[Перевод] Перевод: Katana: Обзор мощного сканера безопасности веб-приложений [шпаргалка]
Katana - это сканер безопасности веб-приложений с открытым исходным кодом, который автоматизирует процесс выявления уязвимостей в веб-приложениях. Он был создан компанией Project Discovery, специализирующейся на оценке уязвимостей и тестировании на проникновение. Инструмент разработан как быстрый,...
Безопасная разработка в HTML
В сети можно найти множество различных публикаций, посвященных безопасной разработке backend приложений. Основной причиной этого является то, что в бэкенде ведется основная обработка данных и соответственно, там выше риски в случая уязвимости кода. Но не стоит забывать и об уязвимостях на frontend,...
Apple Pro Weekly News (06.02 – 12.02.23)
Компания Apple нашла способ заработать от перехода на USB-C, а кое-кто уже установил тот самый порт в свой iPhone, а ещё стало известно как собран новый HomePod 2, как снимать с эффектом «телефото» на камерах без телефото-камеры, а также что обновилось у Apple на прошлой неделе. Дайджест уже готов...
Разбор таска Dirty logs с M*CTF 2022 или как желание пихнуть кавычку помогает решать CTF
Прошел почти год с того момента, как я написал свою первую сатью на Хабр. Начал этот путь именно с разбора задания MCTF 2021. Решил продолжить традицию в этом году и написать writeup на интересный таск с MCTF 2022. Читать далее...
Практика динамического анализа. Особенности реализации и нюансы при встраивании в процесс
Привет, Хабр! И снова в эфире Юрий Шабалин, главный архитектор компании Swordfish Security. Мы уже достаточно давно занимаемся консалтингом в области построения процессов безопасной разработки для своих клиентов. В процессе мы постоянно сталкиваемся с различными нюансами и сложностями при...
О HTTP бедном замолвите слово
Прямо сейчас за окном ласково светит Солнце, а один известный погодный сайт весело предупреждает о предстоящем через два часа дожде... Да, уже часов пять предупреждает, постепенно сдвигая время его начала. Ну да ладно, не будем о криворуких предсказателях - погодную тему я могу раскрывать долго и...
Web-сервер с двухуровневой иерархией ЦС. Авторизация по SSL
Всем приветь! Часть данного мануала просто перепечатывание старого с адаптацией. Но я пойду дальше и добавлю скрипт, для автоматизации создания ssl сертификатов и их отзывов. Однако и на этом я не остановлюсь и сделаю инструкцию для создания безопасности web-сервера таким образом, чтобы доступ к...
Все, что нужно знать про «Broken access control»
В минувшем году OWASP обновил список TOP-10 самых распространенных векторов атак на современные веб-приложения. Этот список претерпел ряд изменений по сравнению с его последней редакцией, которая была в далеком 2017 году. В связи с чем мне бы хотелось рассказать о наиболее серьезной угрозе...
[Перевод] Восемь «забавных» вещей, которые могут с вами произойти, если у вас нет защиты от CSRF-атак
Восемь «забавных» вещей, которые могут с вами произойти, если у вас нет защиты от CSRF-атак Введение В качестве программистов Typeable мы видим свою основную цель в том, чтобы приносить пользу нашим заказчикам. Однако я только что потратил некоторое количество денег заказчика и целый день на то,...
Байки из склепа. Рассказываем, как не стоит обращаться с чувствительными данными
Предлагаем снова поговорить о безопасности данных в веб-приложениях. Пользовательские данные — это драгоценный ресурс, утрата которого сулит целый ряд последствий с варьирующейся степенью серьезности. Но в очередной раз читать про пароли или рассматривать классические фишинг-примеры большинству...
XSS, CSRF и Flash аутентификация. Решение задач с r0от-мi Web— Client. Часть 2
В данной статье угоняем куки через Stored XSS, разбираемся с CSRF атакой и реверсим Flash SWF файл. Ссылки на предыдущие статьи: Часть 1: Web — javascript authentication, obfuscation и native code. Решение задач с r0от-мi Web— Client. Организационная информация Специально для тех, кто хочет...
Web. Решение задач с r0от-мi. Часть 2
Данная статья содержит решение заданий, направленных на эксплуатацию web-узвимостей. Статья ориентирована в основном на новичков, которые хотят разобараться в заголовках HTTP и учавствовать в CTF. Ссылки на предыдущие части этого раздела: Web. Решение задач с r0от-мi. Часть 1 Организационная...
[Из песочницы] Становление термостата: как это получилось
После нескольких лет плодотворной работы, было принято решение вынести на суд общественности наш первый продукт для управления климатом в умном доме — умный термостат для управления теплым полом. Читать дальше →...
Web — javascript authentication, obfuscation и native code. Решение задач с r0от-мi —. Client. Часть 1
Данная статья содержит решений заданий, в которых рассматриваются аутентификация javascript, обфускация javascript и javascript native code. Организационная информация Специально для тех, кто хочет узнавать что-то новое и развиваться в любой из сфер информационной и компьютерной безопасности, я...
Web. Решение задач с r0от-мi. Часть 1
Данная статья содержит решение заданий, направленных на эксплуатацию web-узвимостей. Здесь рассмотрим задачи, затрагивающие backup файлы, непроиндексированные директории, http заголовки, редирект и command injection. Организационная информация Специально для тех, кто хочет узнавать что-то новое и...
Web tools, или с чего начать пентестеру?
Продолжаем рассказывать о полезных инструментах для пентестера. В новой статье мы рассмотрим инструменты для анализа защищенности веб-приложений. Наш коллега BeLove уже делал подобную подборку около семи лет назад. Интересно взглянуть, какие инструменты сохранили и укрепили свои позиции, а какие...