книги хакеры / журнал хакер / 184_Optimized

Б

ний. Однако в июне 2013 года было обнаружено 7707 заражен-

При заражении Windigo

ольшой и весьма необычный ботнет обнаружила ком-

пания ESET при помощи CERT-Bund и других эксперт-

ных серверов, в октябре — 12 326, в январе 2014-го — еще 11

ESET рекомендует

ных групп. Сложной атаке подверглись более 25 тысяч

110. Таким образом, зарегистрировано уже 26 024 уникальных

полную очистку памяти,

серверов по всему миру, работающих под операцион-

IP-адреса, инфицированных Ebury, в том числе 3794 новых

переустановку ОС и всего

ными системами Linux и UNIX.

за последние три месяца. По подсчетам ESET, схема действо-

программного обе-

Конечной целью «операции Windigo», как ее назвали в ком-

вала с 2011 года, но почти три года оставалась вне «видимо-

спечения. Также, конечно,

пании ESET, было заражение компьютеров под Windows,

сти радаров». В числе пострадавших от атаки cPanel и Linux

необходимо сменить

кликфрод и рассылка спама. Но для этого злоумышленники

Foundation.

все используемые

проделали огромную предварительную работу. В атаке был

После получения контроля над сервером его использовали

пароли и ключи, поскольку

задействован целый комплекс вредоносов, уязвимостями ав-

для заражения размещенных на нем сайтов, а также для по-

существующие учетные

торы атаки, видимо, не пользовались принципиально: бэкдор

хищения клиентских данных. Кроме того, малварь пыталась

данные, скорее всего,

Linux/Ebury, шелл Linux/Cdorked, DNS-сервер Linux/Onimiki

заражать пользователей сервера, причем на пользователей

скомпрометированы.

и спам-бот Perl/Calfbot. Что интересно, некоторая малварь

Windows и Mac реагировала по-разному. Фактически боль-

из данного списка была обнаружена экспертами в преды-

шей опасности подвергались именно Windows-пользователи,

дущие годы, но никто не думал, что масштабы проблемы

«яблочникам» просто подбрасывали переадресации на без-

столь серьезны. В частности, находили бэкдор Ebury, но, так

вредные сайты знакомств или страницы с порнографическим

как он устанавливался на серверы вручную, предполагали,

контентом. Помимо этого, у вредоноса имелся и модуль об-

что это единичные, прицельные атаки. Разумеется, никому

новления, который и позволял операторам ботнета полностью

не пришло в голову, что речь идет о десятках тысяч зараже-

проапгрейдить ПО и оставаться необнаруженными.

Ноутбук Novena — идея хакера Эндрю «bunnie» Хуанга,

Теперь, когда практически все готово, проект пе-

известного, в частности, по взлому Xbox. Разработка

решел в стадию сбора средств, что не менее важно:

началась еще в 2012 году, когда Хуанг вместе с колле-

crowdsupply.com/kosagi/novena-open-laptop. Кампа-

гами решили создать первый в мире по-настоящему

ния завершится 18 мая, и ее цель — набрать заказов

свободный ноутбук. Идея была дать сообществу от-

на 250 тысяч долларов. И это не представляется такой

крытую платформу, с открытой документацией и ру-

уж проблемой.

ководством по программированию, чтобы любой же-

Novena можно заказать в четырех вариантах. Са-

лающий мог собрать из комплектующих собственный

мый дешевый — конструктор за 500 долларов для тех,

ноутбук, маршрутизатор и так далее, на свой вкус,

кто хочет все собрать своими руками. Его присылают

с любой клавиатурой, корпусом и размером экра-

без корпуса и дисплея: только материнская плата с 4

на. И при этом никаких сложностей и проблем с NDA.

Гб RAM, флеш-карта на 4 Гб с установленной Debian

Найти подобное решение оказалось очень непросто,

и Wi-Fi-адаптер.

в итоге разработку решили базировать на процессоре

Набор за 1195 долларов, в свою очередь, поставля-

Freescale iMX6, так как Freescale оказался единственно

ется в корпусе с дисплеем, но без клавиатуры и кон-

подходящим вариантом для SoC.

троллера аккумуляторной батареи. Этот комплект уже

Сейчас, когда разработка завершена, уже можно

подходит для настольного компьютера и исследова-

ПроектNovenaзаметили

сказать, что характеристики устройства вышли вполне

тельских лабораторий.

инаперебойхвалятмногие

неплохими. Novena в этом смысле напоминает топо-

Полноценный ноутбук продают за 1995 долла-

IT-издания.Так,Wiredпишет:

вые планшеты, что весьма неплохо: четырехъядер-

ров, он уже поставляется с контроллером и SSD-

«Выможетебытьуверены,

ный ARM Cortex-A9 на частоте 1,2 ГГц. Оперативной

накопителем на 240 Гб и аккумулятором. Однако

чтоэтамашинанадежна

памяти DDR3-1066 SO-DIMM можно добавить до 4

и здесь почему-то нет в комплекте клавиатуры. Хотя,

ибезопаснаснизудоверху,

Гб, внутренний разъем SATA-II подходит для хороше-

конечно, ее легко докупить отдельно.

чтовпостсноуденовскую

го SSD-накопителя. Был также разработан адаптер

Для тех, кто готов потратить пять тысяч долларов,

эруболеечемжеланно

для подключения retina-дисплея LG LP129QE разме-

обещают изготовить шедевр в деревянно-алюминие-

длямногих».

ром 12,85", 2560 х 1700 пикселей (239ppi). ОС для но-

вом корпусе ручной работы от известного дизайнера

утбука также можно самостоятельно скомпилировать

Курта Мотвайлера.

из исходников.

«К

ак звучит этот цвет?» — для большинства из нас

этот вопрос покажется по меньшей мере странным,

но не для Нила Харбиссона (Neil Harbisson), ирландско-

го исследователя, художника и первого официального

киборга, родившегося с ахроматопсией (полной неспособно-

стью различать цвета). С помощью специальной антенны и чипа,

установленного на затылке, Нил смог научиться свободно раз-

личать до 360 цветов и вполне неплохо устроился в этом мире.

Однако что делать тем, кто, в отличие от Нила, полностью слеп?

Двадцать два года назад голландский инженер Петер Мей-

ер (Peter Meijer) начал работу над исследовательским проектом

WWW

vOICe. Он преобразует простые черно-белые картинки в по-

следовательность звуков. Программа сканирует изображение

Установить EyeMusic

слева направо и для каждого столбца пикселей генерирует звук

на соответствующей частоте. Чем выше точка на картинке —

на iOS можно

тем выше звук. Например, для диагональной линии из левого

из App Store:

нижнего в правый верхний угол звук начинается на низкой ча-

goo.gl/XVgk1A

стоте, а завершается на высокой. Более сложные картинки вос-

Сайт проекта vOICe:

принимаются как беспорядочный шум, но при тренировке в них

1

можно разобраться.

seeingwithsound.com

ВЧЕМИДЕЯ?

В 2007 году невролог Амир Амеди (Amir Amedi) с коллегами ре-

Рис. 1. Алгоритм рабо-

шил испробовать vOICe на слепых от рождения людях. Удиви-

ты vOICe

тельно, но всего через 70 часов занятий они смогли различать

EyeMusic, бесплатное приложение под iPhone. Усовершен-

очень сложные объекты на картинках размером 4500 пикселей,

ствованный алгоритм выдает более приятные звуки и способен

Рис. 2. Современная

например лица и перекрестки на улицах, — а ведь эти люди

передавать информацию о цвете. В основе работы программы

хардварная реализа-

никогда ничего не видели в своей жизни. Подключив наголов-

лежит усовершенствованный алгоритм, способный различать

ция vOICe

ную камеру к компьютеру и надев наушники, они могли ходить

не только положение пикселей по осям X и Y, но и цвета. Про-

по комнате, ориентируясь исключительно по звуку. Через каж-

грамма поддерживает как реалтаймовую обработку с камеры,

Рис. 3, 4. Котейка

дые несколько шагов камера делала фотоснимок, который

так и загрузку изображений из фотоальбомов.

звучит куда милее, чем

транслировался в наушники. После десяти дополнительных ча-

В качестве тренировочных изображений (для привыкания

Heartbleed

сов тренировки слепые люди способны распознавать силуэты

к подобному способу восприятия информации) программа

людей и повторять их позы.

содержит генератор простейших 2D-объектов. Как только

Рис. 5. У EyeMusic

ГДЕПОИГРАТЬСЯ?

ты научишься безошибочно их различать на слух, можно пере-

множество настроек

ходить к более сложным объектам. Только не забудь перед

и опций для калибров-

Недавно группа исследователей под руководством Амеди вы-

началом работы откалибровать уровни освещенности и насы-

ки алгоритма под кон-

пустила усовершенствованную версию vOICe — программу

щенности.

кретную обстановку

2

3

4

5

управляли загружаемыми через AJAX-данными, правильно их

но важен сам факт — фронтенд-разработчики захотели де-

отображали на странице и делали другие запросы по необхо-

лать все сами.

димости. Все это было еще не так активно, как сейчас, просто

Разумеется, в больших компаниях по-прежнему есть бэ-

потому, что JavaScript-движки были медленные и норовили

кенд-разработчики, замороченные на производительности

подвесить браузер от совершенно пустячных задач.

и обработке огромных массивов данных, но сейчас вполне

РОЖДЕНИЕФРОНТЕНДА

возможно создать небольшой проект, который был бы полно-

стью написан на JavaScript. Раньше за такую идею тебя бы за-

Примерно в этот период все и началось. Хотя верстальщи-

смеяли «настоящие программисты», а сейчас они по большей

кам и раньше приходилось «оживлять» собственные макеты,

части грустят и ругаются на прототипную парадигму наследо-

накладывая на них реальные данные через выдаваемые про-

вания.

граммистами вызовы методов, но с появлением динамики

Ну и конечно, не стоит забывать и про возможность исполь-

на клиенте стало ясно, что заниматься формированием HTML

зования одинаковых шаблонов на серверной стороне и на кли-

на сервере и последующим его изменением на клиенте дол-

енте, поскольку производительность современных браузеров

жен один человек. Отчетливо выделились бэкенд, как некото-

позволяет выполнять шаблонизацию на клиентской стороне.

рая обертка вокруг базы данных, скрывающая ее внутреннее

СТРУКТУРАСОВРЕМЕННОГОФРОНТЕНДА

устройство и реализующая некоторые методы получения дан-

ных («ручки» для фронтенда), и фронтенд, который занимался

Современная клиентская часть может быть устроена очень по-

выдачей требуемого HTML по запросам пользователей. При-

разному, и, как правило, ее вид очень сильно зависит от тре-

мерно в это время и обозначились основные задачи фронтен-

бований конкретного сайта. В каких-то случаях идеальным ва-

да: агрегация, шаблонизация и кеширование.

риантом будет single page application с большим количеством

Агрегация — это обработка данных, поступивших от бэ-

динамики на клиенте, в других же нужны лишь отдельные

кенда, в тот вид, который наиболее удобен для последующей

интерактивные элементы в обычной структуре сайта. Так или

шаблонизации. Например, если бэкенд выдает требуемые

иначе большая или меньшая интерактивность ложится на кли-

данные двумя отдельными методами, а тебе в итоге нужен

ентскую сторону, общая сложность создания сайта (фронтенд

один список на странице, бывает

+ клиент) обычно одинаковая. Цикл

удобно заранее слить результаты двух

жизни запроса от пользователя обыч-

методов, чтобы упростить шаблон.

но состоит из следующих этапов:

Или, например, если бэкенд не умеет

•

Запрос приходит на HTTP-

сортировать в нужном тебе порядке

сервер. Там запрос уже может быть

или таких порядков сразу несколько,

отклонен (а-та-та, кто лезет на не-

то на этап агрегации может лечь и за-

правильный порт) или перенаправлен

дача самостоятельной сортировки по-

В давние времена верстальщик должен

на статический раздел (например, если

лученных данных.

был

быть и чуть-чуть программистом,

запрашивают CSS или JS) или соб-

Шаблонизация — это создание

и чуть-чуть дизайнером — и хорошо, если

ственно в наше приложение.

результирующего HTML из полученных

не чуть-чуть. Но развитие использования

•

Приложение получает запрос

данных. В разных архитектурах шабло-

JavaScript стало водоразделом: те, кто

с

определенной метаинформацией

ны бывают разной степени сложности:

были

чуть-чуть программистами, стали

и осуществляет роутинг, то есть реша-

от простейших шаблонов, прозрачно

развиваться во фронтенд-разработчиков,

ет, какой кусок кода (контроллер) дол-

отображающих пришедшие из базы

а те,

кто были чуть-чуть дизайнерами,

жен обрабатывать подобные запросы.

данных сущности, до сложных систем,

стали просто хорошими дизайнерами, ко-

Например, пользователю без куки ло-

включающих в себя значительный ку-

торые знают специфику верстки сайтов.

гина на этом этапе можно отправить

сок бизнес-логики.

форму авторизации.

Кеширование — это запоминание

•

Контроллер получает запрос

полученного по конкретному запросу

и смотрит, какие данные ему нужно по-

ответа, чтобы в дальнейшем избежать

лучить, причем это может быть много-

запросов к базе данных и последую-

этапный процесс, целые цепочки за-

щей обработки. Кеширование — это

просов по определенным условиям.

не всегда задача фронтенда, часто ее

•

Контроллер агрегирует полу-

перекладывают на HTTP-сервер, однако совсем избавиться

ченные данные и отправляет их на шаблонизацию.

от этой части не получится: все равно никто лучше фронтенда

• Шаблонизатор шаблонизирует шаблоном и отдает пользо-

не знает, как именно надо кешировать какие разделы сайта.

вателю полученный результат.

У тебя может лежать статический файлик, который можно за-

кешировать на год, а рядом будет AJAX’овая ручка, которая

Заметь, что запросы к AJAX-ручкам за данными тоже про-

выдает актуальный статус системы и которую можно дергать

ходят эти этапы, просто обычно у них нет шаблонизации

несколько раз в секунду, получая разный ответ. Обрати вни-

(в случае если ответ от бэкенда можно выдать напрямую

мание, что кешировать можно как готовый HTML, так и ответ

на клиент) или она сильно упрощена до фильтрации и сериа-

от бэкенда по каким-то популярным запросам.

лизации данных.

Ну и конечно же, огромным толчком для развития фрон-

Конечно же, в разных архитектурах эти этапы выглядят

тенд-разработки стало появление Node.js. Если говорить

по-разному. Например, контроллер может быть статическим

точнее, то само появление Node.js явилось следствием повы-

файлом, на который HTTP-сервер прозрачно перенаправля-

шающегося значения JavaScript, о котором мы говорили рань-

ет запросы, а затем уже наше приложение выполняет все не-

ше. Но кого волнуют такие тонкости? Фронтенд-разработчики

обходимые методы бэкенда, описанные в нем, и дергает со-

захотели свой собственный движок на знакомом языке, и они

ответствующий шаблон. В случае с Node.js все этапы после

получили его. А вместе с движком они получили кучу возмож-

HTTP-сервера обычно представляют собой модули, то есть

ностей.

JavaScript-код, а получение данных сводится, как правило,

Если раньше JavaScript воспринимался всеми как марги-

к HTTP-запросам к бэкенду.

нальный язык для браузеров, то теперь появилась возмож-

Собственно, в упоминавшиеся нами старые времена все

ность запускать его на серверной стороне. Внимательный

эти этапы тоже присутствовали, просто всем, кроме напи-

читатель уже знает, к чему это привело. Конечно же! Работы

сания шаблонов (а зачастую и ими тоже), занимались бэ-

стало еще больше. Фронтенд-разработчики начали само-

кенд-программисты. Сейчас же JavaScript может все (а если

стоятельно «собирать» свои проекты, то есть приводить их

он чего-то не может, смотри пункт первый), поэтому и зона

из того вида, в котором удобно разрабатывать, в тот вид,

ответственности бывших верстальщиков сильно выросла. Го-

в котором все должно показываться пользователю (мини-

ворят, что бэкенд-программистам тоже стало сложнее, какая-

фицировать код, загружаемый на клиент, минимизировать

то Big Data и мапредьюсы, но мне кажется, это все отмазки,

картинки, компилировать шаблоны по необходимости и так

чтобы не делать свою работу, а перекладывать ее на нас, не-

далее). Подробнее про сборку проектов расскажем ниже,

счастных фронтендеров.