Разборы

На пентесте финтех-стартапа IDOR в API профиля нашёлся через Burp Suite из браузера за 20 минут - тупо подмена ID в GET /api/v1/users/{id}/profile. Через...

На лабораторном стенде я подключил SDR-приёмник HackRF One к "выключенному" iPhone - экран чёрный, на нажатия не реагирует, индикатор зарядки погас...

На одном из первых корпоративных расследований я собрал досье на контрагента клиента: открытый профиль ВКонтакте, данные из ЕГРЮЛ, упоминания на форумах...

242 миллиона рублей - столько суммарно выплатила исследователям платформа Standoff Bug Bounty за три года (данные Positive Technologies, май 2025). Активных...

На Bugcrowd хантер с более чем 130 репортами уровня P1 получил выплаты за три дубликата - не потому что нашёл уязвимость первым, а потому что качество его...

На Habr Career для ИБ-архитекторов указан диапазон 297 000 - 465 000 рублей в месяц, на hh.ru открыто более 230 профильных вакансий только по Москве...

На внешнем пентесте финтех-компании первая критическая находка заняла 11 минут. Не Nmap, не Burp - запрос site:target.com filetype:env "DB_PASSWORD" вернул...

На pre-engagement фазе аудита одного финтех-сервиса я отправил ровно один GET-запрос - к /robots.txt. В ответ получил пути к staging-среде с открытым...

По данным IBM X-Force Threat Intelligence Index 2025, среднее время между публикацией CVE и её устранением в исследованной выборке - 29 месяцев. Два с...

На аудите REST API одного европейского автопроизводителя был подменён VIN в GET /vehicles/{vin}/status - и получены GPS-координаты, уровень топлива и статус...

Несколько CVE, рабочие end-to-end exploit-цепочки, fleet-wide impact: от захардкоженных credentials в APK до удалённой разблокировки дверей, доступа к...

Ты решаешь CTF-таски за 20 минут, у тебя полка виртуальных медалей на CTFtime, а XSS в DVWA - детская разминка перед завтраком. Но первый репорт на...

Управление доступом сегодня - это не про удобные логины. Это передний край цифровой войны, где противник давно обходит стены твоего периметра. Классическая...