Что вы сделаете, когда по пути на работу найдёте на дороге красивую флешку, на которой будет значок биткоина?

Всё шире распространяются атаки так называемых Rubber ducky usb устройств. В двух словах, флешка это не флешка, а эмулятор клавиатуры. Как только вы вставляете её в ваш ноутбук, она определяется системой как виртуальная клавиатура, а что произойдёт дальше уже зависит от фантазии хакера.

Допустим, он в момент может через эмуляцию нажатий открыть PowerShell и... слить все ваши пароли на какой-либо сервер. Или поменять вам пароль на локальной машине. Или... ну вы поняли, в целом всё что вы можете сделать в системе с клавиатуры - сможет и флешка. В том числе и загрузить вредонос, который будет остлеживать всё и вся.

Такой вид атак не новый, еще зародились они и стали общеизвестными в далёком 2010-ом. Ну а новые версии выходят постоянно. А в сети вы сможете найти куча готовых скриптов для ньюхацкеров.

Ну и не одними флешками едины. Это может быть как usb-грелка для кружки, так и, например, usb-вентилятор - всё, что может быть воткнуто в ваш разъём ноута. Притом сам разъём не важен, это может быть и type-c и lightning.

И самое забавное, что по сути нет никакой защиты от такой атаки кроме как хардварного запрета вообще вставлять новые флешки. Но как понимаете - делают это только там, где и правда думают о безопасности. Т.е. практически нигде.

Впечатлились? А как вам ... обычный usb кабель, который кроме всего прочего умеет в Wi-Fi и удалённый доступ в реальном времени?

Круто. Но не для безопасников. Им не очень, да 😄

В общем, кип ин майнд, как говорится 😉 А то вставите и сотрёт оно все ваши закладки с порно. Чё вы потом делать-то будете...

Тут - можно про шнур почитать, а вот тут и тут про usb устройства.

Часть 2.

6) Старайтесь откидывать технические собеседования в компании, которые вам действительно важны "подальше" по времени, а "так себе" - поближе.
Подумайте, сколько вы вообще готовы ходить на технические, т.к. каждый собес будет вас выедать морально. Неделя? Две? Вот этим отрезком и оперируйте.
Во-первых, вы сможете "натренироваться" на вакансиях, которые менее интересны и тем самым понять что вообще спрашивают и в целом апнуть свои знания во время этих собесов. Во-вторых, если вам предложат офер в самом начале - особо никто две недели вас ждать не будет - высокий риск того, что ребята найдут кого-то, кто сможет быстрее ответить и позиция закроется. В-третьих, к более желанным собеседованиям у вас уже могут быть оферы на руках, что в целом делает вашу позицию сильнее, а hr'ов заставляет рассматривать вас в ускоренном порядке +предлагать условия получше. Поэтому такая стратегия втройне имеет смысл.

7) Переносить "пре-скрины" с hr эт нормально, не бойтесь это делать, если вы не успеваете или ещё чего. Переносить технические - крайне не рекомендую, т.к. обычно на них уже аплаится 2-3 человека, чьи окна могут быть расписаны и после переноса к вам может сложится в целом так себе отношение, т.к. вы подобными мувами "дёргаете" людей. А дёргаться никто не любит :)

8) Заготовьте заранее список вопросов, которые для вас важны для прескринов. Структура команды, локейшн разработчиков, какой стек используется, какие плюшки есть в компании - обычно что-то да выветривается из головы.

9) Ну и последнее и самое очевидное - приходите на митинг за пять минут до начала. Это просто правило хорошего тона 😉


🚀 Что нынче спрашивают :

Для начала обозначу что искал : backend, nodejs, nest, js/typescript.

Поехали.

Много базовых вопросов : Event loop - вызубрить и понимать +что находится под капотом на уровне системы(какие либы и чем асинхронность роляет). +вопросы на nextTick() vs setInterval() vs setImmediate(). +вопросы чем можно забить кью/стек.
Промисы. Тоже от зубов чтобы отскакивало. Задачку почти везде накинули на них.+знать Promise.All/Race.
EventOmitter. Cтримы - зачем, в чем преимущества, какие бывают в nodejs. Spread/rest операторы. this - что такое, подвохи и тд. Стек/Очередь/Дерево/Array vs List.

В целом - много архитектурных вопросов. SOLID (+DRY,KISS,GRASP) - куда ж без них родимых, Парочку паттернов проектирования из GoF (Observer, Adapter, Facade, Синблятон). DDD как подход. FIFO и LIFO в чем отличие. Понимание Dependency injection / Inversion Of Control. Паттерн SAGA. Задачки на "а как бы ты сделал в микросервисах вот то-то и то-то", message brokers и варианты взаимодействия между сервисами. RetryPolicy - что такое, какие бывают, как реализуются. Идемпотентность (как в рамках HTTP Methods, так и в рамках асинхронщины на уровне микросервисов). Мультитрединг. Redis (pub/sub, distributed lock). CQRS что такое и как реализуется. UnitOfWork паттерн. Парочка хитрых вопросов по Prometheus было (что удивило). Виды тестов, метрики coverage'а, mock vs stub.

Довольно много вопросов по базам данных. Принцип выбора sql/nosql. Что такое и как работают индексы (какие минусы есть), задачки на шардирование, профайлинг запросов. Задачка на "выкатку новой схемы" без потери запросов/данных. ORM - плюсы и минусы, как решать. Active record vs Repository паттерн.

На удивление почти не спрашивали о : Typescript, Nest, OOP, Docker, алгоритмы.

Открыли доступ для всех. Нужно зарегиться, верифицироваться по номеру телефона и у вас будет 50 генераций :) Налетай!

https://openai.com/dall-e-2/

Конфа DotNext на прошлой неделе выложила на ютубе дофига полезных докладов! Ловите ссылочки :

Григорий Кошелев — Kafka: от теории к практике
Андрей Парамонов — gRPC: наш опыт внедрения. Почему всегда он?
Евгений Пешков — .NET: AOT в 2022
Анатолий Жмур — Поговорим о хэш-функциях
Н. Липилин (PVS-Studio) — SAST и SCA: поиск дефектов безопасности в коде проекта и его зависимостях
Круглый стол. Споры об аутентификации и авторизации на платформе ASP.NET Core
Денис Тарасов, Дмитрий Афанасьев — Атакуем цепочку поставок
Сергей Васильев — Обработка XML-файлов как причина появления уязвимостей
Сергей Баранов — Многоликий DDD
Вадим Мартынов — C# vNext: 20 фич из будущего
Круглый стол. Как стать сеньором
Павел Тупицын — Как написать высокопроизводительный драйвер базы данных
Антон Нечуговских — Как мы написали свой lock-free dictionary
Adam Furmanek — Ordering the Chaos: Cleaning Logs and Ordering Events in Microservices
Александр Поломодов — Как развиваться, если ты уже Senior Software Engineer
Алексей Патрин — Обезболивание enterprise-разработки. Применяем лучшее из мира микросервисов
Константин Ахметов (ПСБ) — Бизнес-конфиги
Леонид Андриевский — FFmpeg в приложениях .NET для работы с медиафайлами
С.Огородников, Р.Просин, К.Хабаров — Аутентификация и авторизация на платформе ASP.NET Core
Станислав Сидристый — Тонкие настройки стандартного ThreadPool
Круглый стол. Про Kafka и не только
Станислав Флусов — Миграция с MS SQL в PostgreSQL, когда нужно ещё вчера

Я уже делал похожую подборку с Highload конфы, можно найти по тегу #доклады 😉

Когда выслал другу мем, а в буфере был файл с кодом...

meme-orienting-programming!

stackoverflow наконец одарил новой ачивкой. top 1.00% this year 😃 Господа индусы судя по всему подвинулись на скамейке хД

Вообще, на стеке я уже почти 11 лет. И стараюсь всегда, когда не нахожу ответа - постить свои солюшены. Но по факту, рейтинг набирается довольно рандомно. Если повезет, один-два ответа взлетают и становятся с 100+ апвотами, 99% же или набирают пару-тройку, или же вообще остаются без внимания. В целом, всё так и должно быть - насколько ты полезен сообществу, настолько и апвотают. А полезны обычно какие-то супер-базовые ответы и обычно там уже всё отвечено до тебя. Довольно узкие и сложные ответы может кому-то и экономят время, но по сути - единицам. Какого-то "быстрого" пути я не заметил, но как видно и стратегия "нашёл проблему -> не нашёл решения -> оформил и запостил" на долгосрочной дистанции всё же даёт свои плоды. Тут как и везде - делаешь что-то на постоянке -> рано или поздно получаешь профит. Возможно, еще один вариант - коммитаться во всё новое, новые технологии/фреймворки. Там и проблем больше и таких же заинтересованных в решении этих проблем.

Есть ещё возможность задать сложный вопрос, о который бьёшься головой не первый день и "закинуть" n репутации в качестве мотивации вникнуть в твой кейс. Тот, кто ответит правильно и забирает эти n поинтов себе в карму. А у тебя отнимается. Но тут есть проблема - если никто не ответит, награда присуждается то ли рандомом, то ли как-то ещё, т.е. это не гарантирует, что вы решите проблему. Я разок так вот и "задонатил" кому-то. Спорненько :)

Кстати, не понятно почему не "1%", а "1.00%". Видимо я словил эджкейс, т.к. сотые уже идут у людей <1%. Зарепортить чтоль 😂

И да, по моему опыту на собесах всем фиолетово на твой профиль в stackoverflow :) Так что бустить специально смысла не вижу.

Просто очередная приятная ачивка, не более того 😉 Делитесь в комментах своей статистикой, если есть, интересно глянуть. Всем бобра.

Небольшая задачка по #aws #serverless #telegram_bot

Есть тг бот, работает на AWS Lambda. Приветствует входящих пользователей. Вопрос - как сделать так, чтобы бот через час удалял за собой это сообщение? Условие : serverless решение. В рамках AWS.

Цель : нет нагрузки -> нет трат. Собственно, в этом же и есть преимущество serverless идеологии.

Первое, конечно же что приходит на ум - деплойнуть банальный воркер на минимальный EC2, который будет имитировать простейший scheduler. Может быть cron, может быть простой скрипт зацикленный, который будет ожидать "задания" в виде {messageId}, который нужно удалить в {dateTime}. Но... не хотелось без постоянно поднятой машинки.

Дальше приходит на ум амазоновская очередь SQS. Закидываем в очередь сообщение, ставим ей какой-то readyToHandle в 60 минут. Он через час становится видимым и подписываем на очередь еще одну лямбду, которая автоматически триггернется как только сообщение станет видимо в очереди.
Подходит, но есть одно но - SQS и правда имеет параметр сообщения "DelaySeconds", однако, его максимальное значение - 15 минут. Не подходит.

Вот в целом-то и все доступные варианты, если глянуть поверхностно. Но к счастью, есть ещё один...

Решение

Оказалось, на aws есть сервис States - AWS Step Functions. Машина состояний. Что это такое?

Step Functions — это сервис бессерверной оркестровки, который позволяет комбинировать функции AWS Lambda и другие сервисы AWS для создания критически важных для бизнеса приложений. С помощью графической консоли Step Functions вы видите рабочий процесс своего приложения как серию управляемых событиями шагов. Step Functions основана на конечных автоматах и задачах. Конечный автомат — это рабочий процесс. Задача — это состояние в рабочем процессе, которое представляет собой единицу работы, которую выполняет другой сервис AWS. Каждый шаг рабочего процесса — это состояние (с) habr

Если проще - вы можете "накидать" так называемых шагов на амазоновский юайчик, связать их стрелочками-условиями и быть уверенным, что они исполнятся при определенных условиях. Получается блок-схема. У кого есть айтишное образование точно рисовали такие на парах.

Одним из "степов" может выступать кубик с названием "Wait", который отвечает за "паузу в n ms". Выглядит это вот так. И этот wait time можно в том числе указывать и прграммно. Т.е. данные могут переходить по этим состояниям.

Собственно...подходит! Флоу получился такой :

1. Входит новый пользователь. Лямбда ловит вебхук от телеграма, приветствует пользователя.
2. Лямбда триггерит созданную стейт-машину, передаёт туда условный {messageId} сообщения, которое нужно удалить и время, через сколько секунд.
3. Запускается стейт-машина/флоу на aws. Она переходит в режим ожидания. А через час вызывает мою лямбду, передавая ей мой джсончик с данными.
4. Отдельная лямбда, выполняющая только одну функцию - удаление из тг чата... удаляет сообщение.

PROFIT!

Стоит это всё копейки, при минимальной нагрузке. Что-то а-ля 1000 переходов состояний за 0.025$ + копеечка за лямбду.

Может кому когда понадобится 😉
Если вдруг у вас есть другие workarounds - пишите в комментариях, интересно будет почитать