Ребята из Cyber Media "поймали" после очередного митапа и позадавали разные вопросы про фаззинг-тестирование: от что это вообще такое до как попробовать — https://news.1rj.ru/str/secmedia/2338 или ссылка сразу на интервью. Enjoy!

Думал подождать Нового года, но раз тут достигли красивой IT-цифры — первых 256 подписчиков (за что всем огромнейшее Спасибо!), то решил, что самое время. Да и есть те, кто нарядил ёлочку, украсил аватарки и логотипы проектов и прочее уже 1-го декабря.

Зайчик из AFL мне, конечно, импонирует, а уж сколько находок во время тестирования помог найти — и не счесть, но хотелось что-то своё. В общем, взял нафаззеную мешанину идей, а Аня из @onoividno воплотила в жизнь. Теперь у канала есть маскот Фазя со своим набором стикеров и emoji. Набросков ещё хватает, поэтому стикерсет будет пополняться, но идеи приветствуются. :)

P. S. Когда-нибудь расскажу историю появления этого персонажа, некоторые даже скажут — грустную... Вышло в некотором роде символично.

…дарно!

Уже прошла неделя, как отгремел ZeroNights 2025, и это было действительно легендарное возвращение. Был очень рад увидеть «старых» друзей после долгого перерыва и обрести новые знакомства.

Организаторы сказали, что видео и слайды опубликуют позже, так что подборка по тематике канала откладывается. Были моменты когда интересные доклады были сразу на всех трёх треках. А пока готовим материалы к ZeroNights 2026!

Просьба от организаторов: если вы были на конференции, пройдите, пожалуйста, опрос. Это действительно поможет, и весь фидбэк читается!

P.S. А те, кто не смог увернуться от камер, ищут себя в коллекции фото на сайте ;)

Сергей в своём канале Протестировал поделился важной новостью и поднял важную тему про свой инструмент luzer.

Для тех, кто не в курсе, luzer - это инструмент для тестирования Lua-кода методом фаззинга с анализом покрытия. Про него есть отличные материалы:

- Доклад «Добавляем поддержку скриптового языка в AFL и LibFuzzer на примере Lua» с конференции Heisenbug
- Доклад «Фаззинг как основа эффективной разработки на примере LuaJIT» с последнего PHDays и его текстовая версия в виде статьи на Хабре на русском языке или на английском в блоге Сергея

А что же с важным:

- Инструмент luzer добавили в Sydr Fuzz, который разрабатывается ИСП РАН, поэтому все пользователи Crusher получили возможность фаззить и Lua API.
- Стартовала инициатива по добавлению luzer в OSS-Fuzz https://github.com/google/oss-fuzz/issues/13782, полайкайте (и накидайте звёздочек самой репе luzer, а то сам забыл), ну а ребята, приближенные к Google Security Team, возьмите на заметку пожалуйста!

Причём из-за ошибки в одной из программ, использующих Lua, недавно пострадало почти треть траффика Сloudflare, которые оперативно обновили свой WAF под нашумевшую уязвимость CVE-2025-55182 в React. В оригинальном посте команда пишет такие строки (на русском языке можно прочитать здесь или здесь)

This is a straightforward error in the code, which had existed undetected for many years.

И вспоминая моё любимое эссе "How to Prevent the next Heartbleed" действительно интересно, помог бы ли тут фаззинг найти проблему раньше?


P.S. А ещё интересно, кто-то уже попробовал luzer и nmap в качестве таргета…