Профиль пользователя заблокирован сроком с 10 апреля 2022 г. и навсегда по причине: систематические нарушения правил сервиса
Ответы пользователя по тегу Информационная безопасность
  • Насколько реально с нуля выучиться на информационного безопасника?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Всё в жизни достижимо.
    В 21 веке, и особенно в айти, всё можно изучить самостоятельно.
    Все знаменитые хакеры получили свои знания самостоятельно, а не на каких-то курсах.
    При этом они не спрашивали посторонних, стоит ли им это делать или сложно ли это будет сделать. Они просто делали то что им нравилось.

    Вам тоже никто не мешает заниматься тем, что нравится.
    Тут главное мотивация и целеустремлённость.
    Вам никто не мешает сесть за стол, и вместо первого письма на хабр открыть гугл, набрать бесплатные курсы по программированию, и начать осваивать его не на базовом уровне.
    Сейчас не 19 век, когда надо работать с 6 утра до 10 вечера чтобы только-только прокормиться. Свободного времени у людей вагон. Его никто не запрещает использовать на то, чтобы изучить любую специальность.

    Подобные письма на Хабре публикуются примерно раз в неделю.
    И сам факт его публикации вызывает обоснованные сомнения в успешности данного предприятия, именно в контексте ИБ, по двум причинам:
    1. Специалист по ИБ должен уметь работать с информацией. Находить её там, где её вообще нет. По каким-то косвенным крупицам восстанавливать ход событий. Не говоря уже о том, чтобы просто поднять с пола то огромное количество информации, которое открыто лежит в интернете по интересующему вопросу. В частности по вопросу "Можна мне вайти, и если да то как?"
    2. Специалист по ИБ, который занимается не бумажками (как это чаще всего бывает в реальности), а "шифрами, взломами и всем что связано", должен обладать нечеловеческой усидчивостью и умением концентрироваться. Подходить к любому вопросу основательно, и не останавливаться, пока он полностью не проработан.

    А рассуждениями лежа на диване, "как бы хорошо было, если бы вдруг от дома провести подземный ход или чрез пруд выстроить каменный мост, на котором бы были по обеим сторонам лавки" специалистами по ИБ не становятся.

    Вот монолог настоящего хакера, https://habr.com/ru/post/27055/
    Сравните его со своим "Хочу ли я?.. Могу ли я?.. "
    Ответ написан
    3 комментария
  • Как искать мальварь в open source?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Очень смешной вопрос. Я тоже такой могу:
    Как стать хирургом? Хочу поизучать вопрос с практической части, попробовать отрезать пациенту что-нибудь. Хочется понять хотя бы что примерно искать.
    Ответ написан
    5 комментариев
  • Какова правда в работе и обучении будущего ИБшника?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    ИБ - это вайти в квадрате.
    В ИБ нельзя зайти "патамашта крута!". Надо обладать целым набором личностных качеств, которые довольно редко встречаются в популяции. В частности надо уметь мыслить логически и самостоятельно работать с информацией, буквально по крупицам выуживая её там, где на первый, второй и третий взгляд кажется что вообще никакой информации нет. Или наоборот - уметь вылавливать те же крупицы из безумного потока косвенной информации. То есть так же обладать нечеловеческой усидчивостью и внимательностью.
    Если эти качества есть, то человек вполне зайдет в ИБ, причем никого не спрашивая.
    Если их нет - как их нет очевидно у автора вопроса - то да, останется только перекладывать бумажки за малый прайс, разве что в виде бонуса должность будет называться не "младший делопроизводитель" и "специалист по ибэ!"

    Ну и в принципе перед тем как начинать смотреть на ИБ, надо сначала углубленно изучить либо программирование, либо системное администрирование. Не на уровне mysql_query в похапе и sudo apt install, а именно углублённом, чтобы понимать как работают программы и сети. После этого при желании можно будет заехать в ИБ практически самотеком.
    Ответ написан
    4 комментария
  • Языки программирования для инженера иб?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Специалисту по ИБ язык надо знать на два порядка лучше программиста, пишущего на этом языке.

    есть ли смысл узнавать о профессиях в ней глубже, если везде нужно знать язык программирования.

    Нет.
    Ответ написан
    Комментировать
  • Как можно защитить XML файл от открытия любым человеком?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Не класть файл в открытый доступ.
    Отдавать скриптом, который принимает в параметре имя файла, проверяет авторизацию и отдает файл с соответствующими заголовками
    "как отдать сгенерированный РНР скриптом ХМЛ файл" в гугле можно найти чуть более чем дофига примеров
    Ответ написан
    1 комментарий
  • Почему для защиты от XSS опасные символы нужно экранировать, а не удалять?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Потому что не бывает никаких "опасных символов".
    Символ, который является "опасным" в одном контексте, в другом будет полезным.
    Если так начать удалять потенциально опасные символы, то от контента ничего не останется.

    Смешнее всего видеть такие вопросы на сайтах типа тостера. Вот клиент сам же накатал ответ в котором "опасных" символов overдофига. Во что превратится этот красивый ответ если из него повырезать все ужжжжасно опасные символы?
    Ответ написан
    4 комментария
  • Какой бизнес может открыть специалист по информационной безопасности?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    1. Пишешь вирус, заражаешь компьютеры какой-нибудь организации
    2. Пишешь письмо, представляешься спецом по комп безпасности и берешься вылечить
    ....
    3. Profit!
    Ответ написан
    1 комментарий
  • Хочу попробовать в ИБ. Куда смотреть?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Опять безрукий спрашивает, как стать боксёром.

    ИБ - это умение думать головой и самостоятельно работать с информацией, зачастую очень скудной.
    Если ты вместо того чтобы самостоятельно разрабатывать вопрос пришел задавать его на Тостер, это значит что тебе в ИБ не надо. в 1С-Битрикс тоже много вакансий.
    Ответ написан
    1 комментарий
  • Как стать пентестером?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Если ты спрашиваешь - то никак. Это не глум и не троллинг. Это факт.

    Пен-тестер - это исследователь. Который умеет извлекать полезную информацию даже из очень ограниченного набора данных с помощью очень лимитированного инструментария. Просто логикой и умением работать с доступной информацией.

    Тебе доступно информации море - весь интернет. Но ты сидишь и ждешь, когда тебе ее в рот положат с ложечки. Так можно стать только скрипт-кидди - мальчиком, который может запустить две готовые программы, но не знает, что делать с информацией, которую они выдают, и - главное - что делать когда готовые программы пасуют. Но зато если вдруг повезло, и программа написала о какой-то найденной уязвимости, можно начинать хвастаться перед одноклассниками. Скорее всего, именно это тебе и надо, а ты просто путаешь понятия.
    Ответ написан
    Комментировать
  • Возможен ли обход защиты на загрузку php в этом участке кода?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    1. Правильно. В инете есть куча статей (как и ответов на тостере), которые преподносят эту фигню как панацею.
    2. Я бы и сам был не против посмотреть, как это обойти. Возможно, она обходится не в лоб. зачем-то ведь есть строчка list ($foo,$ext) = getnameUpload($myFile["name"]); при том что результат нигде не используется. Возможно, дальше проверяется именно $ext, и надо смотреть код getnameUpload
    Ответ написан
  • Если уже залили шелл и хотят слить мой скрипт?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Какой-то странный вопрос, больше похожий на паранойю.

    постоянно пытаются ломать судя по логам - попытки sql инъекции где только можно, в любой инпут

    Это не показатель популярности ресурса у хакеров, а рутина. Тупые дети со всего мира запускают веерное сканирование, этого добра полно в логах любого сайта.

    хочет слить проект в паблик

    Это самая странная часть. Шел уже залит, и хакер сидит и ждёт пока ты задашь вопрос на тостере?
    Ответ написан
    4 комментария
  • Как можно защитить PHP, не замедлив его?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Ваш код никому не нужен.
    Ответ написан
    Комментировать
  • Есть ли готовые скрипты защиты от парсеров для nginx?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    И тут Грегор понял, что произошло. Эти существа не могли тушить лампы: галлюцинация не в силах воздействовать на неодушевленные предметы. Он вообразил, что в комнате становится темнее и… Он сам расстрелял свои лампы! Подсознание опять его надуло. Теперь Теневик смело шагнул вперед. Бластер был бессилен.
    Роберт Шекли, "Призрак-5"


    Прекрасный план, я считаю.
    Конкуренты за 5 минут поправят ботов, чтобы они не ловились, а вот честным посетителям и поисковикам тупой бот сильно осложнит жизнь. В итоге сайт загнется, а конкуренты будут процветать.
    Ответ написан
    5 комментариев
  • Сокрытие расширения PHP файлов?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Этот дебильный раздел давно надо бы убрать из документации.
    Потому что никакая защищенность от этого не повышается.

    Не говоря уже о том, что уже много-много лет стандартом де-факто является адресация через ЧПУ, при которой никаких .php файлов в любом случаеснаружи не видно.
    Ответ написан
    4 комментария
  • Как перенести рабочий каталог на уровень выше?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Послушайте, что вы все читаете?
    Нет, я понимаю, что мусора в сети много, но почему именно сейчас повалили нубы с одним и тем же вопросом?

    При том что к безопасности эта ерунда имеет весьма отдаленное отношение. Не, я могу понять совсем уж адский треш из отдельных исполняемых файлов, обратишись к которым напрямую можно что-то заэксплойтить или страх того, что РНР внезапно отключится и все файлы начнут отдаваться открытым текстом. Но говнокеод надо исправлять в любом случае, а вероятность отключения - не тот повод, чтобы все бросать и начинать бессмысленные переезды.

    Для текущей реализации я бы не стал бегать и переносить файлы, а просто бы учел при рефакторинге.

    А вместо этой "дыры" лучше бы поискал что-то более реальное. типа динамических инклюдов, евалов, sql инъекций.
    Ответ написан
  • Как защитить файл, с serialize содержимым?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Все ответы не стоят одного комментария от Армянское Радио
    Что вы понимаете под "химичили" и куда в дальнейшем направляется файл?

    До получения ответа на который ни одного ответа написано быть не должно.

    Одна из вещей, которая отличает обезьянку от специалиста - это наличие опыта. И выработанная интуиция на говнокод. Если человек спрашивает, как ему приделать к велосипеду квадратные колеса, причем отдельно оговаривает, что цвет велосипеда красный - это однозначно говорит о том, что в голове у него винегрет, и он что-то изначально делает неправильно. поэтому надо сначала спросить его - ЗАЧЕМ ему валосипед с квадратными колесами.
    А потом объяснить, как делать правильно.
    Ответ написан
    5 комментариев
  • Phpmyadmin как быть?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Не задавались.
    В консоли однозначно работать быстрее, чем в этих гуевых окошках.
    Ответ написан
    Комментировать
  • Как запретить публичный доступ к PHP-скриптам?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Не парься.
    Никому твои файлы не нужны.
    Рекомендации по безопасности часто пишут всякие идиоты.
    Закрыть можно, но смысла в этом очень мало.
    На твоем месте я бы озаботился осмысленной структурой файлов и папок - это было бы куда полезнее.

    "права в FTP менеджере" относятся к компьютеру, а не к его клиентам.
    Ответ написан
    6 комментариев
  • Как в PHP закрыть доступ к скрипту?

    FanatPHP
    @FanatPHP
    Чебуратор тега РНР
    Оставь этот файл в покое. Никому он не нужен.
    Куда важнее для тебя разобраться, что
    1. К информационной безопасности твой вопрос не имеет ни малейшего отношения
    2. "Закрыть" этот файл от доступа извне в принципе невозможно.
    3. Все вышеперечисленное плюс любимое заклинание "хтаксесс! хтаксесс!" говорит нам, что ты не понимаешь, как устроена система браузер-сервер. И вот это-то в сто раз важнее твоего несчастного файла. Тебе надо понять, как устроено веб-приложение, где у тебя РНР, а где... Как только ты это поймешь, то дурацких вопросов типа этого у тебя уже возникать не будет.
    Ответ написан
    3 комментария