IT

🌐 Что такое DNS в локальной сети? Когда начинают изучать инфраструктурный пентест, многие воспринимают DNS просто как сервис, который переводит:

google.com → IP-адрес

Но внутри корпоративной сети DNS играет гораздо более важную роль.

📌 DNS (Domain Name System) — это система, которая помогает компьютерам находить друг друга по имени, а не по IP-адресу.

Например, вместо того чтобы запоминать:

192.168.1.15

можно обратиться к серверу по имени:

fileserver.company.local

или

dc01.company.local

Давайте представим компанию, где работают 500 сотрудников. Запомнить IP-адреса всех серверов невозможно. Именно поэтому практически вся корпоративная инфраструктура строится вокруг DNS. Через DNS пользователи находят: — Domain Controller — файловые серверы — веб-приложения — почтовые серверы — принтеры — внутренние сервисы 💀 Почему DNS интересен пентестеру? Потому что он может рассказать об инфраструктуре намного больше, чем кажется. Например, по DNS-именам можно узнать: — названия серверов — структуру домена — используемые сервисы — внутренние подсети — потенциально интересные цели для дальнейшего анализа 📌 Именно поэтому после попадания в локальную сеть пентестер старается понять не только: какие IP-адреса существуют, но и: какие имена скрываются за этими адресами.

DNS — один из первых источников информации при разведке внутренней сети. И чем лучше вы понимаете, как он работает, тем легче ориентироваться в чужой инфраструктуре.

#infra #ad #dns

Когда-то давно в одном из проектов я делал конвертер криптовалют. Так как владельцы проекта экономили на подписках, курсы брали скриптом по расписанию прямо с веб-страниц постороннего сервиса. API там не было, страницы рендерились на сервере. Каждую страницу приходилось парсить, выковыривая из HTML конечные цифры. Время от времени сервис менял верстку, и поток данных у нас иссякал, нужно было корректировать правила парсинга. Активность по извлечению данных из веб-страниц называется скраппинг (или скрейпинг). Мне для PersMarket такое нужно, поэтому подбираю современные инструменты. Вот некоторые из них, бесплатные и опенсорсные. 🔹Scrapy - кроссплатформенный фреймворк для краулинга (это когда ваш скрипт обходит сайты, как поисковый бот Гугла, например) и скраппинга, сделан на Python. Можно использовать также для мониторинга и автотестирования. 621 контрибьютор в репозитории. Есть подробная документация. 🔹CyberScraper 2077 - анонсирован как "AI powered", то есть извлекает данные по-умному, используя внешние или локальные ИИ-модельки. Имеет графический интерфейс. Умеет экспорт в JSON, CSV, HTML, SQL и даже Excel. Есть встроенный "режим невидимки" и решение капчи. 🔹Crawl4AI - еще один извлекатель данных с поддержкой ИИ, гордится плашкой "Реопзиторий дня #1". Вроде бы очень умный, даже эвристичный, и быстрый, даже слишком, но вот коммитов в этом году не было. Документация имеется. 🔹WaterCrawl - этот поактивнее развивается, использует Python, Django, Scrapy и Celery под капотом для извлечения данных. Поднимается в Docker-контейнере. Имеет поисковый движок и поддержку мульти-язычности. Интегрируется с n8n и подобными платформами. 🔹AnyCrawl - пишут, что высокопроизводительный, может работать как с отдельными страницами, так и обходить сайты пачками. Имеет режимы парсинга как голого HTML, так и рендеренного с помощью JS контента через Playwright и Puppeteer. Можно запускать через прокси и использовать кэш. Более 3300 звезд на Github и 3,5 сотни форков. Коммиты есть буквально позавчера. 🔹Botasaurus - фреймворк "все-в-одном", как они его назвали. Умеет не просто парсить, а обходить антибот-защиты, фаерволы и капчи. Там даже демо-гифка есть, как оно само на капчу Claudflare нажимает. Умеет работать в параллели, кэшировать, очищать данные. Использовать можно прямо в своем Python-скрипте. И еще один инструмент до кучи - Monolith, это "Сохранить страницу как" на стероидах. Даете ему адрес, он берет HTML, сдабривает CSS, добавляет JS и картинки, в итоге генерируя единый HTML5 документ в виде файла. #tools

Из Wallpaper Engine убирают EXE-обои из-за вирусов Разработчики Wallpaper Engine убирают старый формат интерактивных обоев-приложений из мастерской Steam. Поводом для обновления 2.8.42 стал отчет «Лаборатории Касперского». Эксперты нашли в таких раздачах скрытые EXE, DLL и вредоносные скрипты. Вирусы запускались на компьютере в тот момент, когда пользователь просто выбирал себе новую заставку на рабочий стол. Внедрять автоматическую проверку исполняемых файлов в Steam авторы софта посчитали бесполезным делом. К тому же всегда оставался риск, что хакеры взломают профиль нормального создателя контента и обновят старые чистые обои, зашив туда троян. Сама функция была непопулярной и занимала всего 0,5% от всей библиотеки мастерской, так что лазейку решили окончательно закрыть. Сейчас опасный формат заблокирован для загрузки, а старые работы переведены в приватный режим. У любителей подобных тем есть примерно неделя, чтобы сохранить файлы к себе на ПК. Локально запускать свои приложения в качестве фона никто не запрещает, но качать их из общего доступа в Steam больше не выйдет.

#новыйфонд ФРИИ и разработчик сканера уязвимостей Metascan создали совместный инвестиционный фонд с фокусом на российские стартапы в сфере информационной безопасности. Metascan выступает не только как эксперт, но и как соинвестор. Объем фонда может достигнуть 300 млн рублей. На инвестиции смогут рассчитывать стартапы с продуктами в сфере ИБ, ориентированные на B2B. Продукт должен быть готов либо находиться в коммерческой эксплуатации. Также указываются следующие условия - наличие первых клиентов, пилотов или подтвержденного спроса, команда должна быть нацелена на масштабирование. На один проект планируется выделять от 5 до 100 млн рублей в обмен на долю в 10% компании. Приоритетные для инвестиций сферы - управление уязвимостями, защита веб-приложений и API, автоматизация ИБ-процессов, новые технологии в кибербезопасности, импортозамещение в ИБ, а также безопасность данных и облачная безопасность. В рамках экспертной поддержки проекты получат доступ к методологиям по B2B-продажам [SolutionSales, PPVVC, MEDDIC, построение UVP], маркетингу [анализ рынка, HADI-циклы, Customer Development], а также фреймворкам по управлению процессами на основе LEAN. Помимо этого, стартапы смогут использовать корпоративную клиентскую базу Metascan, в которую входят более 100 организаций, включая “Сбербанк”, ВТБ, “Ростелеком”, “Альфа-банк”, РСХБ, Wildberries, “Ланит” и “СПБ Биржа”. Для самых перспективных команд ФРИИ и Metascan предлагают индивидуальные условия более тесного сотрудничества. В качестве примеров организаторы фонда приводят два кейса: в январе 2026 года Metascan вошел в число учредителей тренировочной платформы специалистов по информационной безопасности defbox.io и помогает команде с доступом к корпоративным клиентам. Согласно данным Rusprofile, ООО “Метскан” получило 24,5% в ООО “Дефбокс”. 51% владеет гендиректор компании Михаил Аксенов. Еще 24,5% принадлежит Максиму Чивелеву. Также Metascan приобрела сервис 152.metascan.ru по проверке сайтов на соответствие требованиям законодательства о персональных данных. @rusven

Пока мир сходит немного с ума с нейронками по паспорту и опенсорс суверенными моделями, я решил начать читать настоящую базу - книгу Эванса по DDD. По ощущениям я снова оказался в той ситуации, где мне нужно разъяснение, а как код то писать надо. Первый раз меня подтолкнула книга "Чистая архитектура", где я понял, зачем интерфейсы вообще нужны. Пока что, прочитав 1 главу, которая посвящена тому, как говорить заказчиком про ТЗ, буквально. Мне этой проблемы не понять, может ранее программисты напрямую общались с заказчиком, а не через менеджеров, и им реально приходилось вытаскивать адекватные требования из людей. Да и не понял я момента, где он говорит, что должен быть поток обратной информации от разработчика. Однако довольно интересный момент в 1 главе есть. А именно замечание о том, что какие-либо правила системы не надо прятать в операциях, а надо выносить на уровень хотя бы методов. И делать это надо не ради расширяемости или чего-то еще, а что бы просто ментально было понятно, что тут не просто домножение на10 или деление на 3, а специальная операция для определенной цели.

Тем временем, продолжаю свою войну. Очередная статья Уж не знаю, на сколько меня еще хватит, но вот как я сформулировал еще в 2023 году пять пунктов (можете даже проверить - задачи выполняются с разной степенью успешности), так по ним и двигаюсь. Да, это оказался марафон — нудный и изнуряющий. Самое трудное — это изменять отношение к происходящему у тех, кто принимает реальные решения в области санкций. А иногда даже среди коллег трудно объяснить. Как вот с этим самым "госсмессенджером" — еще в сентябре прошлого года я начал бегать с этой мыслью, что нужно добиваться его деплатформинга. Но даже в среде internet freedom fighters идея не находила поддержки. А там же несложная конструкция была — путинская кодла буквально ртом этот говорила: "сейчас мы (они, в смысле) добьются проникновения Макса до какой-то величины и тут же заблокируют конкурентов". Это стало понятно еще в августе 2025 года. Но Фридом-файтерс на столько файтерс, что отказывались от действий в эту строну. Типа, мы никого не блокируем, ага. Сложно поверить же, что клин клином выбивают, ага. Но да ладно. Сейчас уже поздно, конечно, потому что Телеграм и WA заблокировали и вряд ли кодла будет разблокировать их обратно — крайне маловероятно. Но это не означает, что не нужно ничего делать и просто наблюдать. Нужно что-то делать. Ответ какой-то. Вот до Apple удалось донести, хотя, уверен, что там скорее сработал комплекс событий среди которых важнейшим является то, что российские власти лишили Apple источников дохода от РФ. Осталось еще донести мысль до Google и продолжаю работать над этим. Вероятность не велика, но все же не равна нулю. Надо пытаться. Нужно еще больше статей, еще больше объяснений, как работает российская цензура, да.

Ну вот давайте проанализируем — было уже два "пакета": 1. Первый пакет (принят весной 2025 г.) Этот этап был сосредоточен на «гигиене» связи и блокировке входящих угроз. ↗️Система «Антифрод»: Запуск и обязательное подключение операторов к единой системе для блокировки подменных номеров. — на деле, это не работает, потому что из-за коррупции есть возможность набрать абсолютно легитимных номеров на подставные лица. Это всего лишь подняло цену на номер. ↗️Запрет на звонки в мессенджерах: Госорганам и банкам официально запретили звонить гражданам через WhatsApp, Telegram, Viber и другие мессенджеры. — а в августе-2025 вообще заблокировали эти самые звонки. Какая предусмотрительность! ↗️Автоопределитель номера: Внедрение требований по обязательной маркировке звонков от организаций (чтобы вы видели, кто звонит, а не просто номер). — и там, прям, написано, что это звонит мошенник?? ↗️Защита Госуслуг: Введение интервалов (пауз) между сообщениями при смене пароля и дополнительные факторы аутентификации. — а для этого правда надо было закон принимать? А просто регламент сервиса можно было использовать? ↗️Самозапрет на спам: Возможность подать жалобу и заблокировать спам-звонки и рассылки (через систему ФАС и операторов). — гениально! Я правильно понимаю, что все спамеры побежали регистрироваться в автоопредилетель? Или, подождите... 2. Второй пакет «Антифрод 2.0» (принят в июне 2026 г.) Этот пакет более жесткий и направлен на ликвидацию инфраструктуры мошенников (симок, карт) и возврат денег. ↗️Лимит на сим-карты: Одному человеку теперь разрешено иметь не более 20 сим-карт (для иностранцев — не более 10). — и правильно! Надо больше людей вовлекать в дропперство. А все вот эти вот "интернеты вещей", они от лукавого. Мошенники же просто заплатят немного денег оператору в сервисном центре (см. предыдущий "пакет") ↗️«Охлаждение» сим-карты: Расторгнуть договор с оператором можно только через 90 дней после его заключения. Это убивает схему с «одноразовыми» симками для атак. — прям все карты убили. Наповал! ↗️Лимит на банковские карты: Одному физлицу запрещено иметь суммарно более 20 карт во всех банках (мера против дропперов, которые обналичивают украденное). — а больше и не надо. Эти меры всего лишь увеличивают процент вознаграждения дропперам, тем самым делая "профессию" более привлекательной. (к слову, эти карты открывают на краденные данные в госуслугах, но это другая история). ↗️Заморозка переводов на 6 часов: Банки получили право останавливать подозрительный перевод на срок до 6 часов, даже если клиент его подтвердил (чтобы дать жертве время одуматься). — а раньше у них не было права блокировать операции? Для этого опять прям закон нужно? ↗️Ответственность деньгами: Если банк или оператор пропустил мошенническую операцию, нарушив протоколы безопасности, он обязан вернуть клиенту всю сумму (в течение 30 дней по РФ, 60 дней — за рубеж). — мне казалось, что если банк распознает мошенническую операцию, то он должен по-умолчанию не допускать таковую. А если не распознал, то как он должен эту операцию остановить? В итоге мы все больше видим ложно-положительных сработок и все больше людей пользуется.. наличными. ↗️База IMEI: Создание единого реестра уникальных кодов телефонов для блокировки украденных или «серых» аппаратов (блокировки начнутся с 2028 года). — сегодня писал про это — это только помогает мошенникам. ↗️«Тревожная кнопка»: На Госуслугах появится спецсервис для мгновенного сообщения о мошенничестве, чтобы уведомить сразу все банки. — опять же, а точно для этого закон нужен был отдельно? А просто сделать такую кнопку нельзя было?

Когда ты методично блокируешь все, что шевелится, а пользователей научаешь обходить встроенные в операционные системы механизмы защиты, то странно, что количество скама увеличилось всего-то на 70% https://www.kommersant.ru/doc/8779737

По итогам первого полугодия число заражений мобильных устройств в России выросло на 70% год к году. Основной угрозой остается банковский троян Mamont. По оценкам экспертов, уже скомпрометировано около 1,5 млн Android-устройств — это 1,5% от всех в России. В условиях недоступности ряда приложений установка файлов из сторонних источников стала массовой практикой, чем активно пользуются злоумышленники.

Вообще, у меня чувство, перерастающее в уверенность, что это буквально стратегия — загнать население в такое состояние, чтоб их было легче обворовывать. Ну все же делается, чтоб мошенничество процветало. Включая все эти "пакеты мер против кибермошенников".

Ошибка в директиве. Ищем подвох Какой бы ни был пост в ленте, всегда стоит задать пару уточняющих вопросов. О чем это? Для кого? Нет ли смысловой дыры? Часто это помогает сразу найти ошибку, которую не замечают другие редакторы. Возьмем свежую новость про новые правила для дипломатов. Основная мысль: Россия вводит уведомительный порядок для европейцев, но наши сотрудники в посольствах не попадают под действие. Пропущено ключевое: ответный характер меры. Без этого контекста текст кажется произвольным, хотя на самом деле это зеркальная реакция. Всегда проверяйте, чтобы важная логическая связь не терялась. Дорогой редактор | 🌊 «Одно незабываемое путешествие в Тартарары» Иногда нужно потеряться, чтобы найтись.

Самодельный BIOS для микшерного пульта и запуск DOS на нём В 2026 году автор увидел скриншоты микшера Behringer DDX3216 и заметил кое-что неожиданное: внутри стоит реальный AMD 386 с 16 МБ оперативной памяти и флеш-памятью. Интересно, можно ли запустить на этом железе настоящую операционную систему? Готового BIOS для AMD Elan SC300 не существовало: исходники у всех производителей обрывались на более поздних моделях. Пришлось писать с нуля: вектор сброса, таблицы прерываний, драйвер CF-карты, шрифты для дисплея побайтово — и всё это ради того, чтобы попробовать загрузить настоящую DOS на микшерный пульт. Выясним, чем закончились три недели реверс-инжиниринга и почему в итоге помог FreeDOS.