Странные HTML-хаки
Многие из этих особенностей кода не должны работать, но каким-то образом они работают. Мы выделяем 10 хакерских стратегий кодирования веб-сайтов — некоторые большие, некоторые маленькие. https://tedium.co/2023/11/24/weird-html-hacks-history/

Обеспечение безопасности внешнего интерфейса: практическое руководство для разработчиков (12 минут чтения)
В этом сообщении блога рассматривается взаимосвязь между разработкой внешнего интерфейса и кибербезопасностью, исследуя проблемы, лучшие практики и успешные реализации. Цель — помочь разработчикам справиться со сложностями создания безопасного интерфейса без ущерба для удобства пользователей.

https://medium.com/@fahriiyesill/securing-the-frontend-a-practical-guide-for-developers-fd3b52029b6e

Сеть как за кирпичной стеной: как защитить серверы с помощью облачного файрвола Seleсtel.

Статистика в сфере информационной безопасности остается неутешительной. Так, DDoS-Guard зафиксировала в России 384,8 тыс DDoS–атак — и это только в первом квартале 2023 года. А по данным «РТК-Солар», количество кибератак в этот период выросло до 290 тыс. Это в полтора раза больше, чем в первом полугодии 2022 года.

Чтобы не пополнить статистику и защитить свою инфраструктуру, важно заранее позаботиться о безопасности серверов. Есть разные способы защиты, например, можно использовать файрвол или iptables. Они фильтруют входящий и исходящий трафик и отсекают нелегитимные подключения.

В этой статье мы подробнее расскажем о нашем решении — облачном файрволе Selectel. Покажем, как настроить правила трафика и установить защиту за пару кликов. Подробности под катом.

Читать дальше →https://habr.com/ru/companies/selectel/articles/778560

DDoS, китайские ботнеты и клиенты с особыми потребностями. Будни ЦОДов 3data

Дата-центр — заманчивая цель для кибератак и непростой объект для защиты. Мы решили выяснить, как обеспечивается бесперебойная работа ЦОДов руководителя отдела информационной безопасности 3data Павла Черных, и публикуем его рассказ.

Из него вы узнаете, как выглядят три кита безопасности ЦОД, к каким специфическим инцидентам постоянно готовятся на этих объектах и почему дата-центры привлекают бездомных. А напоследок вы получите несколько практических советов по выбору надежной площадки для размещения своей инфраструктуры. https://habr.com/ru/companies/bastion/articles/779724/

Офис Павла Дурова в Дубае

Здравствуйте. Сейчас я применив GEOINT (геопространственная разведка) попытаюсь найти офис Павла Дурова в Объединённых Арабских Эмиратах.
https://habr.com/ru/articles/779794/

aws-summarize-account-activity (репозиторий GitHub)

Скрипт Python для анализа данных CloudTrail данной учетной записи AWS и создания сводной информации о недавно активных субъектах IAM, вызовах API, которые они сделали, и регионах, в которых они были активны. Сводная информация записывается в файл JSON и может быть дополнительно визуализирована в виде файла. https://github.com/welldone-cloud/aws-summarize-account-activity

Кунай (репозиторий Github)
Kunai — это основанный на Rust проект по поиску угроз, целью которого является выполнение различных задач мониторинга, от мониторинга безопасности до поиска угроз и систем на базе Linux. https://github.com/0xrawsec/kunai

БагБаунти с АстраЛинус или то, что нужно знать о защищённости защищённой ОС

Хочу поделиться своим опытом участия в программе баг-хантинга ГК Астра (да, да - именно той, которая недавно совершила каминг‑аут IPO) на платформе BI.ZONE Bug Bounty.
https://habr.com/ru/articles/782112/

Устройство TCP/Реализация SYN-flood атаки

В данной статье мы поговорим об устройстве протокола TCP, самой популярной атаке на него – SYN-flood, а также реализуем её на практике и рассмотрим как от неё защититься.

https://habr.com/ru/articles/782728/

Сквоттинг в облаке — это угроза безопасности, при которой несанкционированные фишинговые сайты или сайты с вредоносным ПО создаются посредством использования поддоменов в облаке. Снижение этого риска включает идентификацию и удаление связанных записей и использование зарезервированных IP-адресов. Неспособность решить проблему захвата облаков может привести к появлению уязвимостей и нарушений безопасности в облаке. https://www.infoworld.com/article/3711763/you-should-be-worried-about-cloud-squatting.html

Что такое аутентификация на основе токенов?
Изучите аутентификацию на основе токенов, ее преимущества перед сеансами, различные типы токенов и роль токенов авторизации в безопасности.

https://www.permit.io/blog/what-is-token-based-authentication

Путеводитель по DDoS: основные виды и методы борьбы

Всем привет! На связи Николай Едомский, руководитель группы сетевых инженеров в ЕДИНОМ ЦУПИС.

В этой статье я простыми словами расскажу о том, что из себя представляет DDoS, о самых распространенных видах DDoS и методах борьбы с ними. Основная цель материала – на простых примерах передать суть этого явления и обозначить особую важность грамотного построения защиты от DDoS.

https://habr.com/ru/articles/783524/

🔒В этом посте рассматриваются пять различных запросов CodeQL, которые можно использовать для обнаружения потенциально серьезных ошибок в API OpenSSL libcrypto, которые могут вызвать утечки памяти, обходы аутентификации и другие криптографические проблемы. https://blog.trailofbits.com/2023/12/22/catching-openssl-misuse-using-codeql

🔒Введение в обход хуков EDR пользовательского режима

https://malwaretech.com/2023/12/an-introduction-to-bypassing-user-mode-edr-hooks.html

7 распространенных атак на внешний интерфейс

https://dev.to/tinymce/7-common-front-end-security-attacks-372p

Затыкаем рот Windows 10

Windows 10 очень любит Интернет. Обновления, синхронизации, телеметрия и ещё куча разной другой очень нужной ЕЙ информации постоянно гуляет через наши сетевые соединения. В «стандартном» сценарии использования, когда Windows 10 управляет домашним или рабочим компьютером, это, в общем-то, терпимо, хотя и не очень приятно.

Однако жизнь сложная штука и не ограничивается только стандартными вариантами. Существуют ситуации, когда подобная сетевая активность операционной системы (ОС) нежелательна и даже вредна. За примерами далеко ходить не надо. Попробуйте подключить к Интернету давно не используемый резервный компьютер, собранный на старом железе. Пока софт на нём не обновится, использовать его будет практически невозможно, всё будет дико тормозить и еле шевелиться. А если вам в этот момент нужно срочно что-то сделать?

Для того чтобы подобного не происходило, необходимо «заткнуть рот Windows», то есть сделать так, чтобы она самостоятельно перестала «стучаться» в Интернет, устанавливать обновления и заниматься прочими непотребствами. Вот именно этим мы с вами и займёмся. https://habr.com/ru/companies/ruvds/articles/778466/

Личный прокси для чайников: универсальный обход цензуры с помощью VPS, 3X-UI, Reality/CDN и Warp

На фоне прошлогоднего обострения цензуры в РФ, статьи автора MiraclePTR стали глотком свободы для многих русскоязычных айтишников. Я же хочу приоткрыть дверь к свободной информации чуть шире и пригласить «не‑технарей» («чайников»), желающих поднять личный прокси‑сервер для обхода цензуры, но дезориентированных обилием информации или остановленных непонятной технической ошибкой.

В этой статье я описал универсальное решение, которое обеспечивает прозрачный доступ к международному интернету в обход цензуры, использует передовые технологии маскировки трафика, не зависит от воли одной корпорации и главное — имеет избыточный «запас прочности» от воздействия цензоров. https://habr.com/ru/articles/785186/

Атака SQL-инъекцией в поле идентификатора электронной почты

https://infosecwriteups.com/sql-injection-attack-on-email-id-field-b8cfcdc8472a

OWASP API Security Top 10 — это стандартное справочное руководство, в котором освещаются наиболее важные уязвимости веб-API, которое помогает разработчикам и организациям понять и устранить потенциальные угрозы безопасности.

https://www.freecodecamp.org/news/owasp-api-security-top-10-secure-your-apis/

Как содержать пароли. Мой сетап

Я долго собирал информацию о том, как организовать свои аккаунты. Как сделать доступ к ним достаточно надёжным и стойким к утере девайсов.

Меня интересовало, как я могу залогиниться туда, где многофакторная авторизация через телефон, в случае потери телефона.

Или, как обезопасить себя от забывания мастер пароля от менеджера паролей? На моей практике я несколько раз забывал пин-код от банковской карты, состоящий из 4-ёх цифр, после ежедневного использования на протяжении многих месяцев. Мозг - странная штука.

В итоге, спустя месяцы изучения темы, я пришёл к следующему сетапу, который решил описать в виде мануала. Я долго собирал информацию о том, как организовать свои аккаунты. Как сделать доступ к ним достаточно надёжным и стойким к утере девайсов.

https://habr.com/ru/articles/787158/

Telegram показывает удаленные сообщения

Несколько дней назад я обнаружил, что Telegram приложение на Windows показывает давно удаленные чаты. При том, что их не было видно ни на телефоне, ни в Linux клиенте. Я поделился этим с друзьями, которые увидели то же самое.

Для оптимизации работы серверов, чаты разделены на несколько уровней. С повышением уровня группы у чата меняется его id, а история полностью копируется.

Я начал исследовать «удаленные чаты» по API, и заметил, что у всех них проставлен флаг «deactivated», и присутствует параметр migrated_to. Документация Telegram API прямо говорит, что эти чаты повысили уровень. Кроме того, история переписки обычно обрывалась добавлением участников или инициализацией видеоконференции. https://habr.com/ru/articles/787642/

Тестер безопасности приложений Latio (репозиторий GitHub)
LAST (Latio Application Security Tester) использует OpenAI для сканирования кода на наличие проблем безопасности из командной строки. Инструмент можно настроить на сканирование всего кода, только изменений или запуск в конвейере.

https://github.com/latiotech/LAST