IT

👤 Кто такой Local Administrator? Когда начинают изучать Active Directory, многие сразу слышат про Domain Admin. Но до него есть ещё одна очень важная учётная запись — Local Administrator.

📌 Local Administrator — это пользователь, который имеет максимальные права только на одном конкретном компьютере.

То есть он может: — устанавливать и удалять программы; — создавать пользователей; — изменять настройки Windows; — запускать процессы с повышенными привилегиями; — получать доступ практически ко всем файлам на этой машине. 🧠 Главное отличие от Domain Admin. Local Administrator управляет: 👉 одним компьютером. Domain Admin управляет: 👉 всей инфраструктурой Active Directory. 💡 Представьте компанию из 300 компьютеров. Если вы получили права Local Administrator на одном из них, это ещё не означает, что вы получили полный контроль над доменом. Но именно с этого очень часто начинается дальнейшее развитие атаки. 💀 Почему Local Administrator так интересен пентестерам? Потому что такие права позволяют: — извлекать учётные данные из памяти; — анализировать локальные настройки безопасности; — исследовать сохранённые подключения; — искать конфиденциальные файлы; — использовать компьютер как точку для дальнейшего перемещения по сети. Именно поэтому получение прав локального администратора считается важным этапом инфраструктурного пентеста. 📌 Типичная цепочка может выглядеть так:

Обычный пользователь
        ↓
Local Administrator
        ↓
Перемещение по сети
        ↓
Domain Admin

Не всегда путь выглядит именно так, но в реальных инфраструктурах это один из самых распространённых сценариев. 🧠 Поэтому во время внутреннего пентеста цель не всегда — сразу захватить Domain Admin. Иногда гораздо важнее сначала получить права Local Administrator, а уже затем искать пути дальнейшего повышения привилегий. #infra #ad #windows #privilege

Человек на пределе Системы требуют от человека все больше и больше: больше знаний, больше умений, больше скорость. Для ряда направлений системы уже подошли к пределам возможностей человека. Так, для пилотирования истребителей пятого поколения необходимо справляться с большими перегрузками, уметь ориентироваться в пространстве, работать с большим потоком информации, моментально маневрировать. Человек является самым слабым элементов системы: техника может больше. В одной статье нашел интересную статистику роста ошибок в зависимости от уровня техники. В 50-е годы ошибки пилота составляли 30% всех летных происшествий (для военной авиации), в 70-е – от 40 до 60%, в начале 80-х – более 70%. В период войсковой эксплуатации самолетов 4 поколения (с 1982 по 1993 годы) уровень достиг 75%. Если техника требует от человека большего, то количество ошибок будет увеличиваться. Естественно, истребительная авиация 5-го поколения не самая распространенная система, но тенденция наблюдается везде. Экономические условия требуют снижения затрат, что также увеличивает нагрузку на сотрудников. Новые технологии только повышают нагрузку на людей. Тут можно вспомнить недобрым словом изобретения, которые следят на нагрузкой на людей. Была новость про метод контроля за производительностью сотрудников в компании Amazon: датчики в перчатках и шлеме. Если скорость движения работника на рабочем месте ниже требуемой, то раздаётся сигнал, как и если он смотрит не в «правильную» сторону больше 15 секунд. Мою знакомую уволили с руководящей позиции со словами: «Ваша мышка не двигалась в течении 40 минут!». Так что сами системы становятся все более хрупкими, все более склонными к ошибке или более чувствительными к ошибкам. #ЧФ #модель_сдвига #нагрузка

В мире авторского права случилось событие, которое мне лично (как и многим другим практикующим юристам) сильно не нравится. Фотограф снял девушку на унитазе с бутылкой алкоголя. Выложил на Shutterstock. Ну фото не однозначное - возможно (на вкус и цвет все фломастеры и так далее...) Но по ГК - и это объект авторского права. Неважно, нравится он вам или нет. Нет в ГК (и в Бернской конвенции) требований о том, что произведение должно не противоречить принципам гуманности или морали (в отличие от требований к той же регистрации товарных знаков) или какой-то специальной комиссии, которая оценивает произведения на их соответствие (прежде чем им может быть предоставлена правовая охрана) Так вот, это фото использовали без разрешения. Право требования переуступили и пошли в суд с иском на 10 тысяч рублей. И тут началось. Первая инстанция отказала. Не потому что факт использования не доказан. А потому что истец, по мнению суда, злоупотребил правом. Само фото аморально, производит негативное впечатление, не соответствует основам общественной нравственности. И требуя защиты такого объекта, истец якобы ведет себя недобросовестно. Самое неприятное, что и апелляция и Суд по интеллектуальным правам поддержали это решение. СИП даже выдал теоретическую базу: произведения не должны противоречить основам нравственности. И отнес к таковым, в частности, не имеющие художественной ценности работы, демонстрирующие интимные стороны жизни. Фактически СИП заявил: если объект нам не нравится - он не охраняется. Хотя ГК прямо говорит: объекты авторских прав охраняются независимо от достоинств, назначения и способа выражения. И более того - там указано, что охрана не требует соблюдения каких-то формальностей или регистраций (нарисовал чертика в блокноте на совещании - и все ты автор), это база которая работала десятилетиями (!) Суд не только придумал новое основание для отказа в защите - но и лишил автора возможности обращаться за защитой к другим нарушителям. Потому что злоупотребление, по версии суда, связано не с поведением истца, а с самим объектом. Получается несуразная конструкция: объект есть, права есть, а судебной защиты нет. В общем суд выступил в роли цензора. И это противоречит не только духу авторского права, но и принципу стабильности гражданского оборота. Если такая логика приживется - все провокационное искусство останется без судебной защиты. А вместе с ним - неудобная, но от этого не менее законная интеллектуальная собственность. Это очень плохо и с решениями судов по этому кейсу я строго не согласен (надеюсь - это разовая история)

Закон Брукса⏰ Пошел учиться на системное мышление наконец-то. Откладывал эту часть 2 года и вот оно наконец-то случилось. Кайфую. Сейчас копаю основные законы, которые работают в различных системах, один из них называется закон Брукса. Встречал его кучу раз на практике, но не знал, что так называется. Суть Добавляя больше людей на поздних стадиях проекта, чтобы спасти сроки, вы еще сильнее в них не попадете. Фредерик Брукс сформулировал этот закон еще в 1975 году в своей культовой книге «Мифический человеко-месяц». Казалось бы, математика начальной школы: если 2 копают яму за 4 часа, то 4 выкопают за 2. Почему в IT это не работает? Потому что Проект — это не просто сумма людей, это система связей. Когда мы добавляем в нее новые элементы на поздних этапах, происходит следующее: 1.Коллапс коммуникации Количество связей в команде растет не линейно, а экспоненциально по формуле N(N-1)/2 Команда из 5 человек — это 10 каналов связи. Команда из 10 человек — уже 45. Больше людей = больше митингов, согласований, конфликтов при слиянии кода и потери контекста. 2. Стоимость онбординга Новый человек на проекте не начнет приносить пользу в первые дни. Его нужно ввести в курс дела, показать архитектуру, выдать доступы. Кто это делает? Ваши самые опытные сеньоры, которые вместо спасения релиза теперь работают няньками. Скорость команды в моменте упадет. 3.Неделимость задач Это про «Девять женщин, которые не смогут выносить ребенка за один месяц»*. Некоторые задачи строго последовательны. Вы не можете ускорить процесс компиляции, тестирование сложного флоу или продумывание архитектуры просто посадив за это больше людей. Пара примеров закона Брукса Разработка. Делаете сложную интеграцию с платежным шлюзом, дедлайн через неделю, не успеваете. Если добавите в команду еще одного бэкендера, текущему лиду придется потратить 3 дня на то, чтобы объяснить ему легаси и бизнес-логику. В итоге потеряете время лида и не получите выхлопа от новичка. QA. Перед релизом накопилась гора багов. Перекидываете на проект трех тестировщиков из соседней команды. Они не знают ваш продукт, заводят дубликаты багов, дергают разработчиков доп.вопросами, парализуя процесс фикса критов. Мой пример Помню как тащили гигантский проект и вышли на финал, где последние 3 месяца нужно было просто фигачить и дотаскивать. Тревожность менеджмента повышалась, все хотели заглянуть глубже в команду. Мы понимали, что если не защитить ребят от митингов и разговоров точно вылетим за сроки. В итоге, взяли удар на себя по паре раз в неделю устраивали чеки, синки и давали актуальный статус. Команда работала, никто не отвлекал, затащили💪 Нюансы закона Закон Брукса часто понимают слишком буквально и совершают ошибки. Моменты, о которых важно помнить: 1. Закон применим к *отстающим* проектам на *поздних* стадиях. Если вы только стартовали или находитесь на раннем этапе, масштабирование команды работает отлично. 2. Исключение закона - идеально изолированные задачи. Если вы можете выделить кусок работы, который вообще не пересекается с основным функционалом (например, ручная разметка датасета, перевод текстов интерфейса на другой язык), добавление людей реально ускорит процесс. 3. Ловушка «никогда не нанимай». Иногда добавить людей в горящий проект *нужно*. Да, краткосрочно сроки сдвинутся еще сильнее, и вы должны открыто сказать об этом стейкхолдерам. Но стратегически, если проект долгий, через пару месяцев эти новички втянутся и вытащат вас из ямы. Главное — не ждать от них чуда «здесь и сейчас». Итого Думайте, когда добавляете людей на поздних этапах проектах. Точно ли оно того стоит! P.S. Напишите в комментариях ловили ли на себе закон Брукса? #рекомендуетсяизучить

Нейросети: кому на самом деле принадлежат права на то, что вы там генерируете — разбираемся по-человечески Компания нарисовала картинки для товаров на маркетплейсе, конкуренты их спёрли и разместили у себя. Дошло до суда. Конкуренты уцепились за модный довод, мол, это нейросеть рисовала, значит творческого вклада человека нет, значит и не объект авторских прав, и взыскивать нечего. Суд с этим не согласился и взыскал 120 тысяч рублей в пользу той компании, что картинки сгенерировала. Пишет это юрист по авторским правам, которому надоели статьи в духе «всё, что вы создали в нейросети, уже не ваше». По российской практике выходит перевёртыш, суд по умолчанию считает правообладателем тебя, а доказывать, что вклада не было, придётся нарушителю. Вот только автор тут же ставит чёткую границу, за которой сгенерированное через нейросеть превращается в нарушение с компенсацией до миллионов. Обсудим, почему довод «это же нейросеть» в суде не сработал и где проходит та самая опасная граница.

Походу, Питон — всё 👩‍💻 Всем привет! В момент субботнего вайбкодинга я неожиданно понял, что Питон — всё. Ну, не совсем прям всё, но уже всё. Почему? Потому что я сидел и портировал свои последние питон-поделки на Rust + Tauri. А почему? Потому что это проще, быстрее и надёжнее. Когда я собирал портативку Higgs Ultimate, я не испытал ни одной из проблем, которые обычно ловлю при сборке питона: не ебался с venv и окружениями, не было ни намёка на Градио, который заебал уже сам по себе, не было нелепых тупняков с версиями. Всё просто разобралось, поменялось и собралось обратно. А ведь мне, как вайбкодеру, вообще пофиг, на чём вайбкодить — лишь бы быстро увидеть результат и потыкать пальцами. Так вот: Rust + Tauri закрывает всё то же самое, что раньше закрывал мой стек Питон + Градио. Только быстрее, приятнее и надёжнее. Но это я уже говорил 😄 Может, конечно, я просто окрылён опытом разработки на новом стеке. А может, Питон уже и правда всё. Какие у него по факту остались преимущества перед тем же Растом — при условии, что я не знаю ни того языка, ни другого? То-то же 😏 Сейчас вот портирую Dub Studio на Rust + Tauri — и, как будто бы, она станет работать в разы быстрее, сборка станет меньше размером, надёжность вырастет, и всё будет в одном файле. Посмотрим, как оно выйдет в реальности. А какие мысли у вас? Меняли ли вы язык своих вайбкодинг-поделок в последнее время? Делитесь в комментах 👇 Всех обнял, увидимся на стриме всегда ваш - Nerual Dreming ❤️

Умный летний дом своими руками (буквально) Задумывалась беседка 3х4, а выросло трёхлетнее строительство капитального флигеля своими руками, от фундамента до розеток. Чтобы сэкономить, автор взял дешёвый забутовочный кирпич, крепкий и красивый, но абсолютно разный по форме, где трапеция, где параллелограмм. Обе сговорчивые бригады скисли при виде неровных штабелей, а одиночный мастер на второй день собрал вещи и ушёл со словами в духе «сами мучайтесь с этим кирпичом или сразу выкидывайте». Осталось 10 тысяч кирпичей у фундамента и ни одного каменщика. И вот тут человек, который по профессии инженер-автоматизатор, а не строитель, натянул леску, кинул отвес и с 30 марта начал класть сам, каждый вечер, учась на ходу. А впереди ещё печь, кровля и умный дом на программируемом реле. Посмотрим, как из кривого кирпича и упрямства за три года вырос Флигель с автоматикой и голосовым управлением.

Годы идут, ничего остроумнее, чем демонстрировать отсутствие морали и этики и эмпатию на уровне обезьяны (простите, обезьяны) Дуров не в состоянии. Шутки про совок, репрессии, Сталина и ветеранов в свое время достали тут многих настолько, что Дурова выпнули из страны. Он позиционировал, что за принципиальность и свободу, но конечно же нет — за наглость и отсутствие берегов. Теперь тот же путь он повторяет на Западе. Считает, что его обижают и не ценят, и врубил свой режим обиженного бунтующего подростка. Тред показательный, я считаю. И да, это он, 99.9%. Никому больше в Т. так вести не дали бы :) https://x.com/telegram/status/2075839327003873340?s=46

⚡️КАК УСКОРИТЬ ПЕНТЕСТ В 10 РАЗ?

СКРЫТЫЕ УТИЛИТЫ ДЛЯ АКТИВНОЙ РАЗВЕДКИ В KALI LINUX

📱 ➡️СМОТРЕТЬ [08:59] СКРЫТЫЙ АРСЕНАЛ ПЕНТЕСТЕРА: РАБОТАЕМ С ARJUN И AQUATONE В KALI LINUX 🛠 Если вы занимаетесь Bug Bounty или только учитесь этичному хакингу, вы знаете, как много времени отнимает рутинная разведка. Прокликивать вручную сотни найденных поддоменов или пытаться угадать скрытые параметры в URL — это путь в никуда. В этом видео мы разберем две отличные утилиты, о которых почему-то редко говорят в базовых курсах по Linux, но которые экономят часы работы профессиональным багхантерам. В качестве тестового полигона мы развернем уязвимое приложение OWASP Juice Shop через Docker, а также проведем легальное сканирование поддоменов. 🔍Что мы разберем в видео:

🟦Подготовка стенда: Быстрая установка и запуск OWASP Juice Shop локально через контейнер Docker. 🟦Скрытые параметры URL: Для чего разработчики оставляют параметры в коде и как они становятся точками входа для хакеров. 🟦Разбор утилиты Arjun: Как работает инструмент для брутфорса HTTP-параметров. Находим невидимые ключи вроде sort, price, offset и id через команду arjun -u. 🟦Поиск поддоменов: Использование утилиты sublist3r для выгрузки актуального списка сабдоменов целевого сайта в текстовый файл. 🟦Разбор утилиты Aquatone: Пошаговая установка бинарного файла с GitHub и настройка через директорию /usr/bin/. 🟦Автоматизация разведки: Загружаем список поддоменов в Aquatone и автоматически получаем скриншоты всех страниц для быстрой визуальной приоритизации целей.

🦔 CyberYozh

Сделал простую автоматизацию, которая 100% классная Много критики в адрес ИИ сейчас. Большая часть заслуженная. Но это другой случай. Живу в Бразилии, во Флорианополисе, рядом с пляжем Кампеше. Каждый июль сюда приходят южные гладкие киты. 50-тонные (!) животные в 30-100 метрах от берега. Есть классный местный UGC сайт, который я люблю: местные отмечают, где видели кита в последний раз. Сделал с Claude небольшой алерт, который пингует меня в Slack, когда кит рядом с моим пляжем. В прошлом году, чтобы их увидеть, пришлось поехать 60 км и немного удачи. (Тогда повезло в течение часа видеть 8-10 китов с детёнышими, впечатляет) В этом году телефон вибрирует (Кит рядом 🐋) - и это 5 минут пешком. Вот и всё. Без ИИ я бы это не сделал