Кирилл Ермаков (@v.v10) в TikTok (тикток) |55.5K лайк.5.1K те новое видео пользователя Кирилл Ермаков (@v.v10).
Ермаков Кирилл Юрьевич
Героями, которые добровольно согласились показать содержимое своей машины и сумки, уже стали Дмитрий Кокорин и Надежда Винокурова. На этот раз мы выбрали новую «жертву» — это Кирилл Ермаков, квнщик и ведущий радио-шоу «Жесть утра». Репаблик решил заглянуть к нему в гости и рассказать, что интересного скрывалось в комнате. Народная мудрость гласит: «Мой дом — моя крепость».
И поспорить с этим сложно. Все самое сокровенное и личное мы храним дома — в шкафах, на балконах, столах и там, куда добраться может только хозяин. Поэтому пригласить к себе домой малознакомых людей, да еще и с фотоаппаратом, решится не каждый.
Но Кирилл Ермаков с радостью принял наше предложение и показал свои апартаменты. Комната у Кирилла немаленькая. Кажется так еще и потому, что на типично холостяцкую она не похожа — достаточно просторно и убрано.
И после обзора общего плана, мы начали рассматривать предметы, которые наш герой доставал с полок и ящиков. И с энтузиазмом Шерлока и Ватсона мы приступили к изучению.
После этого тебе закрыт вход в любую большую компанию. Все твое прошлое раскопают, и никто с тобой больше разговаривать не будет, потому что ты можешь натворить это еще раз. O Vulners Я еще в «Позитиве» говорил: мы написали крутой движок для сбора данных об уязвимостях. Давайте сделаем бесплатную открытую базу багов?
Ценность в том, что в базе контент нормализованный. Это не человекочитаемый формат, а машиночитаемый. Нужно где-то взять исходное описание бага, распарсить, выяснить, где у него описание, где версионные проверки. Мой движок все это умел, и я хотел дать все это бесплатно и всем. Однако скоро я ушел из PT, и все, что написал по этой теме, пришлось оставить. Я очень хотел довести проект до паблика, но формально не мог использовать код, написанный в Positive Technologies для MaxPatrol.
Но человек, который написал что-то один раз, сможет написать что-то и второй. Я просто взял и с нуля сделал все то же самое — свой фреймворк для парсера и для обработчиков — и запустил базу, о которой мечтал. Так родился Vulners. Сейчас проекту год, и у нас уже 500 уникальных активных юзеров в день, которые как-то нами пользуются. Ну и два десятка человек, которые спрашивают, куда задонатить :. За этот год я уже три раза переписал Вульнерс, это видно по API.
Конечно, Vulners я запилил не в одиночку. У нас была старая команда из PT. Они и подключились. Ребята знают тему не понаслышке и сами используют Vulners в повседневной работе. Это просто наше желание сделать мир лучше. Мы бы все равно придумали что-то похожее в QIWI, ну так что бы не сделать самим, покрасить в оранжевый цвет и дать всем пользоваться бесплатно?
Я никогда не искал инвесторов. И не хочу. Они заходили, но я не понимаю, зачем мне деньги в этом проекте. Сейчас приходит инвестор с улицы и говорит мне: «Я даю тебе двадцать миллионов на три года». А я за это должен кодить то, что зарабатывает деньги. Блин, я не хочу кодить то, чего они хотят.
Я хочу кодить то, что мне интересно. Функционал базы знаний с удобным API останется бесплатным навсегда. Если я вдруг решу, что какой-то дополнительный функционал стоит денег, — ну что же, придется прикручивать кнопку оплаты. О программистах, хакерах и безопасниках Что-то поломать, поовнить или денег заработать — нормальная мотивация, это должен пройти каждый. Люди таким образом развивают себя, AppSec. Просто дальше есть два пути.
Первый — они продолжают втыкать кавычку куда ни попадя и находить фигню, это так называемые рандомщики. Или они начинают разбираться, как те или иные вещи работают, и они становятся ценными кадрами AppSec. На самом деле в Enterprise нужны и те и другие. Рандомщики тоже нужны. Мы вот сейчас попали в дурацкую ситуацию. У нас есть Игорь Videns и Ваня Vancouver.
Они оба из тех чуваков, которые сначала прочтут всех исходники, а потом пойдут ломать. А нам вот не хватает чувака, который просто может помахать кроличьей лапкой и попасть, куда нужно. Вот тебе пара примеров с Яндексом. Это уже старая история, думаю — можно рассказать. Есть там такой параметр — xmlns. Единственное, что омрачало, — это то, что я при каждом новом запросе попадал на новую ноду из балансировщика нагрузки.
До RCE довести не получилось, только чтение памяти было. Точно такая же история была с их почтой для домена. Я смотрю на запрос и понимаю, что мне как программисту просто было бы лень на него писать регулярку. Натравил на него sqlmap — и в базе. Чутье — вот что нужно. Важно понимание, где с той стороны можно нахалтурить.
Человек, который писал веб, становится хорошим пентестером. Потому что он понимает, что существуют вот такие уязвимости, там-то можно накосячить, понимает, как остальные пишут такие же куски. Ибо все пишут абсолютно одинаково. Например, недавно мне захотелось сделать автоматическое приведение типов на Вульнерсе. Я открываю первый топик со Stack Overflow, там советуют сделать eval. Ты представляешь, сколько сейчас проектов в продакшене с eval?
Ничего подобного! Если ты обычный программист, у тебя задача — сделать, чтобы работало. Ты просто не думаешь о том, что в инпут можно что-то еще подсунуть, особенно в запарке. У тебя голова в эту сторону не работает. Главная концепция безопасности в том, что мы считаем любой user input вредоносным априори. А девелопер не считает.
Вот разница мышления безопасника и девелопера. Разработчик просто не знает, что можно вот так, да и все. В этом и состоит работа корпоративного безопасника — объяснить девелоперу, что user input бывает зловредным. Вот тогда сразу весь код становится секьюрным. У пентестеров тоже не все хорошо, они не знают, как писать безопасный код. Вот приходит ко мне человек, вроде скилловый.
Нашел инъекцию, все рассказал. Ну а дальше-то что он будет с этим делать? Как он объяснит программистам, как надо сделать правильно? Он же никогда не писал бэкенд, для него параметризованные SQL-запросы — это неизвестное словосочетание, он не знает про технологии защиты. Не знает, что делать concat в SQL-запросе теперь даже разработчики не советуют. Не потому, что это несекьюрно, а просто потому, что можно случайно нарушить запрос и все поломается.
Белово, ул. Юбилейная, д. Главный редактор Халетина М. Электронная почта редакции: tvmaria2011 mail.
За примерами далеко ходить не надо: инфекционная больница, которую планировали построить за полгода, Арена кузнецких металлургов, теперь вот аэровокзальный комплекс. В мае 2022 года новый генеральный директор ООО "АэроКузбасс" Кирилл Ермаков бодро рапортовал: "В аэропорт зашёл новый собственник, и теперь у нас запланировано масштабное развитие в целом. Мы запланировали 630 пассажиров в час и 1 млн. Мы абсолютно точно понимаем, что мы будем больше Кемерова по пассажиропотоку и мы точно сможем справиться с теми задачами, которые ставятся губернатором в связи с развитием туристической сферы". Четырехэтажный аэровокзальный комплекс с тремя телетрапами в Новокузнецке застройщик ООО "АэроКузбасс" обещали построить не позднее февраля 2023 года. В нём планировали принимать гостей международных игр "Дети Азии".
Основная навигация
- Институт востоковедения Российской Академии Наук
- Московская федерация футбола. Ермаков Кирилл Михайлович
- Выбрать период времени:
- Детство и юность
Стали известны имена арбитров на матчи 26-го тура Российской Премьер-Лиги
Накануне в соседнем с Брянской областью регионе страны пропал 19-летний Кирилл Ермаков. Кирилл Ермаков.» на канале «ТВН Новокузнецк» в хорошем качестве и бесплатно, опубликованное 12 декабря 2023 года в 6:43, длительностью 00:25:10. Кирилл Ермаков О Трехмерном Обучении В It Hub: От Дневника До Индивидуальных Траекторий Развития. Генеральный директор новокузнецкого аэропорта Кирилл Ермаков показал, на каком этапе сегодня находится строительство нового терминала.
Ермаков Кирилл Михайлович
Мне пришлось нагонять, переучиваться — грубо говоря, познавать все с нуля. И если лет в девятнадцать я думал, что уже все умею, то в Москве посмотрел в глаза реальности. Мне пришлось тянуть себя за уши и становиться настоящим профессионалом. Многие из нас в детстве увлекаются музыкой, творчеством. Но далеко не каждый связывает с этим свое образование и дальнейшую профессию.
В какой момент ты понял, что музыка — то самое? Честно говоря, этот вектор выстроился еще в детстве. Я ни в чем другом себя не видел, с ног до головы был погружен в музыку, поэтому других вариантов для себя даже не рассматривал. Решив заниматься продакшеном и писать песни, я понимал, что эта история точно будет востребована.
В юности мы постоянно искали себе аранжировщиков, и это стоило немало. Однажды мне пришла в голову мысль: зачем платить кому-то, если можно самому выучиться? Тем более меня всегда к этому тянуло. Кстати, тогда вопрос заработка не был первоочередным, но я понимал, что на создании песен можно зарабатывать.
Первую песню я продал лет в четырнадцать. Потихоньку сарафанным радио это передавалось, и начались заказы. Потом я стал параллельно работать на телевидении и радио, часто сотрудничал с белорусскими артистами, и лет в восемнадцать мне более чем хватало своих доходов. Как было принято решение переехать в Москву?
Параллельно всей истории с продакшеном и написанием песен у меня всегда была мечта стать артистом. Двигаться в одиночку тяжело, потому что ты постоянно ищешь свой звук, экспериментируешь. Мне хотелось не то чтобы помощи, а какого-то направления. Я мечтал углубиться в музыкальной мир, своими глазами на примере России увидеть, как работает шоу-бизнес изнутри.
И однажды мне написал Сергей Слэм, рэпер, продюсер, а сегодня наш менеджер и мой партнер по всем музыкальным вопросам. Тогда это была чистая случайность. Он написал: «Будешь в Москве, звони, пересечемся». Я так понимаю, до него дошли какие-то мои работы, а может, просто люди рассказывали.
Перед приездом я скинул Слэму не лучшие свои работы, но находки в них были интересные, и они его зацепили — этого оказалось достаточно. Когда мы встретились на студии, я сразу начал выдавать идеи, мы записали несколько демок, что-то продали в Black Star, еще куда-то. В общем, дело сразу пошло. И вот уже почти пять лет мы работаем вместе, решая все наши творческие вопросы в полном взаимопонимании.
Ты предвзят к своему творчеству? Я очень придирчив и дотошен до любых деталей. Правда, это пришло с возрастом: когда был помладше, на многое закрывал глаза — ввиду недостатка опыта. Сегодня я ощущаю себя достаточно сформированным, но продолжаю развиваться, изучать и открывать что-то новое.
Как ты в принципе понимаешь, что эта песня точно твоя? Для себя писать гораздо сложнее, особенно когда ты только ищешь свой стиль. Раньше, чтобы найти то самое звучание, я много экспериментировал, и, конечно, это было непросто. Взгляд со стороны объективнее, поэтому продюсировать кого-то всегда легче.
К счастью, сегодня уже есть понимание, как должна звучать моя музыка и как я должен звучать в ней. Поэтому и вопрос, кому должна принадлежать будущая песня, особенно не стоит: еще в процессе создания трека я понимаю, кто должен его исполнять. Как началось твое сотрудничество с разными российскими артистами вроде Валерии и Zivert? После знакомства с Сергеем Слэмом всё и понеслось.
В фокусе особого внимания темы, волнующие жителей Кемерова, Новокузнецка и Кемеровской области. В разделах «Бизнес» и «Компании» мы публикуем деловые новости и аналитические материалы об экономике региона. В «Фоторепортажах» и «Видео» зрители погружаются в происходящее в регионе так, словно побывали на месте событий и видели всё своими глазами.
И тут же Кривых в нападении получил свой пятый фол. Лучшим снайпером встречи стал форвард хозяев Тимофей Ващенко, два года назад признанный MVP Первенства России среди юниоров 2006 года рождения. Он набрал 20 очков при отличной реализации средних бросков 9 из 11. Немного сбился прицел у капитана петербуржцев Артемия Кошева. Тем не менее, он имел неплохие шансы замахнуться на трипл-дабл — 7 очков, 9 передач и 8 подборов. На 1-й минуте Иван Миронов набрал 5 очков подряд, а затем пермяки самоотверженно не позволяли армейцам уйти в отрыв. Максимальное преимущество прошлогоднего победителя долгое время составляло 8 очков — столько москвичи вели четырежды по ходу второго и третьего периодов.
Чтобы даже просто переключая кнопки, даже не верующие люди, останавливались на нем и начинали смотреть и слушать: узнавать, что над нами всеми Бог! Давайте вместе стремиться к этой — даже не мечте, а вполне достижимой цели. С Богом!
Итоги Открытого кубка Москвы
| Итоги Открытого кубка Москвы | Предлагаем поддержать Кирилла Ермакова в народном голосовании в рамках Национальной премии «Россия – страна возможностей». |
| Институт востоковедения Российской Академии Наук | Персона: Кирилл Ермаков. Фигуристы тамбовской школы продемонстрировали программы. |
| Внезапно: Кирилл Ермаков | Кирилл Ермаков.» на канале «ТВН Новокузнецк» в хорошем качестве и бесплатно, опубликованное 12 декабря 2023 года в 6:43, длительностью 00:25:10. |
| В Курске пропал 19-летний парень на велосипеде | Кирилл Ермаков был одет в чёрную футболку с оранжевым принтом, чёрные джинсовые шорты и чёрные кеды. |
Выбрать период времени:
- Читаем дальше
- Ермаков Кирилл Юрьевич
- Фронт 42: еще
- Ермаков Кирилл Юрьевич
- Основная навигация
Воронежцев просят помочь в поисках 19-летнего парня на велосипеде
В нашей группе в обсуждениях Кирилл Ермаков оставил о себе развернутый комментарий, если быть точнее, сочинил целое стихотворение. Назначены арбитры и инспекторы на матчи 26-го тура РПЛ. Ермакова Кирилла Владимировича. Ушел из жизни замечательный человек, интеллигентный, умный, добрый, порядочный, много времени и сил отдававший обучению. Адвокат Кирилл Ермаков рассказал, как капитан ФСБ и оперативники заставляли ее признать свою вину, а заместитель окружного прокурора запросила 5 лет лишения свободы. 3. Кирилл Ермаков (Москва) / Александр Хромов (Москва). Девушки до 16 лет.
В Рязани прошел турнир по армейскому рукопашному бою среди детей
Isox предельно честно рассказал о своей работе, о блеке, об анонимности и о взрослой ИБ в целом. Итак, знакомься — Кирилл «isox» Ермаков, главный безопасник QIWI! Свежие новости и статьи по теме «Кирилл Ермаков» на Телепрограмма. Видеогалерея. Главная Лица Партии Ермаков Кирилл Юрьевич.
«Очень боялись, что не успеем расписаться». Жена срочника рассказала, как он погиб под Белгородом
Юбилейная, д. Главный редактор Халетина М. Электронная почта редакции: tvmaria2011 mail. Размещение и изготовление рекламы по email: tvmaria2011 mail.
А девелопер не считает. Вот разница мышления безопасника и девелопера.
Разработчик просто не знает, что можно вот так, да и все. В этом и состоит работа корпоративного безопасника — объяснить девелоперу, что user input бывает зловредным. Вот тогда сразу весь код становится секьюрным. У пентестеров тоже не все хорошо, они не знают, как писать безопасный код. Вот приходит ко мне человек, вроде скилловый.
Нашел инъекцию, все рассказал. Ну а дальше-то что он будет с этим делать? Как он объяснит программистам, как надо сделать правильно? Он же никогда не писал бэкенд, для него параметризованные SQL-запросы — это неизвестное словосочетание, он не знает про технологии защиты. Не знает, что делать concat в SQL-запросе теперь даже разработчики не советуют.
Не потому, что это несекьюрно, а просто потому, что можно случайно нарушить запрос и все поломается. Вот в этом беда современных пентестеров — у многих недостаточно технического бэкграунда. Они уже знают, как поломать, но не знают, как защититься. О работе и о том, кто приходит собеседоваться Говорят, если человек чего-то не знает, но горит желанием — его возьмут. У меня так не работает.
Есть минимальный чек-лист — стандартные двадцать вопросов, по которым я гоняю соискателя. И по плюсам начинаем разговаривать. Это такие опорные точки для диалога, чтобы копнуть знания. Вопросы из самых разнообразных областей, в основном база. Она позволяет общаться на одном языке.
Не только внутри команды, но и с разработчиками и эксплуатацией. Если ты придешь к админам и скажешь поставить вот такой параметр ядра вот в такое значение, то первое, что у тебя спросят: а что он делает? И почему именно в такое значение? И тут, если ты плаваешь, тебя могут просто вежливо попросить вначале разобраться самому и только потом давать советы другим. Надо, чтобы ты знал теорию.
Иначе как ты будешь секьюрить, если ты не знаешь, какую информацию надо защищать? Знание комплаенса, хоть в общих чертах, нам очень важно. Но это не будет стоп-сигналом на самом деле. Если чел скилловый, этому мы научить можем. Дальше — про вебочку.
То есть мне не нужно слушать байки про XSS. Вначале надо вообще разобраться, на чем строится безопасность веба, как вообще браузер работает хоть в общих чертах :. Eсли мы здесь ни о чем не поговорили, значит, дальше мы расходимся. Следующий вопрос — методы сегментации сети. Крутой вопрос.
Типовой безопасник, который ко мне приходит, вообще никогда не видел большую сеть, и, что с ней делать, он точно не знает. Этот вопрос, по правде говоря, можем простить. Если человек всегда работал «с той стороны» читай: ломал извне , естественно, он не знает, как секьюрить корпоративные сети. Мы ищем у человека общее понимание, как работает сеть. Если он знает, что такое IP-адрес, и на этом его понимание заканчивается — not really cool.
Надо уметь читать чужой код и понимать его концепцию, идею, а не кусками пытаться что-то уловить. Видел когда-нибудь код на Spring и Struts? Он же совершенно нечитабелен, пока не повернешь голову под определенным углом. Если мы возьмем к себе чувака без понимания и дадим ему наши 19 миллионов строк кода на Spring, он сможет нам в чем-то помочь? Не думаю.
Об анонимности Базовый принцип безопасности — разделяй дом и работу. То есть машину, на которой ты что-то делаешь, и машину, на которой ты ничего не делаешь. На одном компьютере ты хакер-мегапавнер, на другом — обычный Вася, и будет счастье. Если этого не делать, рано или поздно ты ошибешься. Тебя сливают именно те данные, которые ты вводишь сам.
Никто, кроме тебя самого, тебя не сдаст. Настроил все как бы секьюрно — Tor, виртуалка, а потом лезешь на свой блог проверять, работает ли интернет :. Если мы говорим про «защиту об блеков», это разделение машин очень хорошо работает. Заведи два компа. И вот другая машина, на которой ты занимаешься всякой фигней.
Ну поймаешь ты малварь, ну похекают тебя. А на машине ничего ценнее пароля от одноразовой почты нет. Надо иметь разные физические машины. Виртуалки — это тлен. Отдельная машина, только так.
Виртуалки удобны, но рано или поздно спутаешь браузеры, все путают. Собственно, так обычно блеков и ловят, они сами палятся. Возьми хотя бы VPN. Ты работаешь, павнишь что-то. VPN моргнул на секундочку — и этого хватило.
Всего один пакет, и отсветился твой реальный IP. Провайдер пишет трафик, три месяца минимум. Один-единственный трейс — и finita la comedia. Ломать из-под «мака» — вообще дурная затея, там слишком много intercommunications. Ни один Little Snitch тебя не спасет.
Никто не знает, что там в точности происходит, — вдруг OS X стучит на более низком уровне в обход всех твоих VPN и файрволов? Если тебе надо захайдиться, есть только одна реальная схема. Едешь в Митино, там покупаешь бэушную симку, бэушную мобилу и бэушный ноут. Едешь в ближайший большой город и там делаешь то, что тебе надо.
В «Фоторепортажах» и «Видео» зрители погружаются в происходящее в регионе так, словно побывали на месте событий и видели всё своими глазами. В разделе «Дорожные камеры» мы круглосуточно ведём трансляцию с десятков городских перекрёстков и даём возможность скачивать интересующие фрагменты.
Журнал «Афиша» — это анонсы концертов и фестивалей, премьеры кино и гиды о том, как интересно провести выходные в Кемерове.
Каждый раз слышал одно и то же: «Годен. Жди повестку». Конечно, как и любая любящая пара, мы хотели создать семью. В Новый год — 2022 Кирилл сделал мне предложение, а в августе мы сыграли свадьбу. Очень боялись тогда, что его могут призвать до того, как распишемся.
Кирилл и Александра поженились в августе 2022-го Источник: Александра Максакова Осенью 2022 года, как и положено, он прошел комиссию. Но неожиданно для нас в ноябре мужа вновь пригласили в военкомат для прохождения комиссии. После этого Кирилл сказал, что по призыву недобор и, возможно, его заберут. Призвали моего мужа срочной отправкой. Мы даже понять не успели ничего — ведь обычно на сборы дают пару недель. Конечно, мы сразу поняли, что здесь что-то не так.
Все очень переживали» Александра Максакова, жена погибшего Кирилла призвали в железнодорожную бригаду Екатеринбурга. Ему предлагали контракт, но не заставляли ничего подписывать, готовили к командировке — для железнодорожных войск это обычное дело, они всегда в поездках. Но к такой командировке нас не готовили... А спустя две недели он был в Белгородской области. Со слов мужа, там они не раз попадали под обстрелы, он говорил, что условия очень тяжелые. Жена переживала, что Кирилла могут отправить в опасную зону Источник: Александра Максакова Мы связывались только в сообщениях, он писал мне каждый день.
Обстановка была тяжелая.
Портал правительства Москвы
многом другом в интервью корреспонденту РИА Новости Марии Зуевой рассказал главный технический директор Группы QIWI Кирилл Ермаков. Первая лига 2024. Игроки. Кирилл Ермаков. Кирилл Андреевич Ермаков. Ленинский районный суд а рассмотрел уголовное дело в отношении Кирилла Ермакова. ХроникаВоенная операция на УкраинеОбновлено в 14:17. Новости по тэгу.
Итоги Открытого кубка Москвы
Или они начинают разбираться, как те или иные вещи работают, и они становятся ценными кадрами AppSec. На самом деле в Enterprise нужны и те и другие. Рандомщики тоже нужны. Мы вот сейчас попали в дурацкую ситуацию. У нас есть Игорь Videns и Ваня Vancouver. Они оба из тех чуваков, которые сначала прочтут всех исходники, а потом пойдут ломать. А нам вот не хватает чувака, который просто может помахать кроличьей лапкой и попасть, куда нужно. Вот тебе пара примеров с Яндексом.
Это уже старая история, думаю — можно рассказать. Есть там такой параметр — xmlns. Единственное, что омрачало, — это то, что я при каждом новом запросе попадал на новую ноду из балансировщика нагрузки. До RCE довести не получилось, только чтение памяти было. Точно такая же история была с их почтой для домена. Я смотрю на запрос и понимаю, что мне как программисту просто было бы лень на него писать регулярку. Натравил на него sqlmap — и в базе.
Чутье — вот что нужно. Важно понимание, где с той стороны можно нахалтурить. Человек, который писал веб, становится хорошим пентестером. Потому что он понимает, что существуют вот такие уязвимости, там-то можно накосячить, понимает, как остальные пишут такие же куски. Ибо все пишут абсолютно одинаково. Например, недавно мне захотелось сделать автоматическое приведение типов на Вульнерсе. Я открываю первый топик со Stack Overflow, там советуют сделать eval.
Ты представляешь, сколько сейчас проектов в продакшене с eval? Ничего подобного! Если ты обычный программист, у тебя задача — сделать, чтобы работало. Ты просто не думаешь о том, что в инпут можно что-то еще подсунуть, особенно в запарке. У тебя голова в эту сторону не работает. Главная концепция безопасности в том, что мы считаем любой user input вредоносным априори. А девелопер не считает.
Вот разница мышления безопасника и девелопера. Разработчик просто не знает, что можно вот так, да и все. В этом и состоит работа корпоративного безопасника — объяснить девелоперу, что user input бывает зловредным. Вот тогда сразу весь код становится секьюрным. У пентестеров тоже не все хорошо, они не знают, как писать безопасный код. Вот приходит ко мне человек, вроде скилловый. Нашел инъекцию, все рассказал.
Ну а дальше-то что он будет с этим делать? Как он объяснит программистам, как надо сделать правильно? Он же никогда не писал бэкенд, для него параметризованные SQL-запросы — это неизвестное словосочетание, он не знает про технологии защиты. Не знает, что делать concat в SQL-запросе теперь даже разработчики не советуют. Не потому, что это несекьюрно, а просто потому, что можно случайно нарушить запрос и все поломается. Вот в этом беда современных пентестеров — у многих недостаточно технического бэкграунда. Они уже знают, как поломать, но не знают, как защититься.
О работе и о том, кто приходит собеседоваться Говорят, если человек чего-то не знает, но горит желанием — его возьмут. У меня так не работает. Есть минимальный чек-лист — стандартные двадцать вопросов, по которым я гоняю соискателя. И по плюсам начинаем разговаривать. Это такие опорные точки для диалога, чтобы копнуть знания. Вопросы из самых разнообразных областей, в основном база. Она позволяет общаться на одном языке.
Не только внутри команды, но и с разработчиками и эксплуатацией. Если ты придешь к админам и скажешь поставить вот такой параметр ядра вот в такое значение, то первое, что у тебя спросят: а что он делает? И почему именно в такое значение? И тут, если ты плаваешь, тебя могут просто вежливо попросить вначале разобраться самому и только потом давать советы другим. Надо, чтобы ты знал теорию. Иначе как ты будешь секьюрить, если ты не знаешь, какую информацию надо защищать? Знание комплаенса, хоть в общих чертах, нам очень важно.
Но это не будет стоп-сигналом на самом деле. Если чел скилловый, этому мы научить можем. Дальше — про вебочку. То есть мне не нужно слушать байки про XSS. Вначале надо вообще разобраться, на чем строится безопасность веба, как вообще браузер работает хоть в общих чертах :. Eсли мы здесь ни о чем не поговорили, значит, дальше мы расходимся. Следующий вопрос — методы сегментации сети.
Крутой вопрос. Типовой безопасник, который ко мне приходит, вообще никогда не видел большую сеть, и, что с ней делать, он точно не знает. Этот вопрос, по правде говоря, можем простить. Если человек всегда работал «с той стороны» читай: ломал извне , естественно, он не знает, как секьюрить корпоративные сети. Мы ищем у человека общее понимание, как работает сеть. Если он знает, что такое IP-адрес, и на этом его понимание заканчивается — not really cool. Надо уметь читать чужой код и понимать его концепцию, идею, а не кусками пытаться что-то уловить.
Видел когда-нибудь код на Spring и Struts? Он же совершенно нечитабелен, пока не повернешь голову под определенным углом. Если мы возьмем к себе чувака без понимания и дадим ему наши 19 миллионов строк кода на Spring, он сможет нам в чем-то помочь? Не думаю. Об анонимности Базовый принцип безопасности — разделяй дом и работу.
Так что парень, сам того не осознавая, начал «работать» еще в детстве. Но все же в жизни юного музыканта случались «депрессивные» эпизоды, когда он, как настоящий художник, избавлялся от своих работ. И если одни их рвут, то артист просто-напросто удалил с носителей. Сам объяснил такой поступок тем, что не видел в мелодиях и текстах внутреннего «Я». Будучи несовершеннолетним, одно время пахал на белорусском телевидении в качестве саунд-продюсера музыкального хит-парада, а также подрабатывал на радио. К 18 годам у Ермакова были уже приличный заработок и связи с местными звездами, но певец решил не останавливаться на достигнутом. В 2015 году 19-летний парень участвовал в четвертом сезоне вокального телешоу «Голос». Но на слепом прослушивании ни один из членов жюри не нажал заветную красную кнопку. Представляем, как они, наверное, жалели, когда узнали, насколько талантлив Кирилл. Спустя несколько лет исполнитель отправился вновь покорять Златоглавую. Поездка в конечном счете оказалась очень плодотворной: в 2018-м он стал финалистом отборочного конкурса на «Евровидении» благодаря этому о нем узнала московская тусовка , и плюс ко всему певец познакомился с рэпером-продюсером Сергеем Slem. Вообще нельзя не отметить упорство Ермакова. В 2018 году была не первая его попытка принять участие в песенном конкурсе. Исполнитель пытал удачу, еще будучи ребенком, в 2007, 2008 и 2009 годах в отборе на детское «Евровидение». Всякий раз победа выскальзывала из рук мальчишки, но он зря времени не терял и выступал в качестве композитора песен для выигравших. Знакомство с Сергеем закрепило Кирилла на некоторое время в Москве. В тандеме ребята клепали хиты для многих звезд отечественного шоу-бизнеса.
Сайт использует IP адреса, cookie и данные геолокации Пользователей сайта, условия использования содержатся в Политике по защите персональных данных.
Telegram Нашли ошибку в тексте? RU — региональный сайт Кузбасса. Рассказываем читателям обо всём, что происходит в регионе и за его пределами.
Ермаков Кирилл Михайлович
Как следует из данных ЕГРЮЛ, с 24 марта генеральным директором вместо Виктора Белозерова стал Кирилл Ермаков. Кирилл Ермаков был одет в чёрную футболку с оранжевым принтом, чёрные джинсовые шорты и чёрные кеды. Новый фигурант дела о теракте в подмосковном "Крокус Сити Холле" ранее мог быть арестован на 15 суток за мелкое хулиганство, сообщили РИА Новости в Хорошевском. Мы уже сообщали, что в Курской области исчез 19-летний Кирилл Ермаков. В прошедшую пятницу, 28 августа, он ушел в неизвестном направлении и не вернулся.
GOLDCAPPER
- Навигация по страницам
- Ермаков Кирилл Юрьевич
- В Курске ищут 19-летнего парня с велосипедом
- Давайте знакомиться!
В Брянской области завершились поиски 19-летнего Кирилла Ермакова
Турнир по свободной пирамиде [Lobov Billiard] 2 стол. Трансляция закончилась 4 месяца назад Ермаков Кирилл "PS" син. Гость в студии - Кирилл Ермаков. Трансляция закончилась 4 месяца назад Ермаков Кирилл 11 лет 21.
Хотите предложить свою новость - вам сюда.
Читайте также.
Юбилейная, д.
Главный редактор Халетина М. Электронная почта редакции: tvmaria2011 mail. Размещение и изготовление рекламы по email: tvmaria2011 mail.
Большинство хакеров отличается тщеславием. Мы что-то похекали и сразу же бежим всем рассказывать: «Я похекаль! Я молодец! Ты только зацени, как я могу! Есть огромное количество людей, которые за небольшие деньги готовы сливать, что происходит на блекфронте. Блеков бывших не бывает. Тут вопрос в том, как работает твоя голова.
Если она хоть раз позволит тебе совершить противоправное действие, она позволит и второй, найдя для этого достаточное оправдание, чтобы ты не считал себя виноватым. Те, кто блечил, не могут попасть на работу в крупные компании. Человеку, который согрешил один раз, больше веры нет. Ресурсы, которые нам придется тратить на то, чтобы этого человека контролировать, будут больше, чем тот профит, который он принесет, добавляясь в нашу команду. Конечно, есть блек по дурости. Например, поломал IBM, а у них нет bug bounty. Ну пошел и сдал им.
Но это не блек, это grey: ты ломаешь ради фана. Нашел багу, посмотрел на нее и пошел дальше. Другое дело, когда ты поломал что-то ради наживы. После этого тебе закрыт вход в любую большую компанию. Все твое прошлое раскопают, и никто с тобой больше разговаривать не будет, потому что ты можешь натворить это еще раз. O Vulners Я еще в «Позитиве» говорил: мы написали крутой движок для сбора данных об уязвимостях. Давайте сделаем бесплатную открытую базу багов?
Ценность в том, что в базе контент нормализованный. Это не человекочитаемый формат, а машиночитаемый. Нужно где-то взять исходное описание бага, распарсить, выяснить, где у него описание, где версионные проверки. Мой движок все это умел, и я хотел дать все это бесплатно и всем. Однако скоро я ушел из PT, и все, что написал по этой теме, пришлось оставить. Я очень хотел довести проект до паблика, но формально не мог использовать код, написанный в Positive Technologies для MaxPatrol. Но человек, который написал что-то один раз, сможет написать что-то и второй.
Я просто взял и с нуля сделал все то же самое — свой фреймворк для парсера и для обработчиков — и запустил базу, о которой мечтал. Так родился Vulners. Сейчас проекту год, и у нас уже 500 уникальных активных юзеров в день, которые как-то нами пользуются. Ну и два десятка человек, которые спрашивают, куда задонатить :. За этот год я уже три раза переписал Вульнерс, это видно по API. Конечно, Vulners я запилил не в одиночку. У нас была старая команда из PT.
Они и подключились. Ребята знают тему не понаслышке и сами используют Vulners в повседневной работе. Это просто наше желание сделать мир лучше. Мы бы все равно придумали что-то похожее в QIWI, ну так что бы не сделать самим, покрасить в оранжевый цвет и дать всем пользоваться бесплатно? Я никогда не искал инвесторов. И не хочу. Они заходили, но я не понимаю, зачем мне деньги в этом проекте.
Сейчас приходит инвестор с улицы и говорит мне: «Я даю тебе двадцать миллионов на три года». А я за это должен кодить то, что зарабатывает деньги. Блин, я не хочу кодить то, чего они хотят. Я хочу кодить то, что мне интересно. Функционал базы знаний с удобным API останется бесплатным навсегда. Если я вдруг решу, что какой-то дополнительный функционал стоит денег, — ну что же, придется прикручивать кнопку оплаты. О программистах, хакерах и безопасниках Что-то поломать, поовнить или денег заработать — нормальная мотивация, это должен пройти каждый.
Люди таким образом развивают себя, AppSec. Просто дальше есть два пути. Первый — они продолжают втыкать кавычку куда ни попадя и находить фигню, это так называемые рандомщики. Или они начинают разбираться, как те или иные вещи работают, и они становятся ценными кадрами AppSec. На самом деле в Enterprise нужны и те и другие. Рандомщики тоже нужны. Мы вот сейчас попали в дурацкую ситуацию.
У нас есть Игорь Videns и Ваня Vancouver. Они оба из тех чуваков, которые сначала прочтут всех исходники, а потом пойдут ломать. А нам вот не хватает чувака, который просто может помахать кроличьей лапкой и попасть, куда нужно. Вот тебе пара примеров с Яндексом. Это уже старая история, думаю — можно рассказать. Есть там такой параметр — xmlns. Единственное, что омрачало, — это то, что я при каждом новом запросе попадал на новую ноду из балансировщика нагрузки.
До RCE довести не получилось, только чтение памяти было. Точно такая же история была с их почтой для домена. Я смотрю на запрос и понимаю, что мне как программисту просто было бы лень на него писать регулярку. Натравил на него sqlmap — и в базе. Чутье — вот что нужно. Важно понимание, где с той стороны можно нахалтурить. Человек, который писал веб, становится хорошим пентестером.
Потому что он понимает, что существуют вот такие уязвимости, там-то можно накосячить, понимает, как остальные пишут такие же куски. Ибо все пишут абсолютно одинаково. Например, недавно мне захотелось сделать автоматическое приведение типов на Вульнерсе. Я открываю первый топик со Stack Overflow, там советуют сделать eval. Ты представляешь, сколько сейчас проектов в продакшене с eval? Ничего подобного!