Когда количество пользователей в домене превышает несколько сотен, запомнить каждого становится непросто. А если доменная структура развитая и ее админит несколько человек, разобраться еще сложнее. Добавим к этому увольнения, повышения, переводы туда-сюда и хитрецов, которые пользуются учеткой, оставленной кем-то на время отпуска, и путаница достигнет критической отметки, за которой говорить о безопасности не приходится. Как побороть анархию?

В прошлой статье мы рассказали тебе про устройство BMS и хорошенько распалили твое воображение будущими хакерскими экспериментами. И вот их час пробил! Готовься, дружище! Перед тобой статья размером аж в шесть страниц старого бумажного «Хакера». И все они посвящены исключительно взлому ;).

Сегодня в выпуске: новая версия Android O с измененным интерфейсом, Android для маломощных устройств, Android Studio 3.0 с поддержкой Kotlin, смартфон от отца Android Энди Рубина, а также самый маленький смартфон на Android 7. Кроме того: очередная сводка новостей о LineageOS, голосовой ассистент «Яндекса» и много первоклассных материалов для разработчиков.

Владельцам современных компьютеров и мобильных гаджетов доступны мощнейшие вычислительные ресурсы, которые используются на полную катушку только изредка. При этом существует масса интересных задач, решением которых можно загрузить простаивающую технику. Объединившись, тысячи персоналок, ноутбуков и даже смартфонов могут выступать наравне с суперкомпьютерами.

Скажи, ты когда-нибудь вносил изменения в прошивку? Не Xposed, а более низкоуровневые — например, менял /system/build.prop, удалял системные приложения, устанавливал ViPER4Android, подменял /system/hosts, чтобы заблокировать рекламу. Если ответ «да», то ты не понаслышке знаком с ситуацией, когда одно неверное движение превращает твой смартфон в кирпич, а после обновления системы приходится все делать заново. К счастью, все эти проблемы можно решить, полностью автоматизировав внесение изменений и обезопасив себя от случайных модификаций.

Каждому из нас приходилось прибегать к помощи самозагружающихся дисков и USB-флешек. Случился ли сбой основной ОС, или понадобилось воспользоваться чужим ПК, выручит флешка с собственной операционной системой или инсталлятором ОС. Однако, если у тебя есть смартфон, флешка больше не нужна. С задачей загрузки ОС он справится сам.

Если тебе удалось создать действительно полезное приложение, то стоит задуматься о монетизации своих трудов. Встроенная реклама всегда уродует продукт, да и много денег она не принесет. Лучше всего дать пользователю возможность просто заплатить — за дополнительные функции или в знак благодарности.

В первой статье цикла мы рассмотрели архитектуру системы антифрода и ее связку с интернет-банком, а также пробежались по процессу анализа события антифродом. В рассматриваемой нами системе существует всего четыре ответа антифрода для обрабатываемых событий: разрешить или запретить событие, произвести дополнительную аутентификацию и создать кейс для последующего анализа аналитиком. Эти ответы формируются системой антифрода на основании оценки риска и правил политики, задаваемых фрод-аналитиком. В этом выпуске мы более подробно поговорим о технологических процессах, зависящих от того, какое решение принимает антифрод.

Способы, позволяющие автоматизировать пользовательские действия, чтобы программа работала с интерфейсами чужих софтин так, как будто это живой человек, совершенно закономерно интересуют программистов, хакеров и безопасников. Кто сказал «негласно автоматизировать работу с мобильным банком»? :) Стыдитесь, товарищ! Мы за мирную автоматизацию. В прошлой статье по Accessibility Service мы сфокусировались на получении данных экрана, а сегодня мы научим Accessibility Service делать работу на устройстве за нас!

О том, что командная строка — это удобнейший инструмент, знает любой юниксоид, потративший пару часов на изучение базовых команд и синтаксиса bash. Но далеко не каждый понимает, насколько на самом деле может быть эффективна консоль. В этой статье мы разберем множество интересных трюков, которые позволят тебе так прокачать навык обращения с командной строкой, что ты уже не захочешь возвращаться к графическому интерфейсу.

Мир настольных систем Linux очень разнообразен. На сегодняшний день в рейтинге Distrowatch.com насчитывается 288 дистрибутивов с самой разной философией и областью применения. За все время существования рейтинга в него входили и исчезали сотни дистрибутивов, но один из них смог завоевать популярность и вырваться на третье место всего за несколько лет своего существования. Это Manjaro, основанный на Arch Linux дистрибутив, оставивший своего родителя далеко позади.

Если ты следишь за новостями, то уже наверняка слышал про эту нашумевшую проблему. Причина уязвимости — в некорректной логике обработки сообщений об ошибках. Если текст ошибки содержит языковые конструкции OGNL, то они будут выполнены. Таким образом, атакующий может отправить специально сформированный запрос, который повлечет за собой исполнение произвольного кода.

Если тебе приходилось переписывать старый код только для того, чтобы он заработал в новом проекте, значит, ты кое-что упустил. Наш журнал спешит на помощь, срочно выкидывай «костыли» и «ржавые велосипеды» — с этого дня твоя жизнь круто поменяется. :)

В апреле прошлого года, не сделав никаких анонсов, Google выложила в Сеть исходники новой ОС Fuchsia, написанной с использованием языка Dart. «Фуксия» базировалась на крошечном микроядре, поэтому первое, что пришло в голову журналистам и исследователям кода: операционка для интернета вещей. Это представление полностью перевернулось несколько дней назад, когда в Fuchsia появился графический интерфейс.

Сегодня в выпуске: Android становится популярнее Windows, платежи и звонки в Telegram, дырявый Tizen, смерть Ubuntu Touch и отчет о развитии LineageOS. А также: отладка Android-приложений через Chrome DevTools, подробности об iPhone 6s собственной сборки, запуск Google Assistant на настольной машине, анализ трояна Chrysaor от NSA Group. И конечно же, подборка материалов и библиотек для разработчиков.

Официально поддержка сканера отпечатков пальцев появилась в Android 6.0, но до сих пор многие пользователи воспринимают его лишь как средство для разблокировки смартфона. Между тем, если ты умеешь пользоваться Tasker, то сможешь назначить на него практически любое действие.

Рад снова тебя встретить на страницах нашего журнала, мой друг! Мы продолжаем прокачивать скиллы в реверсинге и познавать нелегкое ремесло malware-аналитика. В сегодняшнем выпуске мы поговорим о двух интересных фичах, которые довольно часто встречаются в «живых образцах» вредоносного ПО: шифровании (encoding) и внедрении shellcode, позволяющего получить командную оболочку ОС потенциальной жертвы.

Что, если я скажу тебе, что у меня есть операционка с простым и удобным интерфейсом, 64-битной файловой системой, всем необходимым для жизни софтом, хорошей поддержкой оборудования и минимальными системными требованиями уровня Pentium II с 64 Мбайт оперативки? Время ее загрузки составляет примерно секунду, программы запускаются молниеносно, дистриб занимает около 300 Мбайт, и это лишь малая часть ее достоинств...

Запускать любые скрипты двойным кликом в «Проводнике» не совсем безопасно, но чертовски удобно, особенно если часто с ними работаешь. Однако на новой машине ты можешь столкнуться с тем, что эта возможность не работает. Посмотрим, что же может помешать скриптам запускаться.

Наверняка ты не раз слышал о загрузчике MultiROM, позволяющем установить на смартфон сразу несколько разных прошивок и переключаться между ними. Но MultiROM неидеален: он требует пропатченное ядро, специальную версию TWRP Recovery и совместим не со всеми прошивками. EFIDroid лишен его недостатков, он работает на любом ядре и может загрузить что угодно.

Фингерпринтинг — это механизм слежки за пользователями, который опирается на отличительные черты браузера и операционной системы. По отдельности они не уникальны и не помогут никого идентифицировать, но если взять целый набор таких характеристик, то появляется возможность с определенной точностью выделить конкретного человека из числа посетителей сайта.

Я давно увлекаюсь XSS-атаками, размышляю над разными техниками эксплуатации, ищу обходы и новые векторы для внедрения кода в страницы. В определенный момент у меня накопилось много файлов с XSS-эксплоитами для топовых CMS, и, зная, что в Сети такое добро редко встречается, я решил собрать это все в один набор и назвать его el Scripto.

Уязвимость существует из-за применения статического ключа для подписи сессии. Атакующий может отправить произвольные данные и подтвердить их валидность с помощью сигнатуры, используя известный ключ. Отправив специально сформированный сериализованный объект, атакующий может скомпрометировать систему. Сериализованные данные будут преобразованы в объект Ruby при помощи модуля Marshal и выполнены.

Даже в маленькой организации может быть множество различных решений, обеспечивающих безопасность, а форматы их системных журналов могут значительно отличаться, усложняя работу. В этой статье я покажу, как можно с помощью бесплатного и открытого ПО структурировать журналы нескольких разнородных систем и тем самым упростить последующий анализ и реагирование на инциденты.

Сложно представить сегодняшнюю разработку без DevOps-специалиста, соединяющего разработку, деплой, тестирование и дальнейшее сопровождение. Чтобы выпускать качественный продукт, абсолютно все процессы необходимо автоматизировать и контролировать. И конечно, здесь выручают специализированные инструменты. Представляем пятерку must have приложений, без которых сложно обойтись.

Создать опрос на сайте — задача пустяковая. А вот как уберечься от накрутки — уже совсем другая история. Кстати, даже если ты не интересуешься вопросами защиты онлайн-голосований, из этой статьи ты узнаешь, как тебя забанили на анонимном форуме и почему твой любимый порносайт продолжает учитывать твои вкусы несмотря на то, что ты используешь порнорежим браузера :)

Каждый, кто ставил кастомную прошивку, знает, насколько это неудобно: надо сложить на карту памяти все необходимые для установки файлы, перезагрузить в recovery, поставить все эти файлы в очередь... и только тогда начинать шить. Custom ROM Manager намного упрощает задачу.

Как и в любой современной ОС, в Linux можно не только задать время вручную, но и настроить синхронизацию с атомарными часами на удаленном сервере. Благодаря периодической подстройке часы на твоем компьютере не будут убегать или отставать ни на долю секунды, что в некоторых случаях может оказаться важно.

Научные работы редко годятся для создания приколов, но исследования в области обработки изображений при помощи нейросетей в этом плане исключение. Мы уже писали о нейросети, которая превращает каракули в уродливых котов, а теперь подоспела следующая забава: DeepWarp получает на входе фотографию человека и выдает видео, где его глаза вращаются. Иногда — очень реалистично.

Даже если сервисом пользуются миллионы людей, это не значит, что он застрахован от закрытия. А уж изменения, направленные на монетизацию вместо интересов пользователей, — это совершенно обычное дело. Создатели Mastodon нашли интересный выход: если софт будет свободным, а сервер сможет развернуть кто угодно, то это сделает сервис практически неубиваемым.

Наверняка ты уже занимался взломом беспроводных сетей с ноутбука и замечал, что таскать его не слишком удобно, да и внимание он привлекает. Но зачем ноутбук, если у тебя есть настоящий карманный компьютер, с помощью которого вардрайвингом можно заниматься, не палясь вообще. В этой статье мы выполним подготовку и разберем простые атаки, а в следующей перейдем к действительно тяжелой артиллерии.

Продолжаем наш цикл рассказов про «малварь, которую хочется обсудить с коллегами — вирусными аналитиками в курилке». Сегодня в наш прицел попали сразу несколько классов малвари: энкодеры, банкеры, трояны под Linux и Android. И все они, между прочим, чем-то интересны!

Удаленный доступ к веб-камерам и камерам наблюдения — самая наглядная практика взлома. Она не требует спецсофта, позволяя обойтись только браузером и нехитрыми манипуляциями. Тысячи цифровых глаз по всему миру станут доступны, если ты умеешь находить их IP-адреса и уязвимости.

Пока Евгений Зобнин учит тебя защищать свой код от чужих глаз и шаловливых ручонок, я решил занять позицию хитрого разработчика, который всегда рад, скажем так, «поучиться» кое-чему у создателей снискавших определенную популярность приложений ;). В этой статье я расскажу, как я анализировал код чужих программ и нашел одну интересную недокументированную функцию для работы с виджетами приложений.

Признайся, сколько раз, пользуясь планшетом или смартфоном, ты хотел запустить видеопроигрыватель в отдельном маленьком окошке так, чтобы он не мешал браузингу или чтению книги? Много? Тогда Flytube просто создан для тебя!

В предыдущей статье мы рассмотрели Silo-подход к разработке мобильных приложений, а также часть самых популярных black box средств разработки: среды Apache Cordova и Adobe Fuse. Сегодня мы продолжим изучать «черный ящик» и рассмотрим еще несколько популярных и известных средств разработки, а затем перейдем к заключительной теме — кросс-платформенному подходу.

NanoStation M2 фирмы Ubiquiti — это всепогодная точка доступа, предназначенная для построения беспроводных мостов на расстояние десять и более километров. Это, по сути, мини-компьютер на архитектуре MIPS с установленным Linux на борту. А это значит, что можно модифицировать его под свои нужды. Каким образом? Об этом и поговорим.

Системы антифрода, используемые в банковской сфере и стоящие на страже интересов кредитных учреждений и денег их клиентов, привлекают совершенно здоровый интерес как специалистов по информационной безопасности, так и блекхетов. Но вот незадача: все эти системы действуют по принципу black box, а создатели не торопятся раскрывать принципы их работы. Как всегда в таких случаях, журнал «Хакер» спешит на помощь!

Сегодня мы продолжим обсуждение программ Bug Bounty: на что следует обращать внимание в их условиях и что можно попробовать сделать, чтобы они стали выгоднее. Предыдущий материал был посвящен общей информации про Bug Bounty и изучению нюансов российского законодательства, которые относятся к BB по модели оферты. В этот раз мы рассмотрим вопросы, связанные с конкурсным вариантом Bug Bounty.

MIUI — отличная операционка и хороший пример того, до какой степени можно изменить Android, если захотеть превратить его в нечто большее. И как ни странно, по той же самой причине это плохая операционка, ломающая технологии, на которых построен Android, так, что системой уже нельзя пользоваться без ощущения дискомфорта.