#безопасность_браузеров — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #безопасность_браузеров, aggregated by home.social.
-
[Перевод] SVG-фильтры как язык атак: кликджекинг нового поколения
Команда JavaScript for Devs подготовила перевод исследования о новой технике кликджекинга, которая использует SVG-фильтры как полноценную среду выполнения логики. Автор показывает, как с их помощью читать пиксели, строить логические схемы, реализовывать многошаговые атаки и даже эксфильтрировать данные через QR-коды — включая реальный кейс атаки на Google Docs.
https://habr.com/ru/articles/986358/
#svg #clickjacking #qrкоды #безопасность_браузеров #эксфильтрация #логические_схемы
-
[Перевод] SVG-фильтры как язык атак: кликджекинг нового поколения
Команда JavaScript for Devs подготовила перевод исследования о новой технике кликджекинга, которая использует SVG-фильтры как полноценную среду выполнения логики. Автор показывает, как с их помощью читать пиксели, строить логические схемы, реализовывать многошаговые атаки и даже эксфильтрировать данные через QR-коды — включая реальный кейс атаки на Google Docs.
https://habr.com/ru/articles/986358/
#svg #clickjacking #qrкоды #безопасность_браузеров #эксфильтрация #логические_схемы
-
[Перевод] SVG-фильтры как язык атак: кликджекинг нового поколения
Команда JavaScript for Devs подготовила перевод исследования о новой технике кликджекинга, которая использует SVG-фильтры как полноценную среду выполнения логики. Автор показывает, как с их помощью читать пиксели, строить логические схемы, реализовывать многошаговые атаки и даже эксфильтрировать данные через QR-коды — включая реальный кейс атаки на Google Docs.
https://habr.com/ru/articles/986358/
#svg #clickjacking #qrкоды #безопасность_браузеров #эксфильтрация #логические_схемы
-
[Перевод] SVG-фильтры как язык атак: кликджекинг нового поколения
Команда JavaScript for Devs подготовила перевод исследования о новой технике кликджекинга, которая использует SVG-фильтры как полноценную среду выполнения логики. Автор показывает, как с их помощью читать пиксели, строить логические схемы, реализовывать многошаговые атаки и даже эксфильтрировать данные через QR-коды — включая реальный кейс атаки на Google Docs.
https://habr.com/ru/articles/986358/
#svg #clickjacking #qrкоды #безопасность_браузеров #эксфильтрация #логические_схемы
-
[Перевод] В кэше — фотка, в ней payload: новый метод скрытой доставки зловредов
Недавно в ходе рутинной разведки угроз я наткнулся на необычную фишинговую страницу, которая комбинирует социальную инженерию и коварный payload под видом обычной JPEG-картинки, убеждая пользователя самостоятельно выполнить вредоносный код. В типичных сценариях злоумышленники пытаются заставить жертву скачать исполняемый файл из сети — но тут всё хитрее. Страница прячет в кэше браузера вредоносный файл, замаскированный под изображение, а затем просит жертву выполнить «безобидную» команду, которая извлекает payload из кэша. В результате получаем локальный запуск кода, который не фиксируется средствами сетевого мониторинга. По сути, атака умело сочетает две техники: принуждение к локальному исполнению (ClickFix/FileFix) и контрабанду кэша (Cache Smuggling). В статье я подробно разберу каждый из этих приемов и покажу, как можно сделать доставку полезной нагрузки еще более незаметной.
https://habr.com/ru/companies/bastion/articles/967312/
#exif_smuggling #cache_smuggling #контрабанда_exif #filefix #clickfix #фишинг #контрабанда_кэша #безопасность_браузеров #информационная_безопасность #социальная_инженерия
-
[Перевод] В кэше — фотка, в ней payload: новый метод скрытой доставки зловредов
Недавно в ходе рутинной разведки угроз я наткнулся на необычную фишинговую страницу, которая комбинирует социальную инженерию и коварный payload под видом обычной JPEG-картинки, убеждая пользователя самостоятельно выполнить вредоносный код. В типичных сценариях злоумышленники пытаются заставить жертву скачать исполняемый файл из сети — но тут всё хитрее. Страница прячет в кэше браузера вредоносный файл, замаскированный под изображение, а затем просит жертву выполнить «безобидную» команду, которая извлекает payload из кэша. В результате получаем локальный запуск кода, который не фиксируется средствами сетевого мониторинга. По сути, атака умело сочетает две техники: принуждение к локальному исполнению (ClickFix/FileFix) и контрабанду кэша (Cache Smuggling). В статье я подробно разберу каждый из этих приемов и покажу, как можно сделать доставку полезной нагрузки еще более незаметной.
https://habr.com/ru/companies/bastion/articles/967312/
#exif_smuggling #cache_smuggling #контрабанда_exif #filefix #clickfix #фишинг #контрабанда_кэша #безопасность_браузеров #информационная_безопасность #социальная_инженерия
-
[Перевод] В кэше — фотка, в ней payload: новый метод скрытой доставки зловредов
Недавно в ходе рутинной разведки угроз я наткнулся на необычную фишинговую страницу, которая комбинирует социальную инженерию и коварный payload под видом обычной JPEG-картинки, убеждая пользователя самостоятельно выполнить вредоносный код. В типичных сценариях злоумышленники пытаются заставить жертву скачать исполняемый файл из сети — но тут всё хитрее. Страница прячет в кэше браузера вредоносный файл, замаскированный под изображение, а затем просит жертву выполнить «безобидную» команду, которая извлекает payload из кэша. В результате получаем локальный запуск кода, который не фиксируется средствами сетевого мониторинга. По сути, атака умело сочетает две техники: принуждение к локальному исполнению (ClickFix/FileFix) и контрабанду кэша (Cache Smuggling). В статье я подробно разберу каждый из этих приемов и покажу, как можно сделать доставку полезной нагрузки еще более незаметной.
https://habr.com/ru/companies/bastion/articles/967312/
#exif_smuggling #cache_smuggling #контрабанда_exif #filefix #clickfix #фишинг #контрабанда_кэша #безопасность_браузеров #информационная_безопасность #социальная_инженерия
-
[Перевод] В кэше — фотка, в ней payload: новый метод скрытой доставки зловредов
Недавно в ходе рутинной разведки угроз я наткнулся на необычную фишинговую страницу, которая комбинирует социальную инженерию и коварный payload под видом обычной JPEG-картинки, убеждая пользователя самостоятельно выполнить вредоносный код. В типичных сценариях злоумышленники пытаются заставить жертву скачать исполняемый файл из сети — но тут всё хитрее. Страница прячет в кэше браузера вредоносный файл, замаскированный под изображение, а затем просит жертву выполнить «безобидную» команду, которая извлекает payload из кэша. В результате получаем локальный запуск кода, который не фиксируется средствами сетевого мониторинга. По сути, атака умело сочетает две техники: принуждение к локальному исполнению (ClickFix/FileFix) и контрабанду кэша (Cache Smuggling). В статье я подробно разберу каждый из этих приемов и покажу, как можно сделать доставку полезной нагрузки еще более незаметной.
https://habr.com/ru/companies/bastion/articles/967312/
#exif_smuggling #cache_smuggling #контрабанда_exif #filefix #clickfix #фишинг #контрабанда_кэша #безопасность_браузеров #информационная_безопасность #социальная_инженерия
-
Зачем менять заголовки ответа сервера и при чем здесь WAF
Мы начинаем цикл статей про настройку правил WAF (Web application firewall): поделимся хитростями и неочевидными способами настройки WAF для борьбы с некоторыми веб-атаками. И наша первая тема: манипуляция с заголовками ответа. Сразу стоит заметить, что управлять заголовками ответа чаще всего приходится через конфиг веб-сервера и очень многие DevOps инженеры сочтут странным использование для этого WAF, ведь конфигурация как бы "размазывается" между несколькими сущностями... Но через WAF делать настройку может оказаться даже удобнее - давайте проверим это вместе.
-
Зачем менять заголовки ответа сервера и при чем здесь WAF
Мы начинаем цикл статей про настройку правил WAF (Web application firewall): поделимся хитростями и неочевидными способами настройки WAF для борьбы с некоторыми веб-атаками. И наша первая тема: манипуляция с заголовками ответа. Сразу стоит заметить, что управлять заголовками ответа чаще всего приходится через конфиг веб-сервера и очень многие DevOps инженеры сочтут странным использование для этого WAF, ведь конфигурация как бы "размазывается" между несколькими сущностями... Но через WAF делать настройку может оказаться даже удобнее - давайте проверим это вместе.
-
Зачем менять заголовки ответа сервера и при чем здесь WAF
Мы начинаем цикл статей про настройку правил WAF (Web application firewall): поделимся хитростями и неочевидными способами настройки WAF для борьбы с некоторыми веб-атаками. И наша первая тема: манипуляция с заголовками ответа. Сразу стоит заметить, что управлять заголовками ответа чаще всего приходится через конфиг веб-сервера и очень многие DevOps инженеры сочтут странным использование для этого WAF, ведь конфигурация как бы "размазывается" между несколькими сущностями... Но через WAF делать настройку может оказаться даже удобнее - давайте проверим это вместе.
-
Зачем менять заголовки ответа сервера и при чем здесь WAF
Мы начинаем цикл статей про настройку правил WAF (Web application firewall): поделимся хитростями и неочевидными способами настройки WAF для борьбы с некоторыми веб-атаками. И наша первая тема: манипуляция с заголовками ответа. Сразу стоит заметить, что управлять заголовками ответа чаще всего приходится через конфиг веб-сервера и очень многие DevOps инженеры сочтут странным использование для этого WAF, ведь конфигурация как бы "размазывается" между несколькими сущностями... Но через WAF делать настройку может оказаться даже удобнее - давайте проверим это вместе.