Кибербезопасность | Пентестинг & AppSec
Открыть в Telegram
Пентест и AppSec на практике: AD, инфра, Web. Теория → мини-задача → разбор. 📁 Все наши каналы: t.me/addlist/c8AszfqFNisxNTQ6 🤝 Реклама: @faroeman
Больше7 315
Подписчики
+724 часа
+717 дней
+22130 дней
Загружаем данные
Похожие каналы
Облако тегов
Входящие и исходящие упоминания
---
---
---
---
---
---
Привлечение подписчиков
октябрь '26окт. '26
октябрь '26
+164
в 3 каналах
сентябрь '26
+215
в 1 каналах
Get PRO
август '26
+284
в 3 каналах
Get PRO
июль '26
+275
в 1 каналах
Get PRO
июнь '26
+348
в 1 каналах
Get PRO
май '26
+208
в 1 каналах
Get PRO
апрель '26
+225
в 3 каналах
Get PRO
март '26
+749
в 2 каналах
Get PRO
февраль '26
+248
в 1 каналах
Get PRO
январь '26
+151
в 0 каналах
Get PRO
декабрь '25
+115
в 0 каналах
Get PRO
ноябрь '25
+217
в 1 каналах
Get PRO
октябрь '25
+371
в 1 каналах
Get PRO
сентябрь '25
+184
в 0 каналах
Get PRO
август '25
+285
в 0 каналах
Get PRO
июль '25
+197
в 0 каналах
Get PRO
июнь '25
+161
в 0 каналах
Get PRO
май '25
+208
в 0 каналах
Get PRO
апрель '25
+235
в 0 каналах
Get PRO
март '25
+443
в 1 каналах
Get PRO
февраль '25
+511
в 0 каналах
Get PRO
январь '25
+371
в 2 каналах
Get PRO
декабрь '24
+268
в 3 каналах
Get PRO
ноябрь '24
+181
в 1 каналах
Get PRO
октябрь '24
+200
в 2 каналах
Get PRO
сентябрь '24
+54
в 0 каналах
Get PRO
август '24
+55
в 0 каналах
Get PRO
июль '24
+50
в 0 каналах
Get PRO
июнь '24
+40
в 0 каналах
Get PRO
май '24
+41
в 0 каналах
Get PRO
апрель '24
+55
в 0 каналах
Get PRO
март '24
+45
в 0 каналах
Get PRO
февраль '24
+65
в 0 каналах
Get PRO
январь '24
+58
в 0 каналах
Get PRO
декабрь '23
+60
в 0 каналах
Get PRO
ноябрь '23
+62
в 0 каналах
Get PRO
октябрь '23
+100
в 0 каналах
Get PRO
сентябрь '23
+56
в 0 каналах
Get PRO
август '23
+71
в 0 каналах
Get PRO
июль '23
+107
в 0 каналах
Get PRO
июнь '23
+120
в 0 каналах
Get PRO
май '23
+165
в 0 каналах
Get PRO
апрель '23
+131
в 0 каналах
Get PRO
март '23
+112
в 0 каналах
Get PRO
февраль '23
+74
в 0 каналах
Get PRO
январь '23
+100
в 0 каналах
Get PRO
декабрь '22
+108
в 0 каналах
Get PRO
ноябрь '22
+91
в 0 каналах
Get PRO
октябрь '22
+83
в 0 каналах
Get PRO
сентябрь '22
+104
в 0 каналах
Get PRO
август '22
+99
в 0 каналах
Get PRO
июль '22
+90
в 0 каналах
Get PRO
июнь '22
+90
в 0 каналах
Get PRO
май '22
+125
в 0 каналах
Get PRO
апрель '22
+75
в 0 каналах
Get PRO
март '22
+106
в 0 каналах
Get PRO
февраль '22
+74
в 0 каналах
Get PRO
январь '22
+121
в 0 каналах
Get PRO
декабрь '21
+49
в 0 каналах
Get PRO
ноябрь '21
+278
в 0 каналах
Get PRO
октябрь '21
+77
в 0 каналах
Get PRO
сентябрь '21
+42
в 0 каналах
Get PRO
август '21
+41
в 0 каналах
Get PRO
июль '21
+66
в 0 каналах
Get PRO
июнь '21
+114
в 0 каналах
Get PRO
май '21
+259
в 0 каналах
Get PRO
апрель '21
+81
в 0 каналах
Get PRO
март '21
+546
в 0 каналах
| Дата | Привлечение подписчиков | Упоминания | Каналы | |
| 17 октября | +2 | |||
| 16 октября | +10 | |||
| 15 октября | +14 | |||
| 14 октября | +15 | |||
| 13 октября | +10 | |||
| 12 октября | +13 | |||
| 11 октября | +12 | |||
| 10 октября | +7 | |||
| 09 октября | +18 | |||
| 08 октября | +11 | |||
| 07 октября | +16 | |||
| 06 октября | +11 | |||
| 05 октября | +9 | |||
| 04 октября | +4 | |||
| 03 октября | +5 | |||
| 02 октября | +4 | |||
| 01 октября | +3 |
Посты канала
Только мы придумали, что-то интересно и сразу бан!🫤
Telegram заблокировал наш чат предзаписи. Мы подали апелляцию и ждём ответа.
Из-за чего тоже непонятно, возможно кто-то пожаловался🤔
Пока вопрос не решён, запуск клуба ставим на паузу.
Если у кого-то были похожие ситуации напишите, пожалуйста, в лс.
А канал работает как обычно: теория, задачи и разборы выходят по плану 💪
Спасибо всем, кто записался и поддержал 🔥 Это показало, что клуб вам нужен, и мы к идее ещё вернёмся.
| 2 | Ну что ребят - задачка.
Дано: интернет-магазин. При регистрации вам на почту приходит ссылка для подтверждения:
site . com/verify?token=abc123
Вопрос: где тут можно украсть чужой аккаунт?
Ответ покажется тупым, но ...
Разбор тестовой лабы:
Я заметил 2 вещи:
Токен в ссылке живет 24 часа
После того как ты подтвердил почту, токен НЕ СГОРАЕТ. Он все еще валидный.
А дальше классика:
Я регаю аккаунт на свою почту vitali@test.com
Подтверждаю его, все ок
Иду в настройки профиля и меняю почту на admin@victim.com (почту жертвы)
Сайт снова шлет письмо с подтверждением на НОВУЮ почту. С ТЕМ ЖЕ САМЫМ токеном abc123
Я не подтверждаю. Я просто жду.
Что делает жертва? Она хочет зарегаться на admin@victim.com, но сайт ей пишет "такая почта уже занята".
Она идет делать "Забыли пароль?" -> ей на почту приходит письмо -> она меняет пароль и заходит.
И вот в этот момент мой старый токен abc123 все еще работает.
Я перехожу по site. com/verify?token=abc123 и сайт пишет: "Почта admin@victim.com успешно подтверждена. Вы владелец аккаунта".
Я только что угнал ее аккаунт после того, как она сменила пароль.
Это называется ЗАХВАТ АККАУНТА!!!. Очень !!!редкий!!! и очень простой баг.
Как надо было фиксить:
1 правило: Любой токен на почту должен сгорать сразу после использования. Один раз кликнули - все, в мусорку.
Проверьте свои проекты.
.
Нашли бы сами?
По менторству security testing (для QA) / AppSec - пишите в телеграм @faroeman (укажите откуда вы)
#bugbounty #infosec #appsec #для_начинающих | 465 |
| 3 | Всем спасибо за активность!)
Вижу реакции, а значит тема вас действительна интересна!
Поэтому заходим по ссылке ниже, вступаем, обсуждаем!
И не выходите из чата до старта, иначе пропустите цену early bird 😉
Вступить | 610 |
| 4 |  🔐 Думаем запустить закрытый клуб пентестеров. Нужно ваше мнение
Читать про XSS и найти XSS — разные вещи. Мы хотим сделать место, где практика каждую неделю:
🧪 уроки с лабами: полный курс по XSS и Bash для пентестера, а также другие именные курсы, которые мы еще не рекламировали здесь, будут выходить по расписанию
🔍 глубокие разборы: обходы фильтров, CSP, IDOR, методология
📄 разборы реальных отчётов bug bounty
💬 закрытый чат и «Вопросы недели»: задаёте вопрос, автор темы отвечает сразу в комментариях
да и много других идей, которые будем обсуждать уже с вами😎
🎁 курс «JSON с нуля до профи» в подарок сразу при входе плюс «Карта пути пентестера» (что учить и в каком порядке).
Клуб будет платным, по подписке: цену пока еще определяем
Если хотели бы вступить, поставьте 🔥 под этим постом.
Если интересно, но пока сомневаетесь, поставьте 🤔. | 756 |
| 5 | 🔐 Думаем запустить закрытый клуб пентестеров. Нужно ваше мнение
Читать про XSS и найти XSS — разные вещи. Мы хотим сделать место, где практика каждую неделю:
🧪 уроки с лабами: полный курс по XSS и Bash для пентестера, а также другие именные курсы, которые мы еще не рекламировали здесь, будут выходить по расписанию
🔍 глубокие разборы: обходы фильтров, CSP, IDOR, методология
📄 разборы реальных отчётов bug bounty
💬 закрытый чат и «Вопросы недели»: задаёте вопрос, автор темы отвечает сразу в комментариях
🎁 курс «JSON с нуля до профи» в подарок сразу при входе, а также
Клуб будет платным, по подписке: цену пока еще определяем
Если хотели бы вступить, поставьте 🔥 под этим постом.
Если интересно, но пока сомневаетесь, поставьте 🤔. | 1 |
| 6 |  🚀BeconVPN — интернет без лишних ограничений
Надоели зависания, медленная загрузка и постоянные обрывы соединения? Попробуй BeconVPN — VPN-сервис для комфортного использования интернета каждый день. ⚡️
🐂 Почему BeconVPN?
🌐 Быстрое соединение — смотри видео, загружай файлы и пользуйся любимыми сервисами.
🟢 Конфиденциальность — защити свой интернет-трафик и пользуйся сетью с большим спокойствием.
💬 Подключение в пару кликов — удобное управление прямо через Telegram, без сложных настроек.
🛡 Современная технология VLESS — протокол, разработанный для эффективного и гибкого подключения.
💻 До 5 устройств — используй VPN на нескольких своих устройствах в рамках одной подписки.
💰 Попробуй бесплатно! Активируй пробный период на три дня, протестируй подключение и оцени BeconVPN самостоятельно.
🗓 Начни пользоваться прямо сейчас:
➡️ ПОДКЛЮЧИТЬ BECONVPN | 215 |
| 7 | Разбор задачки про tcpdump
В задачке приняло участие не так много участников, как хотелось бы, но будем думать, что эта тема всем понятна😄
читаем сам дамп:
Порт 22: S → S/ACK → R → open
Порт 23: S → R/ACK → closed
Порт 80: S → тишина, повторный S → filtered
🔐 22 — open. Сервер ответил SYN/ACK ([S.]): порт слушает.
🚪 23 — closed. Хост жив, но на порту никто не слушает, и он ответил RST/ACK ([R.]).
🛡 80 — filtered. Ответа нет, Nmap повторил SYN. Скорее всего, пакеты дропает файрвол.
⚙️ Тип скана: SYN (half-open), -sS. Получив SYN/ACK, клиент не отправил ACK, а оборвал соединение через RST. Connect-скан (-sT) довёл бы рукопожатие до конца.
Зачем RST: соединение не доходит до приложения, а запись о полуоткрытом соединении быстро освобождается. Но IDS такой скан всё равно видит.
Проверяем:
sudo nmap -sS -p 22,23,80 --reason 10.0.0.10
22/tcp open ssh syn-ack
23/tcp closed telnet reset
80/tcp filtered http no-response
🧠 Главная мысль: open, closed и filtered — это три разных реакции на один и тот же SYN. Различаешь их по ответу, а не по цвету в терминале.
Спасибо всем, кто пишет в комменты и ставит реакции! 🙌
#разбор #network #nmap #pentest | 799 |
| 8 | Как делать DDOS через SYN-FLOOD?
Рассказал в новом видео
Что такое SYN-FLOOD?
Какие виды бывают? (показал на диаграме)
Как защититься
С вас лайк подписка - спасибо!
https://youtu.be/9XystfX1qv0?si=KmJtvpxWwyGkVsOH | 984 |
| 9 | Я живу в 1 км от того места, где в 2007 году Эстонию отключили от интернета.
Апрель 2007. Бронзовая ночь. Правительство переносит Бронзового солдата из центра Таллинна.
Через 2 дня начинается первая в мире кибератака на целую страну.
130 DDoS-атак за 3 недели.
Легли: сайт парламента, президента, 2 крупнейших банка, все газеты. Люди не могли снять деньги. Скорая не могла дозвониться. Трафик шел из Перу, Вьетнама, США - с ботнетов
Пик был 9 мая.
Чем били? Самой тупой атакой в мире - SYN-flood.
АТАКА: Как работает SYN-flood за 20 секунд:
Ты хочешь подключиться к сайту - шлешь SYN
Сайт отвечает SYN-ACK и ждет твой ACK, оставляя для тебя место в памяти
Ты не отвечаешь. Никогда.
Сайт ждет 30-60 секунд, держа место.
А теперь 100,000 ботов делают это одновременно. Память сервера забивается "полуоткрытыми" соединениями.
Это не взлом. Это забивание памяти мусором по сути ...
ЗАЩИТА: Как это чинят в 2026 и чему я учу:
В 2007 Эстония выжила потому что отфильтровала трафик за границей.
Сейчас защита - 1 строчка в Linux (хотя конечно не спасет всегда):
SYN Cookies - сервер не хранит место, а шифрует его в ответе. Нет памяти - нет атаки.
И rate limit + Anycast в Cloudflare.
Почему я об этом рассказываю в курсе по AppSec?
Потому что 90% джунов думают что AppSec - это только XSS. А AppSec - это понимание как работает сеть.
ОБУЧЕНИЕ:
Я учу этому в E4 Base модуле. Асинхронно.
Ты не привязан к созвонам. Ты в Таллинне, в Берлине, в Тбилиси - не суть - кидаешь мне лабу когда застрял, я разбираю в течение дня. Отвечаю на вопросы - помогаю.
Пиши в личку - Буду рад помочь -цены адекватные.
@faroeman
#appsec #estonia #cybersecurity #synflood #bronzenight | 1 155 |
| 10 | 🧪 Мини-задача перед выходными: читаем дамп
С хоста 10.0.0.5 просканировали 10.0.0.10. Вот что показал tcpdump:
10.0.0.5.51234 > 10.0.0.10.22: Flags [S], seq 1000
10.0.0.10.22 > 10.0.0.5.51234: Flags [S.], seq 5000, ack 1001
10.0.0.5.51234 > 10.0.0.10.22: Flags [R], seq 1001
10.0.0.5.51235 > 10.0.0.10.23: Flags [S], seq 2000
10.0.0.10.23 > 10.0.0.5.51235: Flags [R.], seq 0, ack 2001
10.0.0.5.51236 > 10.0.0.10.80: Flags [S], seq 3000
10.0.0.5.51237 > 10.0.0.10.80: Flags [S], seq 3500 (через ~1 сек)
❓ Вопросы
Какой статус у портов 22, 23 и 80?
Какой это тип скана?
Почему на порту 22 клиент отправил [R], а не [.] (ACK)?
Обращаем внимание на на флаги и на то, что ответил (или не ответил) сервер.
Пиши ответы в комментарии. Разбор в понедельник. 🕕
#практика #network #nmap #pentest | 1 014 |
| 11 | 🔗 TCP/IP: как устроена передача данных (и при чём тут nmap)
В прошлых постах мы разобрали IP, MAC и ARP. Теперь соберём всё в одну модель.
TCP/IP — это набор протоколов, по которому работает весь интернет и почти любая корпоративная сеть.
🧱 4 уровня модели TCP/IP
4. Прикладной → HTTP, DNS, SMB, SSH
3. Транспортный → TCP, UDP
2. Межсетевой → IP, ICMP
1. Канальный → Ethernet, Wi-Fi, ARP
Каждый уровень решает свою задачу:
↓ приложение формирует данные
↓ TCP режет их на сегменты и следит за доставкой
↓ IP знает, куда отправить пакет
↓ канальный уровень знает, кому в локальной сети передать кадр (MAC)
🤝 TCP-рукопожатие (3-way handshake)
Прежде чем передавать данные, TCP устанавливает соединение:
Клиент ── SYN ──────────▶️ Сервер
Клиент ◀️───── SYN/ACK ── Сервер
Клиент ── ACK ──────────▶️ Сервер
Только после этого начинается обмен данными.
Именно поэтому TCP называют надёжным: он гарантирует доставку, порядок пакетов и переотправку потерь.
🚩 Флаги TCP, которые нужно знать
— SYN: хочу соединиться
— ACK: подтверждаю
— RST: сброс, «здесь никого нет» или «уходи»
— FIN: корректное завершение соединения
🎯 Почему это важно пентестеру
Сканирование портов — это просто игра с рукопожатием.
nmap -sS 10.0.0.5
SYN-скан отправляет только SYN и смотрит на ответ:
SYN/ACK → порт открыт ✅
RST → порт закрыт ❌
тишина → порт фильтруется 🧱 (файрвол)
После SYN/ACK nmap не завершает рукопожатие, а отправляет RST. Поэтому такой скан быстрее и меньше светится в логах приложений.
Для сравнения:
nmap -sT 10.0.0.5
Connect-скан проходит рукопожатие полностью. Он работает без root-прав, но зато оставляет следы в логах сервиса.
📌 Главная мысль
Когда nmap пишет open, closed или filtered, он просто пересказывает тебе, как сервер ответил на SYN.
Понимаешь рукопожатие — понимаешь, что на самом деле показывает сканер и почему он иногда «врёт».
#network #base | 1 128 |
| 12 |  Ну не могу я нормальные комменты в коммитах писать 😂
У кого еще такая проблема? 😁 | 1 180 |
| 13 | Разбираем прошлую задачку🤔
Большинство ответило правильно😃
Внутри локальной сети устройства находят друг друга не по IP, а по MAC-адресам. IP нужен, чтобы дойти до нужной сети через интернет. А внутри своей сети кадр едет от карты к карте по MAC.
Но твой комп знает только IP шлюза. Чтобы отправить кадр, ему нужен MAC шлюза. Эту связку «IP → MAC» делает ARP:
— Хост: «У кого IP 192.168.1.1? Скажи свой MAC»
— Шлюз: «Это я, мой MAC — aa:bb:cc...»
Ответ записывается в ARP-кэш, и дальше кадры летят на этот MAC.
⚠️ Дыра в том, что ARP никого не проверяет. Кто ответил — тому и верят. Можно без спроса сказать жертве «шлюз теперь по моему MAC» — и она поверит.
Атака:
Атакующий врёт обеим сторонам:
— жертве: «шлюз — это мой MAC»
— шлюзу: «жертва — это мой MAC»
Теперь весь трафик жертвы идёт через атакующего. Он его читает и передаёт дальше, оставаясь незаметным. Это и есть MITM.
🎯 Почему именно L2: IP-адреса не меняются, сессии не рвутся, приложение ничего не замечает. Меняется только одно — на чью сетевую карту попадает кадр. Чистая механика канального уровня.
Почему только в локалке: ARP-запросы широковещательные, а через роутер они не проходят. Значит, атаковать можно только из своего сегмента — надо быть в той же сети (тот же коммутатор или Wi-Fi).
🛡 Защита (тоже на L2): статические ARP-записи, Dynamic ARP Inspection, port security. Плюс TLS — перехват не остановит, но данные сделает нечитаемыми.
📌 Главное: атака всегда привязана к уровню. Знаешь уровень — знаешь и её границы (только локалка), и почему верхние уровни её не видят, и где ставить защиту.
#network #теория #ad | 1 187 |
| 14 | Многие QA мечтают повысить свои скиллы и уйти в автоматизацию или безопасность ...
Пентест - одно из направлений, которое отлично подходит тестировщикам.
Я просмотрел около 100 вакансий и собрал список того, что нужно знать пентестеру, кто хочет тестировать уязвимости .
Вот видео на 8 минут
С вас лайк - подписка - коммент.
С меня больше видео.
Хорошо вечера.
https://youtu.be/3okGsfq3ni4?si=MT5iquLnMF9hKCIc | 1 119 |
| 15 | 🛡 Вся наша движуха по ИБ в одном месте
Теория, практика, разборы, новости и вакансии — всё для старта и роста в пентесте. Выбирай, что тебе ближе 👇
🎯 Пентест и разборы → @pentesting_channel
🧠 Квизы «Проверь себя» → @cybersecurity_quizz
😂 Мемы про ИБ → @cybersec_memes
📰 Новости и атаки → @cybersecs_news
💼 Вакансии в ИБ → @cybervacancies_channel
💬 Чат → @pentesting_channel_chat
📁 Добавь все каналы в отдельную папку — одним нажатием, чтобы не потерялись в ленте:
[Забрать папку] | 1 118 |
| 16 | Задачка на выходные 😃
Ты в локальной сети и хочешь перехватить её трафик — вклиниться между ней и шлюзом (MITM).
На каком уровне OSI ты будешь атаковать? | 1 142 |
| 17 | 🌐 Модель OSI и стек TCP/IP — карта, по которой работает пентестер
Когда ты отправляешь запрос, данные проходят через несколько уровней — от кабеля до приложения. Понимать эти уровни важно не ради теории: на каждом из них своя атака.
Есть две модели.
OSI — теоретическая, 7 уровней, по ней удобно учиться.
TCP/IP — реальная, 4 уровня, по ней работает интернет.
Ниже — OSI, а рядом где на нём «ломается»:
7. Прикладной (HTTP, DNS, FTP, SMB)
Здесь живут веб-уязвимости: SQLi, XSS, IDOR. Большая часть твоей работы — тут.
6. Представления (шифрование, кодирование)
TLS, Base64. Тут — перехват до/после шифрования, downgrade-атаки.
5. Сеансовый (сессии)
Session hijacking, кража токенов, фиксация сессии.
4. Транспортный (TCP, UDP, порты)
Сканирование портов (nmap), SYN-флуд. Отсюда начинается разведка.
3. Сетевой (IP, ICMP, маршрутизация)
IP-спуфинг, разведка через ping/traceroute.
2. Канальный (MAC, ARP, коммутаторы)
ARP-спуфинг, MITM в локальной сети, перехват трафика.
1. Физический (кабель, Wi-Fi, сигнал)
Физический доступ, снифинг, Rogue AP.
📌 Как это ложится на TCP/IP (4 уровня):
Приложение (7–5) → Транспорт (4) → Интернет (3) → Доступ к сети (2–1).
🎯 Зачем это пентестеру
Модель — не схема для экзамена, а чек-лист поверхностей атаки. Видишь цель — мысленно проходишь по уровням: где сниффить, где спуфить, где инъекции. Ни один вектор не упустишь.
#network #теория | 1 200 |
| 18 | 🌐 Что такое TCP/IP?
Объясняем простыми словами
Когда мы отправляем сообщение, открываем сайт или смотрим видео — данные не летят целиком одним большим файлом. Они разбиваются на маленькие части и отправляются через сеть.
За это отвечает набор протоколов TCP/IP.
📌 IP (Internet Protocol) — это как адрес на конверте.
Он отвечает за:
куда отправить данные;
какой у устройства IP-адрес;
через какие сети пройти.
Например:
💻 Компьютер → 192.168.1.10
🌍 Сервер сайта → 8.8.8.8
IP помогает найти путь от отправителя к получателю.
📌 TCP (Transmission Control Protocol) — это как проверка доставки.
Он отвечает за:
— разбивку данных на части;
— проверку, что всё дошло;
— повторную отправку потерянных частей;
— сборку данных обратно в правильном порядке.
Представь, что ты отправляешь книгу по почте:
IP говорит: «Вот адрес получателя».
TCP проверяет: «Все страницы книги дошли? Ничего не потерялось?»
📦 Пример работы:
Ты открываешь сайт:
1️⃣ Браузер получает IP-адрес сервера.
2️⃣ TCP устанавливает соединение с сервером.
3️⃣ Данные сайта отправляются маленькими пакетами.
4️⃣ TCP проверяет доставку.
5️⃣ Браузер собирает страницу.
⚡️ А если нужна скорость, а не идеальная доставка, используются другие протоколы — например UDP.
#network | 1 148 |
| 19 |  🛡 Друзья, пробуем новый формат!
Только вопросы — по сетям, веб-безопасности, OSINT и защите инфраструктуры. Прорешай викторины и узнай, на что ты способен!
Новые вопросы — каждый день. Заходи, отвечай и тренируйся вместе с нами! | 928 |
| 20 | Path Traversal - уязвимость из-за которой джуны не проходят собес в AppSec.
Спрашивают почти всегда. Отвечают почти всегда плохо.
Суть за 20 секунд:
У вас есть API: GET /api/files?filename=report.pdf
Бэкенд делает: open("./files/" + filename)
Что отправит атакующий? filename=../../etc/passwd
И если нет защиты - он читает системные файлы. На Linux это /etc/passwd, на Windows - ..\..\windows\win.ini.
В лабе на localhost это выглядит так:
Поднимаешь простой Node/Express сервер с отдачей файлов
Отправляешь ../../../etc/passwd и получаешь 200 OK вместо 403
В одном (пока одном) из аудитов эта дыра была в проде у одного стартапа из Эстонии. Не потому что девелоперы глупые. А потому что они думают что фреймворк сам защитит.
Как закрыть правильно - и что ждут на собесе:
-Никогда не конкатенируй путь. Используй path.resolve() + проверку что итоговый путь внутри разрешенной директории.
-Белый список файлов / UUID вместо имени файла от юзера.
-WAF - это костыль, а не защита.
Если ты хочешь в AppSec - ты должен уметь:
Найти это за 15-30 минут хотя бы
И за 2 минуты объяснить как закрыть проблему
Этому не учат на курсах по веб-разработке. Этому учат на практике.
Кому интересно обучение - пишите в тг @faroeman
#appsec #cybersecurity #pathTraversal #career #owasp | 1 018 |
