​Как создать простой троян на Python

Чтобы поймать преступника, нужно мыслить, как преступник. А чтобы понимать, как вредоносное ПО может испортить вам жизнь, нужно создать такое ПО самому.

Для этого вам потребуется изучить общие принципы разработки вредоносных программ, а также создать «холостой» троян, который не сможет никому навредить, но даст вам чёткое представление, как устроены подобного рода вредоносы. Подробнее:

https://cryptoworld.su/kak-sozdat-prostogo-troyana-na-python/

#безопасность

Осторожно! В репозитории PyPI выявлены вредоносные пакеты, нацеленные на кражу криптовалюты

В каталоге PyPI (Python Package Index) выявлено 26 вредоносных пакетов, содержащих в скрипте setup.py обфусцированный код, определяющий наличие идентификаторов криптокошельков в буфере обмена и меняющий их на кошелёк злоумышленника. Подмену выполняет сценарий JavaScript, который встраивается в браузер.

Вот полный список вредоносных пакетов, которые подменяют номера криптокошельков: baeutifulsoup4, beautifulsup4, cloorama, cryptograpyh, crpytography, djangoo, hello-world-exampl, hello-world-example, ipyhton, mail-validator, mysql-connector-pyhton, notebok, pyautogiu, pygaem, pytorhc, python-dateuti, python-flask, python3-flask, pyyalm, rqeuests, slenium, sqlachemy, sqlalcemy, tkniter, urlllib.

Подробнее:
https://www.opennet.ru/opennews/art.shtml?num=58067

#новости #безопасность #PyPI

​Ломаем текстовую капчу на примере VK или брутфорсинг до сих пор актуален

Капча — автоматизированный тест Тьюринга, помогающий отсеивать подозрительные действия недобросовестных роботов от реальных людей. Но текстовая капча сильно устарела, тем не менее, её до сих пор используют популярные сервисы. В том числе и VK.

В этом мануале показали, как создать собственную нейросеть по распознанию текстовых капч, имея под рукой домашний компьютер, базовые знания в Python и немножко примеров капч: https://habr.com/ru/post/673440/

#нейросети #безопасность

​Механизмы безопасности: шпаргалка для Python-разработчиков

Несколько толковых советов про работу с внешними данными, сканированию кода, загрузке пакетов, сериализации данных, форматированию строк и другим мерам безопасности:

https://snyk.io/blog/python-security-best-practices-cheat-sheet/

#безопасность

​Как использовать инструменты статического анализа в Python

Cтатические анализаторы кода здорово оптимизировали разработку приложений. Они избавляют от необходимости искать ошибки и уязвимости в системе продакшн или среде развертывания, указывая участок предполагаемого сбоя на основе типизации и других подсказок кода.

В статье подробно разобрали несколько инструментов статического анализа с открытым ПО для Python, включая Bandit и Radon. Bandit находит уязвимости в коде, а Radon генерирует метрики о сложности и удобстве сопровождения кода: https://nuancesprog.ru/p/17267/

#лучшиепрактики #безопасность

​Особенности работы с русской кодировкой при загрузке файлов через aiohttp

Если работали с aiohttp, вы наверняка натыкались на баги с битой кодировкой. Если да, то вот небольшая статья на несколько минут чтения, в которой разработчики рассказывают о своём опыте столкновения с этой ошибкой и её фиксом.

#лучшиепрактики #безопасность #библиотека

​Pyscan для поиска уязвимостей

Инструмент отыскивает бреши в зависимостях вашего проекта. Он пройдётся по логам poetry, hatch, filt, pdm и прочих менеджеров пакетов, а также прочитает requirements.txt и pyproject.toml. Запускается в прямо в директории проекта командой:

pyscan

Репозиторий на GitHub

#безопасность

Freeway — инструмент пентестеров для взлома Wi-Fi

Не все хакеры плохие. Есть те, кто специально ищут эксплойты в коде, чтобы передать их разработчикам до того, как их обнаружат злоумышленники.

Это касается и безопасности Wi-Fi сетей, которые они проверяют с помощью утилиты Freeway для Python.

Если хотите проверить свои силы в пентесте на собственной домашней сети, то по ссылке найдёте инструкцию по установке и использованию:

https://github.com/FLOCK4H/Freeway

Использовать только для этичного хакинга и проверки собственной безопасности!

#безопасность #пентест

Популярная ИИ-библиотека Ultralytics заразилась

Под удар попала легендарная YOLO. Злоумышленники внедрили криптомайнер в версию 8.3.41, распространяя вредоносный код через платформу PyPI. Уязвимость была в процессе автоматической сборки. Инцидент привёл к значительному росту загрузки процессора у пользователей.

А вы знаете какой-нибудь индекс проверки опенсорса на предмет заражений, как haveibeenpwned.com для паролей? Поделитесь в комментариях.

#computervision #безопасность

@zen_of_python

Как настроить аутентификацию в веб-приложениях на Django

В Tproger рассмотрели основные способы настройки аутентификации в веб-приложениях на Django, начиная с базового входа и регистрации и заканчивая интеграцией с социальными сетями и кастомными моделями.

#безопасность #django

@zen_of_python