/bin/dev - IT Lounge

Выпущены релизы безопасности matrix-js-sdk и matrix-react-sdk, чтобы исправить пару уязвимостей высокой степени серьезности (зарезервированных как CVE-2022-36059 для matrix-js-sdk и CVE-2022-36060 для matrix-react-sdk).

Затронуты клиенты, которые зависят от затронутых библиотек, такие как Element Web/Desktop и Cinny. Релизы затронутых клиентов появятся в ближайшее время. Пользователям этих клиентов рекомендуется выполнить обновление при первой же возможности.

Уязвимости дают злоумышленнику, с которым вы делите комнату, возможность провести атаку типа «отказ в обслуживании» против уязвимых клиентов, заставляя его не показывать все комнаты или пространства пользователя и/или вызывая незначительные временные повреждения.

Полная информация об уязвимости будет раскрыта позже, чтобы дать людям время на обновление, а авторам — провести более тщательный аудит кодовой базы.

Обратите внимание, что, хотя уязвимость, насколько нам известно, никогда не использовалась злонамеренно, в результате непреднамеренного публичного тестирования некоторые люди пострадали от этой ошибки. Если вы пострадали, вам может потребоваться очистить кеш и перезагрузить клиент Matrix, чтобы изменения вступили в силу.

Авторы благодарят Вэла Лоренца, который обнаружил уязвимость и сообщил о ней на выходных.

Новость на LOR

 >> Подробности

В обновлении эмулятора Playstation 4 и 5 KyTy от 21.10.2022 впервые заработали сэмплы SDK от PS5. До этого разработчик демонстрировал работу игры Worms W.M.D от PS4. В будущем будет тестирование игр от PS5.

Цитата:По данным Коммерсанта, уже к 12 декабря в России разработают специальную систему для анализа фото, видео и текстов в Сети на предмет нарушения российских законов.

Называться она будет «Окулус», а в её основу ляжет технология нейросетей. На данный момент стоимость проекта составляет 57,7 млн рублей — именно такую сумму Роскомнадзор выделил компании ООО «Эксикьюшн Эр Ди Си».

Судя по технической документации, «Окулус» сможет в режиме реального времени анализировать изображения и видео, а также переписки в чатах и материалы каналов мессенджеров, URL-адреса и прочие данные. Она будет выявлять в них запрещенную информацию.

Там же можно найти информацию о том, что «мощность» системы должна составить 200 тыс изображений в сутки. Таким образом, ежесекундно она будет анализировать два кадра или картинки.

Источник.

FreeBSD 13.1-RELEASE-p0 (планирую собрать -STABLE ветку).

В основном использую Firefox, scrot, Telegram Desktop, Alacritty, feh, xcompmgr, CWM, xidle & xlock, catgirl, vi(m), tmux, aria2, mpv, mpg123, GIMP, LibreOffice, игрушечки через Wine, сериальчики на телевизор через HDMI.

Ранее в системе присутствовал /etc/src.conf для убирания "лишнего", но, как я понял, лишнее убрать всегда успеется, а нужное добавить - не всегда получится.

Запускаю окружение прямо xinit из консоли, DM #ненужон, DE #тоже.

По OpenBSD не особо скучаю, но симпатично их ПО.

BSD-шники всех версий, объединяйтесь!

Недавно совершенно случайно приобрел в магазине книжку «Время UNIX» Брайана Кернигана. 


Книга захватывает, несмотря на свой небольшой размер. Написана очень классно, переносит тебя куда-то в те далекие 70е и ранее годы, когда только начинался UNIX (и не только), когда не было всех этих современных мощностей и тонн фреймворков, когда быть программистом означало понимать, как работает эта ваша шайтан-коробка, которую называют персональным компьютером. Когда запилить новую микросхему можно было просто на коленке, а на следующий день получить готовый отлитый экземпляр. Когда новый язык программирования или какую-то мега полезную утилитку (LEX, grep и остальные) мог создать чуть ли не на коленке один человек за несколько недель усиленного кодинга. И накрывает какой-то ностальгической тоской от осознания того, что такого уже не будет.

Обратил внимание на разницу в подходах к работе. Меня приятно удивило описание их процесса работы в Bell Labs, где можно было делать все, что угодно, и делать это хорошо. То есть реально человек мог сам выбрать себе занятие и в свое удовольствие пилить свой проект, получая при этом зарплату, не выслушивая тонн говна от начальства про сроки, ненужность оптимизаций и так далее. Именно так, кстати, и появился UNIX, как наколенный проект одного из сотрудником компании. И, к слову, получать нормальную зарплату, позволяющую жить, а не существовать (будете читать если, обратите внимание на пару строк про описание полетов на обед).

Вспоминаю годы своей работы в нашенском научно исследовательском институте, который, по идее, должен был бы выполнять схожие задачи с Bell Labs тех лет — исследовать что-то новое — и вижу совершенно другой подход. У нас основной задачей было распилить бабло, спущенное сверху, потратив на это как можно меньше... всего — и сил, и денег, и ресурсов, и времени. Оптимизация — да ну его нахрен. Сделать хорошо — да пошло оно, покупать еще лист стали, вон там валяется ржавый кусок толщиной 10мм. И вот так было во всем. Когда я читал про подход к работе в компании, где разработали UNIX, и сравнив его с нашенским в моем НИИ, я сразу осознал ту пропасть между нами, и понял, почему «там» все так круто, а мы не смогли ничего за те же прошедшие уже 50 лет.

В общем, советую прочитать всем, кто так или иначе имеет взаимоотношения с UNIX в любом из его проявлений (да и не только, ибо первым все же был именно UNIX). Книга реально огонь!

Я наконец закончил первую статью из своего планируемого цикла статей для погромистов и не только. 

В ней я подробно разобрал, что такое «бинарный поиск» и как оно работает — с картинками, блок-схемами и так далее, а также написал пример его реализации на Golang.

Полностью копировать сюда всю статью не стану, но покажу пару ее частей. Например, блок-схема бинарного поиска выглядит так:



В статье подробно рассмотрен принцип действия этого алгоритма и обоснована его необходимость как такового. За подробностями добро пожаловать на страничку статьи на моем блоге. Комментариям и прочему буду рад и там, и тут.

Данная статья расскажет о методах и инструментах для поиска информации о человеке в открытых и не очень источниках.

Пост будет дополняться по мере появления информации.

Статья носит ознакомительный характер и предназначена для обучения. Автор не несёт ответственности за любой причинённый вред при использовании изложенной информации в реальных случаях.

Цитата из Википедии о том, что такое OSINT:

Цитата:Разве́дка по откры́тым исто́чникам (англ. Open source intelligence, OSINT) — разведывательная дисциплина, включающая в себя поиск, выбор и сбор разведывательной информации из общедоступных источников, а также её анализ. В разведывательном сообществе термин «открытый источник разведывательных данных» (англ. open information source), который указывает на общедоступность источника (в отличие от секретных источников и источников с ограниченным использованием), но он не связан с понятиями «просто источник информации» (англ. open source information; OSIF), означающий любую находящуюся в пространстве СМИ информацию.

Поиск информации возможен как самостоятельно, вручную, так и с помощью различных вспомогательных инструментов. Где и как применять эту информацию - зависит уже от вас.


Практически везде. ФИО, уникальные адреса страниц в соцсетях, никнеймы, фото, видео, записи в соцсетях, утёкшие пароли, ID в сервисах/играх/сайтах, домены... На самом деле всё может представлять интерес. Самое важное - научиться сопоставлять информацию.

Не вся информация открытая, но она может присутствовать в различных утечках. Будем считать это поиском в открытых источниках. =)


Большинство сайтов и ботов работают только по России.

Приложения:

• https://github.com/sherlock-project/sherlock - поиск профилей на сайтах по никнейму
  
• https://github.com/mxrch/GHunt - вытягивание информации из аккаунта Google
  

Telegram-боты:

• https://t.me/UniversalSearchRobot - бесплатный бот для поиска информации
  
• https://t.me/usersbox_bot - платный бот для поиска информации, имеет огромное количество источников
  
• https://t.me/last4mailbot - ищет номер телефона по EMail
  

Многие боты были забанены, продались ("Глаз Бога", например) или умерли своей смертью. Их сейчас очень мало.

Сайты:

• https://search4faces.com - поиск профилей в соцсетях по фото, бесплатно, так себе
  
• https://findclone.ru - поиск профилей в соцсетях по фото, платно, хорошие результаты
  
• https://www.truecaller.com - поиск по номеру телефона. Требует регистрации.
  
• https://www.rusprofile.ru - сведения об организациях, предприятиях и ИП
  
• https://zachestnyibiznes.ru - то же самое
  
• https://bo.nalog.ru - то же самое
  
• https://www.wigle.net - карта WiFi сетей. Есть фильтр по BSSID и названию.
  
• https://www.faceplusplus.com/face-comparing/#demo - сравнение лиц на фотографиях
  
• https://fssp.gov.ru/iss/ip/ - ФССП: Судебные приставы (долги физических лиц)
  
• https://www.sravni.ru/osago/proverka-kbm/ - проверка ОСАГО
  
• https://гибдд.рф - проверка автомобиля
  
• https://sudrf.ru - решения судов РФ
  
• https://www.reestr-zalogov.ru/search/index - реестр залогов
  
• https://go.mail.ru/search_social - поиск по соцсетям
  
• https://tineye.com - поиск по изображению
  
• https://220vk.com - показывает скрытых друзей во ВКонтакте, позволяет следить за страницами или узнать возраст человека, даже если он скрыл свой год рождения (работает не всегда)
  
• https://discordhub.com/user/search - поиск пользователей в Discord
  
• https://search.censys.io - поиск сайтов на одном сервере, сервисов на сервере и т.д.
  

В социальных сетях можно найти такую полезную информацию, как:

• ФИО
  
• Фото
  
• Возраст
  
• Примерное место проживания
  
• Место работы
  
• Телефон (редко)
  
• Ссылки на другие соцсети
  
• Образование
  
• Увлечения
  
• Уникальный адрес страницы (может быть никнеймом)
  
• Контакты для связи
  

Часто можно подобрать год рождения, если он скрыт. В ВК для аккаунтов с галочкой это не сработает.

Во ВКонтакте можно найти упоминания пользователя:

• https://vk.com/feed?obj=[id]&section=mentions, где [id] - ID пользователя без "id" (только цифры)
  

Если в группе публикуются гифки, то иногда можно узнать владельца группы. Откройте ссылку на гифку. В ней будет кусок вида doc1005001337_11223344. Первая часть (1005001337) - ID пользователя. Вторая - ID документа.



Требуется редко, тем не менее возможность есть. Узнать информацию о пользователях (даже на приватных серверах) в GitLab и Gitea можно следующим образом:

• К домену, на котором содержится экземпляр GitLab, подставьте следующий URL: /api/v4/users/[id]. [id] - это число, ID пользователя. GitLab содержит такие данные, как ФИО, ник, аватар, биографию, локацию, публичный EMail, Skype, Linkedin, Twitter, сайт, организацию.
  
• К домену, на котором содержится экземпляр Gitea, подставьте следующий URL: /api/v1/users/[username]. [username] - логин в Gitea.
  

Обычные поисковики тоже очень полезны. Можно поискать по номеру телефона, почте или другим данным, ведь можно найти упоминания на каких-либо сайтах. А ещё Google очень хорошо умеет распознавать документы. Например, введя запрос:

Можно найти закэшированные поисковиком документы этих типов. Ещё можно добавить ФИО:


Если поискать по ссылке в ВК (типа vk.com/id88005553535) в Google, то можно найти различные сайты, которые парсят соцсеть. Иногда в них можно найти старую аватарку, историю смены имени, старую анкету профиля.

Яндекс очень хорошо ищет по изображениям.



Поиск по номеру телефона можно произвести, скормив его различным сервисам:

• TrueCaller (ссылка есть выше)
  
• Мессенеджерам (ВКонтакте, Telegram, WhatsApp и другие). Требуется синхронизация контактов с приложением - пользуйтесь песочницами!
  
• Банковским приложениям (например, Сбербанк показывает ФИО при переводе денег по номеру телефона)
  
• Ботам в Telegram (некоторые из них есть выше)
  

Часто можно узнать данные (частично или полностью) при попытке восстановить пароль в каком-либо сервисе. Номер телефона, EMail, ФИО, никнейм...


Часто данные можно найти в различных утечках информации. Например, в свободном доступе можно найти архив под названием BreachCompilation со списком утёкших паролей, хоть и старых. Тем не менее в паролях тоже может содержаться полезная информация.


Или же недавние утечки из Яндекса, Wildberries, Beeline, СДЭК и т.д. Искать по запросу saverudata.

За утечками информации можно следить на канале Утечки информации в Telegram.


В телефонных справочниках тоже можно найти информацию о человеке. Но там она зачастую уже устаревшая. Неизвестно, из каких источников заполняются онлайн телефонные справочники, но у них есть одна интересная особенность: в них может быть указан старый адрес и номер телефона, но дополнительно ещё и указаны члены семьи, иногда и с датой рождения, которые не могли проживать по старому адресу. Важно то, что дата рождения почти всегда верная.

Иногда во время неиспользования ПК зависает, и кроме перезагрузки ничего не работает. Проблема проявляется только в Linux, и не всегда.

Решение: поменять в настройках BIOS опцию Power Supply Idle Control с Auto на Typical Current Idle.

Объяснение значения опции: http://virtmachine.ru/power-supply-idle-...o-eto.html

Цитата:Исследователи из компании Sonatype обнаружили шифровальщика в официальном репозитории PyPI. В ходе расследования выяснилось, что вредонос в репозиторий загрузил школьник, а любой пользователей пакетов оказывался жертвой вымогателя.

Специалисты по информационной безопасности обнаружили в репозитории PyPI вредоносные пакеты requesys, requesrs и requesr, которые выдавали себя за популярный пакет requests. Отмечается, что вредоносы шифровали данные пользователей, но при этом не требовали выкупа и перенаправляли жертв на Discord-сервер с ключами для дешифровки.

Отмечается, что пакет requesys при запуске на машинах под управлением операционной системы Windows просматривал содержимое папок Documents, Downloads и Pictures, а после этого начинал шифровать их содержимое. Также исследователи заметили, что скрипт запускался только в том случае, если имя пользователя ПК отличалось от «GIAMI». Исследователи решили, что это никнейм автора вымогателей.

Для шифрования данных разработчик использовал модуль fernet из библиотеки для шифрования с симметричным ключом. Этот же модуль использовался для генерации ключа для расшифровки данных. Отмечается, что первые версии пакета предоставляли ключ в виде обычного текстового файла, а в версии 1.5 разработчик перешёл к обфусцированному исполняемому файлу base64.

При успешном запуске и шифровании данных пользователи видели всплывающее окно, которое предлагало перейти на Discord-сервер пользователя под никнеймом OHR (Only Hope Remains). Исследователи заметили, что сервер был открытым, и на него мог попасть любой желающий. На самом сервере был канал #ransomware-notifications, который содержал имена жертв и ключи для дешифрования.
Специалисты быстро нашли автора вредоносов. Выяснилось, что он использовал никнеймы OHR и b8ff в PyPI, Discord, GitHub и на других сайтах. На GitHub находился и код самого шифровальщика. Также у автора был обнаружен YouTube-канал с роликами про создание простых эксплойтов на Python. Также важно отметить, что автор указал в README-файле проекта, что он не несёт ответственности в случаях неправомерного использования кода. Однако, в пакетах PyPI никаких предупреждений не было и разработчик не пытался предупредить пользователей.

Исследователи попробовали связаться с разработчиком и сразу же получили ответ. Автор отметил, что шифровальщики полностью безобидные, не требуют выкуп и сразу же предлагают получить ключ для расшифровки данных. Сам разработчик представился школьником из Италии, который изучает Python, Lua и HTML. Созданием вымогателей юный разработчик занялся недавно и, как утверждает, был удивлен тем, с какой лёгкостью можно создать вредонос и заставить пользователей установить его.

Разговор с разработчиком помог предотвратить новые жертвы среди пользователей. Школьник согласился переименовать пакет requesys, чтобы пользователи больше не путали его с requests. Пакеты requesrs и requesr удалены из репозитория PyPI, но не до конца ясно, кем. Это могли сделать как модераторы, так и сам разработчик.

Источник.

Вот тоже не особо понимаю, почему сейчас считается нормальным ставить тонны не пойми чего из помоек вроде нпм, мавена или вот этого вот пистона. С ужасом всегда смотрю на сотню пакетов, который тянет мавен при сборке проекта.

Цитата:Как ещё можно изощриться над корпусом ПК, чтобы удивить искушённую публику? На помощь в этом вопросе приходит смекалка. Может быть, компьютер со встроенным аквариумом — это то, что нужно человечеству?
Как бы то ни было, именно такую новинку представила китайская компания MetalFish. Компьютерный корпус Y2 Fish Tank Classics — это корпус формата Micro-ATX, который расположен прямо под аквариумом для рыбок. Да, в нём реально можно держать домашних рыбок. Для них будет предостаточно 13 литров.

Что же до прочих характеристик устройства, то его размеры — 370 x 250 x 290 мм, толщина стенок аквариума — 5 мм. В  комплекте есть фильтр, работающий от USB. Разумеется, подсветка тоже имеется, но с аквариумной частью не синхронизируется. Новинка уже продаётся в Китае всего за $75. Покупателям остаётся надеяться, что чрезвычайно мощная начинка не заставит рыбок почувствовать себя в кастрюле.

Источник.