В четвертом спецвыпуске «Хакера» мы собрали более 20 технических материалов за 2021–2022 годы, посвященных пентесту, поиску уязвимостей, реверсу и необычному железу. Здесь есть все: от автоматизации атак в Burp и фаззинга ядра Linux до реверс-шелла размером всего 237 байт. Это самый новый из трех печатных сборников, которые сейчас можно заказать в магазине «Хакера». Все они выпущены ограниченными тиражами, и допечаток мы не планируем.
ИБ-исследователь под ником Kaba обнаружил масштабную атаку на инфраструктуру Tor: злоумышленники скомпрометировали сотни серверов, на которых работали выходные узлы сети, и использовали их для перехвата SSH-соединений. Атакующие перенаправляли трафик на подконтрольные им серверы, где могли похищать пароли, отслеживать сессии и пытаться заразить целевые системы малварью Ebury.
Министерство внутренней безопасности США (DHS) обязало федеральные гражданские ведомства удалить продукты китайской ИИ-компании DeepSeek из своих систем и прекратить их закупку. Ограничения также распространяются на решения аффилированных компаний и сторонние продукты и сервисы, созданные на базе разработок DeepSeek.
Для подписчиковСегодня мы расскажем о пентесте крупной розничной компании. Нам предстояло не только проникнуть во внутреннюю сеть и захватить домен, но и добраться до критически важных систем: бухгалтерии на базе 1С, серверов антивирусной защиты, инфраструктуры резервного копирования и виртуализации, а также корпоративного ПО для продавцов.
Исследователи из компании Tracebit разработали новый способ защиты от атак автономных ИИ-агентов и предложили использовать так называемые «контекстные бомбы» (context bombs). Идея заключается в том, что атакующий агент автоматически находит при изучении цели скрытые промпты-ловушки, которые сбивают ИИ с курса, направляют к фальшивым целям и заставляют тратить время и токены впустую.
Недавно я был на хардкорной конференции про облачные технологии и ИИ. Но не в качестве спикера или гостя, а в качестве технического интервьюера: проводил короткие собеседования с Go-разработчиками для наших команд.Мы наивно рассчитывали, что к нам выстроится очередь, но к рекрутерам за весь день подошли всего два Go-шника. Конечно, приятно думать, что доклады были настолько интересными, что никто не хотел их пропускать. Но вообще я задумался: почему так получилось?Отсюда вопрос к вам, Go-разраб…
Привет, Хабр.Мне нужно было открыть страницу и увидеть, что происходит на удалённых серверах: нагрузка, процессы, диски, логи. Всё, что я находил, делилось на два лагеря. В первом система, под которую поднимаешь несколько сервисов и потом живёшь с их конфигами. Во втором простая штука, которая выглядит как из прошлого десятилетия и под себя почти не настраивается. Красивого, простого и гибкого одновременно я не нашёл. Мне это надоело, и я написал своё.Получился Pulse: мониторинг Linux- и Window…
«П‑с‑с‑с, хочешь, чтобы функция очистки массива была на 49% быстрее? Сдвинь массив на 4 байта».Рассмотрим следующий код на Go:const words = 1 << 19 type block struct { n uint32 data [words]uint32 } func (b *block) reset() { b.data = [words]uint32{} } Что, если я скажу вам, что всего лишь добавив 4 байта заполнения (padding) между n и data, вы ускорите функцию reset на 49% (по крайней мере, на машинах с Intel)? Звучит безумно?Давайте проведём бенчмарк. Даже попробуем разные заполни…
Или история о том, как 5 408 байт обфусцированного JavaScript, прилетающих в HTTP‑заголовке, превращаются в свободный доступ к GPT, Claude, Mistral и генерации картинок если построить браузерный манекен на чистом JS.Пролог: та самая ошибкаВсё началось с невзрачного сообщения в логах:Ошибка API (ddg_haiku): Error code: 500 - {'error': 'no x-vqd-hash-1 token'}Если вы когда‑нибудь пробовали написать прокси к duck.ai встроенному в DuckDuckGo AI‑чату, где под капотом живут GPT и Clau…