Это уже не то

ну надо что-то чисто на js

С нодой, джейскриптом и винжээс появляются альтернативы

Ну вот сам эксплойт чисто на js

тогда я буду считать это вирусом на js

А бинарник под линь?

Если что, весь вирус — это монолитный .js файл

А бинарник под линь?

Под винду

Хм

Пакет нпм с сюрпризом кросплатформенный будет

Пакет нпм с сюрпризом кросплатформенный будет

С моделью распространения npm никакие бинарники зашивать не надо, просто прикладываешь gyp файл и компилируешь трояна прямо у юзера

тут продумал ещё один вид вируса на js

С моделью распространения npm никакие бинарники зашивать не надо, просто прикладываешь gyp файл и компилируешь трояна прямо у юзера

В целом можно и корной либой ноды обойтись, даже без бинарников, зависит от целей конечно

находишь XSS уязвиму, через него пихаешь скриптину на js, а там уже на че скриптину напишешь

на расслыку спама сайтом

если это какой-то форум

баян)

Осталось найти такой сайт, который на нода, да ещё и евалит входные данные юзера

каждому юзеру подсунуть зараженный файл, мол примите подарок от компании, видеопоздравление

а там вирусяка

Осталось найти такой сайт, который на нода, да ещё и евалит входные данные юзера

WP

или ещё что либо

WP node edition?

Это натурально целая платформа для распространения вирусни

хахаххах))

Осталось найти такой сайт, который на нода, да ещё и евалит входные данные юзера

Прикидывающаяся CMS

каждому юзеру подсунуть зараженный файл, мол примите подарок от компании, видеопоздравление

Почти

А в видеопоздравлении майнер биткоинов

хахах

Тот вирус, который у меня, давит более эффективными психологическими уловками

корзина.exe

Было было

А в видеопоздравлении майнер биткоинов

Какой смысл?

Да это шутка

Позитивное подкрепление так себе работает, "вам поздравление" все закроют, зевнув

Смысла нет конечно

Для бизнеса подходит вложение со счетом в стиле от налоговой и прочее такое

А эта штука распространялась прикидываясь письмом из налоговой для конкретного юзера (чьи данные были взяты в свою очередь от других жертв)

ну это видать надо быть гуру js чтобы такое написать

Тот вирус, который у меня, давит более эффективными психологическими уловками

ну это видать надо быть гуру js чтобы такое написать

Быдлокод на 50 строк с имплементацией эксплойта и неопределенный бинарник

Но думаю там тоже отнюдь не уровень linux core))

Есть гуру безопасности (или опасности, как посмотреть), которые ломают всё подряд и знают очень темные приемы, которые работают. Но при этом почти ноль в программировании. И это нормально

Не нужно уметь писать на JS чтобы юзать XSS

ну это да, но мы же говорим относительно js

Есть гуру безопасности (или опасности, как посмотреть), которые ломают всё подряд и знают очень темные приемы, которые работают. Но при этом почти ноль в программировании. И это нормально

Хотя вот обойти валидатор юзнув 6 символов, из которых собрать полноценный скрипт - тут уже что-то понимать нужно

Все ведь знают, что можно написать любой скрипт на JS используя только 6 символов?

а ещё js-консоль же есть

Хотя вот обойти валидатор юзнув 6 символов, из которых собрать полноценный скрипт - тут уже что-то понимать нужно

Какой валидатор?

Валидатор данных от юзера

Чтобы хранимую XSS не впихнули

Например

Или отраженную

Ну это фиговый валидатор, если такое пропускает)

Увы

eBay вроде так ломали в этом году

Вообще уязвимости это не обязательно именно выполнение кода

Можно через драг-энд-дроп читать письма конфиденциальные

Если почтовик не десктопный, а веб

Можно фреймом открыть. Да, к фрейму доступа нет, но вот действия юзера не блокируются, драг-энд-дроп например.

Невидимый фрейм под фоном и как-либо убедить юзера перетащить что-то куда-то на экране

Для документов ещё подойдет "тест на скорость печати" в стиле нажмите то что на экране, среди символов что-то вроде ctrl+a, ctrl+c, ctrl+v

ERROR: S client not available

И т.п.

Да, надо было мне в безопасники идти ?

Шикарно же

Хорошая попытка, но кажется что-то пошло не так))

Ну тут домен неплох

А то бывает на столько нагло что прям домен вида mail-exploit

Уже бегу оплачивать.

Ну тут домен неплох

Меня статусбар винды снизу впечатлил)) Жаль что мой интерфейс слегка не вписался в их шаблон ?

Это из разряда открыл с линукса сайт, а там у тебя диск C оказывается заражен вирусом и нужно срочно скачать антивирус

хахаха

Часто самым уязвимым местом оказывается человек и проще обмануть человека чем систему защиты

Ну и деньги они обычно у человека, а не у машины

Разве только целью не является сама машина

Для создания ботнетов и прочего

чот не сразу дошло. они нарисовали виндовый статусбар внизу страницы?

Ага)) Мой — слева

Более того

Окно хрома тоже не настоящее

Фулскрин, короче)

Ну тут домен неплох

Ещё бы ?

c электроном имеет опыт кто-нибудь? какие подводные камни имеются в разработке/внедрении?

есть задача написать софтину , которая будет использоваться на 30-50 компах(каждый из которых - ПК представителя отдельной организации)

подумал сначала написать под веб, но десктопные приложения по идее больше доступа дадут к ОС компьютеров, нежели посредством браузера, поэтому думаю с помощью электрона сделать десктопные аппы

и вот думаю, пожалею ли я о своем выборе)) потому что задача - парочка формочек, которые должны заполняться юзером ежедневно/еженедельно и десктоп скорее мое желание, нежели необходимость

и вот думаю, пожалею ли я о своем выборе)) потому что задача - парочка формочек, которые должны заполняться юзером ежедневно/еженедельно и десктоп скорее мое желание, нежели необходимость

И какой тебе доступ к ОС нужен, если у тя тупо формочки?

ну я ведь могу(в теории) имея возможность поставить свою десктопную софтину, получать еще какие-то данные об использовании компьютера? аудита кода не будет точно

ну я ведь могу(в теории) имея возможность поставить свою десктопную софтину, получать еще какие-то данные об использовании компьютера? аудита кода не будет точно

Ну смотря что за данные нужны

а какие можно?? кейлоггер, прочие запущенные процессы? что вообще можно получить таким образом?