На пентесте SaaS-платформы с SSO через Keycloak я обнаружил, что авторизационный сервер принимает redirect_uri с path traversal...
На bug bounty в финтехе я потратил три минуты на обнаружение CRLF injection в эндпоинте редиректа - и два часа на эскалацию до XSS через HTTP response...
По данным IBM X-Force Threat Intelligence Index 2025, infostealers вышли на первое место среди всех типов малвари - 32%, обогнав ransomware. Рост атак с...
На аудите финтех-API осенью 2024-го мы три дня копали IDOR в платёжных эндпоинтах - а critical обнаружился в JWT-заголовке. Значение параметра kid...
Эволюция XSS и современные защиты Скорее всего, вы уже знаете что такое XSS, но давайте для полноты картины повторим. XSS (от англ. Cross-Site Scripting) -...
Четверг, 14:30. На пентесте интернет-банка - 800 тысяч клиентов-физлиц, Java-бэкенд с REST API - перехватываем запрос к GET /api/v2/accounts/{id}/statements...
На пентесте API одного банка мы подменили account_id в GET-запросе к /api/v2/accounts/{id}/balance - и получили баланс чужого счёта. Без повышения...
1. Введение: proactive phishing monitoring Забудьте про времена, когда просто ждали, пока клиент пришлет скриншот фейковой формы в саппорт. Если сидите и...
«В каждой профессии есть ритуал инициации, о котором не принято говорить вслух. У хирургов — первая ночная смена с тяжёлым пациентом. У пилотов — посадка...
сайт на вебсокетах 403 шлет и на невалид аккаунт и на валид если ему не нравится ип как обойти на запросах что бы чекать на любых прокси? или дело не в прокси?
Веб - самая популярная и самая непредсказуемая категория в CTF. Тут нет формулы «запустил скрипт - получил флаг». Каждый таск - мини-приложение со своей...
Привет, читатель - Kotu на связи. Если ты осмелился участвовать или участвовал в тендерах на поставку IT-решений для госкорпораций или компаний с...
Что вас ждёт в статье: 1. Введение: Bug Bounty в 2026 1.1. Рынок: $300M+ выплат 1.2. Реальная статистика заработков 2. Необходимые навыки 2.1. Minimum...
Подключиться к публичному Wi-Fi можно за пару кликов и так же легко — потерять данные карт, пароли и другую конфиденциальную информацию. Открытые точки...
API сегодня - это фактически основа большинства приложений. Мобильные клиенты, веб-интерфейсы, микросервисы внутри инфраструктуры - всё общается через...
SSRF давно перестал быть багом из разряда низкого приоритета. В микросервисной архитектуре он работает как прокси к тому, что из интернета обычно не видно...
Что вас ждёт в статье: 1. Введение: Telegram как OSINT-источник 2. Архитектура Telegram 2.1. Каналы, группы, боты 2.2. Username vs User ID 2.3. Public vs...
Пока цифровая криминалистика оттачивала методы работы с Windows, Linux и iOS, улики сбежали из компьютеров. Они теперь летают, ездят, отслеживают пульс и...
Что вас ждёт в статье: 1. Ландшафт bug bounty 2025 1.1. Российские платформы 1.1.1. Standoff 365 1.1.2. BI.ZONE 1.2. Международные платформы 1.2.1...
Мошенники постоянно придумывают новые схемы. Одна из самых хитрых и сложных для обнаружения сегодня — это создание “цифровых фантомов”, или синтетическое...
🔄 Обновлено: 24.06.2026 Три редакции Kali NetHunter: какую выбрать Kali NetHunter - бесплатная open-source платформа мобильного пентеста на базе Kali Linux...
Введение Когда люди слышат про CTF, у них в голове создаётся пугающий образ. Какие-то загадочные заданя, флаги, уязвимости, программирование – казалось, что...
Приветствую дорогих читателей данного форума! Сегодня я расскажу о Content Security Policy (CSP) — мощном инструменте для защиты веб-приложений от атак...
