После публикации статьи о модуле nginx, предназначенном для борьбы с ботами я получил множество откликов, в которых люди спрашивали о поддержке Flash.
Я был уверен, что при должных усилиях желающие могли реализовать эти функции самостоятельно, как сторонние приложения, без изменения кода самого модуля, но никто этого не сделал, поэтому пришлось мне сделать PoC.
Читать полностью »
Рубрика «защита» - 12
Модуль nginx для борьбы с DDoS, ставим cookie через Flash
2012-04-13 в 6:59, admin, рубрики: ddos, flash, nginx, безопасность, защита, информационная безопасность, метки: ddos, flash, nginx, безопасность, защитаСжате пакетов и защита С# клиента с открытым исходным кодом
2012-03-26 в 18:45, admin, рубрики: .net, Алгоритмы, защита, обратка пакетов, сжатие, метки: .net, c++, защита, обратка пакетов, сжатиеПривет, сообщество.
Мой путь в программировании: ASP VB script >> VB.Net >> C#, с С и С++ я знаком минимально.
С давних пор пишу онлайн RPG (около 9 лет) и сейчас дошел до стадии публичного онлайн тестирования.
Клиентская часть написана на С# и доступна для изучения(улучшения) всеми желающими.
У меня нет никакой паранойи (надеюсь ;-)) относительно хакеров и любителей поломать чужие сервера — я отлично понимаю, что никому нет дела до моих исходников, однако мне хочется, чтобы на сервер отсылались пакеты, обработанные только известной, проверенной и утверждённой версией клиента.
Поэтому я хочу реализовать защиту в виде подключаемой приватной нативной библиотеки, которая будет отсылать на сервер хеш код используемого клиента, плюс она-же будет шифровать/дешифровать/сжимать/разжимать все пакеты. То есть если в клиенте реализуют отсылку фиктивного хешь кода, без использования нативной DLL, то злоумышленнику также придется реализовать свою версию обработки пакетов.
Читать полностью »
Сжатие пакетов и защита С# клиента с открытым исходным кодом
2012-03-26 в 18:45, admin, рубрики: .net, Алгоритмы, защита, обратка пакетов, сжатие, метки: .net, c++, защита, обратка пакетов, сжатиеПривет, сообщество.
Мой путь в программировании: ASP VB script >> VB.Net >> C#, с С и С++ я знаком минимально.
С давних пор пишу онлайн RPG (около 9 лет) и сейчас дошел до стадии публичного онлайн тестирования.
Клиентская часть написана на С# и доступна для изучения(улучшения) всеми желающими.
У меня нет никакой паранойи (надеюсь ;-)) относительно хакеров и любителей поломать чужие сервера — я отлично понимаю, что никому нет дела до моих исходников, однако мне хочется, чтобы на сервер отсылались пакеты, обработанные только известной, проверенной и утверждённой версией клиента.
Поэтому я хочу реализовать защиту в виде подключаемой приватной нативной библиотеки, которая будет отсылать на сервер хеш код используемого клиента, плюс она-же будет шифровать/дешифровать/сжимать/разжимать все пакеты. То есть если в клиенте реализуют отсылку фиктивного хешь кода, без использования нативной DLL, то злоумышленнику также придется реализовать свою версию обработки пакетов.
Читать полностью »
Боевое тестирование Wifi Protector: защищаем ARP-таблицу
2012-03-19 в 19:05, admin, рубрики: android, arp, arp-spoofing, защита, информационная безопасность, Сетевые технологии, спуфинг, метки: arp, arp-spoofing, защита, спуфинг Не так давно я проводил сравнительный тест программ, предотвращающих атаку на ARP-таблицу. Тогда некоторые пользователи пожелали, чтобы я провёл тестирование программы Wifi Protector, не попавшей в мой обзор.
Наконец, у меня дошли руки и до неё.
Об успешности атаки можно было судить через саму программку.
Тестирование происходило абсолютно также, как и в предыдущем случае
Модуль nginx для борьбы с DDoS
2012-03-14 в 11:32, admin, рубрики: ddos, nginx, безопасность, защита, информационная безопасность, метки: ddos, nginx, безопасность, защитаМногие сталкивались с таким явлением как DDoS атака методом HTTP флуда. Нет, это не очередной туториал по настройке nginx, хочу представить свой модуль, работающий как быстрый фильтр между ботами и бэкэндом во время L7 DDoS атаки и позволяющий отсеивать мусорные запросы.Читать полностью »
Защищаем сайт от атак на примере ХабраХабра
2012-03-14 в 11:13, admin, рубрики: безопасность, взлом хабры, защита, информационная безопасность, метки: безопасность, взлом хабры, защита
Рано утром Хабр «выкатил» своё новое обновление, и я с чистой совестью достаю эту статью из черновиков.
Вчера у меня случился epic fail и этот топик частично, включая строчку об апдейте выше, попал в паблик на пару секунд. За эти секунды топик успело плюсануть несколько человек.
Ещё раз, теперь публично, прошу прощения у администрации!
Совет остальным — НИКОГДА не храните в черновиках информацию вроде этой.
В последнее время в сети Интернет можно найти очень много пособий для «Начинающих хакеров», в которых подробно описываются все основные методы взлома сайтов. Думаете, веб-разработчики стали от этого умнее и предприняли все возможные методы для защиты? Я так не думаю.
В настоящей статье я хочу ещё раз поведать разработчикам о том, как ломают сайты, а чтобы вам не было скучно, я попутно буду ломать Хабр и подробно описывать, как я это делал. Мы рассмотрим такие интересные штучки, как «Активная XSS в профиле», «Бесконечное обнуление кармы», «Публикация топиков со значком 'Из песочницы'», «CSRF через Flash и дыру в Internet Explorer 6» и многое другое.
Все уязвимости уже исправлены. Ну или почти все. Поэтому, если вы найдёте очередную дыру, то пишите на support@habrahabr.ru — миф о том, что эту почту никто не читает всего лишь миф.
Читать полностью »
Конкурс о технологиях спасения
2012-03-12 в 15:43, admin, рубрики: безопасность, будущее, защита, конкурс, спасение, технологии, чип и дейлСовсем забыли: а в этот самый момент и до 25 марта включительно у нас проходит конкурс эссе на тему «Технологии спасения». Призы для победителей, как всегда, предоставлены компанией ASUS:
— ноутубк ASUS N53SM,
— электронная книга ASUS Eee Reader DR900,
— мультимедиа-плеер ASUS O!Play MINI.
Помимо трёх победителей мы выберем ещё 7 работ, авторы которых получат фирменные сувениры Trendclub.
А теперь подробнее о «технологиях спасения».
Сравнительный тест программ, предотвращающих атаку на ARP-таблицу
2012-03-10 в 19:38, admin, рубрики: arp, arp-spoofing, защита, спуфинг, метки: arp, arp-spoofing, защита, спуфингНе так давно большой интерес (1, 2) вызвала программа DroidSheep, перехватывающая аккаунты пользователей он-лайн сервисов, которые пользуются ими через общедоступный Wi-Fi. На исконно русский вопрос: «что делать?» кто-то предложит воспользоваться программами для защиты от подобного рода атак, написанными под Андроид. Вот их я и решил протестировать.
А тестировал я её давно (ещё в 2008 году) написанной мною программкой ARPBuilder, которая создавалась для проверки уязвимости различных МСЭ к ARP-спуфингЧитать полностью »