💻 Что такое Command Injection? Представьте, что веб-приложение умеет выполнять команды операционной системы. Например: — проверить доступность сервера; — обработать файл; — получить информацию о системе. Само по себе это не проблема. Проблема возникает тогда, когда приложение начинает выполнять пользовательский ввод без должной проверки.

📌 Command Injection — это уязвимость, при которой злоумышленник может добиться выполнения произвольных команд операционной системы через веб-приложение. Другими словами, вместо ожидаемой команды приложение может выполнить совершенно другую.

🧠 Где это встречается? Чаще всего в функциях, которые взаимодействуют с операционной системой: — диагностика сети; — работа с файлами; — архивирование; — обработка изображений; — резервное копирование; — различные административные панели. 💀 Чем это опасно? Если приложение уязвимо, последствия могут быть крайне серьёзными: — выполнение произвольных команд на сервере; — чтение или изменение файлов; — получение конфиденциальной информации; — загрузка вредоносного ПО; — полный захват сервера при наличии дополнительных условий. Именно поэтому Command Injection считается одной из наиболее опасных веб-уязвимостей. 🛡 Как защититься? Основные рекомендации: — не передавать пользовательский ввод напрямую в системные команды; — использовать безопасные функции и библиотеки вместо вызова команд оболочки; — проверять и ограничивать входные данные; — запускать приложения с минимально необходимыми привилегиями. 📌 Хотя сегодня многие современные фреймворки помогают избежать подобных ошибок, Command Injection по-прежнему встречается в административных панелях, устаревших веб-приложениях и самописных сервисах. Поэтому при тестировании веб-приложений всегда стоит обращать внимание на функционал, который взаимодействует с операционной системой. #web #owasp #commandinjection #pentest #websecurity

❤️ Понедельник is... • Подрываешься делать дела или хочется спрятаться во сне и не начинать этот день • В голове спаррингуют две мысли: "надо собраться" и "может, всё-таки ну его нахер". Но побеждает "потерплю до вечера". Опять ничья • До обеда питаешь иллюзию, что теперь ты другой, но после супчика встречаешься с собой настоящим, и иногда как бы плачешь внутрь • Всплеск эпидемии засыпания на офисных унитазах • Коллеги рассказывают, как у них прошли выходные, а у половины в голове всплывает: "разве об этом я мечтал в детстве?" • Плохая погода усиливает хандру, а хорошая может ещё сильнее расстроить • Ещё не осознал, что впереди целая рабочая неделя и что она пролетит незаметно, как и все, что были, и будут Этот блогер кусается? Нет, он делает больно по-другому

В современных видеоиграх мир за персонажем фактически не существует. Для экономии вычислительной мощности игровые движки используют метод экономии. Программное обеспечение отображает только те полигоны, текстуры и освещение, которые попадают непосредственно в поле зрения камеры. Остальная часть цифрового мира остается упрощенной математической абстракцией до того самого момента, когда игрок повернется, чтобы посмотреть на него. Ничего не напоминает? Этот вычислительный приём имитирует одно из самых известных и противоречащих интуиции явлений в физике. Эффект наблюдателя в квантовой механике. Самое интересное, что и природа этого явления может оказаться примерно такой. Философы и физики указывают на то, что если бы Вселенная представляла собой высокоразвитую симуляцию, работающую на ограниченном вычислительном ресурсе, ей потребовалось бы оптимизировать свои ресурсы. Подобно тому, как видеоигра отказывается отображать отдельные травинки за виртуальной горой, смоделированная Вселенная могла бы оставлять ненаблюдаемые субатомные частицы в виде нечетких вероятностей для экономии вычислительной мощности. Она бы «отображала» точное положение электрона только тогда, когда научный прибор запросил бы эти данные. Хотя в традиционной физике Вселенная не рассматривается как буквальная видеоигра, эта аналогия остается одним из самых простых способов осмысления квантовой механики. Она предоставляет весьма интуитивную основу для понимания того, как реальность на самых малых масштабах упорно отказывается существовать в определенном состоянии, пока что-то не заставит ее это сделать. Ну а правильно ли это или нет... Наука точного ответа не имеет.

Иммутабельная денормализация Изучение баз данных всегда сопровождается понятием нормализации, а конкретно первыми тремя формами, которые задают нам ограничения, помогающие правильно разложить все по таблицам. И это действительно база, без которой нормально работать не получится. Но есть, как обычно, нюансы. В реальных проектах выясняется, что нормализованные данные сложно соединять и выбирать. При глубоком уровне зависимостей, чтобы добраться до внешней сущности, нужно либо соединять 5 таблиц, либо делать 5 запросов. Пример из Хекслета. У нас есть программа обучения, которая состоит из модулей, в которые входят темы которые состоят из уроков, которые состоят из юнитов (теория, практика, тесты). На это все накручено много логики по прогрессу и отображению. В такой структуре, вопросы типа "какой урок следующий по порядку?" заставляют поломать голову. В таких ситуациях мы начинаем денормализацию данных. В основном она сводится к добавлению внешних ключей на косвенно связанные сущности, например, урок связан с программой обучения через модуль. Здесь мы добавляем ключ на программу прямо из урока, что позволяет выполнять запросы на уроки одной программы без необходимости соединять таблицы. В принципе это довольно базовая концепция с которой знакомы большинство разработчиков, но дальше начинается самое интересное. Как только мы делаем денормализацию, то сразу упираемся в необходимость синхронизировать данные. Если поменялось в одном месте, надо не забыть поменять и в другом месте. Это цена денормализации и ее надо платить. > Кстати есть такой концепт как синхронизирующие триггеры, которые вешают только для того, чтобы синхронизировать подобные данные. Когда-то я его активно использовал, но сейчас не стал бы Но есть и альтернативный подход, который иногда работает лучше. Вместо того, чтобы синхронизировать денормализованные данные, мы можем пересмотреть саму систему и сделать данные иммутабельными (неизменяемыми), чтобы их не нужно было синхронизировать. Например в том же примере с уроками, мы сделали так, что урок принадлежит одной программе и не может перемещаться между программами. А это значит, что мы можем записать в урок все внешние ключи, которые никогда не поменяются. В таком случае цена денормализации это занятое место ключами, чем обычно можно пренебречь. А что касается бизнес-логики? Да, такой подход работает не всегда, но, как показала практика, его можно использовать намного чаще чем кажется. Например в нашем случае это даже наоборот хорошо, иначе получается ситуация, что при переносе урока нужно переносить прогресс, что значительно усложняет логику и создает странное впечатление, когда в середине программы вдруг появляются пройденные уроки. При этом сама процедура довольно редкая, поэтому если кому-то придется пройти два раза один и тот же урок (перенос в нашем случае это копирование), то ничего страшного не случается. Но есть места где без синхронизации данных не обойтись никак. В основном это касается статусов, они могут меняться и за ними нужно следить. Telegram | YouTube | AI Клуб

⚡ Новости к этому часу

🔥 ПОДДЕРЖИТЕ КАНАЛ ГОЛОСАМИ 😎

⚠️ Владельцы телевизоров LG теперь обязаны предупреждать гостей и родных о том, что их разговоры могут быть записаны 🛡 У сайта налоговой GlobalSign отозвал сертификат 🤝 29 стран подписали соглашение о создании Всемирной организации по сотрудничеству в сфере ИИ 🥇 Российские школьники получили 4 золотых и 2 серебряных медали на 67-й Международной математической олимпиаде IMO 2026 (ФОТО) 👎 В LibreOffice снова раскритиковали Microsoft за использование проприетарных форматов Office 💻 Microsoft подтвердила снижение производительности службы WSUS во всех версиях Windows #новости

🤔 “Вечные новички” - навык, который необходим каждому маркетологу В профессии рекламщика есть важный нюанс, о котором никто не предупреждает новичков. Чтобы оставаться востребованным специалистом, учиться необходимо нон-стоп. И нет, речь не только о курсах повышения квалификации. 🧠 В чем проблема? В большинстве профессий знания накапливаются. Чем дольше работаешь, тем больше опыта получаешь - в итоге становишься ценным специалистом. Например, бухгалтер с 20-летним стажем даст фору любому новичку, потому что собаку съел на одних и тех же отчетах и знает каждую запятую в Налоговом кодексе. У маркетологов не так. Наши знания и экспертность работают от силы года полтора, а потом становятся бесполезными 😵 ▪️ Освоили соцсеть и теперь мастерски продвигаете там каналы? Ее могут заблокировать, и аудитория уйдет на другую площадку. ▪️ Разобрались в контекстной рекламе так, что к вам приходят за консультациями? Появятся новые алгоритмы, и ваши советы устареют. 🧑‍🎓 Получается, один из самых важных навыков маркетолога - это способность обучаться. Мы обречены оставаться эдакими вечными новичками, постоянно осваивая профессию заново. Ведь в digital-сфере появляются новые инструменты, алгоритмы и площадки, без знания которых не получится обойти конкурентов и привлечь покупателей. И это лишь верхушка айсберга. Современная коммуникация становится все более ситуативной и реактивной. Чтобы достучаться до своей аудитории, маркетологу недостаточно знать ее боли и потребности. Нужно учитывать текущие тренды, а они часто протухают быстрее, чем тактики и инструменты. Именно поэтому я так удивляюсь, когда слышу: • "Все эти ваши Лабубы и Тралалело Тралала - бессмысленная чушь. Зачем вообще про них читать?" • “Я вообще лет 10 не смотрю телевизор - ничего полезного там нет”. Но рекламщик, который 10 лет не смотрит телевизор, вряд ли сможет выстроить эффективную рекламную стратегию. Он просто не знает, чем живет Россия. 📢 Что я хотел бы посоветовать маркетологам. ✍️ Расширяйте кругозор. Следите за новыми тенденциями, экономическими, политическими, культурными явлениями, новыми мемами. Даже если тренды вам противны, постарайтесь разобраться через силу - это может быть важно для вашей ЦА. ✍️ Старайтесь разобраться в новых инструментах. Знаю, некоторые могут показаться ненужными. Но digital-сфера постоянно меняется, никогда не угадаешь, в какую сторону подует ветер. В итоге соцсеть, которая сейчас кажется тухлой, может через полгода стать одним из крутых мест для продвижения. А вы согласны, что маркетолог должен постоянно учиться? Или универа хватит? Заходите в комментарии, делитесь своим мнением. 👉🏼 Подписывайтесь на «Телеграмму...» в Максе: max.ru/yumaks #МАРКЕТИНГ #МНЕНИЕ #СОВЕТЫ

Взвод менеджеров Вынесу из коментов пару текстов от Дениса Лучанского. Он, в отличие от многих, мешки ворочает с ИИ и пишет вот что: Новое приложение chatGPT с солом 5.6 просто работает на компе как взвод менеджеров. Отличие только в ЗП и перерывах на сон и перекуры. За 20 баксов в месяц в браузере читает любые облачные приложения, собирает данные из нескольких источников в браузере, формирует заказы для десятков магазинов клиентов (может для любого количества), разрабатывает или добавляет в портфель новые продукты (сейчас расширяю портфель с 13 до 40 SKU за две-четыре недели, чтобы увеличить маржинальность одной доставки в торговую точку), управляет рекламными кампаниями в соцсетях (видит дневные продажи точки, сравнивает с затратами на рекламу, и принимает решения, как улучшить ROAS), может постить в любых соцсетях от моего имени всякую дичь 🤪, чуть позже отдам ему бизнес-процесс роста бизнеса почти весь. Это нереально круто. Кожаные отдыхают, служба идет. Теперь можно в одну рожу пилить нереально крутые бизнесы, и быстро выходить на недостижимый раньше уровень. 20, блять, баксов в месяц. Про текеномику: Да, да. Токены могут закончиться быстро, если промпт «сделай мне бизнес». 😂 И глюки могут сильно влиять, если задачи для ИИ ставит гуманитарий «яхудожникятаквижу» 🥹 Но 1) все эти несложные задачи решаются дешевой моделью, не по API, а несложными запросами по расписанию. Нет расхода токенов за рамками тарифа за 20 баксов в месяц. 2) Конечно же пока остается проверка кожаным, но она занимает мизерное время по сравнению с вариантом «сделать самому». Ошибки в начале запуска нового процесса бывают, но они быстро вылавливаются и исправляются. 3) Все процессы очень простые, и основаны на данных. Я не очень полагаюсь на творчество моделей, а в основном на холодный расчет и объективные показатели на основе данных. Например, одна сеть присылает заказы на мэйл в очень упрощенном виде. ИИ проверяет ежедневно почту, и при получении заказа делает накладные, и отправляет заявки на отгрузки на склад. Если мэйл не пришел вовремя, система поднимает шухер на несколько кожаных участников процесса. Все просто, нет вариантов для творчества. Тупая функция администратора. 4) сбор данных из источников - это не парсинг бреда из интернетов. Мне сети дают подключения к системам обмена информацией о движении товаров/заказах, но они разные, и мне проще промптом попросить ИИ вытащить товарный запас в точке с веб-страницы, где я залогинился в систему, чем кодить коннекторы, да еще клянчить доступ у сети, которая надменно считает себя крупным ритейлером, а зажравшийся перегруженный надменный ИТ-шник снизойдет до моего запроса через месяц. 5) я знаю свою область очень хорошо, и не внедряю ИИ во все процессы без разбора, у меня нет показателей на максимальное использование ИИ где попало. Я трачу инференс очень сфокусированно - в первую очередь на текущем ограничении бизнеса. Поэтому мне не нужен миллион на ИИ. Но отдача от ИИ максимальная. P.S. Денис занимается продуктами питания, а не этим вот вашим цифровым бизьнесом. @cgevent

📈 Как влияют гигантские IPO на публичный рынок? JP Morgan выпустил note по текущему буму IPO. 1/ Контекст: ▪️Ожидается, что в 2026 году объем IPO в США превысит $250B, почти как в рекордном 2021-м ($275B). Возможно, OpenAI свое размещение отложит, неизвестно как Anthropic, но тем не менее объемы растут. ▪️Но с 2021 года капитализация S&P 500 выросла на 55%, до $65T. ▪️То есть рынок вырос сильнее, чем объем размещений – абсорбировать стало проще. 2/ Но больше понравился вот такой график – что будет происходить, если гипотетически разместится одна компания на $2T, а вторая компания на $1T. Эти компании будут включены в индексы и индексные фонды будут их покупать. Соответственно, они должны продавать другие активы. График показывает, на какой объем будут продавать NVIDIA и Apple в случае, если выйдет $1T компания и $2T компания. ▪️$1T: $21B продаж NVIDIA и $17B продаж Apple. ▪️$2T: $42T продаж NVIDIA и $34B продаж Apple. 🔹Это все 50%-200% дневного оборота, соответственно (то есть, от полдня до 2 дней), или 0.4-0.9% и 0.3-0.7% капитализации. Не так много. Запускает ли такой каскад шорт рынка? Нет, вряд ли. Но журналисты уже в экстазе, когда цена падает на 2%. Коррекция по другим активам в момент таких мега IPO ожидаема, но похоже, паниковать пока рано. 3/ Что еще интересно: ▪️Даже мега-IPO на $1T с низким фри-флоатом войдет в основные индексы с весом меньше 0.2%. Чем меньше free float, тем меньше реальное давление на индекс. ▪️При этом байбэки корпораций в 2026 ожидаются на уровне $1.5T – это больше, чем весь объем нового выпуска акций. То есть спрос теоретически может полностью перекрыть навес предложения. ▪️Из 25 крупнейших IPO в истории две трети сопровождались ростом S&P 500 на 5-20% в следующие 12 месяцев. Короче, каскадного шорта рынка от мега-IPO, по мнению JP Morgan, ждать не стоит – рынок просто стал больше, чем волна размещений. Но заголовки про "рынок не переварит IPO" точно будут появляться, ждем. 👉 Ссылка на материал JP Morgan: https://privatebank.jpmorgan.com/apac/en/insights/markets-and-investing/tmt/the-ipo-wave-is-historic-so-is-todays-market @proVenture #trends #research

Вы хотите IT-продукт национального масштаба, но управляете людьми как надзиратели на плантации. Самый быстрый способ убить вообще любой амбициозный проект - это перепутать инженера с крепостным. Рынок сейчас бьется в истерике: "Нам не хватает сильных лидов! Где нормальные архитекторы?". Компании рисуют на собеседованиях золотые горы, вещают про цифровые трансформации и выход на IPO. А потом крутой спец принимает оффер, выходит на работу, и начинается жесточайший краш-тест корпоративной шизофренией. Я вижу на рынке глобальный системный сбой. Он держится на двух управленческих галлюцинациях, от которых наш менеджмент никак не может протрезветь. Галлюцинация №1. Покупать экспертизу, но платить за "жопочасы" Объясните мне, зачем компания хантит Senior-архитектора за много денег? Чтобы он спроектировал архитектуру, которая не ляжет в черную пятницу. Чтобы он на старте отрезал фатальные ошибки, цена которых - миллионы долларов и репутация бизнеса. Но как этого человека оценивают на деле? Правильно. По тому, ушел ли он с галеры в 19:00 или остался имитировать бурную деятельность до глубокой ночи, преданно заглядывая в глаза фаундеру. Сравнивать КПД технического визионера с усердием напуганного стажера - это управленческая кома. Нанимая топа, вы покупаете страховку от катастрофы и годы чужих проб и ошибок. Вы покупаете результат. Вы не покупаете право на личную жизнь человека, его выходные и его душу. Нужен кто-то послушный и всегда сидящий у ноги - заведите собаку. Галлюцинация №2. Скидка за "великую миссию" Делать социально значимые продукты - это круто. Идея менять мир действительно драйвит. Но с какого момента бизнес решил, что слова "у нас масштабный и полезный проект" - это легальный промокод на демпинг? "У нас тут супер-миссия! Мы делаем мир лучше. Поэтому мы предложим тебе зарплату на 30% ниже рынка. Ты же не только ради бабок работаешь, надо быть приземленнее" Запомните: манипуляция смыслами с профессионалами не работает. Миссия компании - это приятный бонус к рыночному, жирному офферу. А не повод обесценивать чужой труд. Ни один сильный инженер не обязан спонсировать ваши великие идеи из своего собственного кармана. Благотворительность - это в другом здании. Итог всегда один. Если вы хотите строить сложные, современные, отказоустойчивые системы, вам придется смириться с одним фактом: их делают свободные, дорогие и уверенные в себе люди. Ими нельзя управлять методами начальника цеха из 1980-го года. На них нельзя орать. Их нельзя заставлять трекать время по минутам в Jira. Там, где требуют покорности, дешевизны и высиживания часов, в итоге остаются работать только те, кому просто больше некуда идти. А потом вы удивляетесь, почему ваш релиз падает третью неделю подряд. Коллеги, пишите в комменты: как часто натыкаетесь на компании, у которых амбиции на уровне Долины, а методы управления - из эпохи феодализма? Как вычисляете этот красный флаг еще на этапе собеса?

😈 В прошлом месяце мы обзавелись штрафами за несоблюдение требований к рекомендательным технологиям (до 2,8 млн). На фоне новостей про запрет иностранных форм авторизации (Google etc) это прошло незаметно - но я говорил о том, что это намного с моей точки зрения важнее и критичнее А как вообще легально оформить применение рекомендательных технологий? Давайте разберемся. Рекомендательные технологии - это любые алгоритмы, которые собирают, анализируют и используют сведения о ваших действиях на сайте или в приложении, чтобы предложить вам что-то «подходящее» . Подборка товаров «с этим товаром покупают», рекомендации похожих курсов, лента новостей, сформированная под вас - все это рекомендательные технологии. И да, даже если вы просто показываете пользователю блок «популярное» или «похожие товары» - теоретически это уже считается . Ключевой критерий - не размер бизнеса, а сам факт использования . Что должен сделать бизнес (чтобы на штраф не попасть) 1) Разместить уведомление на ресурсе. Должна быть фраза: «На информационном ресурсе применяются рекомендательные технологии» . Без вариантов, именно так. Она должна быть общедоступной, бесплатной, без регистрации и смс, и не накладываться на другие элементы 2) Сделать отдельную страницу с правилами. Под уведомлением должна быть ссылка на страницу, где указано: «На информационном ресурсе при применении информационных технологий предоставления информации осуществляется сбор, систематизация и анализ сведений, относящихся к предпочтениям пользователей сети "Интернет", находящихся на территории Российской Федерации» . На этой же странице должны быть: - правила применения рекомендательных технологий (как собираете данные, на основании чего формируете рекомендации) ; - наименование организации и адрес электронной почты для юридически значимых сообщений . 3) Назначить ответственного (как с ПДн за обработку) Закон этого не требует прямо, но лучше определить внутри компании человека или подразделение, которые будут координировать вопросы с Роскомнадзором. Чаще всего это тот же сотрудник, что отвечает за обработку персональных данных. Если на это все забить - случиться может следующее Роскомнадзор сначала запросит информацию и доступ к техническим средствам. Потом направит требование прекратить нарушения. Потом - требование прекратить использование рекомендательных технологий. Если и это не выполнено - доступ к ресурсу заблокируют . Штрафы тоже есть. Но главный риск не в деньгах, а в том, что сайт или приложение перестанут работать для пользователей из РФ. В общем всем рекомендую проверить - а есть ли у вас на сайте или в приложении блоки типа «рекомендуем», «похожие», «с этим товаром покупают», «популярное». Если да - вы используете рекомендательные технологии. И тогда вам нужно сделать все уведомления, правила и контакты 🤝

Duolingo побил квартал по всем метрикам и поднял годовой гайденс по прибыли — а акцию всё равно слили, −77% за год. Единственная трещина в отчёте — MAU: 138 млн против ожидаемых 143, DAU при этом в норме. За такое не наказывают на три четверти капитализации. Наказывают за другое: рынок перестал верить в moat. Персональный репетитор теперь собирается одним промптом в ChatGPT или Gemini, и лидерство в категории «структурированный контент + привычка» уже ничего не гарантирует. Отдельная деталь: замедление DAU компания списывает в основном на математику масштаба и собственный сдвиг в монетизацию, но в shareholder letter честно вписала и паузу в unhinged-маркетинге — как частичную причину. Сова, выходит, работала усилителем habit loop'а, а не двигателем: DAU/MAU у Duolingo 41% — цифра соцсети, не education-аппки. Мемы притихли — streak-петля крутится чуть медленнее.

Что делать с ИИ в школьном образовании? Вместо «запрещать или разрешать» свой ответ дала Эстония. Министр образования Эстонии рассказала про новый инструмент для школьных учителей - «Сократический чат-бот», я собрал первые результаты тестирования. О чем это: уже всем понятно, что школам нужно перейти от запоминания фактов к созданию смыслов, критическому оцениванию и анализу. Но как? Для этого в Эстонии создали частно-государственную инициативу в партнерстве с OpenAI (трезво оценивая нехватку компетенций у сотрудников министерства образования). Сократический бот ITI — это инструмент для учеников, который не даёт готовый ответ, а ведёт школьника вопросами к решению сам. Учителя же получили платный доступ к ChatGPT плюс обучение и профессиональные сообщества внутри школ. В программе участвовали 154 из 156 гимназий Эстонии, около 5 000 учителей и 20 000 учеников 10–11 классов, с сентября планируют расширение до средней школы. Показательна обратная связь: школьники жаловались, что сократический бот раздражает — задаёт много вопросов и не выдаёт ответ сразу. Разработчики считают это фичей, а не багом — мышление остаётся в руках ученика. Эстония стала первой страной с такими внедрениями и сейчас по сути ставит научно измеряемые эксперименты. Будем наблюдать - получится ли избежать «когнитивной разгрузки» у школьников и каким образом. Может и в компаниях такое надо вводить? Проблемы у взрослых те же самые, что и у детей.