IT

Самодельный BIOS для микшерного пульта и запуск DOS на нём В 2026 году автор увидел скриншоты микшера Behringer DDX3216 и заметил кое-что неожиданное: внутри стоит реальный AMD 386 с 16 МБ оперативной памяти и флеш-памятью. Интересно, можно ли запустить на этом железе настоящую операционную систему? Готового BIOS для AMD Elan SC300 не существовало: исходники у всех производителей обрывались на более поздних моделях. Пришлось писать с нуля: вектор сброса, таблицы прерываний, драйвер CF-карты, шрифты для дисплея побайтово — и всё это ради того, чтобы попробовать загрузить настоящую DOS на микшерный пульт. Выясним, чем закончились три недели реверс-инжиниринга и почему в итоге помог FreeDOS.

⚡️ Что такое Blind XSS и как она работает Blind XSS (слепая межсайтовая скриптовая уязвимость) - это подвид хранимой (Stored) XSS. Её главная особенность: вредоносный JavaScript-код внедряется на одном ресурсе, а срабатывает в совершенно другом интерфейсе (часто внутреннем или административном), к которому у самого атакующего нет прямого доступа. Механизм уязвимости - Внедрение: Атакующий отправляет вредоносный скрипт через общедоступные формы, данные из которых сохраняются в систему. - Входной точкой могут быть поля обратной связи, тикеты техподдержки, имена при регистрации или даже HTTP-заголовки (например, User-Agent), если они записываются в логи. - Ожидание: Скрипт находится в базе данных в пассивном состоянии. Атакующий не получает мгновенного ответа от сервера и не знает, сработает ли его payload. Исполнение: Внутренний пользователь (администратор, модератор, сотрудник службы безопасности) открывает свою панель управления для проверки логов или тикетов. Если административное приложение выводит сохраненные данные в браузер без предварительной очистки, внедренный JavaScript-код выполняется в контексте сессии этого сотрудника. 🛠 Особенности тестирования Поскольку атакующий не видит админку и результат выполнения кода, стандартные методы вроде alert(1)здесь не работают. Для поиска Blind XSS применяются Out-of-Band (OOB) техники: - Внутрь payload закладывается логика отправки скрытого запроса на внешний хост, контролируемый тестировщиком. - Для автоматизации используются специализированные платформы (например, XSS Hunter или Interactsh). - Факт уязвимости подтверждается только тогда, когда на внешний сервер приходит обратный вызов (callback). Вместе с ним обычно передаются данные о внутреннем окружении: URL скрытой панели управления, DOM-структура страницы, IP-адрес и сессионные маркеры. 🛡 Способы защиты - Контекстное экранирование на выводе: Административные панели и системы работы с логами должны обрабатывать поступающие из базы данные так же строго, как и внешние. Все спецсимволы HTML должны преобразовываться в безопасные сущности перед рендерингом страницы. - Строгая политика CSP (Content Security Policy): Настройка политик во внутренних интерфейсах, запрещающая выполнение инлайновых скриптов и ограничивающая отправку запросов на неизвестные внешние домены. - Флаг HttpOnly для сессионных кук: Защита идентификаторов сессии от чтения через JavaScript, что предотвращает их кражу даже в случае успешного выполнения XSS. Привет!

На моё интервью с братьями Либерманами три недели назад прилетел страйк. Жалобу кинули крипто-пирамидчики. Жалоба прилетела из-за нарушения авторских прав от канала без видео на нём. Довести дело до страйка на YouTube непросто, надо обладать железобетонной доказухой. А это интервью из Zoom, без вставок чужих видео и музыки. Самый что ни на есть оригинальный контент. Страйк повесили на канал за вот эту фотографию. Страйк очень опасен для канала. Три страйка и канал сносят без возможности восстановления. Кто изображён на видео? Это серийные сетевики. Знаете, да, как есть серийные предприниматели, только это серийные участники пирамидосов. За их плечами участие в первых рядах почти всех крупных понци-схем последнего десятилетия. Финико, Kriptofuture, МММ-2011 и т. д. Пиздаболы слева направо: Игорь Бондаренко, Дмитрий Разумовский, Алексей Воскресенский, Сергей Дроздовский. Пиявки присосались к gonka.ai и выстраивают пирамидальную структуру вокруг проекта братьев Либерманов. Вот здесь подробный материал про них с разбором скам-схемы. Они якобы объединяют людей в пулы, чтобы вместе скидываться на аренду оборудования. Фокус идёт на привлечение новых участников: чем больше привлёк, тем больше выплат получаешь. Скорее всего, никакого арендованного оборудования нет, деньги старым участникам какое-то время будут выплачиваться из новых поступлений, а в один момент выплаты прекратятся. Страйк отбил, там долгая процедура. Сначала пришлось доказать ютубу, что контент оригинальный, а фото я показал в журналистских целях, чтобы уведомить аудиторию о потенциальной мошеннической схеме. Затем у пирамидчиков был 10-дневный период, чтобы подать на меня иск в американский суд. Чего, конечно же, сделано не было. Бесит, конечно, что у ютуба такой хрупкий механизм подачи жалоб, из-за которого очевидно авторский контент блокируется на несколько недель.

Последствия этого ПП РФ Учитывая регулярные утечки данных и техническую возможность изменения IMEI на ряде устройств, реализация этого постановления может привести к следующим последствиям: ↗️Массовое клонирование и "подмена" IMEI. Злоумышленники смогут брать легальные IMEI из утекших баз данных и прошивать их на украденные, серые или заблокированные устройства. В результате в сети будут одновременно появляться десятки телефонов-двойников с одинаковыми идентификаторами. ↗️Блокировка добросовестных пользователей. Если IMEI легального телефона будет скопирован на запрещенное устройство, автоматическая система блокировки может отключить от сети как аппарат нарушителя, так и оригинальный телефон ничего не подозревающего гражданина. ↗️Новые схемы шантажа и мошенничества. Доступ к базе или ее утечка позволят злоумышленникам удаленно вносить IMEI "жертвы" в список запрещенных (например, через поддельные заявления об утере или фальсификацию данных). После этого владельцу придется доказывать операторам (ну не Минцифры же?), что устройство принадлежит ему и находится у него на руках. ↗️Черный рынок "чистых" идентификаторов. Появится теневой бизнес по продаже верифицированных IMEI-адресов, извлеченных из утекших баз или со старых неиспользуемых телефонов, для последующей перепрошивки нелегально ввезенных аппаратов. ↗️Угроза деанонимизации и слежки. Корреляция базы IMEI с Госуслугами, биометрией и абонентскими номерами операторов в случае утечки даст злоумышленникам полный профиль гражданина: связку паспортных данных, биометрического слепка, используемых сим-карт и конкретных физических устройств со всей историей их регистраций в сети. ↗️Существуют исследования, показывающие, что в странах со строгим контролем IMEI (например, в Турции или Пакистане) резко вырос спрос на услуги криминального изменения идентификаторов и кражи персональных данных для регистрации устройств. ↗️Внедрение подобных систем часто бьет по рынку б/у техники, так как покупатели лишаются возможности проверить, не станет ли купленный с рук телефон "кирпичом" через час после смены сим-карты из-за скрытых проблем со статусом IMEI в госбазе. ↗️Техническая привязка к IMEI исторически признана международными экспертами по безопасности уязвимой, так как сам стандарт GSM изначально не проектировался с расчетом на то, что этот номер будет являться единственным и неизменяемым юридическим идентификатором устройства. И я не смог придумать ни одного кейса, чтоб введение этого "закона" (ПП РФ, точнее) хоть как-то повлиял на "борьбу с мошенничеством". Ну, потому что мошенники будут просто использовать дешевые аппараты с перепрошитыми IMEI, которые будут регулярно изменять. Они, впрочем, давно уже так и делают.

Минцифры планирует запуск базы IMEI для контроля мобильных устройств Вот тут исходный документ В проекте постановления Правительства РФ "О базе идентификаторов пользовательского оборудования" описан механизм контроля телефонов и планшетов. Как это будет устроено в телеграфном стиле: ↗️Создается единая база IMEI под управлением Минцифры, разделенная на реестры разрешенных и запрещенных устройств. ↗️Если IMEI вносится в список запрещенных, операторы связи обязаны прекратить обслуживание этого устройства. ↗️Обычные пользователи смогут проверять статус своих гаджетов через Госуслуги. Сроки для операторов и ведомств: ↗️Операторы обязаны передать данные в базу в течение 1 часа после регистрации нового устройства в сети или смены номера. ↗️На блокировку запрещенного устройства операторам также дается 1 час с момента обновления госбазы. ↗️В случае кражи или утери оператор вносит IMEI в базу за 1 рабочий день после заявления абонента. Госорганы (Роскомнадзор, ФСБ, МВД, Таможня) будут подавать сведения о запрещенных устройствах за 1 рабочий день, а о конфискованных по суду — за 3 дня. Этапы запуска: ↗️1 марта 2027 года — вступление постановления в силу. ↗️1 сентября 2027 года — интеграция базы с Госуслугами, биометрической системой, Роскомнадзором и системами операторов. ↗️1 сентября 2028 года — подключение систем Таможни, Минпромторга и баз по борьбе с киберпреступностью.

Управленческая дилемма С системной моделью вроде бы разобрались. Однако тут надо добавить еще один уровень сложности для систем — экономический и социальный. Системы не создаются для того, чтобы быть безопасными. Безопасность важна, но цель не этом. Системы существуют для производства продукции, оказания услуг — для получения экономической и другой выгоды.  У любой организации существует дилемма между рентабельностью и безопасностью. Если слишком много усилий тратить на безопасность, то возникнут проблемы с рентабельностью. Если же заниматься повышением рентабельности, то рано или поздно случится катастрофа.  Стивен Кови называл эту дилемму балансом между ресурсами и результатами. Если вкладываться в результаты — эксплуатировать доменную печь без плановых остановок и обслуживания, то у нас будут хорошие результаты, но скоро доменная печь сломается. Если мы будем слишком много времени уделять обслуживанию доменной печи, то она станет экономически невыгодной и у нас не будет ресурсов на ее поддержку.  Таким образом, существует зона безопасности — баланса между возможным уровнем рентабельности / производительности и необходимым уровнем защиты и/или обслуживания системы. Эта зона баланса зависит от восприятия ситуации в организации и извне. Давление может идти со всех стороны: со стороны проверяющих органов, общественности, государства. Сотрудники могут испытывать давление со стороны компании и т.д.  Рентабельность с одной стороны и надежность и безопасность с другой стороны противоречат друг другу. Можно создать систему по тщательному контролю оборудования, но это увеличит нагрузку на персонал и снизит полезное время работы оборудования, что, в свою очередь, снизит рентабельность компании. С другой стороны, можно начать выжимать максимум из оборудования, экономить на компонентах, что вначале сильно увеличит результаты, зато потом приведет к выходу из строя оборудования или аварии.  С точки зрения проектного управления и выделения ресурсов это представляет проблему. Проекты, направленные на поддержание безопасности и/или требуемого уровня надежности невозможно (или очень сложно) оценить стандартными методами финансовой оценки. Поэтому иногда требуется законодательные требования о том, что нужно делать для поддержки необходимого уровня безопасности. #системная_модель #ЧФ #управленческая_дилемма

🎶Как ИИ взламывает код быстрее, чем компании успевают его патчить Гонка кибервооружений вышла на новый виток. В центре внимания автоматический поиск уязвимостей. ИИ-модели начали массово находить баги, которые люди не замечали десятилетиями. 🔍Исследователи натравили Claude Mythos на популярный прокси-сервер Squid. Итог - обнаружена критическая уязвимость Squidbleed (утечка данных пользователей из памяти), которая сидела в коде… с 1997 года. Почти 30 лет ручных аудитов не находили ее. ⚡️Штаты и Китай уже вовсю делят этот рынок. В рамках американского Project Glasswing та же модель Mythos вскрыла уязвимости в куче засекреченных госсистем США всего за несколько часов. В ответ китайцы со своим ИИ Tulongfeng, уже якобы нашли более 3400 программных уязвимостей.

🟦ИИ на стороне врага. Хакеры активно юзают LLM, чтобы мгновенно разбирать чужой софт и штамповать эксплойты под свежие баги. Время между раскрытием уязвимости и первой атакой сократилось до минимума. В России за первые пять месяцев 2026 года в базе ФСТЭК уже зарегистрировано почти 4000 уязвимостей - это лавина, которая накрывает ИБ-отделы. 🟦ИИ-код от своих же. Разработчики пишут софт с помощью нейронок. Скорость кодинга выросла, но вместе с ней в корпоративные репозитории, Docker-контейнеры и API тоннами льется небезопасный код, который никто не проверяет. 🟦Главная проблема теперь - не найти баг, а успеть его закрыть. Компании тонут в отчетах сканеров. Голая оценка уязвимости по шкале CVSS больше не работает.

Рынок срочно перестраивается. Компании уже внедряют генеративный ИИ в свои системы управления уязвимостями (Vulnerability Management), чтобы хоть как-то автоматизировать разбор этого завала. 🦔 CyberYozh

Когда рынок перегрет, в любую отрасль приходят люди, которым всё равно, чем торговать Нефть, медицинские маски, айтишка — настоящий коммерс не привязан к продукту, он привязан к запаху денег. В середине десятых этот запах в ИТ стоял такой, что коммерсы ломились через любую щель: кто сразу на позицию главного продавца, кто с низов, но обгоняя менеджеров «с остановки» играючи. Программисты стали «производством» и «телами», на собраниях заговорили про реализацию и финрез, а шкала вклада сместилась до абсурда. Клиент принёс 50 млн — слава менеджеру, проект провалился — виновата команда. А потом пришёл ИИ, и коммерсы потёрли руки: вот она, новая Большая Деньга. Технология, про которую все слышали. Только вот средний завод не знает, зачем ему это нужно, и молчит как рыба об лёд.

Ваш сайт не открывается из РФ? Привет привет❤️! Сорри что пропал - последние 2 месяца супер жестко кранчу рекрутерскую часть hirify.me, было не до постов. Но завтра (30) у меня день рождения, а сегодня я выпил пива, так что расскажу как я боролся с РКН. (пока писал пост, ДР уже наступил в моей таймзоне, так что с днём рождения меня и hirify! Его первый публичный релиз случился ровно год назад!🎉) Примерно в конце марта мне начали жаловаться, что ХФ как то нестабильно открывается из РФ. Хостился он на Timeweb в Нидерландах. А у них мало того что своего идиотизма хватает (то DDOS, то DNS отваливается, то сервак зависает), так ещё и РКН начал душить интернет. Параллельно с этим, ХФ вырос настолько, что 8/16 сервак за 70$ физически не справлялся держать нагрузку в момент когда оркестратор запускал очереди на парсинг (дело скорее в том что там дикая каннибализация CPU) В общем ждать было нельзя и я начал выбирать куда переезжать. У меня уже давно часть некритической инфры была на Hetzner, поэтому я знал, какие у них крутые серваки и низкие цены. Выбор оказался очевиден - я взял мощнейший Dedicated сервак с 20 CPU и 64 RAM всего за 54$. Полностью свой сервак без соседей, за меньшие деньги чем убогий Shared в таймвебе 🤯 Вместе с этим, я уже знал что Hetzner полностью заблочен в РФ, и нужна было, чтобы хостилось всё там, но при этом работало из РФ (30-40% трафика у меня оттуда). Было непросто, но через кучу экспериментов я нашел отлично работающую схему! ——— Глобально, идея крайне простая. Нужно сделать так, чтобы РФ юзер видел хостинг в РФ, а все остальные - нормальный основной хостинг. 1. Основной элемент схемы - GeoDNS провайдер. Это обычный DNS хостинг, который умеет в геороутинг. Например AWS, BunnyDNS, Gcore, ClouDNS (мусор + говно, даже не смотрите) и мб кто то ещё. Cloudflare к сожалению так не умеет, а ещё он заблочен в РФ. (В комментах пришли ребята с https://taucloud.ru, если бы я знал про них тогда, пошел бы не думая. Это буквально то что нужно в 1 клик!) Я выбрал Bunny за самую приятную админку и адекватные цены (это стоит 0$-10$). На выбранный хостинг переносятся DNS записи. Потом создается DNS скрипт по примеру из доки и подключается как особый тип DNS записи. (пока не выполнен шаг 2, лучше отдавать один и тот же IP) На случай если придёт идея спрятаться за CDN, вместо этой схемы - я пробовал, это не работает надёжно. Cloudflare заблочен полностью, у Bunny работает 50/50, в зависимости от того, какую ноду выдаст юзеру, рандом короче. 2. Вторая важная часть - прокси сервак. Берете в РФ у любого хостера базовую VPS за минимальные деньги, ставите SSH ключ, чтобы из локального терминала был доступ и кидаете промпт из комментариев в своего ИИ агента. На этом же шаге можно попросить поднять .ru алиас который будет так же проксировать на основной сервак. 3. Прописываете айпишник, который отдал агент в Geo-скрипте. 4. Защита от РКН ботов - бонусный пункт! Если вы хотите увеличить шансы, что РКН вас не заметит, попросите агента интегрировать в оба сервера вот этот репозиторий - https://github.com/freemedia-tech/nginx-rugov-block. Несмотря на давние коммиты, блеклисты апдейтятся. Всё, вы великолепны 🎉, а ваш сайт доступен из РФ и при этом для всего мира вы не выглядите как РФный сайт!

Iron Core. Часть вторая. Шесть символов Шесть символов на посадочном талоне — DDTCIV — идентифицируют пассажира в системе авиакомпании, на стойке регистрации и у выхода на посадку. Большинство людей не знает, что этот код уникален только в пределах одной системы бронирования. В Amadeus и Sabre одновременно может существовать один и тот же DDTCIV — и принадлежать он будет двум разным людям на двух разных рейсах. Это вторая часть серии об инфраструктуре авиаперевозок, на этот раз на примере реального билета Air India. Внутри — несуществующая валюта, которую IATA придумала в 1970-х и не отменила до сих пор, и настоящий первичный ключ бронирования, который не меняется даже когда весь маршрут перестраивается заново.

Четыре worker-потока и один параметр ядра: +42% пропускной способности Команда Network DPL в MWS Cloud Platform опубликовала подробный разбор того, как устроен Data Plane в их Overlay-сети. Внутри — связка QEMU, VPP и SRv6, выбранная намеренно: сложные архитектуры хорошо выглядят на слайдах, но обрастают непредсказуемым поведением под нагрузкой и требуют армии инженеров, чтобы просто не развалиться. Бенчмарки проводились на реальной боевой ноде с Intel Xeon Gold 6448H. Четыре worker-потока VPP без изоляции ядер дали 62 Гбит/с. Те же четыре worker-а с isolcpus выдали уже 88 Гбит/с, и дисперсия результатов упала в разы. Один параметр загрузки ядра, никакого нового железа. Разберёмся, почему именно столько и за счёт чего VPP на одном worker-потоке спокойно кормит три-четыре виртуальные машины суммарным трафиком под 40 гигабит.

Небольшое дополнение (давайте договоримся, что это все лишь мои догадки, чтобы не выглядело, как будто я реверс-инженерю нечто, доступа к чему у меня нет). Разные операторы у Телеграм имеют разный скор, продиктованный как количеством спам-аккаунтов и других нарушений с него, так, вероятно, и стоимостью звонков или смс-кодов. Пул номеров внутри оператора тоже имеет значение. Скоринг этот, вероятно, динамический, период пересчета я бы предположил в месяц. Если оператор улетает ниже порога доверия, смс коды и звонки на его номера ходить не будут, если только к номеру не привязана почта или иной способ авторизации. Поэтому если вам там что-то не прхиходит — вероятно, у вас «плохой» оператор — высокая стоимость оповещений и высокая нагрузка на пул номеров по спаму и блокировкам.

Второе рабочее место сына в его спальне. Регулируемый по высоте стол, ещё один монитор, старый игровой системник (даже не подключен). Как же он тут работает? За этим столом я вижу он чаще пишет код для заданий, которые получает в институте и в основном на маке, который подключает к этому монитору. Поэтому тут нет никаких дополнительных клавиатур и мышек, чисто рабочее место с внешним монитором. А монитор стоит вертикально, чтобы не нарушать заветы дядюшки боба и чтобы не было функций, которые не помещаются на экран :). В таком положении экрана любые функции поместятся. У меня только одно рабочее место, где я работаю днём. Потом я уже могу работать где угодно - на улице, на диване перед телевизором.

Раньше ПО работало шустро, потому что иначе было никак Пайплайн упал — подняли память. Сервис затупил — добавили ядер. Дежурный заложил буфер, потому что никто не хочет подрываться ночью. Через полгода исходного контекста уже никто не помнит, и эта конфигурация становится строгим требованием. Парадокс в том, что сервис при этом выглядит здоровым. Он использует 10% от выделенных 64 ГБ, мониторинг светится зелёным, команда эксплуатации спокойна. Мы научились поднимать тревогу при перегрузке, но почти никогда не создаём алёрты на структурную пустоту. Разберёмся, где именно проходит граница между неизбежной сложностью и накопленным суеверием.