Двухфакторная аутентификация станет обязательной в PyPI
Разработчики Python Package Index (PyPI) сообщили, что до конца года двухфакторная аутентификация (2ФА) должна быть включена для всех учетных записей, управляющих хотя бы одним проектом.
Тег
Python
117 материалов · RSS
Безопасный питон. Осваиваем приемы защищенного кодинга на Python
Сегодня мы поговорим о том, что должно волновать каждого крутого программиста, — о безопасном коде. Ты думаешь, это скучно и сложно? Ничуть! Я поделюсь с тобой своим опытом и покажу,…
В PyPI закрыли регистрацию из-за наплыва злоумышленников
Команда Python Package Index (PyPI), официального Python-репозитория, сообщила о временном отключении регистрации пользователей и запрете на загрузку новых пакетов. Эти меры стали вынужденным ответом на наплыв злоумышленников и малвари.
HTB RainyDay. Эксплуатируем API и брутим «соленый» пароль
В этом райтапе я покажу, как можно проэксплуатировать уязвимость в API веб-приложения, чтобы получить доступ к хосту. Затем выйдем из песочницы Python и покопаемся в криптографии, чтобы получить критически важные…
Positive Technologies открывает доступ к сервису PT PyAnalysis для поиска вредоносных Python-пакетов
В компании сообщают, что в последний год злоумышленники стали активно интересоваться открытым ПО, а доставка вредоносного кода через сторонние зависимости стала одним из способов заражения. Поэтому Positive Technologies разработала инструмент…
Десятки пакетов PyPI распространяют инфостилера W4SP
Компания Phylum, специализирующаяся на безопасности цепочки поставок, обнаружила в репозитории PyPI 29 вредоносных пакетов, которые заражали своих жертв малварью W4SP, нацеленной на хищение данных.
Змеиная пирамида. Запускаем малварь из слепой зоны EDR
В этой статье я покажу, как вооружить standalone-интерпретатор Python для загрузки опасных зависимостей прямо в память при помощи инструмента Pyramid (не путать с веб-фреймворком). Потенциально это позволяет обойти антивирусную защиту…
Сканим на Python. Как написать и улучшить собственный сканер портов
С чего начинается атака на сервер? Правильно, с разведки! Сканеров портов существует множество, и они быстро и эффективно справляются со своей задачей. Но настоящий хакер должен понимать, как работают его…
Баг 15-летней давности в Python угрожает 350 000 проектов
Старая уязвимость в Python, CVE-2007-4559, обнаруженная еще в 2007 году, вновь оказалась в центре внимания. Выяснилось, что она затрагивает более 350 000 репозиториев и может приводить к выполнению произвольного кода.
Про Pyto. Делаем веб-сервер на iOS и качаем видео с youtube-dl
Говорят, iOS невероятно закрытая система: ни написать свою программу без лицензии разработчика, ни заставить iPhone или iPad делать что-то, что не одобряют в Apple. Сегодня я познакомлю тебя с Pyto…
Как приручить «Киви». Автоматизируем прием платежей Qiwi на Python
В наше время чтобы обзавестись наличными, достаточно сделать полезную программу или сервис и подключить платежи. Сегодня я покажу тебе, как смастерить собственный скрипт для приема оплаты на кошелек Qiwi.
Парсим телегу. Как собирать имена участников чатов в Telegram
Недавно окунулся в волшебный мир парсинга чатов в «Телеграме» и был удивлен, сколько однотипных вопросов задают, какой низкий уровень понимания у людей, нуждающихся в парсинге, и как много разводов и…
Двухфакторная аутентификация становится обязательной в PyPI
Представители репозитория Python Package Index (PyPI) анонсировали введение обязательной двухфакторной аутентификации для сопровождающих критически важных проектов. Такой статус получили проекты, на долю которых приходится 1% загрузок за полгода, а также…
Вредоносные пакеты из PyPI воровали учтенные данные от AWS
В репозитории PyPI снова обнаружили вредоносные пакеты. На этот раз библиотеки были пойманы на краже конфиденциальной информации, включая учетные данные от AWS, причем после похищения информация хранилась в файлах .TXT,…
HTB Fingerprint. Подделываем цифровой отпечаток для доступа к закрытому контенту
В этом райтапе мы используем LFI для получения исходного кода приложения, XSS — для получения фингерпринта пользователя, обойдем авторизацию через HQL-инъекцию, заюзаем баг в приложении на Java и немного покодим…
HTB Unicode. Подделываем токен JWT и захватываем сервер через curl
Сегодня мы поработаем с токенами JWT, проэксплуатируем LFI в обход фильтра и разреверсим ELF-файл, написанный на Python 3.9. Все это поможет нам пройти среднюю по сложности машину Unicode с площадки…
HTB Bolt. Эксплуатируем шаблоны в Python и разбираемся с PGP
В этой статье я покажу, как находить скрытый контент на сайтах через разные способы перебора. Затем мы получим управление хостом благодаря уязвимости серверных шаблонов (SSTI), а для повышения привилегий расшифруем…
Змей-стражник. Сигнализация для велосипеда из старого смартфона на Android
Наверняка у тебя где-то завалялся старый смартфон на Android, а может, даже и не один. Я расскажу, как сделать из него надежную сигнализацию для твоего велосипеда, да и вообще для…
Питоном по телеграму! Пишем пять простых Telegram-ботов на Python
В этой статье мы реализуем простой, но крайне полезный проект на Python — бота для Telegram. Боты — это небольшие скрипты, которые могут взаимодействовать с API, чтобы получать сообщения от…
HTB BountyHunter. Ломаем сайт на PHP через XXE и пентестим приложение на Python
В этой статье на примере простой по сложности машины BountyHunter с Hack The Box я продемонстрирую эксплуатацию уязвимости XXE, работу с обертками в PHP и эксплуатацию бага в программе на…
Змеиная почта. Пишем на Python и Qt почтовик с возможностью прикреплять файлы
Возможно, ты уже умеешь писать простые сценарии на Python, но пробовал ли ты делать графические программы с настоящими работающими кнопочками? Поверь, это тоже крайне увлекательно и не очень сложно! Сегодня…
Серверы VMware ESXi шифрует Python-скрипт
Неизвестные вымогатели используют Python-скрипт для шифрования виртуальных машин на серверах VMware ESXi, предупреждают исследователи компании Sophos.
Python с абсолютного нуля. Работаем с ОС, изучаем регулярные выражения и функции
Сегодня мы поработаем с файловой системой ОС, освоим могущественные заклинания под названием «регулярные выражения», изучим тонкости создания и вызова функций и под конец напишем простенький сканер SQL-уязвимостей. И всё это…
HTB TheNotebook. Совершаем побег из Docker, чтобы захватить рут
В этой статье мы на примере средней по сложности машины TheNotebook с Hack The Box поработаем с технологией JSON Web Token, проэксплуатируем уязвимость при загрузке файлов на сервер и посмотрим,…
Из PyPI удалили восемь библиотек, воровавших токены Discord и номера банковских карт
На этой неделе операторы официального репозитория Python Package Index (PyPI) избавились от восьми библиотек, содержавших вредоносный код. Кроме того, в PyPI были исправлены три уязвимости, одна из которых позволяла злоумышленнику…
Кодить не стыдно! Колонка главреда
Если спросить матерого кодера, в чем причина его неприязни к новичкам, то, скорее всего, он сошлется на нежелание сталкиваться в работе с неучами и «вкатывальщиками». А также с плодами их…
Python с абсолютного нуля. Учимся работать со строками, файлами и интернетом
Однажды крокодилу Гене и Чебурашке поручили написать сочинение на тему «Как я провел лето». Все лето друзья пили пиво, и наивный Гена так и написал, поэтому Чебурашке пришлось заменить некоторые…
Python с абсолютного нуля. Учимся кодить без скучных книжек
Чтобы ломать, много ума не надо: можно качнуть Kali Linux, юзать готовые программки, копипастить код с форумов и вслепую качать скрипты с GitHub. Но потолок хакера, пока он не научится…
Малварь на просвет. Используем Python для динамического анализа вредоносного кода
Многие вредоносные программы сопротивляются отладке: они отслеживают и блокируют запуск популярных утилит для мониторинга файловой системы, процессов и изменений в реестре Windows. Чтобы обхитрить такую малварь, мы напишем на Python…
YOLO! Используем нейросеть, чтобы следить за людьми и разгадывать капчу
You only look once, или YOLO, — эффективный алгоритм, который позволяет выделять объекты на изображении. В этой статье мы используем его, чтобы написать на Python программу для определения числа людей…
Крадущийся питон. Создаем простейший троян на Python
В этой статье я расскажу, как написать на Python простейший троян с удаленным доступом, а для большей скрытности мы встроим его в игру. Даже если ты не знаешь Python, ты…
Разведка змеем. Собираем информацию о системе с помощью Python
Если ты часто имеешь дело с разными компьютерами, тебе, конечно, нужен простой в использовании и быстрый инструмент для сбора информации о системе. Сегодня мы покажем, как сделать такую программу, отсылающую…
Ядовитый питон. Пишем на Python простейшую малварь: локер, шифровальщик и вирус
Малварь на Python изредка попадается в дикой природе, и далеко не все антивирусы обращают на нее внимание. Чаще всего она применяется для создания бэкдоров в софте, чтобы загружать и исполнять…
Reverse shell на Python. Осваиваем навыки работы с сетью на Python на примере обратного шелла
Необходимость передавать сообщения между двумя компьютерами, подключенными к сети, встречается не только при разработке приложений, но и при пентесте или участии в CTF. Проникнув на чужую машину, мы как-то должны…
Пять простых примеров, которые сподвигнут тебя изучить Python
Python за последнее десятилетие набрал огромную популярность и не сдает своих позиций — его применение и для обучения программированию, и для разработки приложений только растет. Не каждый язык может похвастаться…
Переходим на Python 3. Как попрощаться с Python 2.7 и кодить дальше
В этом году анонсирован последний выпуск Python 2.7, после чего Python Software Foundation перестанет поддерживать ветку 2.7. Множество популярных библиотек и фреймворков тоже прекращают официальную поддержку Python 2, а целый…
Свободный полет. Как программируют беспилотники
Управлять квадрокоптером — это целое искусство, но писать программы, которые позволяют ему летать в автономном режиме, — дело не менее захватывающее. В этой статье я расскажу о том, как создать…
Вредоносные Python-библиотеки воровали ключи SSH и GPG
Из PyPI были удалены две вредоносные библиотеки, пойманные на краже ключей SSH и GPG из проектов разработчиков. Одна из библиотек оставалась незамеченной почти год.
Печать силой мысли. Как работают интерфейсы мозг — компьютер и на что они способны сегодня
Управлять компьютером силой мысли — давняя и пока что несбыточная мечта. Но шаги в этом направлении делаются, и даже небольшие успехи в разработке нейроинтерфейсов открывают возможности, мощно отдающие киберпанком. В…
Все мы не в своем уме. Как сделать новый навык для «Алисы» на Python
По примеру американских коллег из Apple, Amazon, Google и Microsoft в «Яндексе» в 2017 году сделали своего голосового ассистента, который понимает русский язык и пользуется неплохой популярностью в России. Одна…