книги хакеры / журнал хакер / 173_Optimized

06(173) 2013 НОВАЯ ПАЧК А АТАК НА XML

БОЛЬШЕ

РЕЛЬСОВ!

За последний год в Ruby on Rails нашли множество уязвимостей. Мы расскажем, как обезопасить свой проект

18

К

80 26

[БЕЗ]ОПАСНЫЕ

РЕЛЬСЫ

Когда-то давно перед программистом стоял выбор: писать все с нуля или воспользоваться каким-нибудь фреймворком. Сейчас чаще всего стоит вопрос, какой фреймворк использовать.

Если бы в 2006-м не было Ruby on Rails, то мир, возможно, никогда не увидел бы Twitter. Хорошо написанные фреймворки открыли для разработчиков то, что раньше сложно было представить, — возможность за фантастическое время получить прототип приложения. И при этом сразу заложить в него простор для будущего масштабирования.

Фреймворки дали турбонаддув процессу разработки, но и загнали в определенные рамки. Появилась целая плеяда программистов, которые без чужого каркаса написать уже ничего не способны. А некоторые из фреймворков в погоне за универсальностью превратились в таких громоздких монстров, что изучить их стало в пять раз сложнее самого языка программирования.

Упротивников фреймворков вообще немало аргументов.

Ибезопасность — один из них. «Если часть кода написана дядей Васей, которого ты никогда не видел, то о какой безопасности может идти речь?» Но я убежден: развивающиеся фреймворки с большим комьюнити гораздо более безопасны, чем код среднестатистического программиста, и более того — сами ограждают проект от многих бед вроде {SQLi, CSRF, XSS}.

За последний год в рельсах обнаружились уязвимости, позволяющие удаленное исполнение кода, — и тысячи ресурсов разом оказались уязвимы к атакам. Антиаргумент в пользу безопасности. Но мы решили разобраться: стоит ли из-за этого отказываться от модного фреймворка и возможно ли вообще на нем писать безопасные приложения?

Степан «Step» Ильин, главред ][ twitter.com/stepah

РАЗМЕЩЕНИЕ РЕКЛАМЫ

ООО «Рекламное агентство «Пресс-Релиз»

Тел.: (495) 935-70-34, факс: (495) 545-09-06, advert@glc.ru ДИСТРИБУЦИЯ

Онлайн-магазин подписки: http://shop.glc.ru

Факс для отправки купонов и квитанций на новые подписки: (495) 545-09-06 Телефон отдела подписки для жителей Москвы: (495) 663-82-77

Телефон для жителей регионов и для звонков с мобильных телефонов: 8-800-200-3-999

Для писем: 101000, Москва, Главпочтамт, а/я 652, Хакер. В случае возникновения вопросов по качеству печати и DVD-дисков: claim@ glc.ru. Издатель: ООО «Гейм Лэнд», 119146, г. Москва, Фрунзенская 1-я ул., д. 5. Тел.: (495) 934-70-34, факс: (495) 545-09-06. Учредитель: ООО «Врублевский Медиа», 125367, г. Москва, Врачебный проезд, д. 10, офис 1. Зарегистрировано в Министерстве Российской Федерации по делам печати, телерадиовещанию и средствам массовых коммуникаций ПИ № ФС77-50333 от 21 июня 2012. Отпечатано в типографии Scanweb, Финляндия. Тираж 196 000 экземпляров. Мнение редакции не обязательно совпадает с мнением авторов. Все материалы в номере предоставляются как информация к размышлению. Лица, использующие данную информацию в противозаконных целях, могут быть привлечены к ответственности. Редакция не несет ответственности за содержание рекламных объявлений в номере. За перепечатку наших материалов без спроса — преследуем. По вопросам лицензирования и получения прав на использование редакционных материалов журнала обращайтесь по адресу: content@glc.ru. © ООО «Гейм Лэнд», РФ, 2013

18

RUBY ON RAILS: ПУТЬ К [БЕЗ]ОПАСНОСТИ

Самые важные уязвимости проектов на Ruby on Rails и способы их лечения

GOOGLE ЗАНЯЛАСЬ МАССОВОЙ ЧИСТКОЙ PLAY: ПОД НОЖ ПОПАЛО 60 ТЫСЯЧ ПРИЛОЖЕНИЙ

9

26

ВАЖНО

НАЗЫВАТЬ ВСЕ СВОИМИ ИМЕНАМИ

Интервью с Полом Мокапетрисом, создателем DNS

ИЮНЬ 2013

№ 173

Все новое за последний месяц

Как узнать IP ламера в чате расположение человека Измерение пульса человека по видеоряду

Проблемы безопасности фреймворка Ruby on Rails и способы их решения Интервью с создателем DNS Полом Мокапетрисом

Подбираем генератор статических страниц для быстрого и надежного блога Хакерский быт в играх: история вопроса Нестандартные способы монетизации софта и цифрового контента История российского Defcon в лицах

Большой тест антивирусов для Android

Шифруем память смартфона, SD-карту и содержимое Dropbox Хакерские секреты простых вещей Анализ свеженьких уязвимостей

Организация открытой Wi-Fi-точки для вечеринки с клиентами Универсальный мобильный шпион: подслушиваем вибрации

Разбираем варианты проведения атаки через сущности параметров XML Обзор интересных инструментов с прошедших хакерских конференций Bug Bounty — другая сторона медали

Фреймворки для динамической бинарной инструментации. Часть 2/3 7 утилит для исследователей безопасности Ал Эк говорит, что у него даже есть рабочие исходники

Анализируем малварь для POS-терминалов Получение и обработка данных о скелете и жестах Наш Dropbox на Windows Azure

Парсим крупный форум с помощью реверсинга его Android-приложения Новая партия интересных задач, которые дают на собеседованиях

Обзор наиболее значимых и интересных событий в мире дистрибутивостроения Улучшаем и дополняем советы блогеров

Изучаем новинку VMware Horizon Suite

Разворачиваем корпоративную систему криптографической защиты Обеспечение сетевой безопасности с помощью программно-конфигурируемых сетей Обзор последних новинок от Acer

Тестирование компактных компьютеров для работы и отдыха Вопросы и ответы 8,5 Гб всякой всячины

Удобные web-сервисы

Новость месяца

Мария«Mifrill» Нефёдова mifrill@real.xakep.ru

MEGANEWS

КУРС

МОЛОДОГО IT-БОЙЦА

ДЛЯ ТЕХ, КТО НЕ УСТАЕТ УЧИТЬСЯ

Внашему вниманию предлагаются почти бездонные библиотеки на разных языках, дистанционное обучение,

виртуальные лекции и многие другие инструменты получения знаний. Но, как известно, ничто не заменитнаше время самообразование стало куда доступнее:

практику. Очевидно, именно об этом думали авторы курса Matasano Crypto Challenges (matasano.com/articles/crypto-challenges), создавая свой необычный сборник задач.

Курс рассчитан на весьма широкую аудиторию от хакеров до веб-разработчиков и будет интересен людям, которые не прочь прокачать свои умения на практике, вместо штудирования теоретических материалов. Matasano Crypto Challenges состоит из 48 упражнений и задач, суть которых — атака на реальные криптографические приложения. Самая настоящая практическая работа «в поле».

Чтобы попробовать свои силы, нужно связаться с авторами проекта по почте (cryptopals@matasano.com), после чего ты получишь комплект из первых восьми задач. Если сумеешь с ними справиться и дашь верные ответы, получишь следующую партию и так далее.

Особенную пикантность этой затее придает полное отсутствие туториалов и правильных ответов. Авторы Matasano Crypto Challenges убедительно просят всех участников курса не публиковать в открытом доступе никакой информации даже о самих задачах, не говоря уже о правильных ответах и решениях.

Просьбы авторов — это, конечно, хорошо, но шила в мешке не утаишь. Уже известно, что в курс включены следующие темы: RSA, алгоритм Диффи — Хеллмана, замена символов и XOR, потоковые и блочные шифры и их режимы шифрования.

ГИБРИДНЫЙ УЛЬТРАБУК ОТ ASUS

ДВА ДИСПЛЕЯ ЛУЧШЕ, ЧЕМ ОДИН!

СTaichi 31 на базе Windows 8 может похвастаться сразу двумя Full HD дисплеями, благодаря чему ему удается сочетать функциональность планшета и ноутбука одновременно. После планшетов-тартовали продажи любопытной новинки от Asus — ультрабук

трансформеров это даже почти не удивляет :).

Оба IPS-дисплея Taichi 31 имеют размер 13,3 дюйма и подключены к одной и той же аппаратной платформе. Основная фишка заключается в том, что экраны могут функционировать как независимо друг от друга, так и в связке, благодаря чему с устройством могут работать одновременно два пользователя. Можно смотреть фильмы вместе, или, например, один пользователь может сидеть в инете, а другой в это время будет смотреть фильм. Поддерживается ввод как с помощью прикосновений пальцев, так и при помощи стилуса.

Под капотом новинки кроются Intel Core третьего поколения, интегрированная Intel HD Graphics 4000, 4 Гб DDR 3 1600 МГц, твердотельный накопитель SATA III SSD 128 Гб или 256 Гб, Wi-Fi (802.11a/b/g/n), Bluetooth 4.0 и полимерная батарея на 53 Вт • ч. Средняя цена гаджета 62 тысячи рублей.

WORDPRESS ПОД ПРИЦЕЛОМ

ПОПУЛЯРНЫЙ ДВИЖОК ПОДВЕРГСЯ АТАКАМ СРАЗУ С НЕСКОЛЬКИХ СТОРОН

90

СМАЙЛИКОВ В ЯДРЕ

Хорошо быть любопытным. Энтузиаст Джеймс Фейтор (студент Рочестерского технологического института) проанализировал код ядра Linux

3.8.8. Исследование вышло не совсем обычным, так как Джеймс решил подсчитать... смайлики в коде. Оказалось, что в ядре 90 раз встречается комбинация символов «;-)».

МИЛЛИОНОВ

РЕПОЗИТОРИЕВ

GitHub отпраздновал пятилетие и по этому случаю раскрыл кое-какую статистику. С 2008 года количество пользователей проекта выросло с 6 тысяч до 3,5 миллиона человек, а число репозиториев увеличилось с 2,5 тысячи до 6 миллионов. Также в прошлом году сервис получил 100 миллионов долларов инвестиций.

В «ПИРАТСКОЙ БУХТЕ» НЕСПОКОЙНО

ЗНАМЕНИТЫЙ ТРЕКЕР СНОВА «ШТОРМИТ», А ЕГО БЫВШИХ АДМИНОВ ВСЕ ЖЕ НАСТИГАЕТ ПРАВОСУДИЕ

ОBay в очередной раз попытался сменить домен, так как адрес в зоне .se все же находится в юрисдикции шведских властей, которые, очевидно, почти дозрели

до попытки изъять у трекера текущий домен. Предполагалось, что на старом адресе останется лишь редирект, а «Бухта» переместится в зону .gl, относя-пять неспокойно в стане самого скандального торрент-трекера сети. The Pirate

щуюся к Гренландии. Однако все пошло не так, как планировалось. В Гренландии пиратам почему-то не обрадовались, и регистратор TELE-POST почти сразу заблокировал домены thepiratebay.gl и piratebay.gl. TELE-POST любезно сообщили: такое решение продиктовано тем простым обстоятельством, что домены будут использоваться для размещения нелегального контента. Вопрос насчет нелегального контента, конечно, спорный, ведь на самом

Сейчас обстоятельства ареста наконец проясняются. Прямо скажем, выглядит все это нехорошо, а Свартхольм вдруг оказался настоящим суперхакером. Ему и еще трем людям, чьи личности не раскрываются, предъявили обвинения в мошенничестве в крупном размере, попытке совершения мошенничества и помощи в мошеннических действиях. Якобы Свартхольм пытался получить доступ к огромным пластам информации от разных компаний и государств (!), в том числе к персональным данным и номерам социального страхования. И занимался он этим систематически, «в результате чего его действия подорвали доверие общественности к банковской системе». До кучи Свартхольма обвинили и во взломе банка Nordea Bank. Якобы он пытался украсть 5,7 миллиона шведских крон (около 900 тысяч долларов), но в итоге сумел вывести лишь 27 тысяч.

Ожидается, что новый процесс по делу Готфрида Свартхольма начнется уже в этом месяце. К тому моменту должен подойти к концу срок, который Свартхольм отбывает сейчас. Вряд ли Свартхольм вообще выйдет на свободу во время этой «пересменки», так как власти опасаются, что он покинет страну.

01

AMD БУДЕТ ПРОИЗВОДИТЬ ARMЧИПЫ

Представители компании AMD подтвердили выпуск линейки ARM-чипов для встраиваемой техники. Переход на новую архитектуру произойдет в рамках линейки G — это процессоры со сверхнизким потреблением.

02

ФИЛЬТРАЦИЯ ИНТЕРНЕТА ОТ ЯНДЕКСА

Компания «Яндекс» запустила сервис Яндекс.DNS, позиционирующийся как инструмент для безопасного серфинга. 77.88.8.8 обеспечит режим без фильтрации, 77.88.8.88 блокирует доступ к сайтам с вредоносным ПО, а 77.88.8.7 также отфильтрует сайты с «контентом для взрослых».

03

SAMSUNG ПРОТИВ ФАЛЬШИВЫХ ОТЗЫВОВ

На Тайване скандал и суд — местное представительство Samsung уличили в написании тысяч фальшивых отзывов на собственные продукты. Интересно, что руководство компании решило не отпираться, а просто распорядилось, чтобы тайваньский филиал прекратил самодеятельность.