cr0hn

La Complejidad Ciclomática en Desarrollo de Software y su Impacto en la Ciberseguridad Hoy un hilo sobre desarrollo, buenas prácticas y como pueden hacer eco en la seguridad del software Tranqui, no va a ser tan espeso como crees :) Enga, al lío! 👇

@b33rb4r0n @manucampos_swe Jejeje si, no se esperaban esto cuando se quedaron con mi código de la prueba técnica y lo pusieron en producción sin pedirme permiso…. linkedin.com/posts/garciaga…

@manucampos_swe Esto me recuerda a una de las buenas historias de @ggdaniel algo parecido le hicieron pero dani les hizo bailar un poco por lo que se

El otro día me llamaron de una startup española para una entrevista. Buscaban a alguien que supiera de IA, full stack, DevOps… básicamente todo. Querían montar un chat con RAG, tool calling y demás. Hasta ahí, normal. Interesante.

@patowc Lo que más gracia me hace a mí de eso es que si usas la IA para encontrar fallos de sugeridad te llaman: “IA adict” Reddit está lleno de esto

Qué gracia me hacen algunos super expertos en IA que veo ahora explicando en mesas redondas el problema de las vulnerabilidades... Hace un año negabáis ese impacto repitiendo hasta el aburrimiento que "alucinabam"... Y ahora sois "expertos". Qué agotador es el mundo y cuántos oportunistas hay en él...

As Bruce Schneier has argued for decades, vulnerabilities don't disappear because no one talks about them... FULL DISCLOSURE - Slow JSON Stream is a low-bandwidth denial-of-service attack against any HTTP server github.com/cr0hn/slowjson

@daotr03 Ey! Pues la verdad es que no de hecho no lo conocía. Apuntado. Thx

@ggdaniel Has probado wisper flow? Alguna diferencia entre las dos? Voy a testearla a ver que tal va. De entrada, el plan gratuito de Typeless es mas generoso.

Esta semana he tenido que responder más de 400 emails. Algo impensable si los hubiera tenido que escribir. He usado esto y es una maravilla, por si también necesitáis ganar tiempo. typeless.com/?via=cr0hn

@drNAISMITH @patowc @Microsoft Jajaja pues si, lo iba a hacer. Pero no he tenido tiempo para preparar la publicación y demás

@ggdaniel @patowc @Microsoft Creia que lo ibas a contar "encaliente" , pero mejor "enrooteado". Y bajo una mascara de Batman! Como decía alguien a quien conocí hace tiempo "algunos se merecen las desgracias detonadas por ir sobrado de abogados sin entendimiento técnico"

Es increíble tener que ver cómo hemos retrocedido 30 años de repente en la investigación de vulnerabilidades. Ya hace tiempo que decidimos no hacerle el juego a los fabricantes y optamos por el full-disclosure con avisos y margen de tiempo (con una fecha límite). Sí @Microsoft quiere empezar esta guerra, guerra tendrá.

@patowc @Microsoft Además, justamente llevo meses con esa dicotomía de hacer un full disclosure y que le den por culo a todo, o invertir tiempo que nadie me paga en ser una persona responsable. Tengo un fallo bastante gordo multiproveedor que, si me invitas, lo cuento en Rooted

@patowc @Microsoft Estoy hasta las mismísimas narices de que el trabajo de los investigadores de seguridad no solamente se desprecie, sino que además se cuestione, y encima vengan grandes corporaciones a amenazar. Y para colmo, te obligan a hacer la publicación responsable Venga, no me jodas!

@Rogeeer11 Escríbeme por Telegram y lo vemos

@ggdaniel Tengo la ultima versión (creo) y sigue apareciendo.

Plecost 4 is out! Plecost: Professional WordPress Security Scanner github.com/Plecost/plecos…

@Rogeeer11 @Cr0hn Buenas! Ese falso positivo me pasó hace unos días e hice un upgrade. Actualiza y prueba a ver si te sigue saliendo y me dices

@ggdaniel Hola @Cr0hn una duda, response_fp.py marca como China Chopper cualquier HTTP 200 con body vacío. ¿Puede wp-admin/includes/image.php legítimo devolver eso en alguna config? Estoy realizando algunas pruebas y me ha extrañado ese match. Gracias!

"Proteger" el fútbol ya penaliza a nuestro ecosistema tecnológico: ➡️ Vercel y BunnyCDN retiran sus nodos en España 👇 bandaancha.eu/foros/proteger…

Que gusto contar con gente que hable así de ti. Mil gracias @plandeformacion

Andas buscando un curso para saber montar un MCP pásate por alicebob.io/es/course-deta… y saber cómo hacerlo de manera segura para que no te la líen con @ggdaniel

@DevRelPuzzle Ey, gracias por parte que me toca! :)

Una tertulia muy enriquecedora, y sin desmerecer a ninguno de los participantes, con quien estoy más de acuerdo es con @ggdaniel (grata sorpresa porque no le conocía, y me mola mucho la forma de presentar y argumentar) youtube.com/watch?v=eA0QbD…

Miércoles 29 Abril a las 18:45 tenemos charla de 24H24l cuyo tema central será: ¿Es Linux seguro? Con un invitado de LUJO. - Samuel(Yo virtualizador) @YoVirtualizador - Felipe(weareDMNTR) @weareDMNTRs - Dani(Cr0hn) @ggdaniel Produce David Vaquero(Cursos de desarrollo) Directo en Youtube canal 24H24L @24H24L1 youtube.com/watch?v=eA0QbD…

For over 20 years, I have helped multinationals, governments, and startups secure what matters most through technical audits, original research, and specialised training. If you need my expertise in secure architecture design, cryptographic audits, C-level advisory — including how to manage quantum threats — or how to use AI in cybersecurity without the hype, such as AI SOCs, threat intelligence, malware analysis, and more, just let me know. And if you need advanced research or ad-hoc solutions in offensive or defensive security, I would be happy to help. My Proton Mail and PGP key are open to you. I look forward to hearing more from you and about exciting challenges - criptored.es

@patowc Yo la llamo "la hora bruja" Coincide exactamente cuando la costa este de USA empieza a currar (7:30 allí) Y tiene todo el sentido: Ya han reconocido que no tienen capacidad suficiente, así que tiene que repartir la que tienen

En serio, lo de Claude es muy raruno. Todo este fin de semana he observado esta pauta: hasta las 13:00-13:30 de mi zona horaria es funcional y capaz (muy capaz). A partir de esa hora se vuelve idiota. Pero tanto que enmierda los proyectos, hace cosas incomprensibles (se supone que lee la memoria y el contexto y debe saber que no debe hacerlas). Un ejemplo que tengo verificado: tanto en CLAUDE.md, como en skills dedicados (y en conversaciones) le he prohibido usar git salvo para leer detalles de un repo. Bien, si no superamos la hora gremlin (la he llamado así, sí xD) le digo que haga un commit y me responde que le he dicho que no lo haga. Ok, pasa la "medianoche" y el mogwai pasa a modo gremlin: no es que le tenga que decir que haga commits, es que se la suda todo y procede a hacerlo sin permiso. La única conclusión a la que llego es que me están haciendo throttling de recursos cuando entra el horario de EEUU. Porque que el comportamiento tenga una frontera temporal tan clara, hace que no pueda ser "aleatorio"...

@mindcrypt Muy de acuerdo contigo

@ggdaniel me tienen hasta las pelotas...

Otro día mas sin poder usar ollama cloud sin vpn... ¿Cuándo va a parar este sin sentido? 😤😤😤 #laligagate