# 6

Global Rank

# 51,778

4,731

Country Rank

# 51,398

547

United States

Category Rank

Поисковые системы
(в США)

Всего посещений

1,3 млн

Показатель отказов

58,72%0015

00:02:15

Сходство.

Соединенные Штаты

Категория Ранг

# 1

Поисковые системы
(в Соединенных Штатах)

Общая посещение

87,3B

PAR

28.5.3B

.0015

8.70

Avg Visit Duration

00:10:58

Similarity Score

76%

# 8

Global Rank

# 6

Country Rank

# 1

China

Category Rank

# 1

Search Engines
(In China)

Total Visits

5.1B

Bounce Rate

20.14%

Страницы за посещение

8.03

AVG Продолжительность посещения

00:05:37

Оценка сходства

74%

# 1,932

51

Страновой рейтинг

# 785

58

Соединенные Штаты

Категория Руга

Соединенные Штаты

Категория

Категория

.0015

41,9M

Ставка отскока

53,90%

Страницы за посещение

2,36

AVG Продолжительность

00:05:44

. Сходство

00:05:44

. # 10

Глобальный ранг

Страна

# 133

4

Соединенные Штаты

Категория Ранг

# 4

Категория

Общее количество посещений

223.1m

Ставка отскока

28,09%

Страницы на посещение

10,39

AVG DURAGE

0000:25:04

AVG

0000:25:04

AVG. Сравните music.youtube.comСравните с music.youtube.com

5 основных конкурентов yandex.com в августе 2022 года: tineye.com, bing.com, ya.ru, cuil.com и другие.

Согласно данным Similarweb о ежемесячных посещениях, главным конкурентом yandex.com в августе 2022 года является tineye.com с 7,6 млн посещений. yandex.com 2-й наиболее похожий сайт — это bing.com с 1,1 миллиарда посещений в августе 2022 года, а замыкает тройку лидеров — ya.ru с 21,4 миллионами.

cuil.com занимает 4-е место среди веб-сайтов, наиболее похожих на yandex.com, а duckduckgo.com занимает пятое место. cuil.com и duckduckgo.com получили 5,0 тыс. посещений и 892,2 млн посещений в августе 2022 года соответственно.

Другими пятью конкурентами в списке 10 лучших являются iqdb.org (1,3 млн посещений в августе 2022 г.), google.com (87,3 млрд посещений в августе 2022 г.), baidu.com (5,1 млрд посещений в августе 2022 г.), спросите. com (41,9 млн посещений в августе 2022 г.) и music.youtube.com (223,1 млн посещений в августе 2022 г. ).

Яндекс Публикует ЯЛМ 100Б. Это крупнейшая нейронная сеть, похожая на GPT, с открытым исходным кодом | Михаил Хрущев | Яндекс

В последние годы крупномасштабные языковые модели на основе преобразователей стали вершиной нейронных сетей, используемых в задачах НЛП. С каждым месяцем они растут в масштабе и сложности, но для обучения таких моделей нужны миллионы долларов, лучшие специалисты и годы разработки. Вот почему только крупные ИТ-компании имеют доступ к этой ультрасовременной технологии. Однако исследователям и разработчикам во всем мире нужен доступ к этим решениям. Без новых исследований их рост может замедлиться. Единственный способ избежать этого — поделиться передовым опытом с сообществом разработчиков.

Мы уже больше года используем языковые модели семейства YaLM в голосовом помощнике Алиса и Поиске Яндекса. Сегодня мы сделали нашу самую большую модель YaLM, которая использует 100 миллиардов параметров, доступной бесплатно. Нам потребовалось 65 дней, чтобы обучить модель на пуле из 800 видеокарт A100 и 1,7 ТБ онлайн-текстов, книг и множества других источников. Мы опубликовали нашу модель и полезные материалы на GitHub под лицензией Apache 2.0, которая разрешает как исследовательское, так и коммерческое использование. В настоящее время это крупнейшая в мире нейронная сеть, подобная GPT, бесплатно доступная для английского языка.

В этой статье мы поделимся не только моделью, но и нашим опытом ее обучения. Вы можете подумать, что с суперкомпьютером обучение крупномасштабных моделей — это проще простого. К сожалению, это не так. Здесь мы расскажем вам, как нам удалось обучить такую ​​огромную языковую модель и как мы вдвое сократили время обучения без ущерба для стабильности. Многие вещи, описанные ниже, можно применять и для обучения небольших моделей.

В контексте крупномасштабных нейронных сетей увеличение скорости обучения на 10 % может сэкономить вам неделю работы в кластере с высокой ценностью. Здесь мы расскажем вам, как увеличить скорость тренировки более чем в два раза.

Итерации обучения обычно состоят из следующих шагов:

• Подготовка пакета
• Запуск прямого распространения: расчет функций активации и потерь
• Запуск обратного распространения: расчет градиентов
• Запуск этапа шага для обновления весов модели

  Давайте посмотрим, как можно ускорить эти этапы.

  Поиск узких мест

  Чтобы увидеть, как используется время обучения, следует использовать профилировщик. В PyTorch этим занимается модуль torch.autograd.profiler (см. статью). Вот пример трассировки, которую мы получили от профилировщика:

  Этот след был создан небольшой 12-слойной нейронной сетью. Вы можете увидеть этапы вперед вверху и этапы назад внизу. Что не так с этим следом? Одна операция занимает слишком много времени, около 50% всего времени обучения. Оказалось, что мы забыли изменить размер встраивания токена при копировании обучающей конфигурации для нашей большой модели. Это привело к чрезмерному умножению матриц в конце сети. Уменьшив размер встраивания, мы значительно ускорили процесс обучения.

  Профилировщик также помог нам найти более серьезные проблемы, поэтому мы рекомендуем использовать его часто.

  Использование быстрых типов данных

  Первое, что влияет на скорость обучения и вывода, — это тип данных, используемый для хранения модели и выполнения вычислений. Мы используем четыре типа данных:

  1. Формат с одинарной точностью, fp32: обычный формат с плавающей запятой. Это очень точно, но занимает четыре байта, замедляя вычисления. Это тип вашей модели PyTorch по умолчанию.
  2. Формат половинной точности, fp16: 16-битный тип данных, который намного быстрее, чем fp32, и потребляет вдвое меньше памяти.
  3. bfloat16, еще один 16-битный тип: по сравнению с fp16 он предоставляет на 3 бита меньше для мантиссы и на 3 бита больше для экспоненты. В результате формат может принимать более широкие диапазоны значений, но страдает от потери точности в числовых операциях.
  4. Формат TensorFloat, tf32: 19-битный тип данных, который объединяет экспоненту из bf16 и мантиссу из fp16. Он потребляет те же четыре байта, что и fp32, но намного быстрее.

  На видеокартах A100 и новее 16-битные типы в 5 раз быстрее, чем fp32, и в 2,5 раза быстрее, чем tf32. Если вы используете карту A100, то вместо fp32 всегда используется tf32, если вы явно не укажете иное.

  В старых видеокартах bf16 и tf32 не поддерживаются, а fp16 всего в два раза быстрее, чем fp32. Несмотря на это, это все еще огромный выигрыш в производительности. Всегда имеет смысл выполнять вычисления в формате половинной точности или в формате bf16, хотя у этого подхода есть свои недостатки. Мы обсудим это позже.

  Ускорение операций на графическом процессоре

  В этой статье дается хорошее объяснение операций на графическом процессоре и способов их ускорения. Здесь мы процитируем пару основных идей оттуда.

  Использовать GPU полностью

  Для начала разберемся, как выглядит расчет одного CUDA-ядра на GPU. Аналогия с фабрикой из этой статьи помогает проиллюстрировать это:

  У вашего графического процессора есть склад (память) и фабрика (вычисление). При выполнении ядра вычисление запрашивает соответствующие данные из памяти, вычисляет результат и записывает его обратно в память.

  Что произойдет, если ваш завод работает на половину своей мощности?

  Подобно заводу по производству кирпича и минометов, половина ресурсов графического процессора простаивает. Как исправить это во время тренировки? Самый простой способ — увеличить размер пакета .

  Для небольших моделей увеличение размера партии в N раз может принести многократное увеличение скорости обучения, хотя сама итерация замедлится. Для крупномасштабных моделей с миллиардами параметров также можно получить небольшой выигрыш от увеличения размера пакета.

  Уменьшить взаимодействие с памятью

  Вторая идея из статьи заключается в следующем. Предположим, у нас есть три ядра, которые обрабатывают одни и те же данные в конвейере:

  В этом случае время используется не только для вычислений, но и для доступа к памяти: эти операции имеют свою цену. Чтобы уменьшить количество этих операций, вы можете сплавить свои ядра:

  Как? Есть несколько способов:

  1. Использовать torch.jit.script. Используя этот простой атрибут, вы можете скомпилировать код функции в одно ядро. В приведенном ниже коде мы объединили три операции: добавление тензора, удаление и добавление другого тензора.

  Этот подход дал нам увеличение скорости обучения на 5%.

  2. Вы можете написать свои собственные ядра CUDA. Таким образом, вы можете не только объединить свои операции, но и оптимизировать использование памяти и избежать ненужных операций. Однако написание этого кода требует очень специфических знаний, а разработка ядра может оказаться слишком дорогой.

  3. Либо можно использовать готовые ядра CUDA. Давайте быстро взглянем на ядра в библиотеках Megatron-LM и DeepSpeed ​​(мы их часто используем):

  • Внимание softmax с треугольной маской обеспечивает ускорение на 20–100%. Прирост скорости также особенно высок в небольших сетях, когда вы используете fp32 в своих вычислениях.
  • Внимание softmax с произвольной маской обеспечивает ускорение до 90%.
  • Fused LayerNorm — это объединенная версия LayerNorm в fp32. Мы его не использовали, но он тоже должен дать выигрыш в скорости.
  • Трансформаторы DeepSpeed ​​представляют собой трансформатор с полностью плавкими предохранителями. Он обеспечивает ускорение, но его крайне сложно масштабировать и поддерживать, поэтому мы его не используем.

  Используя различные виды слитых ядер, мы ускорили процесс обучения более чем в 1,5 раза.

  Dropouts

  Если у вас много данных и нет переобучения при dropout == 0, отключите dropouts! Это увеличило скорость наших вычислений на 15%.

  Корпус с несколькими графическими процессорами

  Что меняется при использовании нескольких графических процессоров? Теперь наш процесс выглядит следующим образом:

  • Подготовка пакета
  • Вперед
  • Назад
  • all_reduce градиенты: усредните градиенты на ваших видеокартах, чтобы объединить их ресурсы
  • Шаг: Обновите веса модели

  Усреднение всех градиентов требует времени. Каждый графический процессор должен отправлять и получать как минимум столько градиентов, сколько у вас есть параметров в вашей сети. Давайте посмотрим, как мы можем значительно ускорить эту и ступенчатую стадию.

  Связь

  Как работает оптимальная связь? Используемая нами библиотека NVIDIA NCCL вычисляет обмен данными при инициализации и позволяет графическим процессорам обмениваться данными по сети без каких-либо посредников ЦП. Это обеспечивает максимальную скорость связи. Вот статья NVIDIA об этой библиотеке.

  В коде это выглядит так:

  Коммуникации NCCL очень быстрые, но даже с ними скорость этапа all_reduce займет много времени. ZeRO помогает нам ускорить его еще больше.

  ZeRO

  ZeRO означает оптимизатор нулевого резервирования.

  В левой части картинки вы видите стандартную тренировку на нескольких GPU. В стандартной схеме мы распределяем все параметры и состояния оптимизации, а также усредненные градиенты между нашими процессами. Это стоит нам много памяти.

  Блок-схема высокого уровня ZeRO показана справа. Каждому процессу мы назначаем группу параметров. Для этих параметров процесс всегда сохраняет значения и состояния оптимизатора, и только этот процесс может их обновлять. Таким образом, вы можете сэкономить огромные объемы памяти, которые теперь могут быть выделены для больших пакетов. Однако это добавляет новый этап: all_gather weights. Нам нужно собрать все параметры сети в каждом процессе, чтобы запустить прямой и обратный этапы. Теперь сложность операций после расчета градиентов будет следующей:

  • градиенты all_reduce: O(N), где N — количество параметров.
  • шаг: O(N/P), где P — количество процессов. Это уже приличный разгон.
  • параметры all_gather: O(N).

  Как видите, мы ускорили один этап, но за счет добавления новых тяжелых операций. Так как же нам их ускорить? Просто: запускайте их асинхронно!

  Соберите свои слои асинхронно один за другим во время предварительной стадии:

  1. Собираем первый слой для всех процессов.
  2. Собирая второй слой, мы запускаем предварительную стадию для первого слоя.
  3. Собирая третий слой, мы запускаем предварительную стадию для второго слоя.

  И так далее, пока не закончим все этапы вперед. Вы можете ускорить обратную стадию почти таким же образом.

  Это дало нашим моделям прирост скорости на 80%! Даже на небольших моделях (100M на 16 GPU) мы увидели ускорение на 40–50%. Для этого подхода требуется довольно быстрая сеть, но если она у вас есть, вы можете значительно ускорить обучение на нескольких GPU.

  Результат

  Мы применили четыре подхода к нашему тренировочному процессу:

  • Мы объединили часть наших операций: +5% скорости
  • Мы использовали ядро ​​внимания softmax с треугольной маской: +20–80%
  • Мы отключено отсев: +15%
  • Мы применили ZeroRO: +80%

  Неплохо. Давайте двигаться дальше.

  Долгая итерация — не единственное препятствие для обучения действительно большой модели. Может показаться, что если у вас достаточно вычислительной мощности, вы можете просто начать обучение модели, отправиться в отпуск на два месяца, а по возвращении вас будет ждать уже готовая модель. Однако модели такого масштаба достаточно хрупкие и склонны к расхождению. Что такое дивергенция и как ее контролировать?

  Что такое дивергенция?

  Допустим, вы запустили тренировку, посмотрели на графики и увидели, что убыток уменьшается. Первый день, второй день, третий день, все еще уменьшается. Затем, утром четвертого дня, вы смотрите на график потерь, и он выглядит так:

  Сейчас потери выше, чем через несколько часов после начала тренировки. Более того, модель буквально забыла все, что знала. Это непоправимо: дни тренировок насмарку.

  Что случилось?

  Первые наблюдения

  Мы заметили три вещи:

  1. Оптимизатор LAMB гораздо менее склонен к расхождениям, чем Адам.

  2. Снижая скорость обучения, мы можем решить проблему расхождения. Но не все так просто:

  • Чтобы правильно подобрать параметр lr, нужно много раз перезапускать процесс обучения.
  • Уменьшение lr часто замедляет обучение: например, здесь двукратное уменьшение lr привело к замедлению на 30%:

  3. fp16 более подвержен проблемам расхождения, чем fp32. В основном это было связано с переполнением значений fp16 в наших функциях активации и градиентах. Максимальное абсолютное значение fp16 равно 65535. Переполнение привело к NaN в значениях функции потерь.

  Термометры

  Одной из вещей, которые мы долгое время использовали для продолжения обучения, были термометры. Измерялись максимумы и минимумы функций активации в различных сегментах сети, а также глобальная норма градиентов. Вот пример значений термометра для дивергентной тренировки:

  Видно, что начиная примерно с 14 000 итераций, максимумы матмуля во внимании стали резко расти. Этот рост является причиной дивергенции. Если вы откатите обучение до 13 000 итераций и пропустите ошибочные пакеты, вызвавшие расхождение, или уменьшите скорость обучения, вы можете значительно снизить вероятность повторного расхождения.

  У этого подхода есть два недостатка:

  1. Он не устраняет 100% расхождения.
  2. Вы тратите драгоценное время на откат обучения. Это конечно лучше, чем совсем отказаться от дивергентной тренировки, но все же.

  Позже мы ввели некоторые приемы, которые уменьшили вероятность расхождения до такой степени, что позволили нам обучить множество моделей различных размеров, включая 100B.

  Стабилизации. BFloat 16

  BFloat 16 не переполняется даже при больших значениях градиентов и активаций. Вот почему этот формат является проверенным вариантом для хранения весов и выполнения вычислений. К сожалению, он недостаточно точен, поэтому произвольные арифметические операции могут накапливать ошибки, приводящие к замедлению обучения или другому виду расхождений.

  Чтобы компенсировать расхождение, мы начали просчитывать следующие слои и операции в tf32 (или fp32 на старых видеокартах):

  • Softmax во внимание (вот здесь наши ядра пригодились), softmax на токенах до функции потерь .
  • Все функции LayerNorm.
  • Все операции с Residual: так мы избежали накопления ошибок и перемещения градиентов вглубь сети.
  • all_reduce градиентов, о которых мы упоминали ранее.

  Все эти стабилизации замедлили обучение всего на 2%.

  Стабилизации. LayerNorm

  В статьях о BERT и GPT использовался подход, известный сейчас как post-layernorm (слева на картинке). Однако с точки зрения стабильности и скорости сходимости на больших моделях pre-LayerNorm показал себя превосходно (справа на картинке). Итак, для наших моделей мы используем pre-LayerNorm.

  BigScience просветила нас на неожиданный вариант стабилизации: вводя layernorm в самом начале сети, после встраивания, можно также значительно снизить вероятность коллапса.

  Стабилизация. Curriculum Learning

  Мы также использовали подход из статьи Curriculum Learning. Мы хотим обучить нашу нейронную сеть на большой партии и большой длине строки, но мы начинаем с обучения на маленькой партии и небольшой длине строки, а затем постепенно увеличиваем их по мере обучения.

  Этот подход имеет два преимущества:

  1. Функция потерь довольно быстро падает в самом начале, независимо от количества токенов, видимых модели на каждой итерации. Поскольку мы уменьшаем количество вычислений в начале обучения, мы намного быстрее проходим этот этап плато потерь.
  2. Авторы статьи утверждают, что такой подход приводит к стабилизированному обучению.

  Стабилизации. Резюме

  Мы реализовали следующие подходы:

  1. Мы приняли bf16 в качестве основного типа для весов
  2. Мы провели критические по точности вычисления в tf32
  3. Мы ввели pre-LayerNorm
  4. Мы поставили LayerNorm сразу после встраивания

     4 Мы б/у Curriculum learning

  В результате мы обучаем наши модели без расхождений уже более 6 месяцев. Модели бывают разных размеров. Эти стабилизации помогли нам обучить модель со 100 миллиардами параметров, которыми мы теперь рады поделиться с разработчиками и исследовательским сообществом.

  Мои мысли во время охоты на Яндексе и мой SSRF | Момен Али (кибер-парень)

  Эй, охотники!

  Еще одна статья, рассказывающая о моем образе мыслей во время поиска программы с новой уязвимостью в другой крупной программе. Прежде чем мы начнем, давайте посмотрим, что мы собираемся обсудить в этой статье:

  • Мое мышление во время охоты в Яндексе
  • Динамическое мышление
  • Немного гугла
  • Введение в SSRF
  • Проверка кода
  • HTTP HTTP HTTP0004
  • HTTP-взаимодействия

  Примечание: я получил разрешение от команды Яндекса на написание этой статьи, так что это абсолютно законно:

  Итак, начнем…

  Фиксированный менталитет в области тестирования на проникновение заставляет вас меньше думать, потому что вам всегда нужно быть креативным, например, у каждой цели должен быть собственный метод разведки, тестирования и т. д. Потому что каждая цель получает свои собственные функциональные услуги и рабочие процессы. В моей цели здесь, которая является Яндексом, сначала я начал сбор информации об этом, и, согласно моим исследованиям, я обнаружил, что Яндекс предоставляет следующие услуги:

  • Поисковая система
  • Облачные службы
  • Почтовые службы
  • Электронная коммерция
  • Реклама
  • И другие продукты и услуги, связанные с Интернетом

  Итак, теперь это не обычная цель, это не обычная огромная цель, это мой Recon — я упоминал об этом в предыдущих статьях и в моем репозитории Github — поэтому я начал с GHDB, чтобы найти некоторые секреты, но из-за огромных услуг, которые предоставляет эта цель. Если бы я набрал что-то вроде этого:

   сайт:*.yandex.* intext:"access_token" 

  Прежде всего, что делает этот придурок? этот мужлан выдаст мне все результаты со всеми поддоменами и Tob-Level-Domains (TLD) для Яндекса, чтобы расширить круг моих охот, Итак, набрав этот мужлан, вы получите следующие результаты:

  В первый раз вы будете очень счастливы, потому что вы думаете, что нашли access_tokens, но подождите, малыш, это просто документация, потому что, как я сказал, Яндекс предоставляет облачные сервисы.

  Итак, что делать, если вы столкнулись с чем-то подобным, Если у вас есть фиксированный ум, вы должны искать другой секрет, но это неправильно, вы должны создать придурок, чтобы исключить поддомены Облака из результатов поиска, Итак, я создал следующий дорк:

   site:*.yandex.* intext:"access_token" -site:cloud.* 

  Этот дорк исключит любой —субдомен — для облачного сервиса, так что вы нигде не увидите никаких поддоменов облачного сервиса :

  Вы также можете исключить cloud фраза только из урла, с помощью дорка который я крафтил:

   site:*. yandex.* intext:"access_token" -inurl:cloud 

  Так что я думаю это тоже будет хорошо, но как сможете см. другие документы и документы !, так что я могу сделать сейчас, хм.

  У меня есть идея, что если я начну искать индексы открытых серверов, чтобы я мог начать копать любые новые секреты, так что я создал придурок:

   сайт:*.yandex.* intitle:"index of" 

  И я получаю результат:

  Итак, прежде чем говорить об этом, если вы знакомы с поиском ошибок в некоторых компаниях, таких как Facebook, поэтому вы знаете, что у каждой компании есть свои зеркала для хранения. Это программное обеспечение, операционная система, которую они используют, и другие файлы могут быть нечувствительными, но иногда мы можем собрать некоторую информацию о внутренней инфраструктуре этой компании, поэтому в моем случае все результаты были похожи только на зеркала, поэтому я попытался найти более продвинутый поиск, используя dork:

   site:*.yandex.* intitle:"index of" intext:"passwd" 

  Итак, позвольте мне кое-что объяснить, анализ результатов перед вводом результатов очень важен, потому что вы получаете представление о том, какие дескрипторы размещались на них, поэтому здесь, как вы можете видеть, все расширения были такими:

  • tar. xz = сжатый файл
  • deb = пакет Debian
  • apk = пакет android

  Кроме того, если вы посмотрите на пути, они будут выглядеть так: дистрибутив или библиотеки Linux, но давайте введем любую из этих целей:

  Давайте попробуем загрузить любой файл скажем файл:

   libauthen-simple-passwd-perl_0.6-4.1.dsc 

  И начнем наш анализ с него:

  Так что это просто файл для проверки подписи для каждый файл библиотеки, в нашем случае мы получили библиотеку: libauthen , и, как мы видим, их веб-приложение было:

   https://metacpan.org/dist/Authen-Simple-Passwd 

  После просмотра этой библиотеки это просто библиотека для аутентификации файла passwd:

  Тогда я думаю, что это не принесет нам большой пользы, потому что это зеркала, просто хранящие некоторые библиотеки и дистрибутивы Linux для общего пользования, теперь давайте вернемся назад и начнем указывать наш результат, создав новый дорк :

   site:*. yandex.* intext:"id_rsa" -inurl:cloud|mirror AND intitle:"index of" 

  Это будет искать любой файл id_rsa , исключая и облако или зеркало из URL и, наконец, поиск любого HTTP-заголовка дает слово , индекс , кто-то спросит, почему я исключил облако из этого при поиске id_rsa ? просто потому, что это появится в каждом облачном домене/сервисе, потому что, когда вы собираетесь создать хост и, например, будете подключаться с использованием SSH для управления сервером, у вас должно быть два файла:

  • id_rsa.pub => открытый ключ для шифрования
  • id_rsa => закрытый ключ для расшифровки

  существуют, но вместо этого вы можете искать id_dsa в соответствии с шифрованием, которое использует ваша цель, поэтому после создания моего дорка я получил результат:

  Итак, я решил пока прекратить доркинг и автоматизировать процесс доркинга после того, как я узнал какова инфраструктура для этой цели, поэтому я знал, какие дорки я должен создать, и перешел к следующему шагу. о следующем коде:

  Теперь, чтобы объяснить, как возник SSRF, я закодировал эту простую веб-страницу, теперь давайте попробуем просмотреть каждый блок кода:

  Сначала это простой PHP-код, выполняющий следующие действия в Back-End системе:

  • Он сохраняет параметр GET: Proxy-Host в имени переменной: host
  • Затем он проверяет, существует ли параметр: Proxy-Host в запросе, и если этот параметр не получил False ценность.
  • После этого он считывает удаленный хост и начинает сканирование его содержимого, используя В то время как зацикливается, чтобы продолжить сканирование контента до окончания передачи.
  • Final Сеанс fopen закрыт.

  Теперь вторая часть:

  Наконец, из-за моей глобальной переменной, которая находится в моем PHP-коде, теперь этот HTML-код будет импортировать листы CSS и сценарии JS с удаленного хоста, и будет показан ответ запрошенного хоста в разделе innerContent .

  Теперь посмотрим, как это будет выполнять сервер:

  Итак, как вы можете видеть, когда клиент получает доступ к URL-адресу, например: https://vulnerable.com/File.php?Proxy-Host=https://example.com , сервер примет этот запрос, а серверная часть coded сделает — Сервер — Отправить запрос на хост, указанный в параметре Proxy-Host , поэтому теперь уязвимый сервер отправляет запрос на другой запрос.

  Теперь давайте посмотрим, как злоумышленник может атаковать эту функциональность:

  Теперь злоумышленник знает, что сервер выполняет операцию запроса с самим собой, поэтому он подумал о запросе внутреннего ресурса, такого как: http://localhost и если сервер уязвим, он даст вам ответ с внутренним содержимым сервера.

  Совет: иногда, когда вы вводите общие вещи, такие как: http://localhost, сервер блокирует его, потому что он находится в черном списке сервера, поэтому вы можете искать любой хост, ссылающийся на локальный хост или конечную точку, в то время как вы охотимся. например, во время одной из моих охотничьих поездок сервер apache2 был открыт на моем устройстве локально, поэтому, когда я собираюсь получить доступ к удаленному целевому URL-адресу, такому как: http://target.com, я вижу, что мой локальный хост просматривается. Таким образом, это означает, что этот хост ссылается на локальный хост, а затем сохраняет его для использования при поиске SSRF в этой или другой цели.

  Итак, теперь SSRF также произошел из-за внедрения заголовков HTTP, таких как: X-Forwarded-Host и X-Forwarded-Host , поэтому в моем случае SSRF был в заголовке HTTP, так как я смог найти его? Существует два способа автоматизации для выполнения этого:

  1. Использование burp intruder с хорошим списком заголовков HTTP, с присвоением этим заголовкам значения с помощью Burp Collaborator или сервера для получения запроса на проверку SSRF.
  2. Использование ядер , чтобы выполнить это с помощью шаблона: ~/nuclei-templates/extra_templates/header-blind-ssrf. yaml , как вы можете видеть, шаблон говорит, что этот SSRF является слепым SSRF, но это не всегда потому, что в моем случае это был базовый SSRF. Прежде чем использовать этот шаблон, давайте определим, как он работает:

  Итак, давайте попробуем проанализировать это:

  1. раздел полезной нагрузки:
  • заголовок: вот список слов заголовков HTTP, который используется при переборе HTTP-запроса.

  2. необработанный раздел:

  • /?&header& Он устанавливает заголовок HTTP в запросе GET, чтобы пользователь знал, какой заголовок HTTP используется сейчас.
  • &header& Он устанавливает заголовки, которые сейчас используются в запросе
  • {{interactsh-url}} URL-адрес, который использовался для идентификации взаимодействий SSRF в Яндексе с помощью запроса:

     GET / HTTP/1.1 
     Хост: example.vulnYandex.tld 
     User-Agent: someDevice 
     Accept: text/html 
     Accept-Encoding: gzip, deflate 
     Proxy-Host: burpcollaporator-url. net 
     Connection: close 

    Итак, как вы можете видеть, эксплойт был в заголовке: Proxy-Host , и я получаю такое HTTP-взаимодействие:

    Затем я хотел убедиться, что это взаимодействие произошло с серверов Яндекса, поэтому я сделал в обратном порядке. DNS с помощью команды:

     host -t PTR 1.1.1.1 

    Вместо 1.1.1.1 введите IP-адрес, который идентифицировал соавтор, затем я установил результат:

    Я хотя и обращаюсь к внутренним ресурсам, чтобы усилить воздействие, но когда я взглянул на политику Яндекса, я нашел:

    Примечание: я смог выполнить сканирование внутренних портов, но из-за политик Яндекса я должен спросить их перед доступом к внутренним данным, поэтому я отправляю отчет, а затем прошу их заставить меня передать влияние, но они подтвердили SSRF и сделают это внутри:

    Итак, я сообщаю об этой уязвимости и жду команды, и жду их, если они захотят, чтобы я продолжил использовать ее, или они проведут внутреннюю проверку, и они продолжили ее внутренне.

    Наконец:

    Что такое Яндекс?

    Вы не одиноки, если никогда не слышали о Яндексе.

    На данный момент у Яндекса мало шансов завоевать мировое лидерство — Google принадлежит 92% мирового рынка поисковых систем, а Яндексу — всего 0,4%. Несмотря на то, что Яндекс постепенно уступает позиции Google, его доля на местном рынке — до 48 процентов — выдающаяся.

    Россия — самая большая страна в мире с населением около 145 миллионов человек и более чем 90 миллионами активных интернет-пользователей. Цифровой маркетинг в России похож на китайский тем, что существует независимо от остального земного шара и подчиняется своим собственным законам.

    Если вы хотите ориентироваться на русскоязычный рынок, который представлен людьми, отличными от русских, вы должны сначала понять, как играть в игру.

    В этой статье мы рассмотрим, что такое Яндекс, для чего он используется, безопасен ли Yandex.com и является ли Яндекс хорошей поисковой системой.

    Начинаем!

    Что такое Яндекс?

    Yandex N. V. — всемирная интернет-корпорация, базирующаяся в Москве, Россия.

    Крупнейшая в России технологическая фирма, предлагающая широкий спектр товаров и услуг.

    Они наиболее известны тем, что владеют крупнейшей поисковой системой в России, но они также активны во многих других аспектах технологий и Интернета. К ним относятся:

    • Потоковая передача музыки
    • электронная коммерция
    • Искусственный интеллект
    • Заказ такси через Яндекс.Такси (совместно с Uber)
    • Самоуправляемые автомобили
    • Карты через Яндекс.Карты
    • Аналитика приложений
    • Управление данными
    • Интернет-реклама
    • Почтовые сервисы через Яндекс.Почту
    • Технология умного дома
    • Голосовой помощник Алиса для Microsoft, IOS и Android
    • Веб-браузер под названием Яндекс.Браузер
    • И многое другое…

    Аркадий Волож (нынешний гендиректор), Аркадий Борковский и Илья Сегалович создали Яндекс в 1997. Название представляет собой игру термина «Еще один индексатор».

    Компания стала публичной в 2011 году и в настоящее время котируется на NASDAQ под тикером YNDX.

    Чем важен Яндекс?

    Рыночная доля Яндекса в последние годы была довольно стабильной, если не росла, и мы уверены, что Яндекс останется ведущей поисковой системой в России. Поисковик также популярен в ряде других стран, включая Беларусь, Украину, Казахстан и Турцию, и его популярность только растет.

    Вот пять основных преимуществ Яндекса перед Google, которые помогут Яндексу сохранить свое доминирующее положение на рынке в обозримом будущем:

    1. Яндекс — это портал

    Яндекс — ведущее медиа-направление в России, и для многих россиян это Яндекс.ру — это место, где они начинают свой день. На самом деле Яндекс — крупнейшая медиасобственность России. Количество посетителей в месяц составляет чуть более 54 миллионов человек.

    Яндекс, как и Google, предоставляет бесплатную электронную почту, карты трафика в реальном времени, музыку, фильмы, хранилище изображений и многое другое. Многие из этих схожих качеств можно увидеть в некоторых продуктах, которые Google использовала для расширения своего глобального распространения, знакомя потребителей с брендом Google. Google удалось переманить потребителей от низкокачественных предложений, таких как Hotmail, Mapquest и даже Dropbox, в пользу альтернатив Google. У Google такой возможности в России не будет, так как версии Яндекса равноценны, если не лучше.

    2. Яндекс также популярен на Android

    Хотя Google может использовать свою мобильную операционную систему Android для увеличения мобильного поиска, поскольку поиск Google встроен в Android, в России он не так успешен. В России на Android приходится более 70% мобильного рынка; тем не менее, Яндекс сохраняет 52-процентную долю рынка поиска на тех же Android-смартфонах.

    3. Яндекс лучше для поиска на русском языке.

    Яндекс был разработан специально для российского рынка и лучше подходит для решения задач российского поиска. В целом, Google не так хорошо интерпретирует намерения пользователя в отношении правописания в неанглоязычных поисковых запросах, как на английском, но гораздо хуже на русском языке.

    Русский язык, например, сильно изменчив, некоторые слова имеют до 20 различных окончаний. Все русские существительные имеют грамматический род, и род существительного влияет на остальные слова предложения. Даже написание имени человека может различаться в зависимости от пола.

    Например, бывшая жена президента России Владимира Путина носит фамилию «Путина», а не «Путин». В то время как поиск Google ранжирует только те страницы, которые связаны с конкретным запросом пользователя по мере его ввода, Яндекс может интерпретировать синонимы и намерения пользователя независимо от того, как пользователь их пишет. В результате для сильно зараженных поисковых запросов Google усложняет поиск и не дает убедительной причины для более частого использования Google.

    4. Алгоритм Яндекса может лучше учитывать спам

    Тактика спама прямыми ссылками распространена в российской интернет-индустрии. Есть несколько «рекламных» фирм, которые работают только для продажи ссылок для повышения поисковых позиций. В результате Яндекс заявил, что больше не будет использовать ссылки в своих алгоритмах для коммерческих запросов, сделанных в определенных частях страны. Вместо этого Яндекс будет полностью полагаться на пользовательский опыт и данные ранжирования ключевых слов. Эта инициатива Яндекса все еще находится на ранней стадии, но она может позволить Яндексу получать более качественные результаты, чем Google. Последний, хотя и определенно фильтрует спам-ссылки, скорее всего, все же зачисляет некачественные ссылки.

    5. Яндекс — российская поисковая система.

    Хотя россияне отдают предпочтение российским товарам, им также нравятся товары из других стран. Однако после инцидента со Сноуденом и АНБ россияне могут предпочесть Яндекс просто потому, что им не нравится Google.

    FAQ по Яндексу

    Для чего используется Яндекс?

    Яндекс — технологическая фирма, известная своим портфелем услуг, включающим поисковые системы, искусственный интеллект и аналитику, которые призваны помочь потребителям перемещаться как в Интернете, так и в реальном мире. С момента своего основания в 1997, Яндекс постарался предоставить своим пользователям релевантные и полезные результаты поиска, используя ряд высокотехнологичных алгоритмов, чтобы гарантировать ценность результатов.

    Хотя огромный успех Яндекса обусловлен выдающейся производительностью его поисковой системы, цель организации — дать людям возможность эффективно пользоваться Интернетом. Вот несколько основных продуктов Яндекса для бизнеса прямо сейчас:

    Speech Kit
    Яндекс также является пионером в разработке голосовых технологий для улучшения работы в Интернете для людей с широким спектром требований. Яндекс предлагает различные технологии распознавания голоса для компаний, которым нужны интегрированные решения для мобильных приложений, используя облачные сервисы.

    Cat Boost
    Cat Boost, одно из их самых популярных корпоративных предложений, представляет собой высокотехнологичный алгоритм, используемый для прогнозирования больших объемов данных, чтобы организации могли принимать более успешные решения в своей компании. Cat Boost может оценивать задачи и предлагать предложения в зависимости от предоставленных данных.

    Map API
    Яндекс предоставляет широкий спектр картографических данных. Map API позволяют программам, приложениям и другим приложениям предоставлять точные данные о местоположении для самых разных целей. Доступ к этим картографическим данным имеет решающее значение для многих разработчиков при создании полнофункционального приложения или службы. Его используют сотни предприятий по всему миру. Их картографические данные являются самыми неточными в отрасли.

    Администрирование баз данных – Click House
    Яндекс, в дополнение к своему API карт, предоставляет инструменты управления данными для организаций, которые собирают большое количество данных. Клиенты могут использовать Click House для быстрого сбора, фильтрации и систематизации больших объемов данных, чтобы принимать лучшие бизнес-решения и отслеживать ключевые показатели эффективности.

    Apps Metrica
    От отдельных разработчиков до крупных компаний — Яндекс предоставляет набор аналитических программ для анализа данных и производительности приложений. Этот бесплатный аналитический инструмент позволяет пользователям точно анализировать и понимать свои показатели данных, которые затем можно использовать для улучшения определенного приложения, продукта или услуги.

    Яндекс и конфиденциальность
    Яндекс является лидером отрасли с точки зрения приверженности конфиденциальности, одновременно управляя прибыльной компанией контекстной рекламы. Фирма применяет ряд мер защиты конфиденциальности, чтобы гарантировать безопасность данных клиентов и использовать их только для улучшения работы конечных пользователей. Поскольку потребители хотят, чтобы их данные были защищены, они, как и многие другие поисковые системы по всему миру, продолжают укреплять свою приверженность конфиденциальности.

    Безопасен ли Яндекс ком?

    Браузер имеет ряд функций безопасности, включая предотвращение спуфинга DNS, DNSCrypt и автоматическую поддержку HTTPS в незащищенных сетях.

    Несмотря на эти возможности, Яндекс.Браузер вызывает множество проблем с конфиденциальностью. Пользователи заявляют, что Яндекс собирает их поисковые запросы и отправляет на сервер Яндекса для анализа.
    Также стоит отметить, что браузер является проектом с закрытым исходным кодом, поэтому пользователи не могут просматривать исходный код и оценивать, что браузер выполняет в фоновом режиме.

    По мнению некоторых пользователей, Яндекс.Браузер имеет все необходимые права для сбора ваших данных и передачи их властям в случае необходимости.

    Также были обвинения в том, что браузер связан с правительством России, поэтому вам следует хорошо подумать, прежде чем использовать его.

    Яндекс похож на Google?

    Хотя и Яндекс, и Google работают как поисковые системы, между ними есть несколько существенных различий:

    • Яндекс отдает предпочтение локальному SEO и региональности, а не Google. Яндекс выполняет географический поиск, который отображает веб-страницы только из определенного местоположения. Как следствие, пользователи в разных областях увидят разные результаты для одного и того же поискового запроса. В то время как ранжировать местные компании несложно, ранжировать сайт по всей стране, вероятно, будет сложнее.
    • Яндекс считает поведение пользователя, например продолжительность пребывания, важным элементом ранжирования. Хотя Google это учитывает, это важный компонент для высокого рейтинга в Яндексе. Страницы должны быть оптимизированы для целей поиска, чтобы иметь хорошие оценки в результатах Яндекса. Увеличение продолжительности пребывания также требует создания очень интересной и актуальной информации.
    • Обратные ссылки не являются таким важным фактором ранжирования в Яндексе, как в Google. Хотя построение ссылок по-прежнему важно, оно в первую очередь связано с направлением соответствующего органического трафика на ваш сайт, а не с демонстрацией авторитета или надежности вашего сайта.
    • Изменение рейтинга часто занимает больше времени. Сайты часто сканируются медленнее, чем Google. Когда дело доходит до рейтинговых улучшений и общего развития, вам нужно быть немного более терпеливым.
    • Яндекс отдает приоритет свежему контенту на странице. В Яндексе добавление релевантной исчерпывающей информации является критически важной стратегией.
    • Возраст и дата создания домена являются более важными факторами для высокого рейтинга в Яндексе. Чтобы ваш домен имел высокий рейтинг, он часто должен быть старше и содержать большое количество экземпляров недавнего превосходного материала.
    • Яндекс предлагает меньше инструментов для веб-мастеров, чем Google.
    • Яндекс значительно серьезнее относится к таким правонарушениям, как наполнение ключевыми словами.

    Яндекс принадлежит Google?

    Яндекс — российская компания, наиболее известная своей поисковой системой Яндекс. Это поисковая система, которая начиналась на русском языке на yandex.ru и теперь расширилась, включив глобальную английскую версию на yandex.com.

    Yandex N.V. — российская многонациональная компания со штаб-квартирой в Нидерландах, которая предлагает более 70 товаров и услуг, связанных с Интернетом, включая транспортные, поисковые и информационные услуги, электронную коммерцию, навигацию, мобильные приложения и интернет-рекламу.

    Технологическая компания зарегистрирована как голландская публичная компания с ограниченной ответственностью в Схипхоле, Нидерланды, хотя основатели компании и большинство членов команды находятся в России. В первую очередь он ориентирован на аудиторию в России и странах СНГ, хотя у него также есть 18 коммерческих офисов за рубежом.

    Обладая долей рынка более 42 процентов, компания является крупнейшей в России технологической корпорацией и второй по величине поисковой системой в Интернете на русском языке. У него также самая большая доля рынка среди всех поисковых систем в Европе и Содружестве Независимых Государств, и это пятая по величине поисковая система в мире после таких интернет-компаний, как Google, Baidu, Bing и Yahoo!

    Как вы делаете Яндекс SEO?

    Если вы хотите улучшить работу своего сайта в Яндексе, вам следует начать с отправки его в Инструменты Яндекса для веб-мастеров.

    Яндекс предлагает бесплатное аналитическое решение, аналогичное Google Search Console и Bing Webmaster Tools.

    Вы можете использовать это, чтобы опубликовать свою карту сайта в Яндексе, отслеживать свою производительность, просматривать проблемы сканирования и т. д.

    При этом оптимизация для Яндекса вполне сопоставима с оптимизацией для других поисковых систем. Вы можете оптимизировать для следующих факторов ранжирования Яндекс SEO:

    • Ключевые слова: Как и в других поисковых системах, вы должны включать ключевые слова в свои заголовки и текст.
    • Мобильное удобство использования. Крайне важно, чтобы ваш сайт работал должным образом и хорошо выглядел на мобильных устройствах.
    • Геотаргетинг: Результаты поиска в Яндексе могут существенно меняться в зависимости от местоположения искателя.
    • Яндекс, как и Google, может наказывать сайты, использующие навязчивые и/или вводящие в заблуждение всплывающие окна.
      Цель поиска: как и в Google, ваш материал должен удовлетворять намерения человека, проводящего поиск.
    • Качество контента: крайне важно иметь высококачественный контент, отвечающий на поисковые запросы людей.
    • SEO на странице: улучшите теги заголовков, описания, URL-адреса, внутренние ссылки и другие элементы.
    • Яндекс до сих пор использует тег meta keywords для целей ранжирования, что удивительно (Google его игнорирует).
    • Скорость сайта: Яндекс ранжирует сайты, которые быстро загружаются, выше.
    • Сканируемость: очень важно, чтобы ваш сайт не мешал роботам и не скрывался за тегом noindex.
    • Ссылки: Входящие ссылки играют роль в ранжировании. Для некоторых запросов ссылки могут быть менее значимыми в Яндексе, чем в Гугле. Это связано с большой проблемой со спамом ссылок в России, что побудило их сбрасывать со счетов ссылки как фактор ранжирования для конкретных коммерческих запросов.

    Яндекс хороший поисковик?

    В общем, если вы сильны в SEO для Google, SEO для Яндекса не будет для вас проблемой. Однако всегда лучше заранее знать, с чем вы работаете, поэтому вот что отличает Яндекс от Google:

    1. Яндекс — большой поклонник геотаргетинга

    Яндекс — региональная поисковая система, что означает, что пользователям не нужно указывать в поиске места, связанные с их запросом. Например, если пользователь из Санкт-Петербурга ищет в Яндексе «торты на день рождения», поисковая система покажет результаты, релевантные текущему местоположению пользователя. В случае Google, если пользователь хочет получить торт ко дню рождения в Санкт-Петербурге, он должен указать место при вводе своего запроса, который будет выглядеть примерно как «торт ко дню рождения в Санкт-Петербурге».

    2. Яндекс ожидает от вас терпения

    В отличие от Google, который сканирует и индексирует все новое, публикуемое в Интернете ежедневно или даже ежемесячно, Яндекс делает это пару раз в день или даже пару раз в месяц, в зависимости от типа материала. Это ни хорошо, ни плохо; это просто одна из причуд Яндекса, которая подразумевает, что вашему материалу потребуется некоторое время, чтобы принести плоды.

    3. Яндекс обеспокоен поведением пользователей

    Яндекс больше заботится о восприятии потребителями определенного веб-сайта, чем Google. Веб-сайт, который может привлекать и удерживать внимание пользователей, привлекать и поощрять пользователей к участию, будет оценен и оценен выше. Если кто-то подключается к веб-сайту с высоким уровнем вовлеченности, что означает, что ссылка будет нажата, ссылка будет ценной независимо от того, насколько авторитетным является веб-сайт.

    4. Яндекс свободно говорит по-русски

    Яндекс и русские очень любят «сильный и могучий» (как говорят в России) русский язык, поэтому для продаж русскоязычной аудитории он использует исключительно английский язык бессмысленно. Яндекс индексирует сайты с русским контентом эффективнее, чем сайты только с английским контентом.

    5. Яндекс отдает предпочтение старым сайтам

    Яндекс учитывает возраст домена при определении надежности сайта. Старые домены считаются более надежными и, как следствие, заслуживают более высокого рейтинга, чем недавно созданные веб-сайты. В итоге завоевать место под солнцем новичку в Яндексе будет сложно.

    6. Яндекс более строг, когда речь идет о технологических ошибках. оптимизация более серьезно и может налагать более суровые наказания за нарушение правил.

    Что касается технических ошибок, то Яндекс может наказать вас за то, что вы, возможно, не считали ошибкой, например, за неверный код. Так что, если вы не хотите терять места с лучшими рейтингами из-за собственной невнимательности, у вас нет другого выбора, кроме как перепроверить практически все на своем сайте с помощью Яндекс.

    Как работает поиск Яндекса?

    Яндекс работает так же, как и любая другая поисковая система. Существует панель поиска, где пользователь вводит свой поисковый запрос, нажимает «Ввод», и появляется множество результатов.

    В зависимости от искомого слова появится список похожих веб-страниц, а также несколько фотографий и видео.

    Хотя он работает аналогично большинству других популярных поисковых систем, есть ряд важных отличий, которые отличают Яндекс от конкурентов.

    Резюме

    Надеюсь, эта статья помогла вам лучше понять Яндекс.

    Короче говоря, хотя рыночная доля Яндекса в последние годы увеличилась, в то время как конкуренты Рамблер и Mail. ru боролись, рыночная доля Google в российском поиске на самом деле несколько уменьшилась. Из-за рыночных факторов, которых нет за пределами России, ожидается, что Яндекс продолжит расширяться за счет Google.

    С высокими ставками и преимуществами, которые появятся в результате продолжающейся экспансии Интернета в России, мы можем ожидать, что Google продолжит борьбу (если они не будут узаконены). Будет интересно наблюдать, какие инвестиции и приобретения сделает Google, чтобы стать ведущей поисковой системой в России.

    Несмотря на то, что два гиганта — Яндекс и Google — очень разные, у них есть одна общая черта: они оба презирают черное SEO. Обе поисковые системы ненавидят быть обманутыми профессионалами по оптимизации, которые предпочитают нечестные игры, но Яндекс будет жестче, если тактика будет раскрыта.

    Яндекс: российский Google непривлекателен по этим ценам (NASDAQ:YNDX)

    07 апреля 2019 г. 16:20 ETYandex N.V. (YNDX)AMZN, GOOG, GOOGL, LYFT, UBER21 Комментарии

    Edgar Torres H

    2,35 тыс. подписчиков

    Резюме

    • Яндекс предлагает инвесторам отличный доступ к технологиям и международным рынкам. Это может быть плюсом для тех, кто создает портфолио на основе этих параметров.
    • Компания обладает конкурентными преимуществами (политическими и внутренними), которые должны позволить ей сохранить и расширить свою долю на российском рынке.
    • Яндекс владеет множеством дочерних компаний и бизнес-сегментов. Однако основными из них являются поиск и такси. Эти два составляют более 95% от общей выручки.
    • Поиск — это ядро ​​YNDX, и его рост выражается двузначными числами, а прибыль составляет примерно 15%. Такси растет трехзначными цифрами, но не приносит прибыли. В конечном итоге это повредит прибыльности YNDX.
    • В моей модели оценки используется высокая ставка дисконтирования для учета рисков, присущих российским акциям, и ухудшения рентабельности. Моя модель предполагает справедливую стоимость $22,76 за акцию.

    Яндекс (NASDAQ: NASDAQ:YNDX) на бумаге выглядит как фантастическая компания. Его часто называют русским Google, потому что он имеет примерно те же поисковые возможности, что и Google Alphabet (GOOG/GOOGL), но адаптирован для российского рынка. Это делает акции интересной возможностью для инвесторов, стремящихся выйти на развивающиеся рынки и технологии. Однако инвесторам важно понимать, что Яндекс не лишен рисков. Колебания валютных курсов и зависимость от российского правительства делают эту игру весьма спекулятивной. Более того, «Яндекс.Такси» может оказаться нерентабельным в будущем и негативно сказаться на общих результатах YNDX. На мой взгляд, Яндекс — жизнеспособная инвестиция, но с гораздо большей скидкой.

    Бизнес

    Основной деятельностью YNDX является поисковая система и портал. У компании лучшие результаты поиска по русскому языку, чем у Google, что дает ей естественное преимущество. В конце концов, кириллица полностью отличается от английского или других латинских языков. YNDX опирается на это, расширяя свою деятельность в других рыночных нишах. Например, YNDX также интересуется электронной коммерцией, объявлениями, медиа-сервисами и виртуальными помощниками, и это лишь некоторые из них. Все эти предприятия очень хорошо дополняют основной сегмент YNDX.

    Источник : Логотипы Яндекс и Google. Обе компании очень похожи по возможностям поиска. Тем не менее, Яндекс имеет преимущество в поиске на русском языке.

    Однако, в отличие от Google, Яндексу не приходится конкурировать с российским Amazon (AMZN) или российским Uber (UBER). Вот почему Яндекс может практически безальтернативно осваивать все эти рыночные ниши. Таким образом, с точки зрения конкуренции, деловые перспективы YNDX выглядят многообещающими и надежными на долгие годы.

    Еще одна интересная особенность YNDX заключается в том, что вокруг нее находится значительный геополитический ров. Крупные технологические компании могут иметь большое влияние и данные о гражданах, поэтому такие компании, как Google или Яндекс, естественно, являются ценными активами для мировых держав. Вот почему я считаю, что российское правительство, скорее всего, предпочитает сохранить лидерство Яндекса на российском рынке. В конце концов, у России есть стратегические интересы в том, чтобы держать данные своих граждан под контролем. Это также позволяет России держать под более пристальным наблюдением интернет-шлюз своей страны. Таким образом, очевидно, что российское правительство, скорее всего, отдает предпочтение Яндексу, а не Google.

    Источник изображения: The Moscow Times . Яндекс делает большую ставку на транспорт как на услугу, но будет ли он в итоге прибыльным?

    Кроме того, у многих россиян Яндекс является домашней страницей (более 60% россиян), и они начинают с него свой день. Неудивительно, что Яндекс продолжает наращивать долю рынка в России. Я не вижу, чтобы эта тенденция изменилась в ближайшее время. Во всяком случае, Яндекс должен продолжать увеличивать долю рынка в России и в конечном итоге стать там бесспорным лидером.

    Финансы и структура

    Яндекс увеличивает свои доходы в среднем примерно на 20-25% в год. Тем не менее, его расходы не растут так быстро, как его доходы по большей части. Вероятно, это связано с тем, что Яндекс — технологическая компания, а также с ее конкурентными преимуществами в России.

    Источник: Яндекс слайды доходов . Рентабельность компании колеблется от квартала к кварталу, но в целом она составляет около 15%. С помощью этой цифры мы можем оценить потенциал прибыли акций в будущем.

    Эти показатели стабильны, но могут оказаться неустойчивыми в долгосрочной перспективе. Маржа Яндекса может сократиться из-за роста выручки от Яндекс.Такси (подробнее об этом позже). Тем не менее, в целом, основной сегмент YNDX (поиск) пока выглядит беспроигрышным вариантом. Также Яндекс делает ставку на новые технологические тренды, которые могут окупиться в будущем. Таким образом, сложив все это вместе, Яндекс выглядит солидно в обозримом будущем.

    Источник: Яндекс 2018 Итоги за весь год . Яндекс.Маркет по-прежнему не является материальной частью бизнеса. Это «амазонская» часть компании, совместное предприятие с Сбербанком , государственным российским банком. Перспективы Яндекса будут оставаться многообещающими до тех пор, пока у него есть благословение правительства.

    Как видите, «поиск и портал» (сегмент YNDX, подобный Google) составляют большую часть доходов компании. На этот сегмент приходится около 80% общей выручки. Сегмент, занявший второе место, — «Такси», представляющий собой слияние Uber и «Яндекса» для России (примерно 60% принадлежит YNDX). Этот сегмент составляет около 18% от общей выручки, но он растет на выдающиеся 216% в годовом исчислении.

    Кстати, тот факт, что Uber пришлось объединиться с Яндексом, чтобы играть в России, красноречиво говорит о близости Яндекса к правительству.

    Этой сделкой Яндекс устраняет агрессивного конкурента, что в долгосрочной перспективе приведет к повышению монетизации и прибыльности (…).

    — Сергей Либин, Райффайзен Банк.

    В любом случае, я думаю, что инвесторы должны сосредоточиться в основном на ядре YNDX (поиск) и Яндекс.Такси при оценке бизнеса. На эти два сегмента приходится более 95% от выручки компании. Сочетание этих двух факторов должно позволить YNDX расти со среднегодовым темпом роста более 25% в течение следующих пяти лет.

    Однако, как я уже упоминал ранее, неясно, останется ли маржа в 15% стабильной. Недавнее IPO Lyft (LYFT) показывает, что транспортировка как услуга не так прибыльна, как ожидалось изначально, и не будет в обозримом будущем. Таким образом, по мере роста Яндекс.Такси маржа может ухудшиться. На данный момент слишком рано говорить.

    Индустрия такси, которую Uber стремится разрушить, никогда не была прибыльной, когда ей разрешалось расширяться на нерегулируемых рынках, что отражает низкие барьеры для входа в отрасль, высокие переменные издержки, низкий эффект масштаба и острую ценовую конкуренцию, а также текущий бизнес Uber. модель принципиально не меняет эти структурные характеристики отрасли. Действительно иронично, что яростная решимость Uber избежать надзора со стороны регулирующих органов обрекает компанию на убыточные операции, которые индустрия такси испытала в дорегулятивную эпоху.

    – Лен Шерман, Forbes.

    Стоит ли?

    На первый взгляд кажется, что Яндекс торгуется со скромным коэффициентом PE, равным примерно 17. Однако если присмотреться поближе, то окажется, что это не обязательно так дешево. Выручка Яндекса растет на 28,29% в годовом исчислении. Естественно, это выдающиеся темпы роста. Тем не менее, вопрос заключается в том, что это означает с точки зрения доходности акций.

    Источник: Яндекс Слайды доходов . Пока такси остается убыточным, рентабельность Яндекса будет продолжать снижаться. Инвесторы делают ставку на то, что Яндекс сможет получать прибыль от транспорта как услуги, но это будет непросто.

    Здесь все становится сложнее. Примерно через пять лет компания должна получать почти 635 миллионов долларов годовой чистой прибыли. Такой рост является относительно разумным, учитывая благоприятное положение компании в России и постоянные попутные ветры. Однако здесь есть две проблемы: 1) разумно ли ожидать, что маржа в 15% сохранится при росте Яндекс.Такси? 2) По какому коэффициенту мы оцениваем эти доходы?

    Во-первых, я считаю весьма вероятным снижение рентабельности по мере расширения Яндекс.Такси. Это негативно сказывается на оценке компании, поскольку замедляет рост прибыли, несмотря на то, что выручка продолжает расти более быстрыми темпами.

    С точки зрения его оценки, давайте предположим, что среднегодовой темп роста выручки составляет 30% в год. Также предположим, что маржа продолжает снижаться с 15% до 10% из года в год из-за убыточного роста Яндекс.Такси. Это приведет к сокращению рентабельности из-за расширения Яндекс.Такси.

    Удивительная карта заключается в том, что, возможно, Яндекс найдет способ предложить транспорт как услугу с прибылью до 2023 года. Это резко изменит оценку компании и даст инвесторам значительный потенциал роста. Однако на данный момент это кажется маловероятным. Тем не менее, мы можем предположить, что коэффициент PEG равен 1 (что является хорошим эмпирическим правилом для оценки справедливой стоимости). Это будет означать, что коэффициент PE для компании составит 23,37 (на основе CAGR прибыли YNDX по моему прогнозу).

    Это приведет к тому, что к 2023 году оценка составит приблизительно 44 доллара за акцию. Эта оценка может быть дисконтирована обратно в настоящее время с требуемой доходностью по вашему выбору.

    Рискованный бизнес

    Источник: Bloomberg . Когда вы инвестируете в Яндекс, вы подвергаете себя существенным валютным рискам, потому что результаты выводятся в долларах США, а получены в рублях.

    На мой взгляд, Россия — очень сложный рынок. Любой бизнес, работающий там, зависит от прихотей правительства. На самом деле всегда существует риск национализации Яндекса. Неясно, как поведут себя инвесторы при таком событии. Кроме того, российские компании имеют значительные валютные риски из-за волатильности обменного курса рубля и доллара США.

    Оценка

    Одни только эти факторы должны требовать значительной нормы прибыли, чтобы оправдать инвестиции. Для простоты предположим, что мы предполагаем 15% RRR с учетом этих факторов риска.

    Снижение маржи из-за быстрого роста убыточного сегмента такси значительно повлияло на оценку YNDX. Основная надежда для инвесторов — полагаться на оценку P/S. Однако в ближайшее время это не привлечет стоимостных инвесторов.

    На мой взгляд, оценка YNDX не очень привлекательна при текущем уровне цен. Я должен отметить, что я использовал несколько консервативные входные данные. Однако, независимо от того, как вы это видите, ясно, что компания не недооценена прямо сейчас. К сожалению, как бы мне ни нравился сам бизнес YNDX, российские инвестиции требуют большой скидки, чтобы оправдать присущие им риски. Таким образом, получается, что Яндекс не адекватно компенсирует инвесторам текущие цены.

    Заключение

    Никакой актив не имеет бесконечной цены. Согласно моему анализу, компания переоценена или, в лучшем случае, справедливо оценена (в зависимости от того, насколько высок ваш RRR). Если вы хотите достичь альфы, вам следует подождать, чтобы инвестировать в Яндекс по гораздо более низкой цене. На мой взгляд, 20-25 долларов за акцию имеют смысл. Только тогда Яндекс начинает становиться намного привлекательнее. Я не предсказываю, что YNDX когда-либо достигнет этой оценки, но если это произойдет, это предоставит прекрасную возможность для инвесторов (при условии, что ничего фундаментального не изменилось). В конце концов, инвестирование — это игра терпения. Так что я думаю, что лучше дождаться хорошей записи об этом.

    Спасибо за прочтение и удачи.

    Эта статья была написана

    Эдгаром Торресом H

    2,35 тыс. подписчиков

    Следуйте за мной для анализа незакрытых/упущенных акций. Мои выводы основаны на цифрах, но без полного игнорирования основной истории. Мне не неудобно придерживаться непопулярных мнений, и я не ищу их. Я просто хочу быть как можно ближе к истине. Я работаю инвестором более девяти лет. Я пишу, чтобы структурировать свои мысли. Я работал на фондовой бирже моей страны в качестве аналитика для частных долговых проспектов. Я работал аналитиком на стороне продавца, а также брокером. Я люблю рынки и все, что с ними связано, и теперь я могу быть полноценным инвестором. Я очень благодарен за это. Я надеюсь, что мои комментарии/статьи будут полезны кому-то еще. — «Веритас Супер Омния».

    Раскрытие информации: У меня/у нас нет позиций по каким-либо упомянутым акциям, и мы не планируем открывать какие-либо позиции в течение следующих 72 часов. Я написал эту статью сам, и она выражает мое собственное мнение. Я не получаю за это компенсацию (кроме Seeking Alpha). У меня нет деловых отношений ни с одной компанией, акции которой упоминаются в этой статье.