Я ожидал, что скрипт этот же файл отправит на выполнение в powershell и т.п. Но как понял - тут просто извлекаются данные и записываются в другие файлы, которые уже выполняются.
Я делал файл .bat, который можно выполнять в винде, и он на определенном этапе сам себя же передает на выполнение в powershell. Если же тот же файл запустить в linux - отработает как bash скрипт (в котором конечно можно запустить ещë что угодно). Разделение на едва уловимых особенностях обработки спецсимволов и комментариев разными интерпретаторами. Файлик с безопасной нагрузкой, но можно начинить чем угодно, пока не хочу это куда-то раздавать.
Вы ещë в Deus Ex (1 часть) поиграйте, с полным прохождением. А лучше раз 4-5, с разными концовками и вариациями. Вот там можно охренеть, что знали или предвидели создатели игры в те далëкие годы.
Сама возможность что-то там качать - должна быть исключена, т.е. виртуалка без внешних сетей совсем (разве что внутренняя для подключения к той, что требовалось ломать), но в ней любые инструменты для взлома. Это бы закрыло один из рисков.
Второе - возможность что-то создавать в кэше артифактория - не понимаю смысла что-то там создавать вообще, зачем эта функция, если это кэш? Понятно, что это обнаружили и использовали. Даже если так надо, и нельзя эту возможность отключить, надо было тогда каждому агенту отдельный такой сервис (но это видимо крайне дорого получится). Так хотя бы друг от друга агентов изолировали. Память между сессиями может и была бы, но всë было бы сильно дольше по времени.
Похожая история с паролями - более эффективно увеличить длину пароля (даже не заставляя использовать спецсимволы), чем менять его каждые 90 дней. Вроде даже в последних рекрмендациях NIST есть запрет "требовать периодическую смену пароля", типа, это наоборот снижает безопасность в итоге. Лучше более длинный пароль и на длительный срок.
С ключами ssh вроде никто время и срок действия не задаëт, да и никому в голову не приходит пытаться их подобрать - слишком большая длина.
Надеюсь, для этого Вы сделали sudo обертки для всех нужных команд (которые потенциально могут приводить к записи), и прописали правильно path, и перечислили всë нужное в sudoers. Да, и отдельный пользователь должен быть. Для хомяка своего же нужно будет указать права доступа на чтение группе, в которой тот пользователь, под которым клод выполняет команды.
Я не сильно погружался в шифрование ntp, типа ntpsec, но кажется не очень хорошая затея ограничивать срок действия сертификата (и вообще делать какую-то зависимость от времени) для сервиса синхронизации времени. Например, у нас и так неправильное время, но синхронизировать нельзя, потому что сертификат просрочен. Замкнутый круг. Надо бы изучить этот вопрос (руки всë не доходят).
Так и надо делать. Аналогично и с внутренними сервисами - если вводят новый вместо старого, после тестов переключают в днс запись на новый адрес (или если имя новое - запись удаляют), но старый сервис не выключают, а ставят на мониторинг, есть ли туда ещë запросы, и откуда они. Как только запросов больше нет какое-то время - можно и гасить.
Форс пуш - плохая практика. И не очень понятно, зачем чистить историю, если ключ уже отозвали - он уже невалидный - даже если кто-то найдёт - да и пусть, ничего это не даст.
Ну что - может начинать переходить на использование /etc/hosts, в котором прописать все адреса, а файлик торрентами раздавать? (чувствую, будет немалого размера).
Это что? Реально типа чтобы кто попало не заходил? Или так удачно совпало, что ссылка на сайт из статьи про SRE, и как раз сайт сломали? А может, просто взломали?
Да, подстава знатная. Поэтому не нужно всë это копипастить, хотя бы сначала в текстовый редактор, а оттуда уже текст в чистом виде. Ещë бОльшая опасность с curl на выполнение - там изначально не видишь, что скачалось. В нормальном варианте нужно понимать все команды, которые собираешься выполнять (а лучше перепроверить в манах), и сначала где-то протестировать.
Хуже, что и сайты перехватывают ctrl+c, и не так просто всë. В линуксе хотя бы 2 разных буфера есть, можно просто выделить (если опять же сайт не заблочит или не подменит содержимое).
Конечно, наверняка есть и более хорошие телефоны. Я просто таким пользовался, 9 лет без проблем отработал. Наверное это просто ностальгия по кнопочным временам)
Возобновили бы nokia c5-00. Я бы сделал туда type-c, более емкую батарею, нормальный экран (чтобы не затерся и побольше яркости), и чуть обновить ту старую ОС (в первую очередь сертификаты и прочее про шифрование). И его вполне можно было бы использовать и как звонилку, и как навигатор, и как фонарик и т.д. А если чуть мощнее железо сделать - можно и какие-нибудь мессенджеры туда вкорячить. В лес ходить - вполне норм, заряд держит, GPS есть, карты есть.
В реальности на разных узлах ТСПУ и разных провайдерах полный бардак - где-то блокируется, где-то нет. Один и тот же набор ресурсов (мтпрокси, впн ру и европа) в одном регионе работает, в другом нет, в третьем работает только по wifi, при этом даже пот wifi не у всех провайдеров работает. Я так в Москву ездил и уже было подумал, что у меня что-то сломалось, но нет, при возвращении всë заработало.
Так что если даже всë настроили и всë работает - это ещë не значит что всë будет работать на разных провайдерах и в разных регионах.
Это недоработка у вас в регионе/городе. У нас уже года 2 как белые списки, первые месяцы тоже можно было переключаться и работало, потом видимо исправили и не работает этот способ. Да, и ограничение интернета не мешает дронам летать - сирены последние полгода чуть ли не через день.
Всë ок, использую его и проблем не видел. Разве что интерфейс бы сделали с произвольным масштабированием и не удвоением пикселей. Качество звука скорее определяется движком - алса, пульсаудио или что там ещë.
Такая же подлянка бывает с usb2 разъëмами на ноутбуках. Попадалось, что массово продающиеся разъëмы другой ориентации и это будет фатально. Конечно, я перепроверял всегда это, и заказывал уже другой, если по запарке купил не тот.
Что-то подобное с разъемами mini jack audio 3.5, когда нужно поменять здесь и сейчас (а заказывать это тогда долго было), лезешь в кучку донорских материнок, выпаиваешь - а разъëм не тот. В старых был стандарта ac97, потом стали hda, там разная логика подключения разъема в гнездо.
Короче, все модели тупые. Иначе сказали бы в ответ, что эта игра подразумевает одновременные ответы, а не по очереди. Иначе смысл пропадает. В режиме чата игра невозможна. А если сделать робота (уже делали) - он выигрывает в 100% случаев за счëт быстрого распознавания камерой, что там выкидывает человек.
Спасибо! Довольно интересная инфа, не знал. А для обычного сервиса nginx не надо будет добавлять эти капсы? (ну там, в systemd-юните прописать, например)
Стандартный подход в современном мире вредоносов.
Я ожидал, что скрипт этот же файл отправит на выполнение в powershell и т.п. Но как понял - тут просто извлекаются данные и записываются в другие файлы, которые уже выполняются.
Я делал файл .bat, который можно выполнять в винде, и он на определенном этапе сам себя же передает на выполнение в powershell. Если же тот же файл запустить в linux - отработает как bash скрипт (в котором конечно можно запустить ещë что угодно). Разделение на едва уловимых особенностях обработки спецсимволов и комментариев разными интерпретаторами. Файлик с безопасной нагрузкой, но можно начинить чем угодно, пока не хочу это куда-то раздавать.
Вы ещë в Deus Ex (1 часть) поиграйте, с полным прохождением. А лучше раз 4-5, с разными концовками и вариациями. Вот там можно охренеть, что знали или предвидели создатели игры в те далëкие годы.
Сама возможность что-то там качать - должна быть исключена, т.е. виртуалка без внешних сетей совсем (разве что внутренняя для подключения к той, что требовалось ломать), но в ней любые инструменты для взлома. Это бы закрыло один из рисков.
Второе - возможность что-то создавать в кэше артифактория - не понимаю смысла что-то там создавать вообще, зачем эта функция, если это кэш? Понятно, что это обнаружили и использовали. Даже если так надо, и нельзя эту возможность отключить, надо было тогда каждому агенту отдельный такой сервис (но это видимо крайне дорого получится). Так хотя бы друг от друга агентов изолировали. Память между сессиями может и была бы, но всë было бы сильно дольше по времени.
Боюсь, такой факториал пока никто не посчитал)
Похожая история с паролями - более эффективно увеличить длину пароля (даже не заставляя использовать спецсимволы), чем менять его каждые 90 дней. Вроде даже в последних рекрмендациях NIST есть запрет "требовать периодическую смену пароля", типа, это наоборот снижает безопасность в итоге. Лучше более длинный пароль и на длительный срок.
С ключами ssh вроде никто время и срок действия не задаëт, да и никому в голову не приходит пытаться их подобрать - слишком большая длина.
Надеюсь, для этого Вы сделали sudo обертки для всех нужных команд (которые потенциально могут приводить к записи), и прописали правильно path, и перечислили всë нужное в sudoers. Да, и отдельный пользователь должен быть. Для хомяка своего же нужно будет указать права доступа на чтение группе, в которой тот пользователь, под которым клод выполняет команды.
Там ещë нюансы есть.
Я не сильно погружался в шифрование ntp, типа ntpsec, но кажется не очень хорошая затея ограничивать срок действия сертификата (и вообще делать какую-то зависимость от времени) для сервиса синхронизации времени. Например, у нас и так неправильное время, но синхронизировать нельзя, потому что сертификат просрочен. Замкнутый круг. Надо бы изучить этот вопрос (руки всë не доходят).
Так и надо делать. Аналогично и с внутренними сервисами - если вводят новый вместо старого, после тестов переключают в днс запись на новый адрес (или если имя новое - запись удаляют), но старый сервис не выключают, а ставят на мониторинг, есть ли туда ещë запросы, и откуда они. Как только запросов больше нет какое-то время - можно и гасить.
Форс пуш - плохая практика. И не очень понятно, зачем чистить историю, если ключ уже отозвали - он уже невалидный - даже если кто-то найдёт - да и пусть, ничего это не даст.
Ну что - может начинать переходить на использование /etc/hosts, в котором прописать все адреса, а файлик торрентами раздавать? (чувствую, будет немалого размера).
Это что? Реально типа чтобы кто попало не заходил? Или так удачно совпало, что ссылка на сайт из статьи про SRE, и как раз сайт сломали? А может, просто взломали?
Да, подстава знатная. Поэтому не нужно всë это копипастить, хотя бы сначала в текстовый редактор, а оттуда уже текст в чистом виде. Ещë бОльшая опасность с curl на выполнение - там изначально не видишь, что скачалось. В нормальном варианте нужно понимать все команды, которые собираешься выполнять (а лучше перепроверить в манах), и сначала где-то протестировать.
Хуже, что и сайты перехватывают ctrl+c, и не так просто всë. В линуксе хотя бы 2 разных буфера есть, можно просто выделить (если опять же сайт не заблочит или не подменит содержимое).
Конечно, наверняка есть и более хорошие телефоны. Я просто таким пользовался, 9 лет без проблем отработал. Наверное это просто ностальгия по кнопочным временам)
Возобновили бы nokia c5-00. Я бы сделал туда type-c, более емкую батарею, нормальный экран (чтобы не затерся и побольше яркости), и чуть обновить ту старую ОС (в первую очередь сертификаты и прочее про шифрование). И его вполне можно было бы использовать и как звонилку, и как навигатор, и как фонарик и т.д. А если чуть мощнее железо сделать - можно и какие-нибудь мессенджеры туда вкорячить. В лес ходить - вполне норм, заряд держит, GPS есть, карты есть.
В реальности на разных узлах ТСПУ и разных провайдерах полный бардак - где-то блокируется, где-то нет. Один и тот же набор ресурсов (мтпрокси, впн ру и европа) в одном регионе работает, в другом нет, в третьем работает только по wifi, при этом даже пот wifi не у всех провайдеров работает. Я так в Москву ездил и уже было подумал, что у меня что-то сломалось, но нет, при возвращении всë заработало.
Так что если даже всë настроили и всë работает - это ещë не значит что всë будет работать на разных провайдерах и в разных регионах.
Это недоработка у вас в регионе/городе. У нас уже года 2 как белые списки, первые месяцы тоже можно было переключаться и работало, потом видимо исправили и не работает этот способ. Да, и ограничение интернета не мешает дронам летать - сирены последние полгода чуть ли не через день.
Всë ок, использую его и проблем не видел. Разве что интерфейс бы сделали с произвольным масштабированием и не удвоением пикселей. Качество звука скорее определяется движком - алса, пульсаудио или что там ещë.
Такая же подлянка бывает с usb2 разъëмами на ноутбуках. Попадалось, что массово продающиеся разъëмы другой ориентации и это будет фатально. Конечно, я перепроверял всегда это, и заказывал уже другой, если по запарке купил не тот.
Что-то подобное с разъемами mini jack audio 3.5, когда нужно поменять здесь и сейчас (а заказывать это тогда долго было), лезешь в кучку донорских материнок, выпаиваешь - а разъëм не тот. В старых был стандарта ac97, потом стали hda, там разная логика подключения разъема в гнездо.
Короче, все модели тупые. Иначе сказали бы в ответ, что эта игра подразумевает одновременные ответы, а не по очереди. Иначе смысл пропадает. В режиме чата игра невозможна. А если сделать робота (уже делали) - он выигрывает в 100% случаев за счëт быстрого распознавания камерой, что там выкидывает человек.
Спасибо! Довольно интересная инфа, не знал. А для обычного сервиса nginx не надо будет добавлять эти капсы? (ну там, в systemd-юните прописать, например)