Статья написана по мотивам доклада Георгия Фатеева (Application Security инженер, МТС Web Services) на конференции GolangConf. Представьте обычный HTTP-обработчик. Пользователь передаёт имя файла через query-параметр, код подставляет это имя в shell-команду и зовёт ls -l. Выглядит безобидно. А теперь пользователь присылает вот такое значение:/?filename=.;rm%20-rf%20/ Go аккуратно соберёт и выполнит команду:sh -c "ls -l .;rm -rf /" И снесёт систему по своей оси. Уязвимый Go-обработчик: …
Привет! Продолжаю разбирать классические задачи с System Design интервью на стримах (за анонсами можете следить тут https://t.me/siliconchannel), а это текстовая версия стрима. В прошлый раз была бесконечная лента, сегодня очередная классика жанра - веб-краулер. Условие звучит примерно так:Спроектировать веб-краулер, который обходит интернет, вытаскивает со страниц текст и складывает его в хранилище. На этом тексте потом будут обучать LLM (условный ChatGPT). На весь обход даётся 5 дней - данные…
Исходный код, разобранный в статье, опубликован в этом репозитории Хирурга не пускают в операционную, пока он не отработал шов на тренажёре сотню раз. Пилот садится в полноразмерный симулятор кабины - с теми же тумблерами, той же инерцией, тем же отказом двигателя на взлёте - задолго до первого живого рейса. Никому не приходит в голову учить пилота летать, отправив его в настоящий полёт и ожидая, пока что-нибудь сломается.А в алготрейдинге мы делаем именно так.Боль, о которой не пишут в тутори…
Аналитики компании Zimperium обнаружили новый Android-банкер Rokarolla. Малварь распространяется через сайты, которые маскируются под страницы для загрузки популярных приложений вроде Chrome и TikTok. После заражения вредонос получает практически полный контроль над устройством жертвы.
Разработчики F5 выпустили внеплановые патчи для двух критических проблем в NGINX, которые при определенных условиях позволяли удаленно выполнить произвольный код.
Специалисты компании F6 сообщили о новой волне атак группировки Hive0117. Злоумышленники нацелились на бухгалтеров компаний и заражают их машины малварью DarkWatchman, чтобы затем использовать доступ к системам дистанционного банковского обслуживания для хищения денег.
Специалисты Cisco выпустили патчи для уязвимости CVE-2026-20262 в Catalyst SD-WAN Manager (ранее SD-WAN vManage). По данным компании, проблема уже использовалась злоумышленниками в реальных атаках и позволяла повысить привилегии до уровня root. С начала 2026 года это уже восьмая уязвимость в продуктах Cisco SD-WAN, которую злоумышленники использовали в реальных атаках.
Операторы вымогательской группировки DragonForce начали использовать необычную тактику для маскировки своей активности. Как сообщают исследователи из компаний Symantec и Carbon Black, в одной из недавних атак хакеры использовали кастомный бэкдор Backdoor.Turn, который маскирует обмен данными с управляющим сервером под обычный трафик Microsoft Teams.
Для подписчиковПайплайн CI/CD — это, по сути, просто HTTP-запросы в правильном порядке. Запустить сборку, опросить статус, скачать артефакт, опубликовать в Google Play — все это делается по REST API. Тут и curl справится! Давай посмотрим, можно ли обойтись без Jenkins, платных платформ и Python-фреймворков с десятками зависимостей.