Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Поток Информационная безопасность доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 59
Закреплённые комментарии
ХА-ХА-ХА!
мне нравится когда пишушие статьи про безопасность и борьбу с фродингом заканчивают свои статьи " беги к ИИ проси помощи ". мне кажется я даже писал пару лет назад коммент к вашей статье про фродинг в рекламе что вы на вершине айсберга и по этому даже надводную часть не видите, не говоря уже про весь айсберг фродинга. вы как будто начали прыгать на этой вершине xD
Окей кодекс, прочитай статью и проведи аудит сайта на уязвимость к изложенным проблемам
Добро пожаловать в новую эпоху осознания того, что всё, что мы используем в своей работе, - одно сплошное ДУПЛО! И то, что ты делаешь для безопасности - тоже большое ДУПЛО.
Можете пояснить с точки зрения информационной безопасности, что такое "ДУПЛО"? Я бы не хотел использовать для защиты своих серверов "ДУПЛО".
По существу неплохо, а по форме "добрый чат, перепиши этот текст в стиле журнала Хакер" )
Но прикольно получилось
хорошо, что не в стиле Дани Шаповалова )
Даже немного жаль, что не в стиле Дани )
Может быть интереснее читалось
Воистину!
Ты бегал по Дворцовой площади, прикрыв гениталии газеткой, и громко кричал, что ты — цитирую: 'дитя термоядерного синтеза в недрах седьмого галактического солнца слева от своей собственной мысли
Высокий класс, шикарное исполнение. Современная пошлость далеко не близка.
Давайте перепишет в стиле Шинкарёва. Это будет лучше соответствовать эпохи.
Так и не узнал "что за мега сканер бегает по интернету, ломает сайты":(
Текст выглядит прямо истерично: "АААААААА ВСË ПРОПАЛО НАС ВЗЛОМАЮТ!!!111АДИНАДИН"
И тем не менее, тут правильно сказали - это только верхушка айсберга. Боты и раньше (уже лет 20-25 как) ходили массово по интернету и пробивали что могли.
Сейчас времена изменились, и цифра "у вас есть несколько часов" - не пугалка, а даже несколько мягкая оценка. Сейчас это всë делают быстрее, но всë зависит от кучи факторов - если ОС на сервере и весь софт с последними обновлениями, множество настроек ОС и софта выставлены безопасно, правильно настроены доступы и т.д. - всë не так плохо. Но дефолтная установка ОС, веб-сервера, БД и какого-то интернет-магазина - это буквально пара часов, и всë.
дефолтная установка ОС, веб-сервера, БД и какого-то интернет-магазина - это буквально пара часов, и всë
Авторы дефолтных настроек софта некомпетентны, допустим. Не страшно пользоваться софтом, написанным некомпетентными авторами?
Я не говорил, что некомпетентны. Всегда надо выбирать соотношение между удобством и безопасностью. А иногда нельзя сделать изначально безопасную конфигурацию, еë должен настроить сам пользователь софта. Например, ssh по дефолту с аутентификацией по паролю, но более безопасно настроить по ключам. Естественно, никто не будет по дефолту делать запрет входа по паролю, ведь тогда никто не сможет сразу использовать ssh из коробки. Сюда же возможность входа под root и т.д. И ещë куча самых разных настроек, которые сделаны для того, чтобы пользоваться можно было удобно, но они же часто делают "удобно" и злоумышленникам. Поэтому сейчас лучше всë закручивать по-максимуму. Даже если не очень удобно.
Тут не в компетенции дело, а в универсальности. Дефолт должен работать везде
дефолтная установка ОС, веб-сервера, БД
Неужели это до сих пор проблема?!?! Я думал это в конце 90-х прошлого века закончилось. Боже мой, как долго я живу!
если ОС на сервере и весь софт с последними обновлениями, множество настроек ОС и софта выставлены безопасно, правильно настроены доступы и т.д. - всë не так плохо. Но дефолтная установка ОС, веб-сервера, БД и какого-то интернет-магазина - это буквально пара часов, и всë.
Всё верно. ОС и другие инфраструктурные компоненты требуют адекватной конфигурации и настройки. Но "всё не так плоха" это в мире где "буквально пара часов, и всë..." это не достаточно.
Где я работаю сейчас проблему безопасности решают, по моему определению, "дубовыми методами". А и в дубах бывают "дупла".
Что я имею в виду. Создана неимоверно сложная система доступа к ресурсам. А к ней неимоверно сложная и неповоротливая система отношений между людми и департментами, которая не позволяет даже заведомо авторизованному специалисту добраться до ресурсов (серверов), которые этот специалист обязан сопровождать, на которых выполняются элементы инфраструкты, для которых этот специалист и есть админ.
Да, сервера защищены хорошо от тех кто их должен обслуживать. Но защищены ли они от изощреных ботов? На этот вопрос тем труднее ответить чем изощреннее защита. Более того. Ботам не надо пытаться раздобыть достать сервер тем путем которым пользуются специалисты по обслуживанию сервера. Т.е. через систему паролей и их выдачи. Есть и другие пути. Более того путь через пароли и проверки привелегий стал наименее перспективен.
Но и это возможно уже не так. Что сейчас есть стандарт безопасности паролей? Раньше это была память специалиста придумавшего пароль. Сейчас пароли генерируются разными там CyberArc и/или Idira. Они же пароли меняют на серверах. Ну а если мы взломает эти продукты? Они как и все что создано для ОС на х86-64 имеет все пороки этой платформы.
Есть только одна из реально существующих ОС у которой нет пороков - z/OS фирмы IBM, но эта платформа имеет очень слабый след в российском ИТ, который в ближайшие годы и воовсе исчезнет. Увы и ах.
Я дочитал до "format c:" и охренел. Как можно вообще так жить? Вы что специально создаете такие продукты чтобы их ломали и у вас был повод об этом писать в Хабр?
Это мозахизмом называется.
Вы что специально создаете такие продукты чтобы их ломали и у вас был повод об этом писать в Хабр?
Это мозахизмом называется.
P.S. Мазохизм знаю, мозахизм не знаю.
Продукты не специально дырявыми делают, просто сроки горят. Бизнесу нужна фича вчера, а безопасность оставляют на потом. В итоге получаем легаси с дырами размером с гаражные ворота
Проблема не в дырявых бизнес приложениях. Дырявой является вся инфраструктура на которой живут российские программисты и в их образовании, которое является следствием дырявой инфраструктуры.
Возьмём пример с format c:. Каким бы глупым ни был программист написавший программу которая примет это за команду и начнет ее выполнять, операционная система этого не допустит т.к. у прикладных программ не может быть привелегии и возможности выполнять такие команды.
Но как я понимаю и знаю порой для выполнения прикладных программ особо "одаренные" программеры требуют права administrator. И им их дают. потому что "бизнесу надо". А как известно "два дебила это сила".
Мне лень разбирать все примеры в статье, но они все высасыны из пальца. Это полет бурной фантазии писателя основанный на том бардаке который сформирован исторически в головах большенства российких ИТ-шников.
Чтобы было не так обидно российским программерам добавлю - канадские семимильными шагами идут туда же. По своему, но основа та же - гнилая, дырявая инфраструктура: сервера, ОС, докеры, кубернетесы, озера, и т.п. игра словами за которыми ничего нового не стоит. И как следствие гнилые, дырявые методики программирования вбиваемые в мозг программиста для того чтобы он пользовался продектами и методиками определенного вендора. Это Microsoft, Goole и куча, туча их сателитов.
Вижу это все на примере кагадской компании, большой компании, где работаю до сих пор.
Дырявой является вся инфраструктура на которой живут российские программисты и в их образовании, которое является следствием дырявой инфраструктуры.
Ещё один фанат Особого Русского Пути, верящий что рукожопые программисты это уникальное торговое предложение России.
Чтобы было не так обидно российским программерам добавлю - канадские семимильными шагами идут туда же
Ещё один фанат Особого Русского Канадского Пути
:))
Фанатом я по возрасту и стажу в ИТ более сорока лет быть не могу.
А рукожопость не только российских программистов, но и канадских я объяснял особенностью платформ на которых в основном базируется нынешнее поколение ИТ.
Почитайте мой пост еще раз и види сами это поймете.
Если про рукожопость, то российских программистов я бы наоборот ранжировал выше чем аналогичные западные (читай идусские) программисты. Но у российских силно ограничен доступ к западным продуктам и им зачастую приходится самим изобретать колеса. Например лепить свои варианты репликаций баз данных.
Почитайте мой пост еще раз и види сами это поймете.
Я почитал. Вы чётко и однозначно "российские программисты".
Хорошо, пусть будут российские, но почему Вы поняли?
Потому что у Вас есть какие-то пристрастия, и Вы оцениваете не ситуацию на рынке, а факт принадлежности людей к не нравящейся Вам юрисдикции.
Какие могут быть пристрастия у человека плотно поработавшего на всех известных и неизвестных для российских ИТ-шников платфлормах, продолжающего работь в крупной канадской компании на должности Senior Information System Specialyst.
Были пристрастия когда я был помоложе, хорошо помоложе.
Вот у Вас явно просматриваются пристрастия, доходящие до комплекса. Вы не о том что Вам пишет собеседник, а переходите на личность самого собеседника. Это очень плохое пристрастие. Это комплекс неполноценности.
Вы не о том что Вам пишет собеседник
Вы пишете "российские программисты", разе нет?
Я много разного писал и пишу, в том числе и "российские программисты". Что дальше?
Дырявой является вся инфраструктура на которой живут российские программисты и в их образовании, которое является следствием дырявой инфраструктуры.
Тут нет "в том числе".
Что дальше?
Не знаю, я не гадалка.
Я просто констатировал факт, что Вы являетесь адептом идеи про существование Особо Русского Пути.
Ну может у человека сервер под MS-DOS, бывает, что такого )
Может это эвфемизм такой для mkfs.
Я думаю у него все программы выполняются с правами admin и другого способа защититься он не знает. Плюс этому еще в его программе должен быть код который любой текстовый контекст из любых полей парсит на предмет всех возможных интерпретаций и выполнении если это окажется команда - всторенный ИИ. Второй пример в статье такие же мысли вызывает.
Хотелось написать "Спасибо Кэп!" после прочтения статьи.
По существу все так, но каких-то новых деталей для себя не нашёл.
Боты подобного вида бегаю и будут бегать по инету до конца времен. Отличие только в том, что злоумышники стали использовать ИИ для поиска дыр. Механизмы взлома не изменились. Вся статья сводится к нескольким вещам, которые есть в любой статье-гайду по безопасности.
Еще короче - на той стороне враг.
Особенно порадовало, как автор, как в детском саду на пальцах объясняет что такое инъекция. Читал и думал - "это наверное шутка?" Неужели на Хабре кто-то этого не знает?
Или хабр уже не тот? Но это скорее риторический вопрос...
Про LOAD_FILE в MySQL смешно читать, потому что для этого нужен FILE privilege и правильный secure_file_priv. По дефолту сейчас это часто закрыто на уровне самой субд. Но если админ сам себе злобный буратино и дал такие права, то да, улетит все
битрикс такой то версии
В случае использования битрикса любой версии говорить о безопасности уже поздно.
И если у тебя программа написана с ошибкой, то она может напрямую вызвать команду
format c:.
Это прям как нужно постараться, чтобы написать программу с такой ошибкой? Ладно ещё если речь про скрипт, где код из переменной можно вызвать одним знаком препинания.
Прямо сейчас (ноябрь 2026 года) в новостях обсуждаются громкие инциденты:
Говорят, что у сеошников и маркетоложцев есть особый ген, который не позволяет им вставлять в текст ссылки, если им за них не заплатили.
ЗАПРЕТИ доступ в админку с любых IP, кроме своего, родненького, - и никак иначе.
У большинства провайдеров сейчас выдаётся динамический IP. Статический - очень отдельная услуга за отдельную плату. Так что я бы не стал рекомендовать стрелять себе в ногу, если у вас на руках нет договора, в котором чётко прописано, что вот эти четыре цифры - ваш "родненький" IP и таковым останется.
Поэтому - mTLS, ну или TLS в обе стороны или он же гога, он же гоша, он же клиентский сертификат.
Это вообще не технология, а чит-код какой-то! как раз для админок, для любых приватных ресурсов (типа, внутренней почты которой 20 человек пользуются). Просто всем один раз поставил сертификаты и ВСЕ! Дальше вам страшны только баги nginx которые срабатывают до проверки сертификата. А за этим nginx можете хоть Debian 7 поставить с PHP5 и legacy ПО, написанным одним студентом в давнем прошлом (и я это не фантазирую, реальный случай)
Мое мнение - все ресурсы на которых вы не рады рандомному индонезийскому школьнику - должны быть закрыты mTLS.
Мало того, возможность поменять IP у своего домашнего компа «вот прямо сейчас» иногда оказывается очень полезной...
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Как защитить свой сайт от взлома. ПО Шагам