IT

⚡️ Что такое Blind XSS и как она работает Blind XSS (слепая межсайтовая скриптовая уязвимость) - это подвид хранимой (Stored) XSS. Её главная особенность: вредоносный JavaScript-код внедряется на одном ресурсе, а срабатывает в совершенно другом интерфейсе (часто внутреннем или административном), к которому у самого атакующего нет прямого доступа. Механизм уязвимости - Внедрение: Атакующий отправляет вредоносный скрипт через общедоступные формы, данные из которых сохраняются в систему. - Входной точкой могут быть поля обратной связи, тикеты техподдержки, имена при регистрации или даже HTTP-заголовки (например, User-Agent), если они записываются в логи. - Ожидание: Скрипт находится в базе данных в пассивном состоянии. Атакующий не получает мгновенного ответа от сервера и не знает, сработает ли его payload. Исполнение: Внутренний пользователь (администратор, модератор, сотрудник службы безопасности) открывает свою панель управления для проверки логов или тикетов. Если административное приложение выводит сохраненные данные в браузер без предварительной очистки, внедренный JavaScript-код выполняется в контексте сессии этого сотрудника. 🛠 Особенности тестирования Поскольку атакующий не видит админку и результат выполнения кода, стандартные методы вроде alert(1)здесь не работают. Для поиска Blind XSS применяются Out-of-Band (OOB) техники: - Внутрь payload закладывается логика отправки скрытого запроса на внешний хост, контролируемый тестировщиком. - Для автоматизации используются специализированные платформы (например, XSS Hunter или Interactsh). - Факт уязвимости подтверждается только тогда, когда на внешний сервер приходит обратный вызов (callback). Вместе с ним обычно передаются данные о внутреннем окружении: URL скрытой панели управления, DOM-структура страницы, IP-адрес и сессионные маркеры. 🛡 Способы защиты - Контекстное экранирование на выводе: Административные панели и системы работы с логами должны обрабатывать поступающие из базы данные так же строго, как и внешние. Все спецсимволы HTML должны преобразовываться в безопасные сущности перед рендерингом страницы. - Строгая политика CSP (Content Security Policy): Настройка политик во внутренних интерфейсах, запрещающая выполнение инлайновых скриптов и ограничивающая отправку запросов на неизвестные внешние домены. - Флаг HttpOnly для сессионных кук: Защита идентификаторов сессии от чтения через JavaScript, что предотвращает их кражу даже в случае успешного выполнения XSS. Привет!

На моё интервью с братьями Либерманами три недели назад прилетел страйк. Жалобу кинули крипто-пирамидчики. Жалоба прилетела из-за нарушения авторских прав от канала без видео на нём. Довести дело до страйка на YouTube непросто, надо обладать железобетонной доказухой. А это интервью из Zoom, без вставок чужих видео и музыки. Самый что ни на есть оригинальный контент. Страйк повесили на канал за вот эту фотографию. Страйк очень опасен для канала. Три страйка и канал сносят без возможности восстановления. Кто изображён на видео? Это серийные сетевики. Знаете, да, как есть серийные предприниматели, только это серийные участники пирамидосов. За их плечами участие в первых рядах почти всех крупных понци-схем последнего десятилетия. Финико, Kriptofuture, МММ-2011 и т. д. Пиздаболы слева направо: Игорь Бондаренко, Дмитрий Разумовский, Алексей Воскресенский, Сергей Дроздовский. Пиявки присосались к gonka.ai и выстраивают пирамидальную структуру вокруг проекта братьев Либерманов. Вот здесь подробный материал про них с разбором скам-схемы. Они якобы объединяют людей в пулы, чтобы вместе скидываться на аренду оборудования. Фокус идёт на привлечение новых участников: чем больше привлёк, тем больше выплат получаешь. Скорее всего, никакого арендованного оборудования нет, деньги старым участникам какое-то время будут выплачиваться из новых поступлений, а в один момент выплаты прекратятся. Страйк отбил, там долгая процедура. Сначала пришлось доказать ютубу, что контент оригинальный, а фото я показал в журналистских целях, чтобы уведомить аудиторию о потенциальной мошеннической схеме. Затем у пирамидчиков был 10-дневный период, чтобы подать на меня иск в американский суд. Чего, конечно же, сделано не было. Бесит, конечно, что у ютуба такой хрупкий механизм подачи жалоб, из-за которого очевидно авторский контент блокируется на несколько недель.

Последствия этого ПП РФ Учитывая регулярные утечки данных и техническую возможность изменения IMEI на ряде устройств, реализация этого постановления может привести к следующим последствиям: ↗️Массовое клонирование и "подмена" IMEI. Злоумышленники смогут брать легальные IMEI из утекших баз данных и прошивать их на украденные, серые или заблокированные устройства. В результате в сети будут одновременно появляться десятки телефонов-двойников с одинаковыми идентификаторами. ↗️Блокировка добросовестных пользователей. Если IMEI легального телефона будет скопирован на запрещенное устройство, автоматическая система блокировки может отключить от сети как аппарат нарушителя, так и оригинальный телефон ничего не подозревающего гражданина. ↗️Новые схемы шантажа и мошенничества. Доступ к базе или ее утечка позволят злоумышленникам удаленно вносить IMEI "жертвы" в список запрещенных (например, через поддельные заявления об утере или фальсификацию данных). После этого владельцу придется доказывать операторам (ну не Минцифры же?), что устройство принадлежит ему и находится у него на руках. ↗️Черный рынок "чистых" идентификаторов. Появится теневой бизнес по продаже верифицированных IMEI-адресов, извлеченных из утекших баз или со старых неиспользуемых телефонов, для последующей перепрошивки нелегально ввезенных аппаратов. ↗️Угроза деанонимизации и слежки. Корреляция базы IMEI с Госуслугами, биометрией и абонентскими номерами операторов в случае утечки даст злоумышленникам полный профиль гражданина: связку паспортных данных, биометрического слепка, используемых сим-карт и конкретных физических устройств со всей историей их регистраций в сети. ↗️Существуют исследования, показывающие, что в странах со строгим контролем IMEI (например, в Турции или Пакистане) резко вырос спрос на услуги криминального изменения идентификаторов и кражи персональных данных для регистрации устройств. ↗️Внедрение подобных систем часто бьет по рынку б/у техники, так как покупатели лишаются возможности проверить, не станет ли купленный с рук телефон "кирпичом" через час после смены сим-карты из-за скрытых проблем со статусом IMEI в госбазе. ↗️Техническая привязка к IMEI исторически признана международными экспертами по безопасности уязвимой, так как сам стандарт GSM изначально не проектировался с расчетом на то, что этот номер будет являться единственным и неизменяемым юридическим идентификатором устройства. И я не смог придумать ни одного кейса, чтоб введение этого "закона" (ПП РФ, точнее) хоть как-то повлиял на "борьбу с мошенничеством". Ну, потому что мошенники будут просто использовать дешевые аппараты с перепрошитыми IMEI, которые будут регулярно изменять. Они, впрочем, давно уже так и делают.

North-Mini-Code-1.0-w4a16 Квантованная версия (4-бит вес, 16-бит активации) первой модели Cohere для разработчиков: управление подзадачами, анализ архитектуры, code review. * Архитектура: Sparse MoE на базе Transformer. 30B параметров всего, 3И активно. Высокая скорость, низкие требования к GPU. * Контекстное окно: 256K токенов для анализа репозиториев целиком. * Максимальный вывод: до 64K токенов. * Поддержка: нативные инструменты, чередующееся рассуждение (interleaved reasoning) через JSON-схему. * Обучение: платформы SWE-Agent, mini-SWE-agent, OpenCode, Terminus 2 для устойчивости в реальных средах. Сценарии использования: * генерация кода и тестов * рефакторинг legacy-кода * автоматизированный code review в CI/CD * локальный AI-ассистент для приватности * создание агентных пайплайнов для аудита безопасности и unit-тестов #MoE #reasoning #coding

🎶Как ИИ взламывает код быстрее, чем компании успевают его патчить Гонка кибервооружений вышла на новый виток. В центре внимания автоматический поиск уязвимостей. ИИ-модели начали массово находить баги, которые люди не замечали десятилетиями. 🔍Исследователи натравили Claude Mythos на популярный прокси-сервер Squid. Итог - обнаружена критическая уязвимость Squidbleed (утечка данных пользователей из памяти), которая сидела в коде… с 1997 года. Почти 30 лет ручных аудитов не находили ее. ⚡️Штаты и Китай уже вовсю делят этот рынок. В рамках американского Project Glasswing та же модель Mythos вскрыла уязвимости в куче засекреченных госсистем США всего за несколько часов. В ответ китайцы со своим ИИ Tulongfeng, уже якобы нашли более 3400 программных уязвимостей.

🟦ИИ на стороне врага. Хакеры активно юзают LLM, чтобы мгновенно разбирать чужой софт и штамповать эксплойты под свежие баги. Время между раскрытием уязвимости и первой атакой сократилось до минимума. В России за первые пять месяцев 2026 года в базе ФСТЭК уже зарегистрировано почти 4000 уязвимостей - это лавина, которая накрывает ИБ-отделы. 🟦ИИ-код от своих же. Разработчики пишут софт с помощью нейронок. Скорость кодинга выросла, но вместе с ней в корпоративные репозитории, Docker-контейнеры и API тоннами льется небезопасный код, который никто не проверяет. 🟦Главная проблема теперь - не найти баг, а успеть его закрыть. Компании тонут в отчетах сканеров. Голая оценка уязвимости по шкале CVSS больше не работает.

Рынок срочно перестраивается. Компании уже внедряют генеративный ИИ в свои системы управления уязвимостями (Vulnerability Management), чтобы хоть как-то автоматизировать разбор этого завала. 🦔 CyberYozh

Когда рынок перегрет, в любую отрасль приходят люди, которым всё равно, чем торговать Нефть, медицинские маски, айтишка — настоящий коммерс не привязан к продукту, он привязан к запаху денег. В середине десятых этот запах в ИТ стоял такой, что коммерсы ломились через любую щель: кто сразу на позицию главного продавца, кто с низов, но обгоняя менеджеров «с остановки» играючи. Программисты стали «производством» и «телами», на собраниях заговорили про реализацию и финрез, а шкала вклада сместилась до абсурда. Клиент принёс 50 млн — слава менеджеру, проект провалился — виновата команда. А потом пришёл ИИ, и коммерсы потёрли руки: вот она, новая Большая Деньга. Технология, про которую все слышали. Только вот средний завод не знает, зачем ему это нужно, и молчит как рыба об лёд.

Ваш сайт не открывается из РФ? Привет привет❤️! Сорри что пропал - последние 2 месяца супер жестко кранчу рекрутерскую часть hirify.me, было не до постов. Но завтра (30) у меня день рождения, а сегодня я выпил пива, так что расскажу как я боролся с РКН. (пока писал пост, ДР уже наступил в моей таймзоне, так что с днём рождения меня и hirify! Его первый публичный релиз случился ровно год назад!🎉) Примерно в конце марта мне начали жаловаться, что ХФ как то нестабильно открывается из РФ. Хостился он на Timeweb в Нидерландах. А у них мало того что своего идиотизма хватает (то DDOS, то DNS отваливается, то сервак зависает), так ещё и РКН начал душить интернет. Параллельно с этим, ХФ вырос настолько, что 8/16 сервак за 70$ физически не справлялся держать нагрузку в момент когда оркестратор запускал очереди на парсинг (дело скорее в том что там дикая каннибализация CPU) В общем ждать было нельзя и я начал выбирать куда переезжать. У меня уже давно часть некритической инфры была на Hetzner, поэтому я знал, какие у них крутые серваки и низкие цены. Выбор оказался очевиден - я взял мощнейший Dedicated сервак с 20 CPU и 64 RAM всего за 54$. Полностью свой сервак без соседей, за меньшие деньги чем убогий Shared в таймвебе 🤯 Вместе с этим, я уже знал что Hetzner полностью заблочен в РФ, и нужна было, чтобы хостилось всё там, но при этом работало из РФ (30-40% трафика у меня оттуда). Было непросто, но через кучу экспериментов я нашел отлично работающую схему! ——— Глобально, идея крайне простая. Нужно сделать так, чтобы РФ юзер видел хостинг в РФ, а все остальные - нормальный основной хостинг. 1. Основной элемент схемы - GeoDNS провайдер. Это обычный DNS хостинг, который умеет в геороутинг. Например AWS, BunnyDNS, Gcore, ClouDNS (мусор + говно, даже не смотрите) и мб кто то ещё. Cloudflare к сожалению так не умеет, а ещё он заблочен в РФ. (В комментах пришли ребята с https://taucloud.ru, если бы я знал про них тогда, пошел бы не думая. Это буквально то что нужно в 1 клик!) Я выбрал Bunny за самую приятную админку и адекватные цены (это стоит 0$-10$). На выбранный хостинг переносятся DNS записи. Потом создается DNS скрипт по примеру из доки и подключается как особый тип DNS записи. (пока не выполнен шаг 2, лучше отдавать один и тот же IP) На случай если придёт идея спрятаться за CDN, вместо этой схемы - я пробовал, это не работает надёжно. Cloudflare заблочен полностью, у Bunny работает 50/50, в зависимости от того, какую ноду выдаст юзеру, рандом короче. 2. Вторая важная часть - прокси сервак. Берете в РФ у любого хостера базовую VPS за минимальные деньги, ставите SSH ключ, чтобы из локального терминала был доступ и кидаете промпт из комментариев в своего ИИ агента. На этом же шаге можно попросить поднять .ru алиас который будет так же проксировать на основной сервак. 3. Прописываете айпишник, который отдал агент в Geo-скрипте. 4. Защита от РКН ботов - бонусный пункт! Если вы хотите увеличить шансы, что РКН вас не заметит, попросите агента интегрировать в оба сервера вот этот репозиторий - https://github.com/freemedia-tech/nginx-rugov-block. Несмотря на давние коммиты, блеклисты апдейтятся. Всё, вы великолепны 🎉, а ваш сайт доступен из РФ и при этом для всего мира вы не выглядите как РФный сайт!

Исследование: половина функций защиты детей в соцсетях не работает Ученые из Нью-Йоркского и Северо-Восточного университетов проверили 86 инструментов безопасности в Instagram*, Snapchat, TikTok и YouTube. По данным отчета Heat Initiative и Cybersafety Research Center, на каждой площадке не менее 50% механизмов защиты не справляются со своими задачами — например, не блокируют сообщения от незнакомцев или вредные материалы. Для проверки авторы создали фейковые профили детей и взрослых. Настройки признавали неэффективными, если они вообще отсутствовали, не срабатывали на практике или были спрятаны слишком глубоко в меню. Во время тестов аккаунты взрослых в Snapchat свободно находили детей и писали им. В Instagram* профиль подростка смог отправить сообщение взрослому без предупреждений системы, а алгоритмы TikTok предлагали несовершеннолетним опасный для здоровья контент на тему анорексии. В Snap, Meta* и YouTube эти выводы отвергли, хотя журналисты New York Times заявили, что смогли самостоятельно повторить результаты экспериментов. * Принадлежит Meta. Meta признана экстремистской организацией в России, её деятельность запрещена.

Iron Core. Часть вторая. Шесть символов Шесть символов на посадочном талоне — DDTCIV — идентифицируют пассажира в системе авиакомпании, на стойке регистрации и у выхода на посадку. Большинство людей не знает, что этот код уникален только в пределах одной системы бронирования. В Amadeus и Sabre одновременно может существовать один и тот же DDTCIV — и принадлежать он будет двум разным людям на двух разных рейсах. Это вторая часть серии об инфраструктуре авиаперевозок, на этот раз на примере реального билета Air India. Внутри — несуществующая валюта, которую IATA придумала в 1970-х и не отменила до сих пор, и настоящий первичный ключ бронирования, который не меняется даже когда весь маршрут перестраивается заново.

От подписчика: Отчет Faros.ai про реальные цифры продуктивности разработки с ИИ. Ну... Не все так однозначно... Это реальные метрики кода от требований до доставки. Выборка – 4000 команд за 2 года, сравнение внутри одних и тех же компаний между кварталом минимального и максимального использования AI. Главные цифры: – Продуктивность отдельного разработчика выросла, но скромно, судя по merge requests. Примерно +16 процентов, а не 10x – При этом скорость доставки релизов упала на 11 процентов. Это системная метрика, она про доставку ценности клиенту – Поток замедлился на каждом шаге. Фича проходит каждый этап на 80–480 процентов дольше – Качество просело резко: дефекты вверх, переоткрытые тикеты вверх, code churn (доля переписанного кода) – аномальные 861 процент Узкое место сместилось в ревью. Стадии Ready for Review и In Review раздулись, а ревью стали пропускать на 31 процент чаще – классическое поведение людей на бутылочном горлышке. Сам Faros пишет прямо: организации генерируют больше кода, чем система способна отревьюить и смержить. Автор гоняет данные через закон Литтла (L = λW). Если лид-тайм и WIP растут быстрее, чем заявленная продуктивность – значит скорость потока на самом деле падает. По его расчётам реальная пропускная способность просела на 8–70 процентов в зависимости от допущений. То есть «продуктивность индивидуального разработчика» и «поток готовых фич» поехали в разные стороны, а платят клиенты именно за второе. Тойота в своё время победила американский автопром фанатичным фокусом на качестве и принципе «не передавай дефект на следующую станцию». Чем позже находишь баг, тем дороже он стоит системе. LLM делают ровно наоборот: впрыскивают больше дефектов на входе и переносят их отлов в ревью, где ловить дороже и хуже. Любопытная деталь: гипотеза «AI усиливает сильных» не подтвердилась. High-performing команды деградируют так же, как все остальные. Тут есть с чем спорить по методологии – это наблюдательное исследование, не причинно-следственное, и автор сам это признаёт. Но направление мне кажется честным и совпадает с тем, что многие из нас чувствуют на практике: индивидуальная скорость растёт, а на уровне организации профита не видно. Главная мысль, productivity не равно value. Локальный разгон одного этапа не двигает систему, если узкое место в другом месте. Если внедряешь AI в команду и не перестраиваешь ревью и QA под возросший объём генерации – ты просто переносишь бутылочное горлышко вниз по потоку и копишь work in progress. И отдельно зацепил тезис про «сначала черновик от LLM, потом доработаю». Автор считает, что это задом наперёд: первый черновик – это и есть твой интеллектуальный вклад, момент, когда ты реально продумываешь структуру. LLM сильна как редактор и спарринг после, а не вместо мышления. С этим скорее согласен - чем больше вложений на первых этапах, тем лучше результат. Короче, уделяйте МАКСИМАЛЬНОЕ внимание требованиям, а не пытайтесь зафигачить 100 фич и отдать все тестировщикам. Источник: https://unessays.substack.com/p/talk-is-cheap

Четыре worker-потока и один параметр ядра: +42% пропускной способности Команда Network DPL в MWS Cloud Platform опубликовала подробный разбор того, как устроен Data Plane в их Overlay-сети. Внутри — связка QEMU, VPP и SRv6, выбранная намеренно: сложные архитектуры хорошо выглядят на слайдах, но обрастают непредсказуемым поведением под нагрузкой и требуют армии инженеров, чтобы просто не развалиться. Бенчмарки проводились на реальной боевой ноде с Intel Xeon Gold 6448H. Четыре worker-потока VPP без изоляции ядер дали 62 Гбит/с. Те же четыре worker-а с isolcpus выдали уже 88 Гбит/с, и дисперсия результатов упала в разы. Один параметр загрузки ядра, никакого нового железа. Разберёмся, почему именно столько и за счёт чего VPP на одном worker-потоке спокойно кормит три-четыре виртуальные машины суммарным трафиком под 40 гигабит.

Небольшое дополнение (давайте договоримся, что это все лишь мои догадки, чтобы не выглядело, как будто я реверс-инженерю нечто, доступа к чему у меня нет). Разные операторы у Телеграм имеют разный скор, продиктованный как количеством спам-аккаунтов и других нарушений с него, так, вероятно, и стоимостью звонков или смс-кодов. Пул номеров внутри оператора тоже имеет значение. Скоринг этот, вероятно, динамический, период пересчета я бы предположил в месяц. Если оператор улетает ниже порога доверия, смс коды и звонки на его номера ходить не будут, если только к номеру не привязана почта или иной способ авторизации. Поэтому если вам там что-то не прхиходит — вероятно, у вас «плохой» оператор — высокая стоимость оповещений и высокая нагрузка на пул номеров по спаму и блокировкам.

Второе рабочее место сына в его спальне. Регулируемый по высоте стол, ещё один монитор, старый игровой системник (даже не подключен). Как же он тут работает? За этим столом я вижу он чаще пишет код для заданий, которые получает в институте и в основном на маке, который подключает к этому монитору. Поэтому тут нет никаких дополнительных клавиатур и мышек, чисто рабочее место с внешним монитором. А монитор стоит вертикально, чтобы не нарушать заветы дядюшки боба и чтобы не было функций, которые не помещаются на экран :). В таком положении экрана любые функции поместятся. У меня только одно рабочее место, где я работаю днём. Потом я уже могу работать где угодно - на улице, на диване перед телевизором.