MegaNews

Хакер, номер #101, стр. 004

Необъективно обо всем за последний месяц

Дмитрий Травин / dmitry.travin@gmail.com /

• 65% всех уязвимых сайтов уязвимы для SQL-Injection. Причем судя по количеству продаваемых CC-дампов, это не только форумы phpBB :).
• 9 000 000 писем со спамом и вирусами отфильтровывает корпоративная почтовая система Microsoft каждый день. При этом пропускает она 1 миллион.
• 66% бразильских пользователей интернета хоть раз покупали какой-то товар или услугу из спам-рассылки. Как ни странно, амеры менее лояльны к спаму: в США только 44% пользователей покупают из спама.
• Спам-рассылка по миллиону адресов с рекламой средства для увеличения пениса продаст этого зелья на 10 000 долларов.
• Около 45 000 новых фишерских сайтов появляется в интернете каждый месяц. 24% из них находятся в США и только 3% - в России.
• Более чем 60 аккаунтов сотрудников AOL увел 17-летний Майк Нивс. Парень хотел всего лишь вернуть себе свой заблокированный аккаунт, а получилось ой как некрасиво: он хакнул систему учета клиентских счетов и напер личной информации на $500к.

Свежие сервачки

На выставке CeBIT 2007 в Ганновере компания ASUS представила свои последние достижения в области серверных технологий. Эти достижения включали новые бескабельные серверы с резервным блоком питания, материнские платы для процессоров Intel Xeon, в том числе и позволяющие установить два четырехъядерных процессора, и новую технологию ASUS MemCool, на которой остановимся подробнее. На многих серверах используется технология FB-DIMM (DIMM с полной буферизацией), которая позволяет увеличить скорость и объем памяти. Но у нее есть одна проблема - высокое тепловыделение, из-за которого возможно снижение производительности и повышение шума (из-за работы больших кулеров охлаждения корпуса).

Компания ASUS предлагает устанавливать специально разработанные ими кулеры непосредственно на модули памяти. Благодаря продуманному дизайну установка не вызывает особых трудностей и не требует дополнительных инструментов. Простое и дешевое решение, которое позволит системным администраторам сохранить хоть немного нервных клеток.

Skype-тусовка с читателями

3 июня в 9 часов вечера мы устраиваем online-тусовку в формате SkypeCast-конференции и будем рады пообщаться с тобой, обсудить все важные дела и ответить на любые вопросы.

В ходе конференции мы проведем несколько быстрых хакерских конкурсов и разыграем 5 cуперстильных и функциональных web-камер от A4Tech (смотри, какие крутые: www.a4tech.info/webcam). Так что у тебя есть реальный шанс поднять крутую камеру и расширить для себя рамки интернет-общения.

Все подробности – на нашем форуме forum.xakep.ru.

Отважный Олень выходит на просторы

Вышел в свет стабильный билд Ubuntu 7.04 Feisty Fawn (Отважный Олень). Новая сборка отличается встроенными украшательствами compiz, функцией мигрирования настроек и документов из виндусов, упрощенной работой с кодеками, улучшенной работой с железом и т.п. Релиз оказался настолько популярным, что первое время сервер не справлялся с наплывом желающих прикоснуться к новому «Линуксу для домохозяек», как его называют многие линуксоиды за ненужные, по их мнению, украшательства и помощники в настройке. Не прошло и пары дней, как в журнале PC World было опубликовано «Семь советов после установки Ubuntu 7.04», в которых рассказывается, как установить виндусовскую комбинацию переключения раскладки клавиатуры, изменить разрешение экрана, поставить вместо compiz более продвинутый beryl и т.д. В общем, если ты всегда хотел приобщиться к замечательному миру линуксоводов, но боялся сложностей настройки, то сейчас самое время брать Оленя за рога.

Представь, валяешься ты у себя на диване с ноутбуком и занимаешься новым интересным хаком, а в это время в соседней квартире сидят представители доблестных спецслужб и через стены смотрят изображение на твоем мониторе. Выдумка? Доктор Маркус Кун из Кембриджского университета так не считает. Используя оборудование стоимостью 1000 фунтов стерлингов ($2k), которое включает антенну и радиоприемник, он благополучно перехватил изображение с экрана ноутбука через две комнаты и три стены. Тем самым он опроверг мнение о том, что подобный перехват возможен только с ЭЛТ-мониторов, а жидкокристаллические дисплеи от этого защищены. Радиосигнал излучают кабели, которые передают изображение на монитор. Поскольку изображение передается попиксельно, радиосигнал кешируется и затем выстраивается в готовое изображение. Но с одного ноутбука считать сигнал не удалось - металлические петли, которые удерживали кабель, создавали помехи. В качестве средств защиты доктор Кун указал на использование защищенных кабелей и специальных комбинаций цветов.

Восьмиядерный монстр от Apple

Тебе когда-нибудь хотелось иметь очень крутой комп? Настолько крутой, чтобы обычный пользователь сначала даже не поверил в его существование? Apple дает такую возможность - начались продажи восьмиядерного (!) MacPro. Этот комп заряжен двумя четырехъядерными процессорами Intel Xeon Clovertown, по 3,00 гигагерца каждый. Одними процессорами ограничиваться не будем - добавим 16 гигабайт оперативной памяти, 4 жестких диска по 750 гигабайт, NVIDIA Quadro FX 4500 в качестве видео и Apple Cinema Display размером 30 дюймов. А лучше два!

Только возникают две проблемы. Первая и самая главная - стоимость. Вышеперечисленный наборчик обойдется больше чем в 16 тысяч долларов! Вторая – непонятно, что с такой мощностью делать. Такие компы используются в качестве рабочих станций для расчета очень сложных трехмерных сцен и подобных ресурсозатратных процессов. Простая восьмиядерная конфигурация с гигом оперативки, 250 гиговым хардом и 7300GT картой выйдет в 4000 долларов. Для домашнего компа это тоже явный перебор, но помечтать-то ведь можно? :)

Громоптица 2.0

Не знаю, как ты, но я под Линуксом привык использовать Thunderbird в качестве основной качалки почты. И вот вышла вторая версия этого мультиплатформенного клиента. В ней присутствуют довольно интересные изменения: организация почты по тэгам, сохранение истории просмотра сообщений, новый поиск, упрощенная работа с веб-интерфейсами, поддержка визуальных тем и т.п. Все это на бумаге выглядит хорошо, но на деле оказывается не так радужно. Для начала стоит отметить, что версия явно сыровата - количество глюков и скорость работы неприятно удивляют. Также непонятны изменения в интерфейсе - такая «ненужная» функция, как сортировка почты, была убрана с главной панели. Конечно, ее можно добавить на тулбар самому, но тогда с него придется что-то убирать - иначе он слишком расползется. Из плюсов стоит отметить традиционно хорошую работу с протоколом IMAP. Именно этот момент заставляет меня использовать ее не только на линуксах, но и под виндами. Без учета пары недостатков, это отличный почтовый клиент, который я вполне могу рекомендовать для ежедневного использования.

Лицензионная Vista в Китае никому не нужна

Ты покупал когда-нибудь Windows? Мне, как и многим, единственная лицензионная копия досталась вместе с компьютером. И то только потому, что от нее нельзя было отказаться. Но новую Висту у нас все-таки покупают. Вот в Китае все интереснее - мелкомягкие развернули огромную рекламную компанию по продвижению новой оси и даже создали огромную проекцию на 421-метровом здании в Шанхае. Но за две недели после начала продаж китайцы купили только 244 коробки. Все потому, что пиратство в Китае достигло таких масштабов, при которых коробку со взломанной Вистой с отличной полиграфией, не снившейся даже многим лицензионным дискам, можно купить всего за 1 доллар. А на выступлении Билла Гейтса в Пекинском университете один из студентов выбежал на сцену с плакатом «Free software, оpen source», что тоже характеризует отношение китайцев к продукции мелкомягких. Лично я, посмотрев на эту Висту, благополучно снес раздел с ней и поставил туда новую Убунту.

Гибридим телевидение

Сломалась недавно у меня розетка, к которой подключен телевизор. Ну, недавно - это в новогоднюю ночь :). А поскольку эта розетка находится глубоко за шкафом, лезть и разбираться, что же там случилось, не было никакого желания. Вызов мастера также неизбежно сопровождался бы разбором шкафа. В общем, жил я без телевизора спокойно, но недавно все-таки соскучился на нему. И вот что я придумал: поскольку стационарный компьютер все равно большую часть времени простаивает (пользуюсь я ноутбуком), то, подключив к нему ТВ-тюнер, я вполне смог бы смотреть на нем телепередачи. Выбирая себе подходящую модель, я присмотрелся к Gotview PCI Hybrid, который совмещает в себе аналоговый и цифровой тюнер. При этом он может записывать сразу все цифровые каналы одновременно, благодаря чему пропустить что-то интересное будет практически невозможно. А еще он умеет организовывать вещание по сети, благодаря чему я смогу смотреть телевизор с экрана своего ноутбука, передавая на него сигнал с большого компа по беспроводной сети. В общем, имхо, must have.

Мобильная играбельность

При выборе ноутбука постоянно приходится идти на компромиссы: либо производительность и большой экран, либо малый вес и приличное время работы. Но что делать, если я хочу небольшой ноутбук, который можно будет носить с собой не в походном чемодане, и производительность, которая позволит поиграть хоть не в самые требовательные, но все-таки не в офисные игры? Открывая свою новую линейку продуктов eXPRESs, компания LG представила модель R400, которая как раз соответствует перечисленным требованиям. Монитор с диагональю 14,1 дюйма сохраняет буку приемлемые размеры и небольшое энергопотребление. В то же время видеокарта ATI Mobility Radeon X2300 в паре с последними процессорами Intel дает необходимую производительность в играх. Опционально можно взять веб-камеру, чтобы радовать своим лицом друзей в Skype. Встроенный кардридер, поддерживающий большинство видов карт памяти, позволяет без проблем обмениваться информацией с видео- или фотоаппаратурой. При этом цена остается вполне доступной - от 800 до 1500 долларов.

Солнечная клавиатура

Надоели провода, и ты решил перейти на беспроводную клавиатуру с мышкой? Но с ними возникает другая проблема – надо постоянно менять батарейки, которые садятся в самый неподходящий момент. Компания Genius избавит тебя и от этой необходимости при одном условии: надо выйти из тени :), то есть находиться под прямыми солнечными лучами. Комплект из клавиатуры и мыши SlimStar 820 Solargizer умеет подзаряжать аккумуляторы от солнечного света, когда ты работаешь под его лучами, или от кабеля USB, когда солнце зашло за горизонт или спряталось за тучи. При этом комплект соответствует большинству современных требований: эргономичная форма, 17 мультимедийных клавиш быстрого доступа, переключение чувствительности мыши от 800 до 1600 dpi и колесико прокрутки с функцией наклона в четырех направлениях.

Уши для жизни

С обычными наушниками типа «затычки» у меня постоянно возникают сложности: они непрерывно выпадают, а через некоторое время начинают банально болеть уши. А поскольку большинство производителей плееров предпочитают предоставлять в комплекте именно «затычки», то мне приходится после приобретения плеера сразу покупать более удобные уши. Но тратить на них сумму, сравнимую со стоимостью плеера, желания никакого нет. А если, кроме удобства ношения, хочется еще и достойного качества звука, как у более дорогих моделей? В последний раз я остановил свой выбор на недорогом варианте от KOSS под названием CX6. Эти ухи хорошо сидят на голове, кроме того, при очень доступной цене меня приятно удивило качество звука. Свои прошлые наушники мне было очень жалко - их просто раздавили, не посмотрев, что посадочное место уже занято моим плеером. CX6, конечно, подобного испытания тоже не выдержат, но не так сильно опустошат кошелек при их повторной покупке взамен утраченных.

Хард для видео

Допустим, что ты установил несколько камер видеонаблюдения, которые следят за твоим компьютером, пока тебя нет дома, за лестничной клеткой, чтобы знать, кто звонит тебе в дверь и кто разбрасывает окурки по полу, и за двором, чтобы всегда быть уверенным в сохранности припаркованного автомобиля. Но ведь потоки видео с этих камер недостаточно воспроизводить - их надо еще где-то хранить. Новая серия жестких дисков AV компании Western Digital тебе поможет. Эти харды как раз предназначены для записи потокового видео- и аудиоконтента. Они надежные, тихие (не вычислят по звуку) и потребляют мало энергии (не вычислят по счетчику :)). Кроме того, они позволяют записывать сразу несколько потоков видео высокой четкости, поэтому для всей твоей кучи камер достаточно будет использовать один единственный жесткий диск. В зависимости от времени хранения записываемой информации можно подобрать необходимый объем диска - от 80 до 500 гигабайт.

DirectX 10 портируют на все платформы

Как известно, десятый DirectX будет официальным дополнением только к Висте и нигде больше работать не захочет. Но компания Falling Leaf Systems объявила о работоспособности альфа-версии проекта под названием Alky Project, который ставит своей целью перенос DX10 сначала под ХР’юшку, а потом и на Линукса с Маком. Проект подразумевает создание конвертора, с помощью которого игру можно будет адаптировать для запуска на другой платформе. Jon Stokes, журналист из Ars Technica, пытался запустить технологические демки, которые показывают функционирование проекта под ХР, но эксперимент окончился неудачей. При этом он подчеркнул необходимость скачивания и установки различных SDK объемом около гигабайта. Поскольку наличие нового Директа в Висте будет, наверное, самым весовым аргументом для геймеров при переходе на новую ОС, этот проект сможет реально тормознуть продажи Висты как игровой платформы. Примечательно, что главным инженером проекта является 19-летний программист.

Google AdWords для хакеров

Думаешь, в клике по рекламной ссылке через контекстную рекламу Гугла нет ничего опасного? Roger Thompson, специалист из Exploit Prevention Labs, рассказал недавно о забавных случаях, когда хацкеры использовали систему контекстной рекламы в качестве удобного сервиса по загрузке троянов. У Гугла покупались показы по денежному запросу типа «online banking» и в тексте рекламы указывался какой-то популярный домен. Но после нажатия на ссылку юзер попадал на рекламируемый домен не сразу, а проходя через сайт smarttrack.org, на котором с помощью сплоита ему заливался троян, отслеживающий посещения сотен известных банковских сервисов. При этом такая интересная информация, как логины и пароли, перехватывалась и отправлялась авторам трояна. Google, конечно, закрыл аккаунты, через которые рассылалась хацкерская реклама, но сколько их еще осталось и сколько появится в будущем? Вероятно, придется как-то менять систему показа рекламы, чтобы проверять ссылки, на которые она ведет, или хотя бы демонстрировать их пользователю.

Лебедев и Шекспир

Артемий Лебедев объявил цены и дату начала продаж своей клавиатуры Optimus Maximus. Если ты еще не в курсе, эта клавиатура имеет на каждой клавише по миниатюрному OLED-дисплею, что позволяет выводить на нее любое изображение. Теперь самое интересное: стоимость клавиатуры составит 1536 долларов за штуку. Примечательно, что эта цифра является еще и днем рождения Шекспира. Продажи этого мегадевайса начнутся в конце ноября. Сначала будет производиться по 200 штук в месяц, а с января 2008 года - уже по 400 штук. Лично я не очень представляю, зачем может потребоваться этот девайс, причем за такую цену. Реально эта клавиатура сможет окупить свою немаленькую стоимость лишь в том случае, если к ней будет прилагаться очень умное программное обеспечение, которое будет изменять изображения на кнопках в зависимости от выполняемых операций или запущенных приложений. Но я сомневаюсь в том, что дизайн-студия осилит реализацию подобной программы. А из-за столь ограниченных объемов производства под сомнением также и поддержка этого девайса со стороны разработчиков стороннего ПО. Ладно. Время покажет.

Рубильник для интернета

Уверен, ты слышал о существовании мнения, что нынешний интернет небезопасен, бесперспективен и несовершенен и что пора бы от него избавиться. Еще в 2003 году Евгений Касперский заявил, что сеть Интернет в скором времени ждет крах. Аргументировал он это тем, что сейчас доступ в интернет открыт всем подряд и что количество хакерских атак на серверы постоянно увеличивается. В связи с этим в американских академических кругах действительно зреет идея вырубить весь World Wide Web путем отключения ведущих серверов, поддерживающих глобальную сеть. Взамен предполагается создать новую сеть, которая будет удовлетворять современным требованиям безопасности. Эта идея имеет серьезную поддержку в правительстве США, но на ее реализацию требуются многомиллиардные вложения и годы работы большого количества технических специалистов. Думаю, что в ближайшие годы интернет-рубильник никто трогать не будет, и мы будем продолжать жить в этом интересном мире небезопасного интернета.

Инфекции за первый квартал 2007 года

Компания Trend Micro представила краткий отчет об активности вирусных инфекций в первом квартале 2007 года. На первом месте - червь WORM_NYXEM.E, который рассылался по почте с предложениями скачать немного порнушки. Большую популярность имел червяк TROJ_SMALL.EDW, который якобы рассылал информацию о текущих новостях, типа зимнего урагана в Европе. Он находится на седьмом месте. Помимо них, еще несколько червей, использующих подобные техники привлечения внимания, также попали в двадцатку, что говорит об увеличении интереса хакеров к подобным методам заражения. Комбинированные угрозы тоже снискали большую популярность - черви типа WORM_NUWAR.CQ рассылали письма о ядерной войне, при открытии которых выполнялась программа, устанавливающая загрузчик и модуль массовой рассылки почты. Что касается спама, то по-прежнему самой актуальной темой остается коммерческий и финансовый спам. В общем, ничего нового - продолжаем предохраняться антивирусами и не открывать совершенно левые письма.

Лживая навигация

Два итальянских хакера нашли способ взлома системы навигации, а точнее, той ее части, которая отвечает за передачу дополнительной информации о дорожном движении в FM-диапазоне. С помощью довольно простого оборудования им удалось передавать в радиусе около мили информацию, содержащую данные о плохой погоде, пробках, занятых парковках, дорожных работах, авариях и т.п. Для этого обычно используется технология Traffic Message Channel (TMC), являющаяся частью Radio Data System (RDS). Изначально эта технология применялась для вывода на экраны магнитолы названия радиостанции, текущей композиции и т.д. Barisani и Bianco (так зовут взломщиков) установили, что эти данные никак не шифруются, и им не составило большого труда декодировать их и составить таблицу кодов сообщений. При этом они обнаружили коды, которые до этого не использовались, например информацию о авианалетах, бомбардировках, террористических атаках. Думаю, многие были бы удивлены, узнав, что район их дома подвергся бомбардировкам :).

Уникальное предложение!

Теперь ты можешь получать журнал с курьером не только в Москве, но и в Санкт-Петербурге, Уфе, Нижнем Новгороде, Ростове-на-Дону, Волгограде, Самаре, Казани, Перми, Екатеринбурге, Челябинске, Омске и Новосибирске.

Выгоды курьерской доставки:

1. Сокращение сроков доставки. Теперь доставка курьером осуществляется за 3-6 дней. Без дополнительной оплаты.
2. Удобно. Не нужно искать журнал - тебе принесут его на работу или домой.
3. Экономия. Получается дешевле на 10% и более, чем в розничной продаже. А при годовой подписке и комплектах - еще дешевле!

Для того чтобы получать журнал с курьером, необходимо указать в купоне и квитанции* один из двух вариантов:

• свой рабочий адрес с названием компании;
• подробный домашний адрес (подъезд, этаж и т.д.) с альтернативным вариантом доставки в случае твоего отсутствия дома. Например, код домофона и «отдать дежурной» или код домофона и «положить в п/я» и т.д.

*Купон и квитанцию можно найти на странице 142.

Дополнительную информацию по подписке можно получить по бесплатному телефону: 8-800-200-3-999 или по email’у: info@glc.ru

Русская отвертка для OpenOffice

Защиту запароленных файлов в OpenOffice благополучно «открутила» русская компания Intelore, выпустив утилиту OpenOffice Password Recovery. Утверждается, что утилита может восстанавливать пароли независимо от их длины и сложности. Помимо запароленных документов, прога открывает доступ и к файлам, отмеченным «только для чтения». По своей сути программа представляет собой набор из трех алгоритмов подбора паролей: обычный брутфорс, интеллектуальный и словарный. Бесплатная версия программы может вскрывать пароли длиной только до трех символов. Полная версия для частного использования обойдется простому хакеру или забывчивому пользователю в 79 баксов, а для корпоративного использования (профессиональная команда взломщиков, не иначе :)) придется выложить все 129 долларов. Если судить по тому, что в качестве паролей я обычно использую сложную комбинацию букв и цифр длиной около 10 символов, то за 79 долларов я смогу приобрести красивый скринсейвер, который будет работать несколько дней :).

Макинтоши тоже живые

На ванкуверской выставке безопасности CanSecWest отделение TippingPoint компании 3com раздавало хакерам два Macbook Pro. Ноутбуки стояли с доступом в интернет и макосью с последними апдейтами на борту. Ноутбук и приз в 10 тысяч долларов обещали тому, кто сможет удаленно получить рутовские привилегии. За первый день выставки никому не удалось проломить эпловские бастионы, поэтому на второй день организаторы предоставили возможность открытия ссылки в Safari. Этой возможностью сразу и воспользовались - по почте присланная ссылка вела на страницу с эксплойтом, который позволил получить shell с привилегиями юзера. Авторами этого взлома являются два человека - Дино Даи Зови, автор идеи, и Шон Маколи, написавший сам эксплойт. Но поскольку привилегии рута все-таки не были получены, взломщикам отдали только ноутбук. Позднее выяснилось, что позволившая провести взлом ошибка находится в программе QuickTime и что подобный взлом возможен и на компьютере с Windows, если на нем установлена эта программа.

Мобильная клава

Возникла у меня недавно такая, возможно, знакомая тебе ситуация - надо было по sms отправить другу ответ на билет, который попался ему на экзамене. Набор его посредством стандартной телефонной клавиатуры доставил мне несколько «незабываемых» минут, в связи с чем я озадачился покупкой маленькой складной клавиатуры, чтобы было удобно писать sms или общаться по ICQ вдали от дома. Так вот как раз для таких случаев фирма Genius сделала Bluetooth-клавиатуру. В сложенном состоянии эта клава с запасом помещается в карман; удобная подставка позволяет поместить телефон или КПК прямо перед глазами. При этом клавиатура имеет 10 программируемых клавиш и 6 клавиш быстрого доступа к различным элементам меню. С таким девайсом приятно скоротать пару часов в кафе, общаясь с народом из контакт-листа или редактируя записи в календаре. Имей в виду, клава уже поступила в продажу и стоит около 100 долларов.

Непрослушиваемый Skype

Наверняка ты слышал новые пранки с отделениями милиции. Это стало возможно из-за распространения услуг связи через VoIP, поскольку телефонные звонки по Skype практически невозможно отследить и прослушать, а если используется VPN, то задача усложняется еще в несколько раз. Поскольку услуги IP-телефонии приобретают все большую популярность и увеличивается число доступных способов шифрования, а стоимость содержания специалистов и оборудования, позволяющих прослушивать подобные звонки, очень высока, то правительства многих стран всерьез подумывают о введении на уровне законодательства ограничений для VoIP-провайдеров, чтобы упростить процедуру отслеживания звонков. Я очень смутно представляю себе эффективность подобных законов, так как при этом останется возможность использовать услуги того оператора, который находится в другой стране. Достаточно вспомнить многочисленные попытки закрыть русский сервис allofmp3.com, продающий музыкальные композиции по очень низким ценам в обход американского законодательства.

Армейские хакеры-неудачники

На HITB 2007 в Дубае проходили хакерские соревнования Capture The Flag, главным спонсором которых выступала компания ScanIt. Все задания имели реверс-инжиниринговую направленность - надо было поломать несколько виндовых и юниксовых бинарников. В турнире принимали участие три команды: Army Strong (приписанная ко 2-ому батальону 1-го Информационного управления армии США), Team Eleet (из полиции Дубая) и NDMTEAM (группа хакеров из Болгарии).

Все происходило достаточно скучно: в небольшой комнате друг напротив друга сидели три команды. Амеры в строгих рубашках, дубайские полицейские в национальных одеждах и болгарские хакеры из NDMTEAM. Мне, конечно, больше всего импонировали болгары, в их составе была даже коротко стриженная блондинистая девушка, которая сидела с калькулятором и все время нажимала на кнопочки.

В принципе неудивительно, что из всей этой компании только болгары смогли преодолеть «отборочный раунд» и взломать самый простой из бинарников. Ни на что большее товарищи соревнующиеся оказались не способны, турнир был признан несостоявшимся, а призовой фонд сохранили до следующего состязания в городе Куала-Лумпур, в Малайзии. Когда об этом объявили, я решил, что обязательно привезу в Малайзию Криса Касперски и он там всех вздрючит :).

Я тебя поимею… курсором!

В этом месяце была найдена критическая уязвимость Windows, позволяющая вызвать переполнение стека и выполнить произвольный код на машине пользователя. Все дело оказалось в анимированных курсорах. Представь: заходишь ты на сайт, который подменяет твой системный курсор на свой «красивый»; при этом код этого курсора производит различные нехорошие действия на твоем любимом компьютере. Этой ошибке подвержены практически все версии виндусов, начиная с Windows 2000 и заканчивая новой Вистой. На мой взгляд, это очень интересная ошибка. Очевидно, существует она уже очень продолжительное время, и странно, что никому раньше не приходило в голову как следует покопаться в этой фиче. Лично я ни разу не видел ни одного анимированного курсора ни на одном сайте. Мелкософт, конечно, уже выпустила апдейты, закрывающие эту дырку, но само ее наличие и степень критичности может стать весомым аргументом противников новой ОС компании в спорах о ее непоколебимой безопасности и нерушимости.

Вирусные картинки

Дожили мы таки до времен, когда даже картинки могут содержать вирусы. А возможным это стало благодаря критической уязвимости в Adobe Photoshop CS2 и CS3, которая при открытии зараженного вирусом изображения в формате BMP, DIB или RLE приводит к переполнению буфера и к передаче управления коду, встроенному в изображение. На данный момент компания Adobe еще не выпустила заплатки, а готовый эксплойт выложен на сайте Milw0rm.com. В нашей стране этот вирус способен получить большое распространение, поскольку пиратская версия Фотошопа устанавливается на большое количество компьютеров, и при этом используется исключительно для удаления эффекта красных глаз и для сжимания картинок перед выкладыванием в интернет. Тормозить же распространение будет то, что уязвимые форматы совсем не предназначены для передачи простых изображений через сеть. Кстати, стоит отметить, что подобная ошибка присутствует и в пакете Corel Paint Shop Pro, где аналогично происходит переполнение буфера при открытии файлов формата CLP.