Для подписчиковВ этой статье мы с тобой разберем несколько видов SQL-инъекций на боевом примере — приложении openSIS, в коде которого я нашел несколько серьезных проблем. Если ты хочешь научиться обнаруживать потенциальные проблемы в коде на PHP, этот материал должен стать живой иллюстрацией. Особенно она будет полезна новичкам, которые хотят разобраться с темой SQLi.
На этой неделе компания Microsoft подтвердила свои планы по отказу от NT LAN Manager (NTLM). Так, в Windows 11 отказ запланирован уже на вторую половину текущего года. Также компания анонсировала ряд новых защитных мер, направленных на усиление безопасности ОС.
18 мая в Нью-Йорке был арестован предполагаемый владелец и оператор даркнет-маркетплейса Incognito, который специализировался на продаже запрещенных веществ.
Критическая уязвимость во Fluent Bit может использоваться для атак на отказ в обслуживании и для удаленного выполнения кода. Эта проблема, получившая 9,8 балла по шкале CVSS, затрагивает крупных облачных провайдеров и многие технические компании, включая Microsoft, Amazon и Google.
Министерство юстиции США предъявило обвинения пяти лицам (гражданке США, украинцу и трем гражданам других стран) за участие в схемах, которые позволяли гражданам Северной Кореи устраиваться на удаленную работу в американские ИТ-компании и якобы «приносить доход ядерной программе Северной Кореи».
Специалисты центра исследования киберугроз Solar 4RAYS ГК «Солар» сообщают, что заблокировали шпионскую активность группировки Obstinate Mogwai в инфраструктуре неназванного российского телеком-оператора. В атаке хакеры использовали старую, но не полностью устраненную уязвимость десериализации в параметре ViewState (управляет состоянием веб-страниц среды ASP.NET, разработанной Microsoft).
Новая версия мавлари BiBi стирает таблицу разделов диска, что дополнительно затрудняет восстановление данных и увеличивает время простоя атакованных компьютеров, предупреждают аналитики Check Point.
Для подписчиковПрактически все современные системы используют контейнеризацию. В большинстве случаев в качестве платформы контейнеризации служит Docker. Для обеспечения информационной безопасности постепенно появляются решения класса Container Security, но у команд разработки (dev) или сопровождения (ops) не всегда есть возможность их ждать, тестировать и встраивать. А командам информ
Эксперты центра исследования безопасности промышленных систем и реагирования на инциденты Kaspersky ICS CERT сообщают, что общее количество атак на автоматизированные системы управления (АСУ) снизилось по сравнению с первым кварталом 2023 года (с 27,9% до 23,6%), но сами атаки становятся сложнее.
Специалисты WatchTowr Labs рассказали, что провели обширный аудит безопасности операционной системы Qnap QTS (QuTSCLoud и QTS Hero), используемой в NAS компании. В результате были обнаружены 15 уязвимостей, одиннадцать из которых до сих пор остаются неисправленными.
Американская радиорелейная лига (The American Radio Relay League, ARRL) сообщила, что подверглась кибератаке, которая нарушила работу ее IT-систем и онлайн-служб, включая электронную почту и работу Logbook of the World.
Двое студентов из Калифорнийского университета в Санта-Крузе обнаружили проблему в работе прачечных самообслуживания CSC ServiceWorks. Баг позволяет вообще не платить за стирку и пользоваться любой из миллиона подключенных к интернету стиральных машин, установленных в жилых домах, отелях и кампусах учебных заведений по всему миру.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло в каталог эксплуатируемых уязвимостей сразу три новых бага, один из которых затрагивает браузер Google Chrome, а два других — роутеры компании D-Link.
Для подписчиковСамой интересной частью этого райтапа будет повышение привилегий в Linux через модуль PHP — мы проэксплуатируем бинарную уязвимость целочисленного переполнения в нем. На пути к этому используем баг HTTP request smuggling в Haproxy и через LFI прочитаем SSH-ключ пользователя.
Ежегодная независимая премия для этичных хакеров Pentest award открывает прием заявок. У пентестеров есть шанс заявить о своих достижениях и показать свой вклад в развитие российского ИБ-рынка. В этом году количество номинаций увеличилось до шести.
Банковский троян Grandoreiro снова активен и атакует пользователей в 60 странах мира, нацеливаясь на клиентов 1500 банков. При этом в январе 2024 года правоохранители заявляли о пресечении деятельности малвари.
Расследуя инцидент у одного из своих клиентов, исследователи обнаружили ранее неизвестный кейлоггер, встроенный в главную страницу Microsoft Exchange Server. Вредонос собирал вводимые данные учетных записей в файле, доступном по специальному пути из интернета.
Исследователи обнаружили уязвимость, связанную с конструктивными недостатками стандарта Wi-Fi IEEE 802.11. Проблема позволяет обманом вынудить жертву подключиться к менее защищенной беспроводной сети и прослушивать сетевой трафик пользователя.
На прошедшей конференции Google I/O 2024 разработчики объявили о нескольких новых защитных функциях, которые появятся в Android 15 и Google Play Protect, и помогут бороться с мошенничеством, скамом и вредоносными приложениями на устройствах пользователей.
Компания Qrator Labs опубликовала статистику DDoS-атак за первый квартал 2024 года. По данным исследователей, наибольшее количество атак пришлось на сегмент электронной коммерции (25,26% всех атак), а самая продолжительная атака произошла в сегменте интернет-магазинов и длилась почти три недели: с 1 по 20 февраля.