Енді біз SQL инъекциясының басқа әдісін қолданамыз. Дерекқор қате туралы хабарларды түсіріп жатқанын көрейік. Бұл әдіс «кідірісті күту» деп аталады және кідірістің өзі келесідей жазылады: waitfor delay 00:00:01'. Мен оны файлымыздан көшіріп алып, браузерімнің мекенжай жолына қоямын.
Мұның бәрі «уақытша соқыр SQL инъекциясы» деп аталады. Мұнда біз «10 секунд кідіріс күтеміз» деп айтып жатырмыз. Байқасаңыз, жоғарғы сол жақта бізде «қосылуда...» деген жазу бар, яғни біздің парақша не істейді? Ол қосылымды күтеді және 10 секундтан кейін мониторда дұрыс бет пайда болады. Бұл трюк арқылы біз дерекқордан оған тағы бірнеше сұрақ қоюға рұқсат беруін сұраймыз, мысалы, егер пайдаланушы Джо болса, онда 10 секунд күтуіміз керек. Бұл түсінікті? Пайдаланушы dbo болса, 10 секунд күтіңіз. Бұл Blind SQL Injection әдісі.
Менің ойымша, әзірлеушілер патчтарды жасау кезінде бұл осалдықты түзетпейді. Бұл SQL инъекциясы, бірақ біздің IDS бағдарламамыз оны SQL инъекциясының алдыңғы әдістері сияқты көрмейді.
Қызықтырақ нәрсе жасап көрейік. Бұл жолды IP мекенжайымен көшіріп, браузерге қойыңыз. Бұл жұмыс істеді! Біздің бағдарламамыздағы TCP жолағы қызылға айналды, бағдарлама 2 қауіпсіздік қатерлерін атап өтті.
Жарайды, ары қарай не болғанын көрейік. Бізде XP қабығына бір қауіп бар, ал басқа қауіп - SQL енгізу әрекеті. Барлығы веб-қосымшаға шабуыл жасауға екі әрекет жасалды.
Жарайды, енді маған логикаға көмектес. Бізде IDS әртүрлі XP қабықшасының бұрмалануына жауап бергенін айтқан бұрмалау деректер пакеті бар.
Егер біз төмен түссек, біз HEX кодтарының кестесін көреміз, оның оң жағында xp_cmdshell + &27ping хабарламасы бар жалауша бар және бұл нашар екені анық.
Мұнда не болғанын көрейік. SQL сервері не істеді?
SQL сервері «сізде менің дерекқор құпия сөзім болуы мүмкін, сіз менің барлық дерекқор жазбаларымды ала аласыз, бірақ досым, мен сіздің командаларыңызды маған орындауыңызды қаламаймын, бұл мүлдем жақсы емес» деді!
Бізге не істеу керек, IDS XP қабығына қауіп туралы хабарласа да, қауіп еленбейді. SQL Server 2005 немесе SQL Server 2008 пайдалансаңыз, SQL енгізу әрекеті анықталса, операциялық жүйе қабығы құлыпталады, бұл жұмысыңызды жалғастыруға кедергі жасайды. Бұл өте тітіркендіргіш. Сонымен не істеуіміз керек? Сіз серверден өте сүйіспеншілікпен сұрауға тырысуыңыз керек. «Өтінемін, әке, мына печеньелерді ала аламын ба» деген сияқты бірдеңе айтуым керек пе? Мен осылай істеймін, шындап, мен серверден өте сыпайы түрде сұраймын! Мен қосымша опцияларды сұраймын, қайта конфигурациялауды сұраймын және қабықты қолжетімді ету үшін XP қабықшасының параметрлерін өзгертуді сұраймын, себебі бұл маған қажет!
Біз IDS мұны анықтағанын көреміз - көріп тұрсыз, мұнда 3 қауіп белгіленді.
Қараңызшы, біз қауіпсіздік журналдарын жарып жібердік! Бұл шыршаға ұқсайды, мұнда көптеген заттар ілінген! 27 қауіпсіздік қатерлері! Ура, балалар, біз бұл хакерді ұстадық, біз оны алдық!
Біз ол біздің деректерімізді ұрлайды деп алаңдамаймыз, бірақ егер ол біздің «қораптағы» жүйелік командаларды орындай алса - бұл қазірдің өзінде маңызды! Сіз Telnet маршрутын, FTP-ті сыза аласыз, сіз менің деректерімді ала аласыз, бұл керемет, бірақ мен бұл туралы алаңдамаймын, мен тек менің «қорапшамның» қабығын алғаныңызды қаламаймын.
Мен шынымен мені қызықтырған нәрселер туралы айтқым келеді. Мен ұйымдарда жұмыс істеймін, оларда көп жыл жұмыс істеп келемін, мұны сізге айтып отырғаным, менің құрбым мені жұмыссыз деп санайды. Ол мені тек сахнада тұрып сөйлесу деп ойлайды, мұны жұмыс деп санауға болмайды. Бірақ мен айтамын: «жоқ, менің қуанышым, мен кеңесшімін»! Айырмашылығы осында – мен өз ойымды айтамын және сол үшін жалақы аламын.
Осылай айтайын – біз хакерлер қабықты жарғанды жақсы көреміз, ал біз үшін дүниеде «қабықты жұтудан» асқан рахат жоқ. IDS талдаушылары өз ережелерін жазғанда, оларды қабықша бұзудан қорғайтын етіп жазғанын көре аласыз. Бірақ егер сіз CIO-мен деректерді алу мәселесі туралы сөйлессеңіз, ол сізге екі нұсқа туралы ойлануды ұсынады. Менде сағатына 100 «дана» жасайтын қолданба бар делік. Мен үшін не маңызды - осы қолданбадағы барлық деректердің қауіпсіздігін қамтамасыз ету немесе «қорап» қабықшасының қауіпсіздігін қамтамасыз ету? Бұл күрделі сұрақ! Нені көбірек уайымдау керек?
Сізде сынған «қорап» қабығы біреудің қолданбалардың ішкі жұмысына қол жеткізгенін білдірмейді. Иә, бұл ықтималдығы жоғары, егер ол әлі болмаған болса, жақын арада болуы мүмкін. Бірақ көптеген қауіпсіздік өнімдері шабуылдаушы желіңізде роуминг жасайтын алғышартқа негізделгенін ескеріңіз. Сондықтан олар командаларды орындауға, командаларды енгізуге назар аударады және бұл маңызды нәрсе екенін ескеру керек. Олар тривиальды осалдықтарды, өте қарапайым сайтаралық сценарийлерді, өте қарапайым SQL инъекцияларын көрсетеді. Олар күрделі қауіп-қатерлерге, шифрланған хабарларға, мұндай нәрселерге мән бермейді. Қауіпсіздік өнімдерінің бәрі шу іздейді, олар «жаппарды» іздейді, тобығыңызды тістейтін нәрсені тоқтатқысы келеді деп айтуға болады. Қауіпсіздік өнімдерімен жұмыс істеу кезінде мен мынаны білдім. Қауіпсіздік өнімдерін сатып алудың қажеті жоқ, жүк көлігін кері бағытта жүргізудің қажеті жоқ. Сізге технологияны түсінетін сауатты, білікті адамдар керек. Иә, Құдайым, адамдар! Біз бұл проблемаларға миллиондаған доллар жұмсағымыз келмейді, бірақ сіздердің көпшілігіңіз осы салада жұмыс істегенсіздер және сіздің бастығыңыз жарнаманы көрген бойда дүкенге жүгіріп, «мына затты алуымыз керек!» деп айқайлайтынын біледі. Бірақ оның бізге керегі жоқ, артымыздағы келеңсіздікті жөндеп алуымыз керек. Бұл спектакльдің алғышарттары болды.
Жоғары қауіпсіздік ортасы - бұл қорғаныс механизмдерінің жұмыс істеу ережелерін түсіну үшін көп уақытымды жұмсаған нәрсе. Қорғаныс механизмдерін түсінгеннен кейін қорғауды айналып өту қиын емес. Мысалы, менде өзінің желіаралық қалқанымен қорғалған веб-бағдарлама бар. Мен параметрлер тақтасының мекенжайын көшіріп, оны браузердің мекенжай жолына қойып, параметрлерге өтіп, сайттар арасындағы сценарийді қолдануға тырысамын.
Нәтижесінде мен қауіп туралы брандмауэр хабарын аламын - мені бұғаттады.
Менің ойымша, бұл жаман, келісесіз бе? Сіз қауіпсіздік өнімімен бетпе-бет келдіңіз. Бірақ егер мен осындай нәрсені қолданып көрсем ше: жолға Joe'+OR+1='1 параметрін қойыңыз
Көріп отырғаныңыздай, ол жұмыс істеді. Егер қателессем түзетіңіз, бірақ SQL инъекциясының қолданба брандмауэрін жеңгенін көрдік. Енді біз күзет компаниясын ашқымыз келеді делік, сондықтан бағдарламалық жасақтама жасаушының қалпақшасын киейік. Енді біз зұлымдықты бейнелейміз, өйткені ол қара қалпақ. Мен кеңесшімін, сондықтан мен мұны бағдарламалық жасақтама өндірушілерімен жасай аламын.
Біз шабуылды анықтаудың жаңа жүйесін құрып, қолданғымыз келеді, сондықтан бұзуды анықтау науқанын бастаймыз. Snort, бастапқы коды ашық өнім ретінде жүздеген мың басып кіру қаупінің қолтаңбаларын қамтиды. Біз этикалық тұрғыдан әрекет етуіміз керек, сондықтан біз бұл қолдарды басқа қолданбалардан ұрламаймыз және оларды жүйемізге енгізбейміз. Біз жай ғана отырамыз және олардың бәрін қайта жазамыз - эй, Боб, Тим, Джо, осында келіңіз және осы 100 000 қолдың бәрін жылдам жүгіріп өтіңіз!
Біз сондай-ақ осалдық сканерін жасауымыз керек. Сіз осалдықтарды автоматты түрде іздеуші Nessus-та осалдықтарды тексеретін жақсы 80 XNUMX қолтаңбасы мен сценарийі бар екенін білесіз. Біз қайтадан этикалық әрекет жасаймыз және олардың барлығын өз бағдарламамызда қайта жазамыз.
Адамдар маған: «Джо, сіз Mod Security, Snort және т.б. сияқты ашық бастапқы бағдарламалық жасақтамамен осы сынақтардың барлығын жасайсыз, олар басқа жеткізушілердің өнімдеріне қаншалықты ұқсас?» деп сұрайды. Мен оларға: «Олар мүлдем ұқсамайды!» деп жауап беремін. Жеткізушілер ашық бастапқы қауіпсіздік өнімдерінен заттарды ұрламайтындықтан, олар отырады және осы ережелердің барлығын өздері жазады.
Егер сіз өзіңіздің қолтаңбаларыңызды және шабуыл жолдарын ашық бастапқы өнімдерді пайдаланбай жұмыс істей алсаңыз, бұл сіз үшін тамаша мүмкіндік. Егер сіз дұрыс бағытта қозғалып, коммерциялық өнімдермен бәсекеге түсе алмасаңыз, өз салаңызда танымал болуға көмектесетін тұжырымдаманы табуыңыз керек.
Менің ішетінімді бәрі біледі. Не үшін ішетінімді көрсетейін. Егер сіз өміріңізде бастапқы код аудитін жасаған болсаңыз, сіз міндетті түрде мас боласыз, маған сеніңіз, содан кейін сіз ішуді бастайсыз.
Сондықтан біздің сүйікті тіліміз C++. Осы бағдарламаны қарастырайық - Web Knight веб-серверлерге арналған желіаралық қалқан қолданбасы. Оның әдепкі ерекшеліктері бар. Бір қызығы, егер мен осы желіаралық қалқанды қолдансам, ол мені Outlook Web Access бағдарламасынан қорғамайды.
Керемет! Себебі көптеген бағдарламалық жасақтама жеткізушілері кейбір қолданбалардан ережелерді алып тастап, дұрыс зерттеулердің толық тобын жасамай, оларды өз өнімдеріне енгізеді. Сондықтан желілік брандмауэр қолданбасын қолданғанда, веб-пошта туралы бәрі дұрыс емес деп ойлаймын! Өйткені кез келген дерлік веб-пошта әдепкі қауіпсіздікті бұзады. Сізде жүйелік пәрмендерді орындайтын және LDAP сұрауларын немесе вебтегі кез келген басқа пайдаланушы дерекқорын сақтайтын веб-код бар.
Айтыңызшы, мұндай нәрсені қай планетада қауіпсіз деп санауға болады? Ойлап көріңізші: сіз Outlook Web Access бағдарламасын ашасыз, b ctrl+K пернелер тіркесімін басыңыз, пайдаланушыларды іздейсіз және осының барлығын тікелей интернеттен Active Directory басқарасыз, Linux жүйесінде жүйелік пәрмендерді "сқұйрық поштаны" немесе Орданы немесе басқасын пайдалансаңыз, орындайсыз. басқа нәрсе. Сіз барлық бағалауларды және қауіпті функциялардың басқа түрлерін шығарып жатырсыз. Сондықтан көптеген желіаралық қалқандар оларды қауіпсіздік қатерлерінің тізімінен алып тастайды, бұл туралы бағдарламалық құрал өндірушісінен сұрап көріңіз.
Web Knight қолданбасына қайта оралайық. Ол барлық осы IP мекенжай ауқымдарын сканерлейтін URL сканерінен көптеген қауіпсіздік ережелерін ұрлады. Және бұл барлық мекенжай диапазондары менің өнімімнен шығарылған ба?
Араларыңызда осы мекенжайларды желіге орнатқыңыз келе ме? Сіздің желіңіздің осы мекенжайларда жұмыс істеуін қалайсыз ба? Иә, бұл таңқаларлық. Жарайды, осы бағдарламаны төмен айналдырып, брандмауэр істегісі келмейтін басқа нәрселерді қарастырайық.
Олар «1999» деп аталады және олардың веб-серверінің өткенде болғанын қалайды! Сіздердің біреулеріңіздің есіңізде осы сұмдық бар ма: /скрипттер, /iishelp, msads? Мүмкін, бірнеше адам мұндай нәрселерді бұзудың қаншалықты қызықты болғанын сағынышпен еске алады. «Есіңде болсын, адам, біз қанша уақыт бұрын серверлерді «өлтірген» едік, бұл керемет болды!».
Енді, егер сіз осы ерекшеліктерді қарасаңыз, сіз бұл заттардың барлығын - msads, принтерлер, iisadmpwd - бүгінгі күні ешкімге қажет емес нәрселерді жасай алатыныңызды көресіз. Орындауға рұқсат етілмеген пәрмендер туралы не деуге болады?
Бұл arp, at, cacls, chkdsk, cipher, cmd, com. Оларды тізгенде сіз ескі күндерді еске түсіресіз, «балам, сол серверді қалай алғанымыз есіңізде ме, сол күндер есіңізде ме?
Бірақ мұнда шынымен қызықты нәрсе бар - бұл жерде WMIC немесе PowerShell-ті біреу көре ме? Сізде жергілікті жүйеде сценарийлерді іске қосу арқылы жұмыс істейтін жаңа қолданба бар деп елестетіңіз және бұл заманауи сценарийлер, өйткені сіз Windows Server 2008 жүйесін іске қосқыңыз келеді және мен оны Windows жүйесіне арналған ережелермен қорғау бойынша тамаша жұмыс жасаймын. 2000. Жеткізуші сізге веб-қосымшасымен келесі жолы келгенде, одан сұраңыз: «Эй, адам, сіз әкімші биттері немесе powershell пәрмендерін орындау сияқты нәрселерді қамтамасыз еттіңіз бе, басқа нәрселерді тексердіңіз бе, өйткені біз барамыз. DotNET жаңа нұсқасын жаңарту және пайдалану»? Бірақ бұлардың барлығы әдепкі бойынша қауіпсіздік өнімінде болуы керек!
Мен сізбен сөйлескім келетін келесі нәрсе - логикалық қателіктер. 192.168.2.6 нұсқасына көшейік. Бұл алдыңғы қолданба сияқты шамамен бірдей.
Бетті төмен айналдырып, «Бізбен байланысу» сілтемесін бассаңыз, қызықты нәрсені байқай аласыз.
Мен үнемі жасайтын пентестинг әдістерінің бірі болып табылатын «Бізбен байланыс» қойындысының бастапқы кодын қарасаңыз, бұл жолды байқайсыз.
Ойлан! Мен мұны көргенде көбінің: «Уау» дегенін естідім! Мен бір рет, айталық, миллиардер банкке ену тестін өткіздім және сол жерде ұқсас нәрсені байқадым. Сонымен, бізге SQL инъекциясы немесе сайттар арасындағы сценарийлер қажет емес - бізде ең бастысы, бұл мекенжай жолағы бар.
Сонымен, әсірелеп айтпай-ақ, банк бізге олардың екеуі де – желі маманы да, веб-инспекторы да бар екенін айтты және олар ешқандай ескерту жасамады. Яғни, олар мәтіндік файлды браузер арқылы ашуға және оқуға болатынын қалыпты жағдай деп санады.
Яғни, файлды тікелей файлдық жүйеден оқуға болады. Олардың қауіпсіздік тобының басшысы маған: «Иә, сканерлердің бірі бұл осалдықты тапты, бірақ оны шамалы деп санады». Мен оған жауап бердім, жарайды, маған бір минут беріңіз. Мен мекенжай жолағына filename=../../../../boot.ini тердім және файлдық жүйенің жүктелу файлын оқи алдым!
Бұл үшін олар маған: «жоқ, жоқ, жоқ, бұл маңызды файлдар емес» деді! Мен жауап бердім, бірақ бұл Server 2008, солай емес пе? Олар иә, бұл ол деді. Мен айтамын - бірақ бұл серверде сервердің түбірлік каталогында орналасқан конфигурация файлы бар, солай ма? «Дұрыс» деп жауап береді олар. «Тамаша», «Егер шабуылдаушы мұны істесе ше» деп айтамын және мекенжай жолағына filename=web.config деп жазамын. Олар айтады - мониторда ештеңе көрмейсіз бе?
Мен айтамын - мониторды тінтуірдің оң жақ түймешігімен басып, «Бет кодын көрсету» опциясын таңдасам ше? Ал мен мұнда не табамын? «Сыни ештеңе жоқ»? Мен сервер әкімшісінің құпия сөзін көремін!
Ал сіз бұл жерде проблема жоқ дейсіз бе?
Бірақ менің сүйікті бөлігім келесісі. Сіз маған қорапта пәрмендерді орындауға рұқсат бермейсіз, бірақ мен веб-сервердің әкімші құпия сөзін және дерекқорды ұрлай аламын, бүкіл дерекқорды шолып, барлық дерекқор мен жүйе ақаулары туралы мәліметтерді алып тастап, барлығымен бірге кете аламын. Жаманның «Ей, адам, бүгін тамаша күн» дейтін жағдайы осы!
Қауіпсіздік өнімдерінің сіздің ауруыңызға айналуына жол бермеңіз! Қауіпсіздік өнімдерінің сізді ауыртуына жол бермеңіз! Кейбір ақылсыздарды табыңыз, оларға барлық Star Trek естеліктерін беріңіз, оларды қызықтырыңыз, оларды сізбен бірге болуға шақырыңыз, өйткені күнделікті душ қабылдамайтын иіссіз сасық адамдар сіздің желілеріңізді келесідей жұмыс істейді! Бұл сіздің қауіпсіздік өнімдеріңіздің дұрыс жұмыс істеуіне көмектесетін адамдар.
Айтыңызшы, сіздердің көпшілігіңіз: «Ой, мен бұл сценарийді тез арада басып шығаруым керек!» Дейтін адаммен ұзақ уақыт бір бөлмеде тұра аласыздар, ал кім үнемі мұнымен айналысады? Бірақ сізге қауіпсіздік өнімдеріңізді жұмыс істейтін адамдар қажет.
Қайталап айтсақ, қауіпсіздік өнімдері мылқау, өйткені шамдар әрқашан дұрыс емес, олар үнемі жағымсыз нәрселермен айналысады, олар тек қауіпсіздікті қамтамасыз етпейді. Мен бұрағышы бар жігіт оны қалыпты жұмыс істеуі үшін қажет жерде бұрауды қажет етпейтін жақсы қауіпсіздік өнімін ешқашан көрген емеспін. Бұл жаман деп айтатын ережелердің үлкен тізімі ғана, және бәрі де!
Ендеше, балалар, білімге, қауіпсіздік, политехника сияқты нәрселерге назар аударғандарыңызды қалаймын, өйткені қауіпсіздік мәселелері бойынша көптеген тегін онлайн курстар бар. Python үйреніңіз, Ассамблеяны үйреніңіз, веб-қосымшаларды тестілеуді үйреніңіз.
Міне, сіздің желіңізді қорғауға шынымен көмектесетін нәрсе. Ақылды адамдар желіні қорғайды, желілік өнімдер қорғамайды! Жұмысқа қайта оралыңыз және бастығыңызға ақылды адамдар үшін көбірек бюджет қажет екенін айтыңыз, мен бұл қазір дағдарыс екенін білемін, бірақ оған бәрібір адамдарға оларды оқыту үшін көбірек ақша қажет екенін айтыңыз. Егер біз өнімді сатып алсақ, бірақ ол қымбат болғандықтан оны қалай пайдалану керектігі туралы курсты сатып алмасақ, онда біз адамдарға оны қалай пайдалану керектігін үйретпейтін болсақ, неге оны мүлде сатып аламыз?
Мен көптеген қауіпсіздік өнімдерін жеткізушілер үшін жұмыс істедім, мен бүкіл өмірімді осы өнімдерді енгізуге жұмсадым және осы барлық желіге кіруді басқару элементтерінен және басқа нәрселерден шаршадым, өйткені мен осы келеңсіз өнімдердің барлығын орнатып, іске қосқанмын. Бір күні мен клиентке бардым, олар EAP протоколы үшін 802.1x стандартын енгізгісі келді, сондықтан олардың әрбір порт үшін MAC мекенжайлары мен қосымша мекенжайлары болды. Келдім, жаман екенін көрдім, бұрылып принтердің түймелерін баса бастадым. Білесіз бе, принтер желілік жабдықтың сынақ бетін барлық MAC мекенжайлары мен IP мекенжайларымен басып шығара алады. Бірақ принтер 802.1x стандартын қолдамайтыны белгілі болды, сондықтан оны алып тастау керек.
Содан кейін мен принтерді ажыратып, ноутбуктің MAC мекенжайын принтердің MAC мекенжайына ауыстырдым және ноутбукты қостым, осылайша бұл қымбат MAC шешімін айналып өтіп, бұл туралы ойланыңыз! Егер адам принтер немесе VoIP телефоны ретінде кез келген жабдықты жай ғана жібере алса, бұл MAC шешімі маған не істей алады?
Сондықтан бүгін мен үшін пентестинг клиентім сатып алған қауіпсіздік өнімін түсінуге және түсінуге уақыт бөлу болып табылады. Қазір мен ену сынағы жасайтын әрбір банкте осы HIPS, NIPS, LAUGTHS, MACS және жай ғана соратын басқа да аббревиатуралар бар. Бірақ мен бұл өнімдердің не істеуге тырысатынын және оны қалай жасауға тырысатынын анықтауға тырысамын. Содан кейін, мен олар қорғауды қамтамасыз ету үшін қандай әдістеме мен логиканы қолданатынын анықтағаннан кейін, оны айналып өту қиын болмайды.
Мен сізге қалдыратын сүйікті өнімім MS 1103 деп аталады. Бұл HIPS, хост шабуылын болдырмау қолтаңбасы немесе хост шабуылын болдырмау қолтаңбаларын шашатын шолғышқа негізделген эксплуатация. Іс жүзінде ол HIPS қолтаңбаларын айналып өтуге арналған. Мен сізге оның қалай жұмыс істейтінін көрсеткім келмейді, өйткені мен оны көрсетуге уақыт алғым келмейді, бірақ бұл қорғанысты айналып өтудің керемет жұмысын жасайды және оны қабылдауыңызды қалаймын.
Жарайсыңдар балалар, мен қазір кетемін.
Кейбір жарнамалар 🙂
Бізбен бірге болғандарыңызға рахмет. Сізге біздің мақалалар ұнайды ма? Қызықты мазмұнды көргіңіз келе ме? Тапсырыс беру немесе достарыңызға ұсыну арқылы бізге қолдау көрсетіңіз, , Сіз үшін біз ойлап тапқан бастапқы деңгейдегі серверлердің бірегей аналогы: (RAID1 және RAID10, 24 ядроға дейін және 40 ГБ DDR4 дейін қол жетімді).
Dell R730xd Амстердамдағы Equinix Tier IV деректер орталығында 2 есе арзан ба? Тек осында Нидерландыда! Dell R420 - 2x E5-2430 2.2 ГГц 6C 128 ГБ DDR3 2x960 ГБ SSD 1 Гбит/с 100 ТБ - 99 доллардан бастап! туралы оқыңыз
Ақпарат көзі: www.habr.com