Ответы пользователя по тегу Защита от взлома
  • Есть ли здесь реальная reflected XSS или это false positive (безопасно ли включать URL запроса в код страницы)?

    На практике в современных браузерах этот вектор в XSS не эксплуатируется из-за URI энкода. Последними популярными браузерами где этот вектор был эксплуатируем были IE 6/7, они не URI-енкодили GET-параметры при редиректе. Однако вставка URI без HTML-енкода в любом случае является ошибкой, даже если не приводит к XSS, например по стандарту должен HTML-енкодиться символ &, который может присутствовать в урлах.
    Ответ написан
    2 комментария
  • Как узнать формулу, по которой считается время для взлома пароля?

    Вот вам пароль, ломайте: qwerty23457823

    Пароль нельзя сломать, можно сломать либо хеш пароля (восстановив пароль)с, либо шифрование, где пароль используется как ключ либо сервис или оборудование, где пароль используется для аутентификации. В первых двух случаях все зависит от уникальности и энтропии ("случайности") пароля и от криптографического алгоритма, например подбор хеша scrypt, argon2, yescrypt даже по словарю может быть затратным и требовать такой конфигурации оборудования, которую дорого собрать дома и практически невозможно получить в облаке или хостинге. В случае аутентификации все зависит от реализуемых алгоритмов защиты от перебора и credentials stuffing.

    То, что пишет Касперский это просто оценка энтропии без учета других факторов переведенная в попугаи, понятные пользователю (оценка типа 40 бит энтропии ему обычно не понятна, а 4 года на взлом - уже лучше), к реальному времени оно отношения не имеет. Оценка энтропии это тоже некое шарлатанство, делается обычно эмпирическими методами, в которые заложены типичные шаблоны применяемые пользователем и учитываемые при брутфорсе. Ваш пароль может быть очень энтропийным, но если он уже засвечен в какой-то из утечек, времени на его подбор надо примерно 0.
    Ответ написан
    Комментировать
  • Используется ли ssl pinning для веб-приложений?

    HTTP public key pinning в настоящее время не поддерживается, например в Chrome с 67 версии. Причина в том, что функция оказалась очень опасной - утрата доступа к сертификату соответствует утрате домена. И реальные инциденты показали, что риски слишком высоки, превышают потенциальные преимущества для безопасности.
    Ответ написан
    1 комментарий
  • В каких случаях действует УК при взломе сайтов?

    "Суть такова: предположим я найду легко взламываемый сейф в банке и захочу на этом заработать, с банком не договаривался".

    Да, статья есть, про поиск уязвимостей без разрешения - статья 272 УК РФ, про "договориться" - статья 163 УК РФ. Хотите заработать на уязвимостях - идите на hackerone.com, bugcrowd.com или в корпоративные программы, в них всегда описано на каких условиях можно искать уязвимости и кто и сколько за это платит.
    Ответ написан
    8 комментариев
  • Можно ли в данном случае arp-spoofing считать dos атакой?

    Да можно. В российском законодательстве есть понятие "блокирование" компьютерной информации. Ген. прокураторой дается такое определение:

    блокирование информации - результат воздействия на компьютерную информацию или технику, последствием которого является невозможность в течение некоторого времени или постоянно осуществлять требуемые операции над компьютерной информацией полностью или в требуемом режиме, то есть совершение действий, приводящих к ограничению или закрытию доступа к компьютерному оборудованию и находящимся на нем ресурсам, целенаправленное затруднение доступа законных пользователей к компьютерной информации, не связанное с ее уничтожением;
    Ответ написан
    Комментировать
  • Могут ли взломать пароли на Мак Оси, если просто перейти по ссылке?

    Теоретически, это возможно, используя уязвимости браузера и операционной системы.
    На практике, если у вас обновленная операционная система и браузер, это возможно, но не очень вероятно, потому что уязвимости нулевого дня (не известные производителям ОС и браузера) стоят очень дорого, и применяются, как правило, в таргетных/правительственных атаках. Если вы не политик, бизнесмен, публичная персона, журналист, террорист, шпион и т.д. и не владеете информацией на миллионы долларов - скорее всего вы не были целью таргетной атаки, хотя атака может быть направлена на организацию, в которой вы работаете.
    По описанию, больше похоже что это был спам.
    Ответ написан
    Комментировать
  • СМС уязвимость или что это?

    Сами по себе эти записи не страшны - кто-то проверял ваш сервис сканером безопасности.
    Ответ написан
  • Какая информация передается при подключении к сети?

    Какие данные передаются админам сети, при подключении к этой сети

    MAC-адрес адрес wifi-адаптера, при некоторых протоколах аутентификации часть сведений о компьютере - например имя и домен, а дальше потенциально весь открытый (нешифрованный) трафик + часть информации (например имена хостов, к которым идет обращение) в шифрованном трафике.

    Если всю площадку покрывают несколько роутеров, работающие как один (по одной сети), можно ли вычислить к какому роутеру я ближе всего нахожусь (к какому подключен)?

    В смысле вам вычислить или кому-то еще? Вы можете идентифицировать точку доступа по MAC-адресу. Администратор может не только определить к какой точке вы подключены, но и, при подходящем оборудовании и софте, достаточно точно опередить ваше физическое местоположение.
    Ответ написан
    7 комментариев
  • Куда пойти работать в сфере ИТ безопасности?

    Попробуйте поучаствовать в Bug-bounty программах
    https://hackerone.com/
    https://bugcrowd.com/
    Ответ написан
    Комментировать
  • Рассылка спама через веб-интерфейс gmail. С чего бы?

    Если был вход с чужого IP — значит увели пароль. Если бы проблема была именно в интерфейсе, например для рассылки спама использовался бы CSRF или XSS в веб-интерфейсе гугла, то в рассылке фигурировал бы ваш IP, т.к. действия тогда производились бы через браузер.

    Другой вопрос, что не обязательно использовался троянец. Могла использоваться или опять же уязвимость в гугловом интерфейсе или уязвимость в браузере, чтобы подменить форму с ввода пароля. Повспоминайте не было ли такого, что пароль был запрошен в необычный момент, например, на чтении письма.
    Ответ написан