IT

🌐 Что такое DNS в локальной сети? Когда начинают изучать инфраструктурный пентест, многие воспринимают DNS просто как сервис, который переводит:

google.com → IP-адрес

Но внутри корпоративной сети DNS играет гораздо более важную роль.

📌 DNS (Domain Name System) — это система, которая помогает компьютерам находить друг друга по имени, а не по IP-адресу.

Например, вместо того чтобы запоминать:

192.168.1.15

можно обратиться к серверу по имени:

fileserver.company.local

или

dc01.company.local

Давайте представим компанию, где работают 500 сотрудников. Запомнить IP-адреса всех серверов невозможно. Именно поэтому практически вся корпоративная инфраструктура строится вокруг DNS. Через DNS пользователи находят: — Domain Controller — файловые серверы — веб-приложения — почтовые серверы — принтеры — внутренние сервисы 💀 Почему DNS интересен пентестеру? Потому что он может рассказать об инфраструктуре намного больше, чем кажется. Например, по DNS-именам можно узнать: — названия серверов — структуру домена — используемые сервисы — внутренние подсети — потенциально интересные цели для дальнейшего анализа 📌 Именно поэтому после попадания в локальную сеть пентестер старается понять не только: какие IP-адреса существуют, но и: какие имена скрываются за этими адресами.

DNS — один из первых источников информации при разведке внутренней сети. И чем лучше вы понимаете, как он работает, тем легче ориентироваться в чужой инфраструктуре.

#infra #ad #dns

Когда-то давно в одном из проектов я делал конвертер криптовалют. Так как владельцы проекта экономили на подписках, курсы брали скриптом по расписанию прямо с веб-страниц постороннего сервиса. API там не было, страницы рендерились на сервере. Каждую страницу приходилось парсить, выковыривая из HTML конечные цифры. Время от времени сервис менял верстку, и поток данных у нас иссякал, нужно было корректировать правила парсинга. Активность по извлечению данных из веб-страниц называется скраппинг (или скрейпинг). Мне для PersMarket такое нужно, поэтому подбираю современные инструменты. Вот некоторые из них, бесплатные и опенсорсные. 🔹Scrapy - кроссплатформенный фреймворк для краулинга (это когда ваш скрипт обходит сайты, как поисковый бот Гугла, например) и скраппинга, сделан на Python. Можно использовать также для мониторинга и автотестирования. 621 контрибьютор в репозитории. Есть подробная документация. 🔹CyberScraper 2077 - анонсирован как "AI powered", то есть извлекает данные по-умному, используя внешние или локальные ИИ-модельки. Имеет графический интерфейс. Умеет экспорт в JSON, CSV, HTML, SQL и даже Excel. Есть встроенный "режим невидимки" и решение капчи. 🔹Crawl4AI - еще один извлекатель данных с поддержкой ИИ, гордится плашкой "Реопзиторий дня #1". Вроде бы очень умный, даже эвристичный, и быстрый, даже слишком, но вот коммитов в этом году не было. Документация имеется. 🔹WaterCrawl - этот поактивнее развивается, использует Python, Django, Scrapy и Celery под капотом для извлечения данных. Поднимается в Docker-контейнере. Имеет поисковый движок и поддержку мульти-язычности. Интегрируется с n8n и подобными платформами. 🔹AnyCrawl - пишут, что высокопроизводительный, может работать как с отдельными страницами, так и обходить сайты пачками. Имеет режимы парсинга как голого HTML, так и рендеренного с помощью JS контента через Playwright и Puppeteer. Можно запускать через прокси и использовать кэш. Более 3300 звезд на Github и 3,5 сотни форков. Коммиты есть буквально позавчера. 🔹Botasaurus - фреймворк "все-в-одном", как они его назвали. Умеет не просто парсить, а обходить антибот-защиты, фаерволы и капчи. Там даже демо-гифка есть, как оно само на капчу Claudflare нажимает. Умеет работать в параллели, кэшировать, очищать данные. Использовать можно прямо в своем Python-скрипте. И еще один инструмент до кучи - Monolith, это "Сохранить страницу как" на стероидах. Даете ему адрес, он берет HTML, сдабривает CSS, добавляет JS и картинки, в итоге генерируя единый HTML5 документ в виде файла. #tools

Пока мир сходит немного с ума с нейронками по паспорту и опенсорс суверенными моделями, я решил начать читать настоящую базу - книгу Эванса по DDD. По ощущениям я снова оказался в той ситуации, где мне нужно разъяснение, а как код то писать надо. Первый раз меня подтолкнула книга "Чистая архитектура", где я понял, зачем интерфейсы вообще нужны. Пока что, прочитав 1 главу, которая посвящена тому, как говорить заказчиком про ТЗ, буквально. Мне этой проблемы не понять, может ранее программисты напрямую общались с заказчиком, а не через менеджеров, и им реально приходилось вытаскивать адекватные требования из людей. Да и не понял я момента, где он говорит, что должен быть поток обратной информации от разработчика. Однако довольно интересный момент в 1 главе есть. А именно замечание о том, что какие-либо правила системы не надо прятать в операциях, а надо выносить на уровень хотя бы методов. И делать это надо не ради расширяемости или чего-то еще, а что бы просто ментально было понятно, что тут не просто домножение на10 или деление на 3, а специальная операция для определенной цели.

Тем временем, продолжаю свою войну. Очередная статья Уж не знаю, на сколько меня еще хватит, но вот как я сформулировал еще в 2023 году пять пунктов (можете даже проверить - задачи выполняются с разной степенью успешности), так по ним и двигаюсь. Да, это оказался марафон — нудный и изнуряющий. Самое трудное — это изменять отношение к происходящему у тех, кто принимает реальные решения в области санкций. А иногда даже среди коллег трудно объяснить. Как вот с этим самым "госсмессенджером" — еще в сентябре прошлого года я начал бегать с этой мыслью, что нужно добиваться его деплатформинга. Но даже в среде internet freedom fighters идея не находила поддержки. А там же несложная конструкция была — путинская кодла буквально ртом этот говорила: "сейчас мы (они, в смысле) добьются проникновения Макса до какой-то величины и тут же заблокируют конкурентов". Это стало понятно еще в августе 2025 года. Но Фридом-файтерс на столько файтерс, что отказывались от действий в эту строну. Типа, мы никого не блокируем, ага. Сложно поверить же, что клин клином выбивают, ага. Но да ладно. Сейчас уже поздно, конечно, потому что Телеграм и WA заблокировали и вряд ли кодла будет разблокировать их обратно — крайне маловероятно. Но это не означает, что не нужно ничего делать и просто наблюдать. Нужно что-то делать. Ответ какой-то. Вот до Apple удалось донести, хотя, уверен, что там скорее сработал комплекс событий среди которых важнейшим является то, что российские власти лишили Apple источников дохода от РФ. Осталось еще донести мысль до Google и продолжаю работать над этим. Вероятность не велика, но все же не равна нулю. Надо пытаться. Нужно еще больше статей, еще больше объяснений, как работает российская цензура, да.

Ну вот давайте проанализируем — было уже два "пакета": 1. Первый пакет (принят весной 2025 г.) Этот этап был сосредоточен на «гигиене» связи и блокировке входящих угроз. ↗️Система «Антифрод»: Запуск и обязательное подключение операторов к единой системе для блокировки подменных номеров. — на деле, это не работает, потому что из-за коррупции есть возможность набрать абсолютно легитимных номеров на подставные лица. Это всего лишь подняло цену на номер. ↗️Запрет на звонки в мессенджерах: Госорганам и банкам официально запретили звонить гражданам через WhatsApp, Telegram, Viber и другие мессенджеры. — а в августе-2025 вообще заблокировали эти самые звонки. Какая предусмотрительность! ↗️Автоопределитель номера: Внедрение требований по обязательной маркировке звонков от организаций (чтобы вы видели, кто звонит, а не просто номер). — и там, прям, написано, что это звонит мошенник?? ↗️Защита Госуслуг: Введение интервалов (пауз) между сообщениями при смене пароля и дополнительные факторы аутентификации. — а для этого правда надо было закон принимать? А просто регламент сервиса можно было использовать? ↗️Самозапрет на спам: Возможность подать жалобу и заблокировать спам-звонки и рассылки (через систему ФАС и операторов). — гениально! Я правильно понимаю, что все спамеры побежали регистрироваться в автоопредилетель? Или, подождите... 2. Второй пакет «Антифрод 2.0» (принят в июне 2026 г.) Этот пакет более жесткий и направлен на ликвидацию инфраструктуры мошенников (симок, карт) и возврат денег. ↗️Лимит на сим-карты: Одному человеку теперь разрешено иметь не более 20 сим-карт (для иностранцев — не более 10). — и правильно! Надо больше людей вовлекать в дропперство. А все вот эти вот "интернеты вещей", они от лукавого. Мошенники же просто заплатят немного денег оператору в сервисном центре (см. предыдущий "пакет") ↗️«Охлаждение» сим-карты: Расторгнуть договор с оператором можно только через 90 дней после его заключения. Это убивает схему с «одноразовыми» симками для атак. — прям все карты убили. Наповал! ↗️Лимит на банковские карты: Одному физлицу запрещено иметь суммарно более 20 карт во всех банках (мера против дропперов, которые обналичивают украденное). — а больше и не надо. Эти меры всего лишь увеличивают процент вознаграждения дропперам, тем самым делая "профессию" более привлекательной. (к слову, эти карты открывают на краденные данные в госуслугах, но это другая история). ↗️Заморозка переводов на 6 часов: Банки получили право останавливать подозрительный перевод на срок до 6 часов, даже если клиент его подтвердил (чтобы дать жертве время одуматься). — а раньше у них не было права блокировать операции? Для этого опять прям закон нужно? ↗️Ответственность деньгами: Если банк или оператор пропустил мошенническую операцию, нарушив протоколы безопасности, он обязан вернуть клиенту всю сумму (в течение 30 дней по РФ, 60 дней — за рубеж). — мне казалось, что если банк распознает мошенническую операцию, то он должен по-умолчанию не допускать таковую. А если не распознал, то как он должен эту операцию остановить? В итоге мы все больше видим ложно-положительных сработок и все больше людей пользуется.. наличными. ↗️База IMEI: Создание единого реестра уникальных кодов телефонов для блокировки украденных или «серых» аппаратов (блокировки начнутся с 2028 года). — сегодня писал про это — это только помогает мошенникам. ↗️«Тревожная кнопка»: На Госуслугах появится спецсервис для мгновенного сообщения о мошенничестве, чтобы уведомить сразу все банки. — опять же, а точно для этого закон нужен был отдельно? А просто сделать такую кнопку нельзя было?

Когда ты методично блокируешь все, что шевелится, а пользователей научаешь обходить встроенные в операционные системы механизмы защиты, то странно, что количество скама увеличилось всего-то на 70% https://www.kommersant.ru/doc/8779737

По итогам первого полугодия число заражений мобильных устройств в России выросло на 70% год к году. Основной угрозой остается банковский троян Mamont. По оценкам экспертов, уже скомпрометировано около 1,5 млн Android-устройств — это 1,5% от всех в России. В условиях недоступности ряда приложений установка файлов из сторонних источников стала массовой практикой, чем активно пользуются злоумышленники.

Вообще, у меня чувство, перерастающее в уверенность, что это буквально стратегия — загнать население в такое состояние, чтоб их было легче обворовывать. Ну все же делается, чтоб мошенничество процветало. Включая все эти "пакеты мер против кибермошенников".

Ошибка в директиве. Ищем подвох Какой бы ни был пост в ленте, всегда стоит задать пару уточняющих вопросов. О чем это? Для кого? Нет ли смысловой дыры? Часто это помогает сразу найти ошибку, которую не замечают другие редакторы. Возьмем свежую новость про новые правила для дипломатов. Основная мысль: Россия вводит уведомительный порядок для европейцев, но наши сотрудники в посольствах не попадают под действие. Пропущено ключевое: ответный характер меры. Без этого контекста текст кажется произвольным, хотя на самом деле это зеркальная реакция. Всегда проверяйте, чтобы важная логическая связь не терялась. Дорогой редактор | 🌊 «Одно незабываемое путешествие в Тартарары» Иногда нужно потеряться, чтобы найтись.

Самодельный BIOS для микшерного пульта и запуск DOS на нём В 2026 году автор увидел скриншоты микшера Behringer DDX3216 и заметил кое-что неожиданное: внутри стоит реальный AMD 386 с 16 МБ оперативной памяти и флеш-памятью. Интересно, можно ли запустить на этом железе настоящую операционную систему? Готового BIOS для AMD Elan SC300 не существовало: исходники у всех производителей обрывались на более поздних моделях. Пришлось писать с нуля: вектор сброса, таблицы прерываний, драйвер CF-карты, шрифты для дисплея побайтово — и всё это ради того, чтобы попробовать загрузить настоящую DOS на микшерный пульт. Выясним, чем закончились три недели реверс-инжиниринга и почему в итоге помог FreeDOS.

⚡️ Что такое Blind XSS и как она работает Blind XSS (слепая межсайтовая скриптовая уязвимость) - это подвид хранимой (Stored) XSS. Её главная особенность: вредоносный JavaScript-код внедряется на одном ресурсе, а срабатывает в совершенно другом интерфейсе (часто внутреннем или административном), к которому у самого атакующего нет прямого доступа. Механизм уязвимости - Внедрение: Атакующий отправляет вредоносный скрипт через общедоступные формы, данные из которых сохраняются в систему. - Входной точкой могут быть поля обратной связи, тикеты техподдержки, имена при регистрации или даже HTTP-заголовки (например, User-Agent), если они записываются в логи. - Ожидание: Скрипт находится в базе данных в пассивном состоянии. Атакующий не получает мгновенного ответа от сервера и не знает, сработает ли его payload. Исполнение: Внутренний пользователь (администратор, модератор, сотрудник службы безопасности) открывает свою панель управления для проверки логов или тикетов. Если административное приложение выводит сохраненные данные в браузер без предварительной очистки, внедренный JavaScript-код выполняется в контексте сессии этого сотрудника. 🛠 Особенности тестирования Поскольку атакующий не видит админку и результат выполнения кода, стандартные методы вроде alert(1)здесь не работают. Для поиска Blind XSS применяются Out-of-Band (OOB) техники: - Внутрь payload закладывается логика отправки скрытого запроса на внешний хост, контролируемый тестировщиком. - Для автоматизации используются специализированные платформы (например, XSS Hunter или Interactsh). - Факт уязвимости подтверждается только тогда, когда на внешний сервер приходит обратный вызов (callback). Вместе с ним обычно передаются данные о внутреннем окружении: URL скрытой панели управления, DOM-структура страницы, IP-адрес и сессионные маркеры. 🛡 Способы защиты - Контекстное экранирование на выводе: Административные панели и системы работы с логами должны обрабатывать поступающие из базы данные так же строго, как и внешние. Все спецсимволы HTML должны преобразовываться в безопасные сущности перед рендерингом страницы. - Строгая политика CSP (Content Security Policy): Настройка политик во внутренних интерфейсах, запрещающая выполнение инлайновых скриптов и ограничивающая отправку запросов на неизвестные внешние домены. - Флаг HttpOnly для сессионных кук: Защита идентификаторов сессии от чтения через JavaScript, что предотвращает их кражу даже в случае успешного выполнения XSS. Привет!

На моё интервью с братьями Либерманами три недели назад прилетел страйк. Жалобу кинули крипто-пирамидчики. Жалоба прилетела из-за нарушения авторских прав от канала без видео на нём. Довести дело до страйка на YouTube непросто, надо обладать железобетонной доказухой. А это интервью из Zoom, без вставок чужих видео и музыки. Самый что ни на есть оригинальный контент. Страйк повесили на канал за вот эту фотографию. Страйк очень опасен для канала. Три страйка и канал сносят без возможности восстановления. Кто изображён на видео? Это серийные сетевики. Знаете, да, как есть серийные предприниматели, только это серийные участники пирамидосов. За их плечами участие в первых рядах почти всех крупных понци-схем последнего десятилетия. Финико, Kriptofuture, МММ-2011 и т. д. Пиздаболы слева направо: Игорь Бондаренко, Дмитрий Разумовский, Алексей Воскресенский, Сергей Дроздовский. Пиявки присосались к gonka.ai и выстраивают пирамидальную структуру вокруг проекта братьев Либерманов. Вот здесь подробный материал про них с разбором скам-схемы. Они якобы объединяют людей в пулы, чтобы вместе скидываться на аренду оборудования. Фокус идёт на привлечение новых участников: чем больше привлёк, тем больше выплат получаешь. Скорее всего, никакого арендованного оборудования нет, деньги старым участникам какое-то время будут выплачиваться из новых поступлений, а в один момент выплаты прекратятся. Страйк отбил, там долгая процедура. Сначала пришлось доказать ютубу, что контент оригинальный, а фото я показал в журналистских целях, чтобы уведомить аудиторию о потенциальной мошеннической схеме. Затем у пирамидчиков был 10-дневный период, чтобы подать на меня иск в американский суд. Чего, конечно же, сделано не было. Бесит, конечно, что у ютуба такой хрупкий механизм подачи жалоб, из-за которого очевидно авторский контент блокируется на несколько недель.

Последствия этого ПП РФ Учитывая регулярные утечки данных и техническую возможность изменения IMEI на ряде устройств, реализация этого постановления может привести к следующим последствиям: ↗️Массовое клонирование и "подмена" IMEI. Злоумышленники смогут брать легальные IMEI из утекших баз данных и прошивать их на украденные, серые или заблокированные устройства. В результате в сети будут одновременно появляться десятки телефонов-двойников с одинаковыми идентификаторами. ↗️Блокировка добросовестных пользователей. Если IMEI легального телефона будет скопирован на запрещенное устройство, автоматическая система блокировки может отключить от сети как аппарат нарушителя, так и оригинальный телефон ничего не подозревающего гражданина. ↗️Новые схемы шантажа и мошенничества. Доступ к базе или ее утечка позволят злоумышленникам удаленно вносить IMEI "жертвы" в список запрещенных (например, через поддельные заявления об утере или фальсификацию данных). После этого владельцу придется доказывать операторам (ну не Минцифры же?), что устройство принадлежит ему и находится у него на руках. ↗️Черный рынок "чистых" идентификаторов. Появится теневой бизнес по продаже верифицированных IMEI-адресов, извлеченных из утекших баз или со старых неиспользуемых телефонов, для последующей перепрошивки нелегально ввезенных аппаратов. ↗️Угроза деанонимизации и слежки. Корреляция базы IMEI с Госуслугами, биометрией и абонентскими номерами операторов в случае утечки даст злоумышленникам полный профиль гражданина: связку паспортных данных, биометрического слепка, используемых сим-карт и конкретных физических устройств со всей историей их регистраций в сети. ↗️Существуют исследования, показывающие, что в странах со строгим контролем IMEI (например, в Турции или Пакистане) резко вырос спрос на услуги криминального изменения идентификаторов и кражи персональных данных для регистрации устройств. ↗️Внедрение подобных систем часто бьет по рынку б/у техники, так как покупатели лишаются возможности проверить, не станет ли купленный с рук телефон "кирпичом" через час после смены сим-карты из-за скрытых проблем со статусом IMEI в госбазе. ↗️Техническая привязка к IMEI исторически признана международными экспертами по безопасности уязвимой, так как сам стандарт GSM изначально не проектировался с расчетом на то, что этот номер будет являться единственным и неизменяемым юридическим идентификатором устройства. И я не смог придумать ни одного кейса, чтоб введение этого "закона" (ПП РФ, точнее) хоть как-то повлиял на "борьбу с мошенничеством". Ну, потому что мошенники будут просто использовать дешевые аппараты с перепрошитыми IMEI, которые будут регулярно изменять. Они, впрочем, давно уже так и делают.