RSS
Поиск
09.10.2023


Палю годноту: Ventoy + Kali Linux + wifite Данная связка позволяет записать на USB-флешку загрузочный образ Kali, в который входит прекрасная утилита wifite, которая максимально автоматизирует взлом исследование безопасности беспроводных сетей! Гайд по записи флешки. Гайд по использованию wifite. Ventoy — это офигенный загрузчик ОС прям с ISO-образов! С помощью Ventoy2Disk.exe записываете загрузчик на флешку и потом просто кидаете скачанный образ LiveUSB с сайта Кали. Дальше загружаетесь и просто запускаете wifite — программа всё сделает сама: переключит сетевую плату в режим мониторинга, начнёт сканировать сети. Далее останется только выбрать цель, и она начнёт перебирать уязвимости. Однако, для современных роутеров быстрые способы малоприменимы. Мне по сути удалось только поймать WPA handshake для пары сетей, а дальше остаётся лишь подбирать пароль брутфорсом (благо в офлайне). Так что раздача трафика с телефона в полевых условиях остаётся незаменимой. Надеюсь, ФАС действительно прижучит ОпСоСов за взимание дополнительной платы за эту услугу. Ну и внешний Wi-Fi адаптер с более мощной антенной — тоже не будет лишним для подобных мероприятий. Хотя бы старенький TP-LINK TL-WN722N (полный список). А у вас был успешный опыт взлома беспроводных сетей? Делитесь в комментариях ░░░! Большое спасибо @arisudesu и @gepab за информацию при подготовке материала!
08.10.2023


Вообще я хотел в этом посте ещё посоветовать сайт с лимитами для Telegram, но ВНЕЗАПНО, там не оказалось лимита для inline-запросов. А вообще там удобно смотреть ограничения при проектировании ботов
08.10.2023


@textUtilsBot v2.4.0 Добавил два новых обработчика ссылок: 1️⃣ очищает ссылку от utm_*-меток и длинной части для подсветки искомого текста, которую нынче генерирует Гугл (однако стоит помнить, что через inline-режим Telegram умеет кушать только до 256 символов); 2️⃣ применяет InstaFix к ссылкам из Инстаграма*, чтобы фото и видео оттуда можно было легко встраивать ссылкой в сообщения. * принадлежит компании Meta, признанной в РФ экстремистской организацией
26.09.2023


Ура! Сайт снова в строю! 🥳
26.09.2023


Кажись, Телеграму плохо (ну или сети провайдера) 🤔 UPD: заработало
26.09.2023


Когда админишь сервак и Bash, как командир, постоянно бьёт тебя, кроме единственного дня в году, когда ты можешь разгуляться и писать shell-скрипты без ошибок, учитывая все аспекты и особенности безопасности, описанные в ShellCheck'е… #минуткаАнглийского
24.09.2023


На инфраструктуру хостера сейчас идёт DDoS атака. @SadFavBot и @LocPlaceBot могут отвечать с задержками. Прошу прощения за возможные неудобства, отсутствие репликации и возможности переключиться на другой инстанс. UPD: вроде как всё починили и с понедельника должно работать нормально
21.09.2023


🔴 Monitor is DOWN: Kozalo.Ru ( https://kozalo.ru ).
21.09.2023


Вот недавно товарищ @arisudesu жаловался на то, что хостинг резко поднял тарифы без предупреждения. Мой же первый хостинг, который располагается в Чикаго, решил не уведомлять даже о просроченном платеже, в результате чего основной сайт пока полежит какое-то время из-за нетривиальности проведения платежей в 2023 году даже при наличии карт иностранных банков
17.09.2023


Хочу поделиться своими разочарованием и восхищением дня. Вчера начал писать нового бота, нацеленного на более широкую и игровую аудиторию, раз уж сложные и полезные боты оказываются слишком непонятыми у широкой аудитории, и выбирал для него технологический стек. Я очень хотел попробовать Kotlin Native, поскольку сам язык мне очень симпатичен и в целом хотелось бы найти что-то среднее между Go и Rust'ом. То есть мой идеал — это: 1️⃣ компилируемый в статический бинарь 2️⃣ типизированный и выразительный язык 3️⃣ с лаконичным современным синтаксисом и без лишних усложнений, 4️⃣ со сборщиком мусора, 5️⃣ с первоклассной поддержкой от компаний, IDE и сообщества, с богатой экосистемой. К сожалению, от Котлина опять пришлось отказаться по ряду причин: 1️⃣ первая же библиотека в Гугле для создания ботов в Тг — это по сути просто мапинги датаклассов; 2️⃣ при этом без собранных артефактов под Винду в Maven Central (да, сборка тут происходит ужасно медленным после Go и Cargo Gradle'ом и артефакты под каждую платформу грузятся в привычный для джавистов репозиторий) ; 3️⃣ виндовый таргет у Котлин Нейтив — это не нативная поддержка, а MinGW; 4️⃣ клиент Ktor'а требует для своей работы сторонних движков: либо заточенных под конкретную платформу, либо якобы универсальный CIO, под который не нашёлся артефакт для моей платформы 😀; 5️⃣ очевидно, инструментал и удобство хуже, чем у настоящих нативных языков, потому что приоритет для Мультиплатформы и Нейтива — это мобильная разработка под Android и iOS (где, вероятно, он себя чувствует куда лучше, но под мои цели — под бэк — увы, не подходит); 6️⃣ gRPC тоже идёт лесом. Так что пришлось вернуться обратно в мир Раста и в очередной раз офигеть с мощи библиотеки Teloxide. В ней не так просто разобраться, потому что примеров не очень много, манера использования системы типов и макросов достаточно недружелюбны к новичкам. Но когда всё-таки путём проб и ошибок, чтения кода и комментариев, доходишь до того, что задумал автор, остаётся только удивляться и восхищаться. Вот свежий пример: мне нужно было пробросить в хэндлеры объект пула подключений к СУБД. Как это сделать? Статическая глобальная переменная? Захват нарушает сигнатуру. А оказалось, что всё очень просто: достаточно было вспомнить, что вообще-то dptree, на которой построен Телоксид. реализует классический DI-контейнер. То есть нам достаточно просто положить нужные объекты в DependencyMap при создании диспетчера: let mut dispatcher = Dispatcher::builder(bot, handler) .dependencies(deps![establish_database_connection().await?]) .build(); Библиотека его сама завернёт в Arc и будет клонировать ссылку для… прямой передачи в аргументы хэндлера! Причём их вовсе не обязательно использовать, если они не нужны. Да, с помощью мощной системы типов и магии макросов в статически типизированном языке можно писать хэндлеры, принимая только необходимые аргументы, что более характерно для динамических интерпретируемых языков типа Питона! Ну а ещё я в очередной раз убедился, что сложные ORMы всегда проигрывают в простоте использования и надёжности у простых решений, когда Cargo Check напрочь повесил комп в попытке осознать магию Diesel. Всё-таки SQLx + refinery — наше всё!
15.09.2023


А что с @LocPlaceBot? Давно не писал про бота местоположений, хотя периодически выпускал к нему обновления, что было видно по Гитхабу, и текущая версия уже значится как 0.2.4. Какое-то время результаты поиска в нём сильно проседали, особенно по России. Это связано с завершением пробного периода использования Google Maps API и переходом на использование бесплатных данных из OpenStreetMap. Поняв, что их качество оставляет желать лучшего, пришлось искать другие варианты: ➖в 2ГИС меня быстро послали: они предоставляют свои услуги только на возмездной основе, причём от 60 000 рублей в год. ➖поэтому теперь поиск по России осуществляется преимущественно с данных Яндекс.Карт. Правда, бесплатно они позволяют пользоваться только геокодером, а поиск по организациям тоже скоро отвалится после окончания пробного периода. ➖а ещё, изучив подробнее документацию по Google Maps Platform, я понял, что они дают по $200 в месяц для бесплатного использования API (free tier), а также там можно установить дневные лимиты по запросам и предупреждения о скором исчерпании бюджета, чтобы не влететь случайно на бабки, поэтому согласился подключить полный платёжный аккаунт и теперь данные оттуда используются в крайнем случае, когда поиск по предыдущим поставщикам не дал никаких результатов. Дополнительными мерами защиты от банов по IP и лишних денежных затрат стали: ➖локальное кэширование запросов в памяти; ➖лимиты количество запросов от одного пользователя за единицу времени; ➖возможность динамического отключения поставщиков данных без пересборки приложения. Так что теперь всё должно снова работать как минимум удовлетворительно. И раз уж сегодня пятница и многие будут договариваться с друзьями, где и как провести вечер, можете смело искать и отправлять локации из @LocPlaceBot! Всем хороших выходных! P.S. И всех коллег с нашим прошедшим профессиональным праздником, о котором я успешно забыл! 🎉
08.09.2023


Читатель написал, что хоронить UDP ещё рано, поэтому добавил всё-таки в конфиг и inbound для Shadowsocks-2022, а также прикладываю в комментах картинку с настройками для NekoBox. На телефон экспортируется точно так же
08.09.2023


08.09.2023


(продолжение) NekoRay Под Windows и Linux лучший выбор — это NekoRay (он же NekoBox). Графический клиент для двух стеков: XRay и sing-box. Что такое sing-box? Просто альтернативная реализация протоколов из v2ray-core, использующаяся в одном из ныне почивших клиентов и также известная как Project S. При запуске программы стоит выбрать именно его в качестве движка. В целом, настройка неплохо описана в оригинальной статье, но скрины и расположение элементов немного устарели, так что прикреплю свой вариант: Server → New Profile → дальше параметры по аналогии с картинкой. Не бойтесь, что сначала их меньше: при выборе пунктов будут постепенно добавляться новые. Пользователей можно делить как по shortID от Reality, так и по UUID самого VLESS: либо по одному параметру, либо по обоим сразу. Ключи же будут общими для всех. Дальше идём в Preferences → Routing Settings → Simple Route и вбиваем данные со следующей картинки. Поскольку в базе GetSite нет актуального списка сайтов Рунета, нажимаем Custom Rules и вбиваем: { "rules": [ { "domain_suffix": [ ".ru" ], "outbound": "direct" } ] } Это позволит нам не ходить через прокси до всех адресов в приватной и локальной сети, российских сайтов с IP-адресами в базе GeoIP, а также до всех в домене .ru. Отдельно я прописал все домены Гугла через GeoSite, чтобы получать в поиске данные из русской Википедии, но при этом play.google.com, похоже, заблокирован в России с июня 2023 года. ПКМ по профилю → Start. Не забываем проставить галочки в Program: Start with system и Remember last profile. Дальше можно включить режим системного прокси, туннелирования (псевдо-VPN) или настроить нужные программы на использование прокси по адресу 127.0.0.1:2080 (порт по умолчанию). Однако помните, что браузер тоже использует системные настройки проксирования. v2rayNG Для устройств на Android автор предлагает использовать NekoBox for Android, но во-первых он платный, а во-вторых у меня не завёлся с ошибкой. Поэтому скачиваем бесплатную альтернативу, жмём на плюсик и выбираем Import config from QRcode и сканируем код, полученный в NekoBox: ПКМ по профилю → Share → QR Code and link. Дальше советую включить в настройках Per-app proxy и выбрать нужные приложения. Для браузера опять же надо задать дополнительную маршрутизацию в Routing → Custom rules: PROXY URL OR IP: play.google.com DIRECT URL OR IP: geoip:ru,.ru,geosite:google BLOCKED URL OR IP: geosite:category-ads-all В целом это всё. Выбираем профиль, жмём круглую кнопку, тапаем по Connected, tap to check connection и должны получить Success. В противном случае сверяем ещё раз все данные в настройках, смотрим логи в Logcat, на сервере в docker logs xray и отписываемся в комментариях
08.09.2023


Что же использовать? Вообще есть предположение, что UDP-трафик должен быть быстрее через Shadowsocks-2022, потому что там он пересылается напрямую, а не заворачивается в TCP-пакеты, как в случае с VLESS. Но при этом сам VLESS в некоторых источниках считается более производительным, однако бэнчмарк sing-box опровергает это. На практике для дешёвых VPS это всё, похоже, фиолетово, потому что упираются они в другие ограничения и получить такую скорость не так-то просто для обоих вариантов. По крайней мере я пытался сделать замеры с помощью iperf3 (инструкция, сервера), но не заметил сколь-либо значимой разницы: широта стабильно падает в 1,5-2 раза. При этом VLESS, помимо надёжности, есть ещё пара преимуществ: 1️⃣ он позволяет создать несколько пользователей. По ним нельзя собирать статистику и как-то ограничивать или приоритизировать трафик (всё-таки это не VPN), но может быть полезно для разграничения доступа; 2️⃣ для него лучше работает маршрутизация в v2rayNG (у меня Google всё равно открывается через прокси, если выбрать SS, а должно идти напрямую, как будет написано дальше). Поэтому выберем именно его. Настраиваем XRay на сервере В оригинальной статье используется более нативный подход, но я в последнее время предпочитаю описывать всю конфигурацию сервера в виде переносимых docker-compose.yml файлов, которые можно легко развернуть на новом сервере в случае чего. Готовые примеры можно взять отсюда: https://files.sadbot.ru/xray/ (также скину файлами в комментарии). config.json нужно положить в папку config рядом с файлом для Компоуза и заполнить следующие поля: ➖id и email — по объекту для каждого пользователя (id — это UUID, можно сгенерировать с помощью команды /uuid в @kozRandBot); ➖privateKey и shortIds в realitySettings (для генерации ключей выполните команду: docker-compose exec xray xray x25519, shortIds можно сгенерировать командой /hex 8 в @kozRandBot — они никак не связаны с UUID, но могут вместе с ними использоваться для контроля доступа); ➖password для Shadowsocks заполняем с помощью /seqc 8 в @kozRandBot. Дальше выполняем заветную команду docker-compose up -d и переходим к настройке клиентов. (пост всё равно оказался слишком длинным, поэтому настройка клиентов и картинки идут дальше в отдельных постах)