IT

💉 Что такое NoSQL Injection? Когда говорят об инъекциях, большинство сразу вспоминает SQL Injection. Но сегодня многие современные приложения используют не SQL-базы данных, а NoSQL, например MongoDB. И вместе с этим появилась ещё одна опасная уязвимость — NoSQL Injection.

📌 NoSQL Injection — это уязвимость, при которой злоумышленник может повлиять на запрос к NoSQL-базе данных из-за некорректной обработки пользовательского ввода.

Другими словами, приложение начинает выполнять запрос не так, как задумал разработчик. 🧠 Где встречается NoSQL? Самые популярные NoSQL-базы: — MongoDB; — CouchDB; — Redis; — Cassandra. Их часто используют в современных веб-приложениях, REST API и облачных сервисах благодаря высокой производительности и гибкости. 💀 Чем это опасно? Если приложение недостаточно защищено, последствия могут быть серьёзными: — обход аутентификации; — получение доступа к чужим данным; — просмотр содержимого базы; — изменение или удаление информации. Конкретные последствия зависят от логики приложения и уровня защиты. 🛡 Как защититься? Основные рекомендации: — проверять и валидировать все входные данные; — использовать безопасные методы формирования запросов; — избегать передачи пользовательского ввода напрямую в запросы к базе данных; — ограничивать права пользователя базы данных по принципу минимальных привилегий. 📌 Хотя NoSQL Injection встречается реже, чем классическая SQL Injection, популярность NoSQL-баз продолжает расти, а вместе с ней возрастает и актуальность этой уязвимости. Поэтому специалисту по веб-безопасности важно понимать не только традиционные SQL-базы данных, но и особенности современных NoSQL-решений. #web #nosql #mongodb #owasp #injection

Как оценку места под магазин ужали с трёх недель до одного клика В 2009 году, чтобы понять, стоит ли открывать магазин в конкретном районе, сотрудники «Ленты» шли туда пешком. Исследование так и называлось, City Walk, прогулка по городу. Четыре дня в полях плюс две недели на отчёт, все конкуренты и зоны доступности заносились руками в PowerPoint. Сегодня прогноз товарооборота новой точки приходит по клику на карте. Между этими двумя состояниями 15 лет, собственный геопортал на ArcGIS и ML-модель на градиентном бустинге, которую команда принципиально решила делать in-house. Разберёмся, как из хождения ногами выросла модель, работающая с точностью до 90%.

Все видели на упаковках продуктов обозначение ГОСТ или ТУ. И знают, что в одном случае речь об утвержденном государством стандарте, в другом - о технических условиях, которые производитель написал сам. Но кроме них есть ещё отраслевые стандарты, правила, методики. И тут возникает далеко не праздный вопрос: защищены ли такие документы авторским правом? И что делать, если их украл и использует конкурент? А если нужно передать их партнеру - что это за объект? Бернская конвенция и ст. 1259 ГК РФ четко указывают: идеи, методы, процессы (рецепты) и технические решения не защищаются копирайтом. Охрана предоставляется только за «творческий литературный или художественный текст». При этом есть отдельное указание: авторским правом не охраняются официальные документы, тексты законов и нормативно-правовые акты. Но ТУ, стандарт или внутренняя методика формально не являются нормативно-правовым актом. Это документ по стандартизации, чаще всего добровольного применения. Значит, формально они могут быть объектом авторского права. Но с оговорками. Иными словами: 1) Если вы хотите, чтобы ваши ТУ охранялись авторским правом - они должны представлять собой именно творческий или художественный объект. Либо сборник (это отдельный вид объектов авторского права). Включать авторские решения по композиции, оригинальные иллюстрации, нестандартную структуру. И у всех компонентов такого «произведения» должны быть авторы, с которыми заключены договоры и которым выплачено вознаграждение. Просто перечень параметров и цифр - не охраняется (как и рецепт борща). А вот методичка с уникальными схемами, пояснениями, авторскими формулировками - может (как рецепт борща в книге Сталика с красивыми картинками и воспоминаниями про Бухару) 2) Если ваши ТУ по своей сути НЕ являются объектами авторского права или вы не хотите охранять их таким образом, доступный способ - коммерческая тайна. Как рецепт Кока-Колы, который хранится за семью замками. Пока он никому не известен на законном основании - он дает вам коммерческое преимущество. 3) Если вам нужно передать такие ТУ партнеру или госоргану - делайте это по соглашению. Для объекта авторского права - по лицензионному договору. Для коммерческой тайны - по NDA. Технические условия сами по себе не охраняются авторским правом. Но если вложить в них творчество - могут. Если не вкладывать - защищайте как коммерческую тайну. А передавать - только под письменным соглашением 🤝

«Web 3.0» оказался скамом и «Web N+1» окажется им же. В чём реальная проблема сети Интернет? Весь смысл Web3 был в том, чтобы отобрать контроль у бигтеха и раздать его распределённым реестрам, которые никому не принадлежат. На деле подавляющее большинство «децентрализованных» приложений ходит через одну и ту же пару централизованных провайдеров, Infura и Alchemy. Даже кошелёк MetaMask, который считается пользовательским клиентом блокчейна, внутри просто шлёт запросы в Infura. Что это значит на практике, стало ясно в августе 2022 года. Как только США ввели санкции против криптомиксера Tornado Cash, оба провайдера мгновенно заблокировали доступ к его смарт-контрактам, и множество формально независимых проектов в одночасье потеряли связь с ним. Автор ведёт к неприятному выводу. Настоящий рычаг контроля лежит этажом ниже смены вывесок и токенов, в DNS, сертификатах, хостинге и платёжных цепочках, а любой независимый сайт структурно ведёт прямой след к своему создателю.

Если вы думаете, что я шутила, то нет. Я буквально ваш стажер дурашка, который помешан на агентах😋 Вот скилл. Подходит и для кодекса и для Клода https://github.com/zj-karina/complexity-budget По сути просто доп классификатор в вашу разработку, который делает ablation на надобность фичи 1. Определяет ближайший результат, который хотим достичь, а не глобальный вердикт 2. Проверят существует ли бейзлайн 3. Разбирает каждый компонент по 4 вопросам: какую гипотезу проверяет, нужен ли для ближайшего результата, что без него сломается, можно ли заменить на более простой алгоритм временно 4. Присваивает метку решения 5. Проектирует минимальный следующий эксперимент 6. Результат принятия решений 😏Подойдет, кстати, не только для разработки с авторесерч скиллом, но и для проверки вашей дурашости

Ваня Гришаев (канал igrishaev_blog) показал скриншот окна iTerm, предлагающего установить плагин для просмотра веб-страниц (браузер то есть) прямо в терминале. И удивляется: кому такое вообще в голову пришло? Действительно, кому. Но раз это сделали, значит причина — какая бы она не была дурная — была. Как-то люди себе это объясняли. И я решил попытаться ее понять. Терминал, понятно, появился не от хорошей жизни, а от технических ограничений. Старые (совсем старые) компы не тянули графику, а сетку символов тянули. Вопросов нет, жизнь заставила. Но раз заставила, надо как-то обустраиваться. Тогда люди начали придумывать всякую там псевдографику, чекбоксы из скобок, спиннеры из слешей, и другие деревянные игрушки. Опять же, ноль осуждения. Обращу внимание — людям естественным образом _хотелось_ некое подобие графического интерфейса, рамок, теней, даже когда для этого не было никаких средств. А потом бум! И пришел ГУИ. Попиксельные окошки, полупрозрачные тени, безумное по сравнению с терминалом разрешение, пропорциональные шрифты. Манипулятор типа МЫШ. Все то, о чем мы только мечтали. Ну и, понятно, стало возможным делать в разы больше, чем в терминале. Стали доступны принципиально невозможные раньше классы программ. Это девяностые-двухтысячные. Я молод, жизнь хороша, интернета нет, на телефоне змейка, компьютеры наше будущее. Потом еще произошло несколько революций, общим итогом которых стали раздутые и неповоротливые графические программы и такие же сайты. И народ побежал обратно в терминалы, но это уже не от необходимости, а по собственному желанию. Реакция на то, что мы просрали десктоп. А дальше произошло что? Люди обнаружили, что в терминале, вообще-то, многого не сделаешь. Многого, чего вообще-то нормально хотеть, и хочется. Рамок там. Статусбаров красивых. Иконок. Цветов. Картинок. Мыши. И начали придумывать, как бы это туда впихнуть. Хаками, понятно. Шрифты патчить. Терминалы специальные писать, которые за вас рамки рисуют. То есть тут столкнулись два желания: во-первых, убежать от раздутых десктопных программ, и во-вторых жить нормально, со всеми удобствами, к которым мы привыкли. Так мы и получили браузер в терминале. Абсолютно неуместная технология, засунутая в неправильное место наверняка очень сомнительным способом. А вы что, думали, гортанный нерв у жирафа тоже по какой-то хорошей причине так неудобно расположен? Эволюция. Приспособляемость. Естественный отбор.

Crawlability Тот факт, что большинство сайтов оптимизированы под поисковые системы плохо, а меньшая часть - хорошо, это нормально. Нормально также и то, что немалая часть крупных сайтов использует JS-фреймворки и часть контента поисковики не видят. Но, как минимум, большая часть крупных проектов более менее нормально позволяет Гуглу и Яндексу шариться по сайту и хотя бы пытаться его индексировать. В случае с ИИ-системами, по крайне мере в Рунете, видно, насколько "низкий" рынок - для большинства крупных проектов основная проблема состоит в том, что боты CommonCrawl/ИИ-систем просто не могут пробиться на сайт через различные антифрод системы. При этом вопросы пользователей про тот или иной бренд/проект никуда не деваются - особенно если проект крупный. В итоге люди получают ответы на свои вопросы от нейросетей только на основании внешней инфы - отзывы, СМИ, медиа и так далее. Ну т.е. люди думают что чатгпт - это супертрастовый источник, а чатгпт на самом деле строит свой ответ примерно как бабки у подъезда про Машку из 3 квартиры: на основании слухов, домыслов и не очень официальной инфы.