панель можно считать и практичной — смотря что на нее поставить.

Xakep #233

WWW: Shadertoy — редактор шейдеров, который работает в браузере

Современные браузеры без проблем отображают трехмерную графику в формате WebGL, хотя на обычных сайтах такое развлечение пока что встречается и очень редко (да что там, почти никогда). Восполнить нехватку крутого 3D в организме, а также оценить мощь современных технологий и попробовать самостоятельно поиграться с шейдерами поможет сервис Shadertoy.

Xakep #233

APT из Поднебесной. Китайские хакерские группы и техники их целенаправленных атак

Следы большинства таргетированных атак в последние годы приводят в азиатский регион, где ярким пятном выделяются шанхайские серверы. В ходе расследований аналитики отмечают такие маркеры, как китайские IP-адреса, временные штампы, языковые настройки и софт, специфичные для Китая. Кто же устраивает кибератаки из-за «Великого китайского файрвола»?

Xakep #233

Советы Android-разработчику. Что я узнал за год поддержки приложения в Google Play

Вот уже год я занимаюсь поддержкой приложения в Google Play. За это время приложение установили сотни тысяч раз, а пользовательская база разрослась до десятков тысяч. Каждый день я получаю отзывы и письма, сообщения об ошибках и пишу код. Эта статья — советы для тех, кто только начинает свой путь в Google Play и желает сохранить хотя бы часть головы свободной от шишек.

Xakep #233

7 новых утилит для пентестера. Перебираем поддомены, пентестим WordPress и Drupal, фаззим API и кое-что еще

В этом выпуске новая подборка софта для пентеста и анализа безопасности. Научимся с комфортом находить поддомены, потрясем баги WordPress, Drupal и Magento, поищем уязвимые эндпойнты в API, а на закуску пошаримся в чужих сливах. Вперед!

Xakep #233

Вещаем по переходнику! Как превратить копеечный видеоадаптер в SDR, чтобы захватывать FM и спуфить GPS

Утилита Osmo-fl2k превращает адаптер с USB на VGA за 15 долларов в SDR-передатчик, который позволяет вещать в диапазонах FM-радио и телевидения DTV, подделывать сигнал GPS или симулировать базовую станцию UMTS. Неплохая штука для дружеских розыгрышей и других интересных применений. В этой статье мы поговорим о том, как такое вообще возможно, и разберем необходимые шаги.

Xakep #233

Почему домашние экраны всех смартфонов — отстой, или зачем я написал AIO Launcher

Не знаю, как тебе, а мне всегда казалось странным, что мощный смартфон, связывающий людей друг с другом и всем остальным миром, в качестве ключевого элемента интерфейса использует абсолютно бесполезный неинформативный экран со значками. Да, есть бейджи, да, иконки часов и календаря действительно показывают время и дату, но вы серьезно? Первое, что видит пользователь, — это просто сетка иконок?

Страница 1 из 3012345 102030...

«Хакер» в соцсетях

Telegram ВКонтакте Twitter Facebook
«ХАКЕР» ДОСТУПЕН ТОЛЬКО В ЭЛЕКТРОННОЙ ВЕРСИИ
Оформи подписку — получи:
  • доступ к платным материалам сайта
  • доступ ко всем номерам PDF
4990 р.
на год
720 р.
на месяц
90 р.
за 1 статью

Еженедельный дайджест

Статьи для подписчиков