IT

🧩 Что такое mDNS и почему он интересен пентестерам? Мы уже разобрали: LLMNR → NBNS Понимаю, сложно, но это еще не все 😃 Теперь третий механизм — mDNS (Multicast DNS). 📌 mDNS позволяет устройствам находить друг друга в локальной сети без обычного DNS-сервера. Вместо обращения к DNS-серверу устройство отправляет multicast-запрос в локальный сегмент:

«Кто знает, где находится этот хост?»

И другие устройства могут ответить. 🧠 Где здесь проблема? Как и в случае с LLMNR/NBNS, использование локальных механизмов разрешения имён может создавать дополнительные возможности для атакующего, уже находящегося в сети. Упрощённо:

Устройство
    ↓
mDNS-запрос
    ↓
Локальная сеть
    ↓
Ответ другого устройства

Если инфраструктура позволяет подменить ожидаемый ответ, можно добиться того, что клиент обратится не к тому хосту. А дальше в некоторых сценариях может возникнуть NTLM-аутентификация.

mDNS
 ↓
Подмена ответа
 ↓
Подключение клиента
 ↓
NTLM

🔥 Чем mDNS отличается от LLMNR и NBNS? Главное различие — это используемый механизм и область применения. LLMNR — локальное разрешение имён в Windows-среде. NBNS — старый механизм NetBIOS. mDNS — multicast DNS, который широко используется различными устройствами и ОС для обнаружения сервисов и устройств в локальной сети. Например, mDNS часто встречается в сценариях обнаружения: — сетевых устройств; — принтеров; — медиасервисов; — других локальных сервисов. 📌 Главная мысль LLMNR, NBNS и mDNS — это не одно и то же и не являются автоматически уязвимостью. Но для пентестера они интересны потому, что показывают:

какие механизмы разрешения имён используются внутри сети и можно ли заставить клиента обратиться к неправильному узлу.

#mdns #llmnr #nbns #responder #ntlm #windows #ad #pentest #infra

🙀 Kwork вчера разослал физикам прекрасное: «Тоси-боси, больше без статуса ИП/СМЗ не работаем» И сослался на закон о платформенной экономике (289-ФЗ). Kwork - это один из крупнейших сайтов для фриланса. Давайте разберемся, о чем речь на самом деле. Новый 289-ФЗ (или "Закон о платформенной экономике") определяет правила для операторов посреднических цифровых платформ, их партнеров и владельцев ПВЗ. По сути, он в значительной степени фиксирует уже сложившиеся правила игры, но теперь в виде закона: 👉 Вводит требования к договорам между платформой, партнёрами и ПВЗ (ответственность, санкции, цены, скидки). Никаких больше изменений оферт задним числом на WB и так далее кароче 👉 Вводит запрет на продажу определенных товаров (БАДы без разрешений, товары без обязательной маркировки/сертификатов и т.д.). 👉 Вводит сроки уведомления об изменении условий оферт маркетплейсов (45 дней по важным параметрам, 15 - по остальным). 👉 Вводит требования к KYC продавцов и карточек 👉 И таки да, отдельно есть статья 15 про работу с самозанятыми и ИП-исполнителями. Там перечислены условия, при которых физлицо на НПД или ИП может работать через платформу именно как исполнитель (а не как "серый" сотрудник в обход ТК). А что тогда не так с письмом Kwork? Да просто закон требует, чтобы посреднические цифровые платформы СНАЧАЛА попадали в специальный госреестр Минэкономразвития. И пока что туда планируют включить только 12 крупных маркетплейсов. Kwork'а там как бы нет 😅 А следить за правовым статусом человека, которому платформа/компания выплачивает деньги (ИП, самозанятый или просто физлицо), платформы были обязаны и раньше - хотя бы чтобы понимать, удерживать ли НДФЛ как налоговый агент, нужен ли чек от самозанятого и т.д. Это типа НК РФ. То есть ссылка на 289-ФЗ в письме Kwork выглядит скорее удобным поводом навести порядок, чем прямой обязанностью «больше ни с кем без статуса не работать». Смешались, как говорится, люди, кони и реестры. Хотите карточки по ключевым положениям 289-ФЗ? 👋

Читатели уходят при первых признаках вмешательства нейросетей Брайан Кантрилл из Oxide собрал в одном тексте то, что мы итак и подозревали. ИИшный текст видно сразу (типа как если мы видим порно - то точно понимаем что это - оно), и злит он гораздо сильнее, чем думает автор. Цифры из опроса, который Кантрилл привёл: 668 разработчиков, 78% закрывают статью в ту секунду, когда осознали авторство модели. 71% после этого автора обходят стороной. 98% выберут кривоватый текст живого человека вместо вылизанного машинного. У него же формулировка про общественный договор между автором и читателем: читатель не подписывался вникать в предложения, над которыми сам автор не работал. Кантрилл сравнивает это со спамом нулевых. Пока фильтров не было, мы тонули в почте, и все ждали, что ей конец. А потом спам научились детектить, и ярлык спамера, кроме потенциальной уголовки, запросто мог стоить компании домена и бренда. С ИИ текстами, по его прогнозу, мы со времене дойдём до того же. Сергей Булаев AI 🤖 - об AI и не только

Чтобы доделать гитару, пришлось выковать сверло на кухонной плите Самодельная электрогитара весом 1800 граммов случайно стала любимым инструментом на каждый день, но с одним звукоснимателем. Автор решает добавить второй, нековый сингл, чтобы получить два нужных тембра. Дальше начинается работа без фрезера вообще, кастомная рамка вырезается из дешёвого пикгарда швейцарским ножиком, а полость под датчик выдалбливается шуруповёртом с обычными свёрлами и ножом. А потом всё упирается в потайной кабель-канал глубиной 73 миллиметра, для которого нужно сверло длиной хотя бы 200 миллиметров. Такого в хозяйстве нет. Зато есть секция стойки от садового светильника, газовая плита и человек, который делает инструмент для себя и привык не отступать.

/Что прикольного я навайбкодила сегодня 🤓/ Я редко рассказываю здесь, что конкретно делаю для компаний, с которыми работаю. Но какие-то крошки полезного могу и хочу приносить. Например, последнюю неделю я вайбкодила довольно прикольную штукенцию. У клиента (еком) огромный каталог - десятки тысяч sku. И понятно, что ни один менеджер физически не может помнить весь ассортимент, все аналоги и быстро сообразить: «ага, вот на этой фотке что-то похожее на наш артикул №14852». Поэтому мы делаем ИИ-шку, которой можно просто скормить фотографию предмета [любую, хоть снятую на телефон где-то в жизни], и попросить найти максимально похожее в нашем каталоге. При этом у ИИ-шки есть актуальная база знаний про ассортимент: что мы вообще продаем, что есть в наличии, сколько стоит и так далее. А дальше я собрала ей примерно такой алгоритм: 💗 1. Сначала она смотрит на фотографию и несколькими словами и синонимами описывает, что вообще на ней видит. Так мы из десятков тысяч товаров сразу сужаем поиск до нужной категории. 💗2. Вторым шагом внутри выбранной категории она находит до 100 наиболее похожих товаров по текстовому описанию и характеристикам и подтягивает их фотографии. 💗3. И только после этого скаченные 100 фотографий подробно сравнивает визуально с исходной фотографией и выбирает топ-5 самых похожих товаров. Визуально все обернуто в сайт, естественно, а под капотом по апи ключу она ходит за мои токены думать. В итоге через пару десятков секунд мы получаем готовую подборку аналогов из нашего реального каталога, с актуальными ценами и наличием. А, еще важно, что на первом этапе мы, конечно, не отдаем ии всем пользователям - сначала надо сделать так, чтобы эти рекомендации видели знающие люди (менеджеры) и по каждой предложенной позиции дали свой фидбек - на это тоже настроен сайт и сбор данных в базу - хорошо ли нейросеть подобрала аналог, или нет - так мы дообучим модель (доуточним промпт на самом деле) и еще повысим качество. Рубрика #яжпродакт - выпуск про то, как иногда весело быть не только рассуждающим о высоком консультантом, но и делающим руками!

Мой компаньон - Claude Code. Пока не могу его отпустить в полностью автономное агентское плавание, поэтому регулярно общаемся. Говорит он правильно, мысли излагает последовательно. Но проскакивают жаргонизмы, англицизмы и любопытные формы слов. Записал некоторые:

"Как ты и просил, теперь нет бинарей" "Типчекаю и тестирую с авторизованным запросом" "Теперь подключу лимитеры в AuthController (request-code и register), ключуя по IP клиента." "следующий крон-запуск продолжит ровно с 15-го, не реобрабатывая и не теряя ничего" "вернула более точную атрибуцию по дочерним юрлицам, которую раньше squash'ило в одну строку"

Изредка бывают глючки в формировании словоформ:

"появятся /en/ — lang придётся делать поматрушрутным"

А еще в контексте диалога на русском он может и в работе использовать русский. Например, тестировал свою работу и сам себе придумал названия для URL:

/sovsem-net-takogo-razdela /vacancies/net-takoy-XXXXXXXX

Причем, хочу отметить, что даже не топовая модель Sonnet 5 очень адекватна и отлично закрывает многие задачи, если постановка была нормальная. Зато гораздо менее прожорлива, чем Fable. GPT-6 Astra пока не пробовал. #ai #life

На программистов хотят учиться намного все меньше. С начала нулевых каждый год был рост желающих учить computer science (CS), но 20+ лет спустя тренд сломался! Это видно по множеству сигналов из разных стран. Например данным National Student Clearinghouse этом году набор на CS упал 8,1%, самое большое падение среди всех профессий. На желание учиться писать код прежде всего влияет (не)уверенность в том, получится ли потом на этом зарабатывать. Видимо школьники и их родители начитались сми о том, что код будет писать только AI, а всех разработчиков уволят (что конечно не так, пост). Я считаю наоборот, что AI демаргинализирует разработчиков (пост), и спрос на их труд будет только больше. Школьники охотнее идут учиться инженерии, машиностроению, электротехнике и т.д. В первом комменте приложил другой график - в США больше всего растет Engineering. В реальности текущее падение - это в большой степени коррекция, неприлично большого количества выпускников CS, которое накопилось за 20+ лет. Спрос на программистов намного сильнее зависит от ставки ФРС, чем от влияния AI (пост). А вы считаете перспективным идти cейчас в программисты? @kyrillic