Dragos

Spamul este definit in lege doar in relatie cu comertul electronic din cate stiu. Spamul offline cum il numesti nu este targetat catre tine in mod specific ci catre toti din blocul tau, daca nu din cartierul tau. Este o modalitate agreata de promovare a produselor si serviciilor. Cei care iti baga pliantele in posta de nu mai ai loc de facturi sunt studenti care vor sa faca si ei un ban pe timpul studentiei.

Nu poti asocia termenul de site/forum cu "nestocat nicaieri pe vreun server". Si daca incerci sa hostezi ceva in memoria RAM a calculatorului, tot e hostat pe calculatorul respectiv care poate fi considerat un server. Telegram cripteaza conexiunea, dar inregistreaza loguri/metadate (cine cu cine a vorbit, de la cat la cat, etc.). Tor doar te anonimizeaza, daca tu te loghezi de pe Tor pe gmail, RST, etc. nu ai facut nimic. Nu exista posibilitatea ca un site sa nu fie stocat nicaieri, trebuie sa fie hostat undeva. Daca e sub Tor, e doar o problema de timp pana cand cineva gaseste host-ul actual (vezi firmele de hosting care au fost date jos de FBI). Se folosesc exploit-uri, 0-day-uri, orice ca sa te scoata din reteaua Tor si sa-ti vada IP-ul tau. Datele de logare (user/parola, tokene, certificate) trebuie confirmate server-side, nu? Nu poti restrictiona ca doar tu sa ai acces, decat daca faci o restrictie pe IP, ceea ce o sa te dea de gol. La fel, nu poti controla ce se intampla cu datele tale decat daca exista o autoritate centrala pentru ele. Daca mergi pe model descentralizat (un cont pe RST, un cont pe gmail, un cont oriunde altundeva), nu ai control asupra datelor tale. Exista GDPR da, dar tot nu ai control complet asupra datelor tale. Referitor la certificat vs IP, cand faci un request oriunde, trebuie sa trimiti IP-ul tau ca sa stie ISP-ul tau ca tu ai facut cererea si la tine trebuie trimis raspunsul. Nu poti sa trimiti un request fara IP si sa primesti un raspuns concret. La blockchain are acces oricine. Poti vedea cine ce a facut, deci nu e chiar anonim. E doar o problema in a pune un nume unui ID (vezi ce am zis mai sus cu Tor).

VS Code (https://code.visualstudio.com/docs/setup/linux), IDE-urile de la JetBrains sau simplu cat fisier | less daca vrei sa-l citesti rapid.

Pe identity management se castiga destul de ok, din interviurile pe care le-am avut. Spaga nu prea mai e in Romania, adica incepem incet incet sa renuntam la asta. Si nu e nevoie de spaga cand poti face evaziune fiscala (nu dai bon fiscal). Aici mai avem de lucrat. Daca vrei gold digger, ti-o iei pe barba ta, dar majoritatea femeilor nu sunt asa. Daca simti ca chiar nu mai poti, ai xvideos, xhamster, youporn, etc. Sunt exceptii de la regula, dar la fel, depinde de costurile din tara respectiva. Nu o sa vezi un salariu de state platit catre cineva care lucreaza din Romania. Nu mai suntem in blocul comunist in care vindeam tractoare catre celelalte state comuniste, chit ca ei nu aveau nevoie asa multa de ele. Romania e o tara turistica, producatoare de materie prima si cu o societate de consum. Nu e dracul asa negru pe cat pare. Daca vrei o societate care isi produce tot singura si nu face schimb de marfuri, vezi China sau Coreea de Nord. Da, sunt mai multi pensionari decat angajati, de asta partidele dau legi in favoarea pensionarilor ca de acolo sunt sanse sa vina cele mai multe voturi. Referitor la creare de grupuri cu scop comun, a fost o singura data in ultimii 10 ani cand s-a iesit masiv si asta a fost cand s-a dat ordonanta 13. Nu o sa vezi lumea sa iasa in strada sa-si faca singura un partid. Erdogan a avut sprijin politic din partea Rusiei, de asta nu s-au bagat mai adanc. Cu Ucraina, nu cred ca are rost sa incepem discutie despre o bombardare nucleara intre Rusia si Ucraina. Salariul meu cel putin e in euro (la fel am avut si inainte la fostul loc de munca), destul cat sa traiesc linistit si sa nu am probleme cu devalorizarea. Nu intru sub categoria aceea cu lipsa taxarii. Nepotismul e peste tot, nu numai la noi. Nu are unde sa se ridice mai sus de varful Moldoveanu'.

1. Dadeam inainte la doctori, mai ales cand trebuia sa merg cu familia. 2. Romania, momentan nu am plecat din cauza pandemiei si nu am de gand sa plec. 3. In IT se castiga destul de bine relativ la costurile zilnice. Poti primi acelasi salariu pe care il primeste spre exemplu cineva din Luxembourg/Belgia/Franta si poti trai linistit in tara. 4. Depinde foarte mult de ce se intampla in politica in anii urmatori. Ma uit la Polonia unde partidul lor de extrema dreapta (PiS) a acaparat tot si a mers mana in mana cu biserica catolica (ex. la cursurile lor de educatia sanitara se vorbeste despre cum femeia trebuie sa fie supusa barbatului, ca asa scrie in biblie). Sunt sanse sa o luam si noi pe aratura cu tractorul si sa redevenim un stat feudal, dar, cum am zis, depinde de politicieni si de cat de mult pun botul la ce le cere biserica. 5. Am intrat in NATO ca aveau oamenii nevoie de soldati in Afghanistan, am intrat in UE pe spatele sarbilor (Kosovo). Nu cred ca exista vreun plan sa iesim din niciuna, dar depinde iarasi de politicieni. AUR latra destul de mult la toate restrictiile impuse de guvern si uite asa o sa castige 20-30% la alegerile viitoare si sunt sanse sa-i duca capul sa propuna aceleasi mizerii pe care le propun cei din Polonia.

Pune te rog link fara adf.ly sau alte mizerii de URL shortener cu reclame.

Sunt ok daca deja ai o baza cat de cat si vrei o certificare. De exemplu, eu am avut un capitol dedicat framework-urilor de JavaScript in care mi-a bagat pe gat toate framework-urile si dupa m-a intrebat chestii minuscule din fiecare framework care sunt mentionate o data sau de doua ori in tot cursul. La fel, cursurile de limba straina care sunt obligatorii nu sunt bine structurate (de exemplu germana A2 te invata pentru B2/C1) si de abia le treci fara sa retii mare chestie.

Nu mai suntem in 2006 cand erau sms si email bombere la fiecare colt de strada. Aplicatiile care trimit SMS-uri sunt de obicei protejate de chestii de genul si, daca tot se intampla sa vina un flux mare de request-uri pentru SMS-uri, nu o sa dureze mult pana cineva o sa primeasca o alerta si o sa repare problema. De asta nu o sa vezi vreun bomber sa fie publicat pe undeva sau cineva sa se riste sa ti-l dea pe a-l lui.

An infosec firm accidentally published a proof-of-concept exploit for a critical Windows print spooler vulnerability that can be abused by rogue users to compromise Active Directory domain controllers. The security hole, tracked as CVE-2021-1675, can be exploited by a low-privileged user to execute code as an administrator on a system running the print spooler service. Initially Microsoft classified it as a local privilege escalation flaw in June's Patch Tuesday run of Windows updates – but on 21 June that classification was upped to describe it as a remote-code execution vuln meaning it can be pulled off over a network. Reclassification was for a good reason: infosec folk realized that by lightly tweaking the proof-of-concept code circulating in the wild, a malicious or compromised domain-authenticated user could execute code at the SYSTEM-level on, say, a domain controller via the vulnerable Windows Print Spooler service running on that box. That's bad news. CVE-2021-1675 is exploitable without any high privileges and results in remote SYSTEM from a regular Domain User's account. The public PoC required little modification (I added ability to select domain) but works more or less out-of-the-box on a Windows 2019 DC. Patch quickly! — Hacker Fantastic (@hackerfantastic) June 30, 2021 Currently scored at 7.8 on the CVSSv3.1 scale with a "critical" severity rating, CVE-2021-1675 affects Windows Server 2008, Server 2012, Server 2016, Server 2019, Windows RT, and desktop OSes 7, 8, and 10. Informed infosec people on Twitter have suggested sysadmins should disable the Windows print spool service on domain controllers as an immediate mitigation. Some have claimed the Patch Tuesday mitigation doesn't work. Matthew “Hacker Fantastic” Hickey told The Register: "In my opinion this is the most significant incident to happen to Windows enterprise systems this year and people need to prioritize disabling the print spooler service on domain controllers and mission critical servers to prevent exploitation of this issue. He told us the exploit works "on a fully patched and updated (as of yesterday) Windows 2019 domain controller" - as seen on Hickey's posted screenshot of his test system with "the exploit being used". Fully patched Windows 2019 domain controller, popped with 0day exploit (CVE-2021-1675) from a regular Domain User's account giving full SYSTEM privileges. Disable "Print Spooler" service on servers that do not require it. pic.twitter.com/6SUVQYy5Tl — Hacker Fantastic (@hackerfantastic) June 30, 2021 He added: "It works from any domain user to exploit any network server using print spooler service, which is enabled by default on domain controllers. "Ransomware gangs will be quick to use this in their attacks and previously compromised low-value desktops could be used to take control of the entire Windows estate using this bug to then deliver their malware." Martin Lee, technical lead at Cisco Talos, said: "Exploits such as this underline how important it is to both securely authenticate users and be in a position to identify unusual network activity. "Escalation of privilege vulnerabilities continue to be discovered, meaning that we must ensure that lost or stolen credentials cannot be used on their own to authenticate a user to a domain. "Equally, security teams need to be equipped with the tools that allow the identification and triage of unusual network activity. An unprivileged user uploading a new printer driver to the print server isn't an everyday occurrence and should raise suspicions." Sursa: https://www.theregister.com/2021/06/30/windows_print_spool_vuln_rce/

Pentru evaziune fiscala e un pic dubios sa fii extradat, adica il pui pe om laolalta cu teroristii. Da, il prinzi pe teritoriul tarii tale, dar daca e in complet alta tara, de ce si de unde ai autoritate?

Pentru scutirea de impozit, depinde foarte mult de codul CAEN. Eu la fostul loc de munca am fost Developer Support Engineer, dar ca si cod CAEN am avut operator (care nu e scutit de impozit), deci e in functie si de ce face angajatorul, cum a zis si @Nytro. In aceeasi masura, ca sa fii scutit de impozit, trebuie sa ai facultatea de informatica/inginerie/calculatoare/etc. terminata. Cam toate companiile care au pozitia structurata pe scutirea de impozit cer neaparat facultatea in domeniu ca sa le fie mai usor cu calcularea taxelor. Daca vrei sa iti gasesti un job stabil si bine platit, e ok sa faci niste cursuri pentru inceput (recomand Link Academy) si sa-ti faci si un portofoliu (gen GitHub). La facultate o sa inveti bazele programarii, bazelor de date si alte zeci de cursuri care sunt acolo doar ca sa ajungi la numarul de credite.

Pune mâna pe carte și învață comentarii, caracterizări, integrale, derivate și biologie/chimie/fizică sau informatică.

Daca tot se considera a fi script kiddies talentati, sa invete macar sa nu se promoveze cu numele si prenumele pe Facebook. Nu-i inteleg, astia dau in site-uri care nu contin nimic interesant de dragul de a le cripta si de a face bani de un pachet de tigari si o cafea la tonomat.

0x435446: https://github.com/RSTCon/ctf-rst-writeups/blob/main/0x435446/writeup.pdf Kayn: https://github.com/RSTCon/ctf-rst-writeups/blob/main/Kayn/writeup.pdf Tiz: https://github.com/RSTCon/ctf-rst-writeups/blob/main/Tiz/writeup.pdf ZNQ: https://antoniomacovei.com/blog/rst-ctf-2021-writeup / https://github.com/RSTCon/ctf-rst-writeups/blob/main/ZNQ/writeup.html

Crypto - Biletul criptat https://github.com/RSTCon/ctf-rst-crypto/tree/main/Biletul criptat - Strabunicul lui Cezar https://github.com/RSTCon/ctf-rst-crypto/tree/main/Strabunicul lui Cezar - Asteroidul https://github.com/RSTCon/ctf-rst-crypto/tree/main/Asteroidul - Steagnul corupt https://github.com/RSTCon/ctf-rst-crypto/tree/main/Steagul corupt Diverse - Animalul https://github.com/RSTCon/ctf-rst-diverse/tree/main/Animalul - Poza https://github.com/RSTCon/ctf-rst-diverse/tree/main/Poza Forensics - Traficant https://github.com/RSTCon/ctf-rst-forensics/tree/main/Traficant - RST https://github.com/RSTCon/ctf-rst-forensics/tree/main/RST Networking - Reteaua https://github.com/RSTCon/ctf-rst-networking/tree/main/Reteaua - Server https://github.com/RSTCon/ctf-rst-networking/tree/main/Server Reversing - Crackpass https://github.com/RSTCon/ctf-rst-reversing-crackpass - NoFlag https://github.com/RSTCon/ctf-rst-reversing-noflag Stegano - Hecsagon https://github.com/RSTCon/ctf-rst-stegano/tree/main/Hecsagon - Sigla https://github.com/RSTCon/ctf-rst-stegano/tree/main/Sigla - Valuri https://github.com/RSTCon/ctf-rst-stegano/tree/main/Valuri - Stegano II https://github.com/RSTCon/ctf-rst-stegano/tree/main/Stegano II Web - API https://github.com/RSTCon/ctf-rst-web-api - Elevi https://github.com/RSTCon/ctf-rst-web-elevi - Admin https://github.com/RSTCon/ctf-rst-web-admin - SMS-uri https://github.com/RSTCon/ctf-rst-web-sms-uri - Onboarding https://github.com/RSTCon/ctf-rst-web-onboarding Challenge-urile au fost create de membrii forumului @YKelyan, @Nytro si @Dragos.

Pentru challenge-ul "Onboarding", au fost probleme la nivel de cod si nu inregistra userii ok. Am reparat problema si challenge-ul se poate rezolva.

Am dat drumul la un nou challenge, https://ctf.rstforums.com/challenges#SMS-uri. Challenge-ul o sa dea si cateva hint-uri pentru o parte din celelalte challenge-uri care nu au fost rezolvate pana acum.

Nota: Daca gasiti vreo problema la nivel de server pentru challenge-urile web (aka RCE sau root access), trimiteti un pm mie si lui @Nytro si acordam puncte extra.

Va rog nu va faceti cont pe forum doar pentru a cere invitatie. Nu stim cine sunteti, de ce sunteti in stare si nu se risca mai nimeni sa va trimita o invitatie si sa-si piarda contul ca faceti prostii.

Un exemplu simplu: ai numarul 6 si trebuie sa gasesti din ce numere a fost format. Utilizatorul a facut operatia 1+5, dar tu poti sa ai urmatoarele variante 0+6, 1+5, 2+4, 3+3, 4+2+5+1 si 6+0, pe langa scaderi, inmultiri, impartiri, etc. Cum stii pe care o alegi? La fel si cu functiile injective, iti fac o "insumare" (depinde de algoritm) de date, pierzand mare parte din ele. Cand incerci sa faci reverse, te vei lovi de problema de mai sus. Singura posibilitate de "decriptare" a unui hash este prin criptarea tuturor cuvintelor, parolelor, etc. care ar rezulta hash-ul. Poti face bruteforce, dictionary attack sau folosi rainbow tables, gen https://cmd5.org/. Pentru sha-256 sau sha-512 posibilitatea de coliziune (doua stringuri criptate sa dea acelasi "hash") este mica, dar fara un calculator cuantic, o sa stai ani sau sute de ani de zile sa incerci toate combinatiile.

https://www.aircrack-ng.org/doku.php?id=cracking_wpa

Informatiile prezentate in articole par sa fie adevarate (nu am stat sa verific numar cu numar), dar ca sa fie mai usor: Moderna: https://dap.ema.europa.eu/analytics/saw.dll?PortalPages&PortalPath=%2Fshared%2FPHV DAP%2F_portal%2FDAP&Action=Navigate&P0=1&P1=eq&P2="Line Listing Objects"."Substance High Level Code"&P3=1+40983312 Pfizer: https://dap.ema.europa.eu/analytics/saw.dll?PortalPages&PortalPath=%2Fshared%2FPHV DAP%2F_portal%2FDAP&Action=Navigate&P0=1&P1=eq&P2="Line Listing Objects"."Substance High Level Code"&P3=1+42325700 AstraZeneca: https://dap.ema.europa.eu/analytics/saw.dll?PortalPages&PortalPath=%2Fshared%2FPHV DAP%2F_portal%2FDAP&Action=Navigate&P0=1&P1=eq&P2="Line Listing Objects"."Substance High Level Code"&P3=1+40995439 Apreciez transparenta datelor la nivelul UE, dar de aici pana la a zice ca mass media corporatista vrea sa ascunda asta, e cale lunga. De putut pot sa le prezinte la stiri, dar ori o sa fie boring, ori lumea nu o sa inteleaga nimic din numere, ori o sa-i sperie si mai tare pe antivaxxeri sa iasa in strada si sa urle ca "un vaccin facut e un gratar pierdut".

Nu prea ai ce sa faci daca ei pot demonstra ca au platit oamenii, desi miroase urat a Caritas - nu stii cum vin banii, daca sunt suficienti bani sa-ti dea, cum manageriaza ei banii. Nu as risca. Au mai fost si alte incercari mai ok in altii precedenti, VivaSMS (primeai sms-uri cu reclame targhetate de la companii care foloseau serviciul si pentru fiecare sms castigai cativa centi, la fel primeai bani pentru cine se inscria sub tine) si Lyoness (pentru fiecare plata primeai o particica inapoi, pentru primele 2,3,4 niveluri sub tine de recomandari primeai si tu o parte din ce plateau oamenii). Atata timp cat intelegi de unde vin banii, poti sa castigi si tu la randul tau, de exemplu pentru Lyoness stiu pe cineva care s-a folosit de pozitia sa de fost cantaret si manager la o companie sa stranga mii de oameni sub el si omul si-a facut casa si toate cele din castiguri.

Foloseste Fiddler https://www.telerik.com/blogs/how-to-capture-android-traffic-with-fiddler

Man, dupa ce ca topicul e vechi de 13 ani, mai vrei sa iei si conturile unora care au dat banii pe jocuri? Ce a fost acum 10-15 ani nu o sa mai mearga astazi, cel mai simplu motiv ar fi datorita MFA-ului. Invata, fa bani din programare, securitate, retelistica, ce vrei tu si i-ati jocurile.