Мир знает множество попыток создать защищенный смартфон. Это и Blackphone с функцией шифрования всех коммуникаций, и сомнительный BlackBerry Priv, и даже GATCA Elite, создатели которого вообще не стали ничего придумывать и выдали за эксклюзивные стандартные возможности Android. Совсем недавно о создании рабочего прототипа защищенного смартфона объявили разработчики Tor, а мимо такой новости точно нельзя проходить.

Сотовые сети обеспечивают все более и более скоростной доступ к Всемирной сети, а потребление трафика мобильными устройствами только растет. Однако мобильный интернет все еще остается удовольствием не из дешевых: до сих пор многие пользуются тарифами с объемом трафика в 4 Гбайт, и многие люди путешествуют, а интернет в путешествии обходится гораздо дороже.

Нам показалось, что писать про установку и настройку Arch Linux в 2017 году — это моветон и повторение. Поэтому мы решили зайти с другой стороны и рассказать, а зачем вообще существует эта система и почему миллионы пользователей выбирают ее вместо привычных всем Ubuntu, Debian и Fedora. И, забегая вперед, скажем, что Arch Linux отнюдь не лучше других систем — он идеологически другой.

В этом выпуске обзора мы рассмотрим три эксплоита. Один использует уязвимость в MySQL и некоторых других БД, которая приводит к выполнению произвольного кода с правами root. Второй создан тем же автором и эксплуатирует особенности ротации логов nginx с похожим результатом. Третий приводит memcached к отказу в обслуживании и опять же удаленному выполнению кода.

Интерес пользователей к виртуализации в последнее время стал пропадать. Но если с Linux все более-менее ясно и выбор есть, то Windows-хостинги предлагают далеко не все, их стоимость высока и брать их, когда такая система нужна редко, не имеет смысла. Вот здесь нас может выручить знание KVM.

Шифрование помогает сохранять данные в секрете, но одновременно привлекает лишнее внимание. Если файл так просто не открыть, значит, в нем наверняка есть что-то ценное. Поэтому бывает важно скрыть само наличие секретной информации. Проще всего это сделать, растворив конфиденциальные данные внутри какого-нибудь безобидного файла. Решается такая задача с помощью стеганографических утилит, которые мы и протестируем.

В этой статье я расскажу всего об одном, но зато интересном аспекте нашей подготовки к ZeroNights 2016, на которой ты наверняка присутствовал в ноябре прошлого года. Одной из фишек этой конференции был наш прикольный техногенный бейджик-матрешка. И сделан он был не из бархатной бумаги и даже не из листового палладия, а из... впрочем, об этом — ниже.

С каждым днем все больше владельцев смартфонов отдают приоритет мобильным мессенджерам, популярный представитель которых — Viber, позволяющий удобно объединить переписку на разных устройствах. Неудивительно, что исследованию их безопасности в последнее время уделяется пристальное внимание. Думаешь, Viber полностью надежен и неспособен тебя подвести? Ну что ж, давай посмотрим, насколько это соответствует истине.

Фреймворк Electron разработан в GitHub и носил раньше название «Atom shell». Пожалуй, самое известное приложение, написанное с его помощью, — текстовый редактор Atom. А еще — клиент Slack для настольных компьютеров, клиент мгновенных сообщений Franz, Git-клиент GitKraken, GUI-клиент к утилите Yeoman и даже Microsoft Visual Studio Code. Давай и мы с тобой попробуем написать на нем что-нибудь крутое!

2016 год был как-то не очень богат на громкие события в мире Open Source. Тем не менее ряд действительно важных и, главное, знаковых моментов все же нужно отметить.

Пароли не взламывает только ленивый. Недавняя массовая утечка учетных записей из Yahoo только подтверждает тот факт, что одного лишь пароля — и совершенно неважно, какой он будет длины и сложности, — уже недостаточно для надежной защиты. Двухфакторная аутентификация — это то, что обещает дать такую защиту, добавляя дополнительный уровень безопасности.

Контекстное меню в «Проводнике» Windows — довольно удобная штука: можно выбрать любой файл и, к примеру, отправить его по почте. Однако случается, что отвечающий за отправку DLL портится и меню перестает работать. Сейчас я расскажу, как справиться с этой проблемой, а также что еще интересного можно добавить в это меню.

Думаешь, в арсенале приложений для Android у Microsoft есть только Word, Excel, Skype и «Солитер»? На самом деле MS успела нагенерировать более 70 Android-приложений самых разных типов. У нее есть собственный лаунчер, time-lapse-камера, превосходный сканер документов и целых два экрана блокировки.

Производители автомобилей делают концепт-кары, чтобы потестировать новые идеи и развлечь публику. Разработчики браузеров тоже иногда радуют нас чем-то подобным. Браузер Neon не похож ни на Opera, ни на любой другой современный браузер. В нем нет многих привычных вещей, зато есть новые фишки и необычный интерфейс.

Компьютер шумит, тормозит и отказывается делать самые простые вещи. Частенько вылезает BSOD, а скорость работы оставляет желать лучшего. Знакомо? Даже если с твоей машиной такого больше не происходит, тебя наверняка зовут на помощь друзья и родственники. Давай разберем типовые шаги, которые помогут справиться с неполадками и ускорить работу даже старенького ПК.

Смартфон и планшет — идеальные сборщики приватной информации, поэтому ее приходится тщательно оберегать. Надежно сделать это можно только с помощью шифрования. Но могут ли доступные в Android средства обеспечить должный уровень защиты? Этой статьей мы начинаем новый цикл о защите данных в Android и сегодня поговорим о стойкости встроенных в ОС криптографических систем.

Какие риски несет выявление уязвимостей в чужом софте без согласия владельца? Можно ли за такую деятельность влететь на штраф? Светит ли за это административная или уголовная ответственность? Как можно минимизировать риски? Спасет ли программа Bug Bounty? Мы постараемся дать ответы на эти и некоторые другие вопросы.

Сегодня мы рассмотрим уязвимость в библиотеке PHPMailer, которая используется для отправки писем миллионами разработчиков по всему миру. Этот скрипт задействован в таких продуктах, как Zend Framework, Laravel, Yii 2, а так же в WordPress, Joomla и многих других CMS, написанных на PHP. Кроме того, ты можешь встретить его в каждой третьей форме обратной связи.

16 марта 2014 года произошло событие, которое привело к довольно бодрым холиварам, — вышел Python 3.4, а вместе с ним и своя внутренняя реализация event loop’а, которую окрестили asyncio. Идея была такая: чтобы не зависеть от внешних реализаций отлова неблокирующих событий на сокетах, надо встроить ее в сам язык! Давай посмотрим, что в итоге получилось.

Nginx становится все более популярным. Он быстрее и легче Apache. Но подходы к настройкам у Apache и nginx настолько различаются, что в итоге все получается очень сложно: ничего не работает или работает еще хуже. Между тем Nginx на самом деле отлично ладит со всеми CMS, просто в нестандартных ситуациях придется немного повозиться.

Пришло время подвести итоги 2016 года. Здесь мы не станем писать, что страшные русские хакеры взломали все, до чего сумели дотянуться (включая выборы в США), зато расскажем о по-настоящему интересных и значимых событиях минувшего года.

Что делать, если исследуемый iPhone заблокирован паролем? Раньше достаточно было установить jailbreak, но уже начиная с iPhone 5s хакеры сталкиваются с рядом ограничений. Про способы обмана датчика отпечатков пальцев мы писали в одном из прошлых выпусков. Сегодня мы рассмотрим другой способ обхода блокировки — с использованием депонированных ключей.

Как ты догадался по названию, сегодня мы будем строить домашний NAS-сервер. Наш медиасервер на базе маленького старенького зверька AMD Athlon(tm) Dual Core Processor 4050e с 2Гб RAM и 2,5Гб HDD должен уметь раздавать медиаконтент по сети, иметь виртуализацию различного уровня и маленький DNS с зоной что-нибудь.local. Пространства для маневра немного, но постараемся уложиться!

Установка своего почтового сервера, как правило, не вызывает особых трудностей. В Сети доступно большое количество готовых инструкций. Буквально одна команда, и 25-й порт уже готов к работе. Весело становится, когда отправленные письма начинают возвращаться, а получатели жаловаться, что сообщения не доходят. Здесь уже хочешь не хочешь, но придется искать причины и вникать в технологии.

«Я знаю, что ты скачал» — так переводится название этого сайта. Его разработчики построили систему, которая отслеживает публичные раздачи, чтобы сохранять списки файлов, скачанных по BitTorrent, и IP-адреса пиров. Если ты качаешь торренты со статического IP, то велик шанс, что этот сайт знает кое-что и о тебе. А еще его можно использовать, чтобы узнать, что качал кто-нибудь из твоих друзей.

Когда Сеть наполняется новостями, сгенерированными желтой прессой и просто технически неграмотными писаками, это всегда плохо. А когда речь заходит о чем-то связанном с Android — плохо вдвойне. Вот и в этот раз 24 декабря интернет наводнился слухами о кончине самой известной, популярной и вообще замечательной прошивки CyanogenMod. И как ни странно, это оказалось правдой, только правдой в том же смысле, в каком человек — это просто система переработки пищи.

Когда в описании компании присутствуют такие теплые слова, как «блокчейн», «эмиссия», «токены» и «криптоплатформа», а в качестве подарков победителям задач они предлагают криптовалюту, у нас не остается никаких сомнений. Такие задачи надо публиковать!

Прошел почти год с момента взлома компании Hacking Team, специализирующейся на разработке шпионского программного обеспечения для спецслужб со всего мира. Самое интересное, что в Сеть утекли исходники их платформы Galileo, но до сих пор не появилось более-менее подробного их обзора или анализа. Сегодня мы постараемся исправить это упущение.

В этом выпуске: утилита для поиска в памяти ядра Windows, фреймворк для аудита WAF, скрипт для генерации архитектурно независимого VBA-кода, Linux-руткит под все архитектуры, программа для компиляции миниатюрных шелл-кодов, демо-программа для демонстрации подмены MBR и проект рансомвари с открытым кодом. Stay Tuned!

Сегодня мы разберем уязвимости в популярных утилитах для скачивания файлов — Wget и aria2. При соблюдении некоторых условий атакующий может выполнить произвольный код. Также разберем ошибку в LSASS.EXE, которая позволяет как минимум перевести систему в режим перезагрузки, а как максимум — получить повышение привилегий.

Уровень пиратства в экосистеме Android таков, что говорить об этом нет никакого смысла. Приложение не только легко украсть — его легко взломать, отвязать от сервисов проверки, отключить рекламу или даже внедрить в него бэкдор. Выкладывая свое творение в Play Store, ты в результате даришь любителям вареза еще один хороший продукт. К счастью, с этим вполне можно бороться.

«Тесты аверов? Опять двадцать пять!» — скажешь ты, и будешь совершенно прав. Именно двадцать пять разных угроз мы подготовили на этот раз, полностью изменив методику проверки бесплатных антивирусов. Эта статья — заключительная в нашем цикле, а последний бой — он трудный самый!

С прошлого номера мы запустили цикл статей про такую интересную вайтхет-отрасль, как анализ малвари. В первой статье мы разобрали теоретические вопросы, литературу и хорошие онлайн-ресурсы, а сегодня будем практиковаться в анализе malware-кода, основываясь на рабочих образцах вредоносов.

Создать хороший UI сложно, особенно если у тебя еще не так много опыта в этой области. Поэтому вот тебе быстрый тест на знание вопроса: если ты привык, что для нового окна обязательно нужен Activity или вместо плавной анимации в свеженаписанной программе почему-то происходят конвульсии, — эта статья для тебя :).

Главное преимущество портативных устройств — мобильность. Однако она же и затрудняет их использование. Небольшой размер экрана, отсутствие клавиатуры и многооконного режима, а в устройствах Apple и еще целый ряд ограничений превращают простые с виду задачи в невыносимую многочасовую муку. Чтобы избежать таких страданий, придумали средства автоматизации.

Есть у специалистов по информационной безопасности такое развлечение: установить в Linux логин и пароль вроде admin/admin, пустить в Сеть и наблюдать за происходящим. На такой «девайс» со всех окраин интернета, словно пчелы на мед, тут же слетаются любители взламывать все, что плохо лежит. А исследователи, радостно потирая руки, начинают изучать то, что к этому самому «девайсу» прилипло.

Когда мне в очередной раз достался смартфон с хардварными клавишами навигации, вообще без возможности их настройки или активации экранных клавиш в стиле Nexus, я решил, что с этим надо что-то делать. Покопавшись пару часов во внутренностях Android, я отключил надоедливую подсветку, поменял клавиши «Назад» и «Обзор» местами... а потом включил экранные кнопки и обрел покой.

Фильтр, который в реальном времени блокирует вредоносные запросы еще до того, как они достигнут сайта — важная часть безопасности веб-приложения. Тем не менее WAF’ы содержат множество ошибок. В этой статье мы изучим техники поиска байпасов WAF на базе регулярок и токенизации, а затем на практике рассмотрим, какие уязвимости существуют в популярных файрволах.

Самый простой способ борьбы с миллионом открытых в браузере вкладок — сохранять страницы в закладки или складировать их в Pocket или Evernote, а потом закрывать лишние табы. Однако с помощью плагинов можно разгребать завалы намного удобнее.