В качестве большой темы в этот раз я решил выбрать двоичную сериализацию в Java и две связанные с ней атаки. Идея тут проста: с сериализацией мы можем сохранить значения сложных типов данных, например — массив объектов произвольного класса. Фактически формат может быть любой. Мы же рассмотрим нативную двоичную сериализацию в Java.
Вообразим ситуацию: в большой организации есть парк машин с Windows, и все их надо обновлять. Понятно, что заставлять каждый из хостов ходить в интернет за обновлениями накладно и неудобно, а потому внутри корпоративной сети поднимают сервер WSUS (Windows Server Update Services), который и используется для управления обновлениями: их выгрузкой, распространением и распределением...
В роутерах компании Netgear обнаружена серьезная уязвимость, позволяющая изменить настройки DNS, минуя аутентификацию. Эксплоит опубликован, багу подвержено более 5000 устройств, но компания еще не выпустила исправление.
Специалисты компании Malwarebytes обнаружили весьма интересный образчик вредоносного ПО. Малварь, получившая имя eFast Brows…
Специалисты компании Volexity обнаружили атаку, нацеленную на Cisco Clientless SSL VPN (WebVPN). Данный продукт позволяет кл…
Давай представим себе ситуацию: у нас есть какое-то веб-приложение и в нем функция, позволяющая загружать архивы. Приложение разархивирует получаемые файлы во временную директорию для работы с ними. Согласен, ситуация не из повседневных, но здесь есть интересная возможность для атаки.
Сотрудник «Лаборатории Касперского» Роман Унучек опубликовал на Securelist информацию о том, что приложение «Музыка ВКонтакт…
New York Times сообщает, что в марте текущего года компания LoopPay, разработавшая ядро платежной системы Samsung Pay, была …
В результате атаки хакеров пострадали семь люксовых отелей сети Trump Hotel Collection (THC), принадлежащей миллиардеру Дона…
Специалисты компании Cybereason опубликовали отчет об интересном случае. Компания-клиент Cybereason, чье название не раскрыв…
Неизвестные хакеры сумели взломать популярный ресурс для сбора пожертвований Patreon. В результате был опубликован архив, об…
Хакеры постоянно придумывают что-то новое, чтобы обвести доверчивых пользователей вокруг пальца. Уже никого не удивить тем, …
Компания CloudFlare сообщила об обнаружении DDoS-атаки весьма необычного вида. Нападению подвергся сайт клиентов CloudFlare,…
Взломы аккаунтов Uber в последнее время участились. По данным специалистов TrendMicro, данный «товар» стремительно набирает …
Администрация сервиса для хранения и обмена фото Imgur, совместно с руководителями имиджбордов 4chan и 8chan, сообщает об об…
Летом 2015 года стало известно о взломе Службы управления персоналом США (U.S. Office of Personnel Management, OPM) и послед…
Крупнейшая награда в истории предлагается хакеру, который сумеет обнаружить 0day в iOS 9 и предоставить эксплоит. Компания Z…
Wordpress — далеко не самая безопасная CMS в мире, но одна из наиболее простых и популярных. Именно из-за совокупности двух …
В этом выпуске — инструменты для внедрения в шелл и сбора данных под Windows, а также MITM-фреймворк, backdoor на Питоне и кросс-платформенный дизассемблер.
Минувшие выходные стали неспокойными для компании Apple. Хакеры (предположительно, китайские) сумели подделать официальный и…
Совсем недавно компания Mozilla сообщала о том, что некие злоумышленники сумели взломать аккаунт одного из привилегированных…
В официальном блоге компании FireEye появилась информация об обнаружении новой серии атак на маршрутизаторы Cisco. Специалис…
Эксперты компании FireEye обнаружили интересный образчик малвари, залитый на VirusTotal неким российским пользователем. Не с…
Представим себе типичную ситуацию: через какую-то уязвимость мы получили возможность удаленно выполнять команды на сервере с Windows. Высоких привилегий в ОС у нас нет, и порты зафильтрованы на внешнем файрволе. Подошел бы вариант с бэк-коннект шеллом, но ведь надо закачать наш шелл в ОС. И если под *nix-системы существует куча разных возможностей, то с виндой труднее...
Огромная база данных сайта для измен Ashley Madison была опубликована хакерами почти месяц тому назад. Данные 36 млн аккаунт…
Специалисты компании BitDefender сообщили об обнаружении в официальном магазине приложений Google Play программ, содержащих …
Тестирование на проникновение (penetration testing) — метод оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника. Для кого-то это хобби, для кого-то работа, для кого-то это стиль жизни. На страницах нашего журнала мы постараемся познакомить тебя с профессией настоящего «этичного хакера», с задачами, которые перед ним ставятся, и их решениями.
К сожалению, отсрочить неизбежное удалось ненадолго. Компания Zimperium, в июле 2015 года опубликовавшая информацию об уязви…
Эксперты «Лаборатории Касперского» обнародовали новый отчет о деятельности небезызвестной хакерской группы Turla. Специалист…
Основатель и CEO компании Vulnerability Lab Бенджамин Кунц Меджри (Benjamin Kunz Mejri) обнаружил в API мобильных приложений…
Сотрудники компании Tangible Security обнаружили неприятную проблему в жестких дисках компании Seagate. Некоторые модели вне…
В июле 2015 года исследователи Чарли Миллер (Charlie Miller) и Крис Валасек (Chris Valasek) показали всему миру, что совреме…
Представители Mozilla обнародовали отчет о взломе багтрекера Bugzilla, согласно которому, неизвестным удалось похитить инфор…
Взломы, утечки данных, обнаружение новых 0day-уязвимостей — все это происходит каждый день, но некоторые события выбиваются из общего ряда. Взлом сайта знакомств Ashley Madison не был обычным. Это масштабная история о том, как хакеры объявили войну крупной компании и выиграли ее, не считаясь с «сопутствующим ущербом».
Исследователи из израильской компании Check Point обнаружили новый образчик Android-малвари. Эта версия шифровальщика Simplo…
В августе 2015 года в OS X обнаружили уязвимость, которая позволяла приложениям устанавливаться в систему, без разрешения по…
С момента своего появления Windows был естественной средой обитания зловредов всех мастей. Похоже, новая версия этой операционки сама стала одним из троянов. Сразу после установки чистая система ведёт себя подозрительно. Данные рекой льются на десятки серверов Microsoft и партнерских компаний. Мы решили разобраться с жалобами на шпионские замашки «Десятки» и узнали, что и куда она отправляет.
28 августа 2015 года британское Национальное агентство по борьбе с преступностью (NCA) сообщило об аресте шести подростков (…
Представители Ashley Madison уверяют, что у сервиса все хорошо, невзирая на громкий скандал, утечку данных 32 млн человек и …
Индийский специалист по безопасности Лаксман Мутиях (Laxman Muthiyah) неоднократно зарабатывал неплохие деньги на программах…
Сайт защищен Qrator —
