форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
Сообщение от opennews (??) on 15-Мрт-14, 20:52
Подведены (http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Pwn2O...) итоги (http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Pwn2O...) соревнования Pwn2Own 2014, проведённого в рамках конференции CanSecWest в Ванкувере. На соревновании были продемонстрированы рабочие техники эксплуатации ранее неизвестных уязвимостей, которые привели к успешному выполнению кода атакующего в системе. Мероприятие получилось как никогда насыщенным победами - за два дня соревнований сумме было выплачено 850 тысяч долларов вознаграждений. -  Продемонстрирована одна успешная атака на браузер Chrome, за которую выплачена премия в размере 100 тысяч долларов. Демонстрация второй атаки не была завершена успешно, но за разработанную технику автору выплачено вознаграждение в размере 60 тысяч долларов. Примечательно, что компания Google по горячим следам уже выпустила обновление браузера Chrome 33.0.1750.154, в котором устранила (http://googlechromereleases.blogspot.ru/2014/03/stable-chann...) четыре опасные уязвимости, сочетание которых позволило обойти многоуровневую систему защиты. Например, в первой атаке была использована уязвимость (Use-after-free в движке Blink), позволяющая обойти ограничения sandbox, в сочетании с уязвимостью в реализации буфера обмена Windows. Во второй атаке  была задействована проблема, приводящая к выходу за пределы буфера в движке V8, в сочетании с ошибкой, позволяющей осуществить произвольные операции записи и чтения в ФС. -  В отдельном соревновании (https://www.opennet.ru/opennews/art.shtml?num=38926) Pwnium, спонсируемом Google, были представлены (http://googlechromereleases.blogspot.ru/2014/03/stable-chann...) две атаки на Chrome OS. Первая атака впервые за время существования соревнования привела к возможности сохранить данные атакующего между перезагрузками, при  эксплуатации уязвимости в гостевом режиме через открытие специально оформленной страницы в Web. Победителю вручена премия в 150 тысяч долларов. В процессе атаки были задействованы четыре новые уязвимости, из которых одна признана критической. Вторая атака была представлена на уровне концепции и была основана на применении двух новых уязвимостей, которые приводили к повреждению памяти в буфере GPU и возможности записи данных за пределы буфера в драйвере GPU. Автору техники атаки вручена премия в размере 60 тысяч долларов. -  Продемонстрированы четыре успешные атаки на Firefox, создатели которых получили премии  в размере 50 тысяч долларов. -  Две успешные атаки были подготовлены для Apple Safari, за первую выплачена премия в 65 тысяч долларов, а за вторую $32500. -  Взлом Internet Explorer был продемонстрирован три раза, создатели эксплоитов получили две премии по 100 тысяч долларов и одну в 50 тысяч долларов. -  Две успешные  атаки были показаны для Adobe Flash и одна для Adobe Reader, авторы эксплоитов получили премии по 75 тысяч долларов. Во всех случаях атаки были совершены при обработке в браузере специально оформленной web-страницы (или открытие документа в Adobe Reader), открытие которой завершилось получением полного контроля над системой. При демонстрации атаки использовались самые свежие стабильные выпуски браузеров и операционных систем со всеми доступными обновлениями в конфигурации по умолчанию. В соответствии с условиями конкурса, детальная информация о всех продемонстрированных 0-day уязвимостях будет опубликована только после выпуска производителями обновлений с устранением указанных уязвимостей. URL: http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Pwn2O... Новость: https://www.opennet.ru/opennews/art.shtml?num=39320
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по ответам | RSS]

	1. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+12 +/–
	Сообщение от Аноним (??) on 15-Мрт-14, 20:52
	С продуктами Adobe все предсказуемо
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+8 +/–
	Сообщение от Аноним (??) on 15-Мрт-14, 21:01
	Запускать приложения на дырявой винде и выплачивать бабло это такое хобби?
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от Аноним (??) on 15-Мрт-14, 21:11
	Ну надо же как-то это решeто прикрыть. Сменить ОС - не юникс вей (работает - не трогай), значит, надо просто по-быстрому заштукатурить самые большие дыры, в частности, браузеры.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от Аноним (??) on 15-Мрт-14, 21:26
	> Запускать приложения на дырявой винде и выплачивать бабло это такое хобби? Капитан намекает: смена операционки не сильно влияет на дыры в _приложении_.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	5. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+12 +/–
	Сообщение от Xasd (ok) on 15-Мрт-14, 21:31
	> юникс вей (работает - не трогай) тык вот значит что такое unix way! :-)
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	6. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от Аноним (??) on 15-Мрт-14, 21:38
	Именно так. Ломать-улучшать-заменять то, что работает и так - первый признак леннарта.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	7. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	–1 +/–
	Сообщение от vi on 15-Мрт-14, 21:41
	Ну вот, снова все о том, что все плохо (у них) :( Вот вы лучше скажите как в Linux практически безопасно просматривать страницы. Неужели придется ставить несколько (виртуальных) машин. На одной открывать в браузере страницы, вторая читает изображение с экрана первой, с картинки OCR вибирает текст и передает по ssh третьей машине, третья проверяет орфографию и грамарнаци, далее передаем все что осталось на четвертую, которая проверяет остался ли текст в документе (если остался делает cat /dev/null >/путь/2/текстовый_документ ), и (о) на конец таки, ставим Qubies OS и вот в ней то можем спокойно открыть этот документ ;) Наслаждаемся чистотой документа!
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	8. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+5 +/–
	Сообщение от VldK (ok) on 15-Мрт-14, 21:43
	Капитан поддельный. IE для других платформ не существует.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	9. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+3 +/–
	Сообщение от hoopoe (ok) on 15-Мрт-14, 21:45
	> Капитан намекает: смена операционки не сильно влияет на дыры в _приложении_. дыры в приложении не в последнюю очередь зависят от API системы, так что смена операционки таки влияет :)
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	10. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	–1 +/–
	Сообщение от Аноним (??) on 15-Мрт-14, 21:51
	Столлман (примерно) так и делает :)
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	11. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от хм on 15-Мрт-14, 21:52
	влияет на последствия эксплуатации дыры в приложении
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	12. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от тоже Аноним (ok) on 15-Мрт-14, 21:55
	Угу, влияет только на результат их использования...
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	13. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+3 +/–
	Сообщение от Фыр on 15-Мрт-14, 22:04
	Велосипедизм без причины -- признак поттерчины?
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	14. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+2 +/–
	Сообщение от Фыр on 15-Мрт-14, 22:08
	>На одной открывать в браузере страницы, вторая читает изображение с экрана первой, с картинки OCR вибирает текст и передает по ssh третьей машине У тебя в голове что-то сломалось. Не проще ли телнетом или wget запросить нужную страницу, а потом простеньким скриптом выкусить теги?
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	15. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	–1 +/–
	Сообщение от arisu (ok) on 15-Мрт-14, 22:23
	> Вот вы лучше скажите как в Linux практически безопасно просматривать страницы. начни с разработки своего железа. и делом займёшься, и глупости больше писать не будешь.
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	16. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+3 +/–
	Сообщение от llirik on 15-Мрт-14, 22:27
	ну почему-же. вот к примеру в прошлом году, взломать праузер chrome удалось только благодаря дыре в винде...
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	17. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+2 +/–
	Сообщение от Lain_13 (ok) on 15-Мрт-14, 22:32
	Безопаснее всего их просматривать с расстояния метров 10 от монитора и даже дальше (если монитор действительной огромный). Идеи более опасны и заразительны, чем самые опасные компьютерные вирусы.
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	18. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	–1 +/–
	Сообщение от Lain_13 (ok) on 15-Мрт-14, 22:35
	У тебя есть гарантия неуязвимости этого простого скрипта? Что он при любых входных данных правильно выкусит только тэги, а не половину страницы или, тем более, рухнет и приведёт к запуску произвольного кода? Когда имеешь дело с паранойей, то ты никогда не можешь быть уверен.
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	19. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+2 +/–
	Сообщение от freehck (ok) on 15-Мрт-14, 22:37
	Основная проблема безопасности браузеров заключается в существовании JavaScripts, Adobe Flash и плагинов. В принципе, есть некоторое подмножество веба, которое спокойно без этого обходится. Так что если Вы не сильно хотите развлечений и интернет-покупок, то можете смело пользоваться исключительно консольными браузерами.
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	20. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Фыр on 15-Мрт-14, 22:39
	>У тебя есть гарантия неуязвимости этого простого скрипта? Да. Скрипт может и сгрызёт часть полезной информации при специальным образом сгенерированной странице, но ни при каких обстоятельствах этот скрипт не поможет злоумышленнику получить доступ к твоей машине. Ты даже сможешь запускать его лишь погасив все внешние интерфейсы... Так что твой внутренний параноик может быть доволен.
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	21. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от vi on 15-Мрт-14, 22:46
	> Безопаснее всего их просматривать с расстояния метров 10 от монитора и даже > дальше (если монитор действительной огромный). Идеи более опасны и заразительны, чем > самые опасные компьютерные вирусы. Согласен, мысли очень даже материальны! Так что поосторожнее с ними нашем мире! Иначе и осколочков не соберете :(
	Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

	23. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от vitalif (ok) on 15-Мрт-14, 22:49
	Строго говоря, взлом Chrome OS - это не взлом, а освобождение =)
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	25. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Lain_13_too_lazy_to_login on 15-Мрт-14, 23:03
	Чушь несёшь. Кривая страница может оказаться некорректно обработана скриптом и вызвать уязвимость в коде одного из вызываемых скриптом приложений. Представь, что за тобой следят и искать будут уязвимость именно в твоём способе просмотра страниц. Кстати, я сказал «представь»?
	Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

	28. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Фыр on 15-Мрт-14, 23:21
	Да вдумайся ты в суть задачи! Да там даже на плюсах получится 2 десятка строк кода. Я уверен, что смогу написать 20 строк так, чтобы никакая страница не могла ничего поломать.
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	32. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 01:54
	В IE найдено меньше дыр чем в фоксе )) Но мы этот факт признать не можем и даже не замечаем.
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	33. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Perain on 16-Мрт-14, 02:36
	>>  Примечательно, что компания Google по горячим следам уже выпустила обновление браузера Chrome 33.0.1750.154, в котором устранила четыре опасные уязвимости Есть соммнение в патчах
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	34. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от vn971 (ok) on 16-Мрт-14, 03:21
	"выкидывание js+flash" и "консоль" это таки немного разные вещи. Первое, увы, не безопасно. А второе многого не отображает, увы. И вообще, тема с безопасным запуском прог в Xorg не раскрыта.
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

	35. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+4 +/–
	Сообщение от Тот_Самый_Анонимус on 16-Мрт-14, 08:46
	Кк и с продуктами гугла и мозиллы, а именно: все продуткты имеют уязвимости.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	36. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от адекват on 16-Мрт-14, 09:55
	> Капитан намекает: смена операционки не сильно влияет на дыры в _приложении_. да, но  виндах ты получишь шелл с правами админа,  в линуксе - шелл с правами того пользоватля, от имени которого запущенно приложение.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	37. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от адекват on 16-Мрт-14, 10:01
	> Вот вы лучше скажите как в Linux практически безопасно просматривать страницы, корень в ro монтировать ? глянуть ps -A какие приложения с какими привелегиями запущенны ? noexec на домашний каталог ? >/путь/2/текстовый_документ ), и > (о) на конец таки, ставим Qubies OS и вот в ней > то можем спокойно открыть этот документ ;) > Наслаждаемся чистотой документа!
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	38. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 11:17
	Тот факт, что IE проприетарное ПО с закрытым кодом, а исходники FF доступны всем, мы не учитываем?
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

	39. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 11:18
	> Тот факт, что IE проприетарное ПО с закрытым кодом, а исходники FF > доступны всем, мы не учитываем? Разница на уровне конечного результата лично от меня ускользает.
	Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

	40. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	–1 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 11:19
	>> Капитан намекает: смена операционки не сильно влияет на дыры в _приложении_. > да, но  виндах ты получишь шелл с правами админа,  в > линуксе - шелл с правами того пользоватля, от имени которого запущенно > приложение. Ты неадекват. Там что, неясно написано о повышении доступа?
	Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

	43. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от тоже Аноним (ok) on 16-Мрт-14, 12:11
	И что, сложность повышения привилегий уже не зависит от системы? Специалисты, блин...
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

	44. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+6 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 12:33
	> Разница на уровне конечного результата лично от меня ускользает. А это просто: часть дыр могла оказаться не обнаруженной. Их искать дольше. Поэтому в рамках соревнования перспективнее налечь на лису и хром. Но это не значит что блэкхэты дыры не найдут. Потому что ботнет из 30-40% компов - это огого, как ни крути. А т.к. MS за репорты уязвимостей не платит, да еще месяц тормозит с апдейтами - для блэкхэтов выгодная мишень получается.
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	45. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 12:34
	> дыры в приложении не в последнюю очередь зависят от API системы, Штуки типа переполнений буферов или слабой валидации данных не особо зависят от системы.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	46. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 12:35
	> да, но  виндах ты получишь шелл с правами админа,  в линуксе - шелл с правами > того пользоватля, от имени которого запущенно приложение. Это как правило всех устраивает: можно умыкнуть данные пользователя + запустить проксики/спамеры/ддос-ботов и прочая. Рут для этого не требуется.
	Ответить | Правка | ^ к родителю #36 | Наверх | Cообщить модератору

	47. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+4 +/–
	Сообщение от Карбофос (ok) on 16-Мрт-14, 13:37
	адобе обычно ждёт активной эксплуатации дыры, а гугель дыры эти активно ищет, легально поощряя хакеров за найденное. всё-таки есть разница
	Ответить | Правка | ^ к родителю #35 | Наверх | Cообщить модератору

	48. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от vi on 16-Мрт-14, 13:46
	>> Вот вы лучше скажите как в Linux практически безопасно просматривать страницы, > корень в ro монтировать ? > глянуть ps -A какие приложения с какими привелегиями запущенны ? > noexec на домашний каталог ? >/путь/2/текстовый_документ ), и >> (о) на конец таки, ставим Qubies OS и вот в ней >> то можем спокойно открыть этот документ ;) >> Наслаждаемся чистотой документа! Спасибо. А где можно глянуть (почти) полный список? Или каким запросом google-ить? Лучше начинать с простеньких примеров (они и реализуются проще).
	Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

	49. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Tau on 16-Мрт-14, 13:57
	> Запускать приложения на дырявой винде и выплачивать бабло это такое хобби? В самых сильных странах сильно развита наука. Делать фантазийную ерунду, и получать за это деньги. Да. Это оно. Это части науки. И это самое очень сильно ценится.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	50. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	–1 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 14:32
	Зачем гугл? То, что он написал - элементарные задачки. Это знает почти любой линуксоид. Проблема в том, что монтирование корня в ro лишит тебя обновлений и по сути будет просто играть роль плацебо. Плюс, не учтено, что перемонтировать корень в режим rw тоже возможно, если получить права рута. Единственное спасение в таком случае - записать основные каталоги типа /usr на флеш-накопитель с аппаратным запретом записи. И изредка включать режим записи для загрузки обновлений безопасности. Запрет исполнения скриптов в домашнем каталоге тоже особо много не даст. Есть обходные способы запуска программ. Даже тот же запуск любой проги через скрипт. /bin/bash ./hi.sh В принципе можно обезопасить себя простой настройкой AppArmor и SELinux. С помощью них можно полностью запретить доступ браузера к файловой системе, а также ограничить его системные вызовы, исключив из них потенциально опасные, которые он вызывать не должен. Всё это вполне реализуемо, но потребует около месяца ежедневной работы.
	Ответить | Правка | ^ к родителю #48 | Наверх | Cообщить модератору

	51. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	–1 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:00
	> ....проблема, приводящая к выходу за пределы буфера в движке V8 Боже, что за придурки пишут на сях в 21 веке!!
	Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	52. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от vi on 16-Мрт-14, 15:12
	> получить права рута. Единственное спасение в таком случае - записать основные > каталоги типа /usr на флеш-накопитель с аппаратным запретом записи. И изредка > включать режим записи для загрузки обновлений безопасности. Где то валяется flash-ка с переключателем на ro. Всего 128MB. Но можно какой нибудь простенький Linux туда поставить (все руки не дойдут :( А сейчас видимо такие флехи не модны, и найти их проблематично (хотя кто ищет, ...)
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

	53. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:32
	А какой смысл? Если ты задаёшь такие вопросы, значит по части безопасности не разбираешься. Как бы ты ни настраивал, всё равно не учтёшь многих вещей просто потому, что чего-то не знаешь. Ставь Винду, антивирус, настраивай файервол и радуйся жизни. Или работай с LiveDVD, записанным на R-ку. Тормозит, неудобно, бессмысленно, но почти безопасно. Кстати, такая флешка больше подходит для использования на чужих компах с виндой, если кому-то что-то скопировать нужно, т.к. они потенциально могут быть заражены вирусами.
	Ответить | Правка | ^ к родителю #52 | Наверх | Cообщить модератору

	54. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+3 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:34
	>> ....проблема, приводящая к выходу за пределы буфера в движке V8 > Боже, что за придурки пишут на сях в 21 веке!! Те, благодаря которым ты написал это сообщение с той операционки, на которой сидишь.
	Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

	55. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:40
	Не только. Смена ОС, которая и так худо-бедно работает, на что-то более "крутое" и "модное" - тоже поттеринг в терминальной стадии.
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	56. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:42
	>> дыры в приложении не в последнюю очередь зависят от API системы, > Штуки типа переполнений буферов или слабой валидации данных не особо зависят от системы. А вот то, что можно сделать после заливки шеллкода - очень даже зависит.
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	57. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:48
	Кстати, есть Lynx. Картинки не отображает, JS не исполняет, как и Flash. Даже кукизы спрашивает сохранять или нет.
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	58. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 15:58
	Jailbreak?
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	59. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от vi on 16-Мрт-14, 16:31
	> А какой смысл? Если ты задаёшь такие вопросы, значит по части безопасности > не разбираешься. Как бы ты ни настраивал, всё равно не учтёшь > многих вещей просто потому, что чего-то не знаешь. Ставь Винду, антивирус, > настраивай файервол и радуйся жизни. Или работай с LiveDVD, записанным на > R-ку. Тормозит, неудобно, бессмысленно, но почти безопасно. > Кстати, такая флешка больше подходит для использования на чужих компах с виндой, > если кому-то что-то скопировать нужно, т.к. они потенциально могут быть заражены > вирусами. Вопросы задаю для поддержания дискуссии. Да, всего не учесть, особенно когда многого не знаешь. Но простые методы могут быть достаточно эффективны. На винду вернутся, это вряд ли, подташнивает (и чем дальше, тем больше ;) (хотя для того что бы получить порцию острых ощущений, можно разик в пол года - год пощекотать себе нервы). LiveDVD, да в гостях, наверное лучше RW и CD-RW (обновленную версию с чистого листа лучше и быстрее накатить и трафика меньше). Дома лучше клонировать чистую виртуалку и работать каждый раз с чистого листа.
	Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

	60. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 17:11
	Виртуалка - потеря производительности. Она больше подходит для разработки и для экспериментов. Для безопасности - на крайний случай. К тому же, уязвимости есть и в средствах виртуализации. На Линухах очень не хватает автоматизированного эвристического средства слежения за процессами. Пусть даже опционального и отбирающего процентов ~20 производительности, терпимо. И ведь программно всё для создания такой программы уже есть.
	Ответить | Правка | ^ к родителю #59 | Наверх | Cообщить модератору

	61. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 17:47
	Проксики/спамеры/ддос-боты, запущенные от простого пользователя, очень легко находятся и вычищаются. В отличие от.
	Ответить | Правка | ^ к родителю #46 | Наверх | Cообщить модератору

	62. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 17:49
	> На Линухах очень не хватает автоматизированного эвристического средства слежения за процессами. > Пусть даже опционального и отбирающего процентов ~20 производительности, терпимо. И ведь > программно всё для создания такой программы уже есть. Как показывает практика, антивирусы (на которые вы намекаете) мышей не особо ловят. Помогает только сигнатурный анализ, и только против тех, кто уже есть в базе. А вся "эвристика" в них настолько примитивна, что с лихвой покрывается функциональностью SELinux (который вы наверняка изучать не собираетесь).
	Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

	63. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 18:12
	Собираюсь, почему же. Так или иначе придётся по работе примерно через год. А до этого буду изучать AppArmor, для другого рода задачек. И для SELinux политику на каждое приложение не напишешь. На пару тройку наиболее опасных - да. Под Эвристикой я другое подразумевал. Скажем так, запускается приложение, ты ему задаёшь один из базовых профилей, включающий в себя набор правил. В случае отклонений от профиля, должно выдаваться предупреждение с подробным логом действий и возможностью для ручного анализа активности.
	Ответить | Правка | ^ к родителю #62 | Наверх | Cообщить модератору

	65. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	–3 +/–
	Сообщение от arisu (ok) on 16-Мрт-14, 18:47
	> Проксики/спамеры/ддос-боты, запущенные от простого пользователя, очень легко находятся > и вычищаются. В отличие от. «обычный пользователь» гордится тем, что даже задницу сам вытереть не может, какое там «находятся и вычищаются»… люди, гордящиеся агрессивным нежеланием что-либо знать — очень вкусная еда.
	Ответить | Правка | ^ к родителю #61 | Наверх | Cообщить модератору

	66. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от arisu (ok) on 16-Мрт-14, 18:49
	> Под Эвристикой я другое подразумевал. Скажем так, запускается приложение, ты ему задаёшь > один из базовых профилей, включающий в себя набор правил. В случае > отклонений от профиля, должно выдаваться предупреждение с подробным логом действий и > возможностью для ручного анализа активности. внизапна… впрочем, не буду портить сюрпризы.
	Ответить | Правка | ^ к родителю #63 | Наверх | Cообщить модератору

	67. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	–1 +/–
	Сообщение от arisu (ok) on 16-Мрт-14, 18:52
	> В самых сильных странах сильно развита наука. Делать фантазийную ерунду, и получать > за это деньги. Да. Это оно. Это части науки. И это > самое очень сильно ценится. правда, извращённый секс с виндой в странные отверстия ни разу не наука. но с точки зрения обывателя всё ему непонятное — это или наука, или магия (что, опять же, для обывателя одно и то же).
	Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

	68. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+1 +/–
	Сообщение от arisu (ok) on 16-Мрт-14, 18:53
	>> ....проблема, приводящая к выходу за пределы буфера в движке V8 > Боже, что за придурки пишут на сях в 21 веке!! к счастью, не ты.
	Ответить | Правка | ^ к родителю #51 | Наверх | Cообщить модератору

	69. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 18:59
	Подразумевались интерактивные средства. Понятно, что по сути я описал SELinux и AppArmor. Но ещё бы неплохо, чтобы возможно было сопоставлять активность приложений некоторой примерной последовательности действий.
	Ответить | Правка | ^ к родителю #66 | Наверх | Cообщить модератору

	70. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от arisu (ok) on 16-Мрт-14, 19:03
	у меня есть подозрение, что тут как обычно всё: пока сам себе хорошо не сделаешь, никто не сделает.
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

	71. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от Tau on 16-Мрт-14, 20:07
	> правда, извращённый секс с виндой в странные отверстия ни разу не наука. > но с точки зрения обывателя всё ему непонятное — это или > наука, или магия (что, опять же, для обывателя одно и то > же). Все обыватели так говорят. :) И обывателю и платят меньше, говорят что именно делать, где место. ;) Отличная книжка - Трудно быть богом, Аркадий и Борис Стругацкие. Ещё и кино есть, теперь.
	Ответить | Правка | ^ к родителю #67 | Наверх | Cообщить модератору

	72. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от Tau on 16-Мрт-14, 20:10
	Не знаю, как правильно - с заглавной ли. Но, вроде, не та грань. Или та... В любом случае, там есть человек по имени Будах. Какого-то лешевого заинтересовашийся такой фигнёй как: чему ж таки равно отношение длины окружности к радису. Вот уж ерундой-то занимался. ;)
	Ответить | Правка | ^ к родителю #71 | Наверх | Cообщить модератору

	73. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Tau on 16-Мрт-14, 20:13
	> Столлман (примерно) так и делает :) У него мощи процессора не хватит на столько виртуалок. Интернет использует, но Иксы он запускает от случая к случаю. Да, он ярко выделяется.
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	74. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	–3 +/–
	Сообщение от arisu (ok) on 16-Мрт-14, 20:43
	скажи, ты таким дураком уже родился, или это приобретённое, от того, что тебя в детстве много по голове били? я зачем интересуюсь: статистику собираю.
	Ответить | Правка | ^ к родителю #72 | Наверх | Cообщить модератору

	75. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	–1 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 20:57
	(uid > 0) != "гордиться агрессивным нежеланием что-либо знать"
	Ответить | Правка | ^ к родителю #65 | Наверх | Cообщить модератору

	76. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	–1 +/–
	Сообщение от arisu (ok) on 16-Мрт-14, 21:02
	меньше тупим. йод кушаем, рыбу, для мозга полезную.
	Ответить | Правка | ^ к родителю #75 | Наверх | Cообщить модератору

	77. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 21:03
	> Подразумевались интерактивные средства. Понятно, что по сути я описал SELinux и AppArmor. > Но ещё бы неплохо, чтобы возможно было сопоставлять активность приложений некоторой > примерной последовательности действий. Написать гуй для ausearch/aureport/autrace - задача несложная. Видимо, никому, кроме вас, эта хотелка не уперлась. Просто потому, что отклонение работы программы от профиля уже само по себе является свидетельством ошибки или вредоносной активности. А для этого средства уже давно есть, в том числе гуевые.
	Ответить | Правка | ^ к родителю #69 | Наверх | Cообщить модератору

	78. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+2 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 21:04
	> В IE найдено меньше дыр чем в фоксе )) Но мы этот > факт признать не можем и даже не замечаем. Как насчет признать факт "найдено" != "существует"?
	Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

	79. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+2 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 21:05
	Приятного аппетита!
	Ответить | Правка | ^ к родителю #76 | Наверх | Cообщить модератору

	80. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 21:26
	Смеётесь? Запускать все процессы через autrace? Но за информацию об утилитах спасибо, не знал о существовании таковых.
	Ответить | Правка | ^ к родителю #77 | Наверх | Cообщить модератору

	81. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от vi on 16-Мрт-14, 22:28
	> Виртуалка - потеря производительности. Она больше подходит для разработки и для экспериментов. > Для безопасности - на крайний случай. К тому же, уязвимости есть > и в средствах виртуализации. > На Линухах очень не хватает автоматизированного эвристического средства слежения за процессами. Не, не, не, постоянно всплывающих окон с надписями "Программа выполнила невыполнимое, и допустила недопустимое" мне не нужно (ну вот снова тошнить начинает ;) > Пусть даже опционального и отбирающего процентов ~20 производительности, терпимо. И ведь > программно всё для создания такой программы уже есть. SAMHAIN http://www.la-samhna.de/samhain/ Да?
	Ответить | Правка | ^ к родителю #60 | Наверх | Cообщить модератору

	82. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от vi on 16-Мрт-14, 22:33
	> Смеётесь? Запускать все процессы через autrace? Но за информацию об утилитах спасибо, > не знал о существовании таковых. Спасибо всем за инфу. Для начала думаю достаточно. Надеюсь (надеюсь) никогда не пригодится ;)
	Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

	83. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 23:37
	Нет. Тоже самое, что по крону запускать rkhunter вместе с tripwire. Совсем не то.
	Ответить | Правка | ^ к родителю #81 | Наверх | Cообщить модератору

	84. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 23:45
	Это сигнатурный анализ. Который, если верить дяде Жене К., важен не менее эвристического.
	Ответить | Правка | ^ к родителю #83 | Наверх | Cообщить модератору

	85. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 23:48
	> Да вдумайся ты в суть задачи! > Да там даже на плюсах получится 2 десятка строк кода. > Я уверен, что смогу написать 20 строк так, чтобы никакая страница не > могла ничего поломать. Излишняя самоуверенность - путь к провалу. Плюсы - это такой язык, что даже гуру с 20-летним опытом может наступить на детские грабли в паре строчек.
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	86. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 23:50
	> Кстати, есть Lynx. Картинки не отображает, JS не исполняет, как и Flash. > Даже кукизы спрашивает сохранять или нет. Минимализм - еще не гарантия защищенности. Например, выполнение произвольного кода через парсер URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2810
	Ответить | Правка | ^ к родителю #57 | Наверх | Cообщить модератору

	87. "На соревновании Pwn2Own 2014 продемонстрированы взломы..."	+/–
	Сообщение от Аноним (??) on 16-Мрт-14, 23:54
	> Смеётесь? Запускать все процессы через autrace? Но за информацию об утилитах спасибо, > не знал о существовании таковых. Я вам еще более страшную тайну открою: погуглите про setroubleshootd. А в федоре к нему даше графические уведомления прикрутили.
	Ответить | Правка | ^ к родителю #80 | Наверх | Cообщить модератору

	88. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от Аноним (??) on 16-Мрт-14, 23:57
	> Ты неадекват. Там что, неясно написано о повышении доступа? Повышение доступа с полпинка - фирменная фича винды. В линуксах такое находят редко, а закрывают быстро.
	Ответить | Правка | ^ к родителю #40 | Наверх | Cообщить модератору

	89. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+1 +/–
	Сообщение от Аноним (??) on 17-Мрт-14, 00:03
	> Столлман (примерно) так и делает :) Неа. У Столмана есть верные ученики, которые за него читают интернет, анализируют полученные сведения, готовят доклад, зачитывают ему, выслушивают его мнение, а потом распространяют это мнение в интернете. Весьма секурный подход, надо сказать :)
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	90. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 17-Мрт-14, 00:04
	> Первое, увы, не безопасно. А второе многого не отображает, увы. И тоже не безопасно, кстати.
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

	91. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Аноним (??) on 17-Мрт-14, 09:47
	Они скорее зависят от конфигурации системы, причём, судя по условиям конкурса, от дефолтной. Хотя, если, например, включить ASLR и собирать браузер с -fstack-protector, то на linux можно получить гораздо лучшую защищённость от переполнений. Не знаю, как с этим дела в Win, может, у них тоже что-то такое есть.
	Ответить | Правка | ^ к родителю #45 | Наверх | Cообщить модератору

	92. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от none_first (ok) on 17-Мрт-14, 14:13
	"правильнее", возможно так - выгодно не демонстрировать дыры на конкурсах, а "снимать бабло" с упрямых виндолюбов ;) их же много..., а если в корпорастивной среде - это праздник для шпионов :)
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

	93. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Anonym2 on 19-Мрт-14, 18:14
	>> Столлман (примерно) так и делает :) > У него мощи процессора не хватит на столько виртуалок. :-) Мне хватает. (ответ на вопрос о том, не Столлман ли, возможно навсегда останется неизвестным)...
	Ответить | Правка | ^ к родителю #73 | Наверх | Cообщить модератору

	94. "На соревновании Pwn2Own 2014 продемонстрированы взломы Chrom..."	+/–
	Сообщение от Anonym2 on 19-Мрт-14, 19:28
	> Основная проблема безопасности браузеров заключается в существовании JavaScripts, Adobe > Flash и плагинов. > В принципе, есть некоторое подмножество веба, которое спокойно без этого обходится. Так > что если Вы не сильно хотите развлечений и интернет-покупок, то можете > смело пользоваться исключительно консольными браузерами. Любопытно, почему интернет-покупки столь основаны на именно дырявых и опасных баузерах? >:-)
	Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема