Вы не знаете CSS: вопросы о CSS с ответами

Пожалуйста, не воспринимайте эти вопросы серьёзно. Мы просто весело проведём время. Плюс попробуем узнать что-то новое. Ведь у каждого вопроса будет ответ. И вы тоже можете оставить свой в комментариях.

Фишинг «для своих»: нюансы организации учебных рассылок

Поговорим о фишинге, но не о том, который используют злоумышленники, а о его «белой», легальной версии — учебных фишинговых рассылках. Разберёмся, с какими подводными камнями можно столкнуться во время таких тестов и почему простая рассылка писем — это только верхушка айсберга. Мы погрузимся в мир корпоративной кибербезопасности, рассмотрим реальные кейсы из практики и обсудим, как правильно подойти к организации учебного фишинга.

Рейтинги языков программирования: что за ними скрывается

Помочь с выбором языка программирования призваны рейтинги их популярности. Однако тут легко обмануться. Каждый рейтинг составляется по своей методике и даёт разные результаты (порой — весьма неожиданные). В этой статье автор постарался сделать более взвешенную оценку популярности языков программирования по нескольким источникам.

Уничтожаем камеру видеонаблюдения РУВЕР

В прошлый раз мы сжигали камеру лазером, а на этот раз будем засвечивать её ИК-прожектором, УФ-лампой, видимым фонарём, бить шокером и заливать аэрозолью! Давайте же узнаем, что из этого сможет ей навредить.

Три кита из мира шутеров. Часть первая

Для начала отправимся в середину 90-х годов. В то время на свет, благодаря стараниям известнейшего режиссёра Стивена Спилберга и бывшего руководителя анимационного подразделения «Диснея» Джеффри Катценберга, появилась компания DreamWorks, что начала клепать фильмы и мультфильмы, причём весьма успешные. И спустя год после основания, под крылом гиганта при сотрудничестве с Microsoft родилась студия DreamWorks Interactive, что должна была производить видеоигры.

Упомянутый выше Спилберг был большим поклонником этого вида развлечений, и однажды, увидев, как его сын играет в шутер GoldenEye 007, решил создать что-то зрелищное и интересное для юного поколения. За спиной режиссёра к концу десятилетия уже был успешный фильм «Спасти рядового Райана», а потому Спилберг решил перенести атмосферу сражений Второй Мировой в видеоигру. Да ещё и сделал этот проект эксклюзивом для PlayStation 1. Так в 1999 году вышла самая первая часть Medal Of Honor.

Почему QR-коды в верхнем регистре меньше, чем в нижнем?

Взгляните на эти два QR-кода.

Можно чётко заметить, что слева QR-код «меньше», то есть в нём меньше битов данных. Оба ведут на один и тот же URl, единственное различие заключается в регистре.

Разбираемся, что здесь происходит

«Чем ближе к вокзалу, тем хуже кебаб?»: «исследование»

Во французском сабреддите есть пост с интересной гипотезой:

«Чем ближе точка к вокзалу, тем хуже там кебаб»

Пост привлёк большое внимание, учитывая относительно небольшой размер сабреддита; это доказывало, что многие с ним согласны. Впрочем, в комментариях были и критики, рассказывающие истории, противоречащие сформулированной гипотезе.

Автор решил, что стоит пожертвовать немного своего времени на благую цель — проведение этого неформального «исследования».

Почему observability — это не только Grafana и Prometheus

Вы видите красивые графики в Grafana, алерты настроены, метрики собираются — значит, всё под контролем? На самом деле, нет. Когда в продакшене что-то пойдёт не так, Prometheus покажет скачок latency, но не объяснит, почему это произошло. Логи могут не содержать нужных данных. Трейсов нет. Итог — часы расследования, хаотичные гипотезы, поиски иголки в стоге сена.

Observability — одно из тех модных слов, которые часто понимают неправильно. Для многих оно сводится к связке Grafana + Prometheus, не более. Однако в реальных системах наблюдаемость — это больше, чем просто красивые дашборды с метриками. Разберёмся, почему классический стек не покрывает все задачи, какие альтернативы есть на рынке и как построить современный observability-стек.

«Если вы хоть раз пробовали паять BGA-чипы дешёвым термофеном, наверняка сталкивались с проблемами перегрева плат и неравномерного потока воздуха. Когда я стал заниматься ремонтом электроники, у меня была дешёвая станция 858D. Потом по случаю приобрёл более профессиональную и дорогую AOYUE Int968. По сравнению с предыдущей — небо и земля, всё нравилось. Но это только сначала. А вот со временем у меня появились поводы для недовольства. В итоге решил купить профессиональную — выбор пал на QUICK 861DW. В этом посте расскажу, почему она стоит своих денег, чем лучше бюджетных аналогов и покажу пример работы с ней»

QUICK 861DW: профессиональный термофен, который меняет подход к ремонту

«В 2021 году я только начинал свой путь в наступательной безопасности. Я уже взломал довольно много компаний и получал стабильный доход охотой за баг-баунти — практикой этичного хакинга, при которой исследователи безопасности находят уязвимости и сообщают о них, получая за это вознаграждение. Однако я ещё не достиг уровня, позволившего бы мне быстро обнаруживать критические уязвимости цели. Этот уровень умений казался мне недостижимым. Но всё поменялось, когда я познакомился с человеком, ставшим ключевой фигурой в моей карьере баг-баунти: Snorlhax.

Поначалу я видел в нём конкурента. Он был намного выше меня во французской таблице лидеров HackerOne, что стимулировало меня расти над собой. Мы начали общаться в Discord, и спустя несколько недель я рассказал ему о многообещающей программе баг-баунти. Вскоре после этого он обнаружил у этой цели критическую уязвимость, оценённую в 10000 долларов — сумму вдвое больше, чем максимальная полученная мной от этой же цели. Мотивировавшись этим, я вернулся к этой же цели и за ту же неделю нашёл собственную критическую уязвимость за 10000 долларов в другом классе багов.

Вместо того, чтобы продолжать состязаться, мы решили сотрудничать. Теперь нашей задачей стало выявление у этой цели всех возможных классов багов: IDOR, SQL-инъекций, XSS, багов OAuth, Dependency Confusion, SSRF, RCE и так далее. Все их мы нашли, сообщили компании и написали отчёты. Это сотрудничество длилось несколько лет, и даже сегодня мы время от времени снова возвращаемся к этой цели.

Однако недостижимой оставалась одна задача: обнаружение «чудовищной уязвимости». Это должен быть настолько критичный баг, что нам выплатят нестандартное вознаграждение, намного превышающее обычные выплаты. Это стало для нас главной целью.

В посте я расскажу, как мы со Snorlhax наконец-то этого добились»

Как взломать цепочку поставок и получить 50 тысяч долларов

ООП: худшее, что случалось с программированием

Попробуем разобраться, почему ООП — худшее, что было придумано в программировании, как оно стало таким популярным, почему опытные программисты Java (C#, C++ и т. п.) в принципе не могут считаться крутыми инженерами, а код на Java — хорошим.

Citibank по ошибке перевёл клиенту $81 триллион, хотя нужно было перевести $280. Ошибка произошла из-за невнимательности двух сотрудников, обрабатывавших транзакцию. Перевод был одобрен, и только когда третий специалист обнаружил несоответствие в балансе счетов и отменил операцию спустя полтора часа после отправки, средства вернулись на счёт банка.

#финансы #ТехническиеШоколадки

Дикая Java

Безопасный язык, говорили они. Чёткая спецификация, говорили они. Java не даст вам выстрелить себе в ногу, и прочее, и прочее. Реальность же оказалась куда веселее официальной документации. Ибо JVM темна и полна ужасов.

Догфудинг, ИИ-помощники, кодонавигация: самое интересное про SourceCraft, новую платформу для разработки от Яндекса

Сегодня Yandex B2B Tech в режиме технического превью открывает пользователям доступ к SourceCraft — платформе для разработки полного цикла, которая помогает создавать исходный код, управлять версиями, заниматься тестированием, сборкой, деплоить и сопровождать программные продукты. Её история началась в Yandex Infrastructure — эта команда развивает инструменты для создания и развёртывания приложений и сервисов внутри Яндекса и поддерживает инфраструктуру, на которой работают большинство разработчиков компании. Во многом поэтому значительная часть идей для новой платформы возникла благодаря догфудингу — практике использования собственного продукта командой его создателей.

Узнаем, каково это — делать платформу для разработки, одновременно используя эту же самую платформу для написания кода, тестирования, проверки пул‑реквестов, сборки и деплоя