Разборы

В октябре 2025-го я получил приглашение на Week Offer Security - ускоренный формат найма Яндекса для специалистов по информационной безопасности. До первой...

Контекст Неделю назад появился независимый аудит SkyForge — русскоязычного языка программирования, который я пишу. Аудит нашёл 30+ проблем, из них 5...

На пентесте финтех-платформы разработчики клялись, что CSRF атака невозможна - "у нас настроен CORS". Через 40 минут был готов рабочий PoC: автоматически...

Три месяца назад на архитектурном ревью финтех-проекта я наткнулся на штуку, которую хоть в учебник вставляй: JWT-токены валидировались на API Gateway, но...

Между регистрацией на платформе и первым принятым репортом у меня прошло четыре месяца, три дупликата и одно предупреждение за случайный выход за scope. За...

На предпоследнем проекте мне попался ColdFusion 2021 за nginx reverse proxy - внутренний портал кадрового учёта банка, про который "забыли" при миграции на...

CVE-2026-7411 в Eclipse BaSyx Java Server SDK - из тех багов, которые заставляют задуматься о состоянии безопасности во всём стеке Industry 4.0...

На внешнем пентесте финтех-компании первая критическая находка заняла 11 минут. Не Nmap, не Burp - запрос site:target.com filetype:env "DB_PASSWORD" вернул...

На последнем пентесте API финтех-сервиса одна подмена параметра account_id в запросе GET /api/v2/transactions раскрыла историю транзакций чужого счёта - с...

На pre-engagement фазе аудита одного финтех-сервиса я отправил ровно один GET-запрос - к /robots.txt. В ответ получил пути к staging-среде с открытым...

На пентесте телеком-оператора в прошлом году я убил два дня на периметр - WAF, минимальная поверхность, стандартная история. Точка входа нашлась там, где не...

18,8 миллиардов IoT-устройств подключены к сети прямо сейчас - по данным IoT Analytics, к 2030 году их станет 41 миллиард. У большинства последнее...

Помню свой первый день с Burp Suite: два часа убил на то, чтобы понять, почему ни один сайт не открывается после настройки прокси. Оказалось - забыл...

Помню свой первый отправленный отчёт на HackerOne. Reflected XSS, найденный за три часа сканирования - красиво оформленный, с PoC, со скриншотами. Через два...

В современном мире нейросети везде: от чат-ботов до RAG-систем и аналитики. Миллионы запросов в день — звучит круто, но хакеры уже потирают руки. Давайте...

Что такое ВАПТ / WAPT Web Application Penetration Testing (ВАПТ или WAPT) — это системный метод анализа безопасности веб‑приложений, который имитирует...

🔄 Обновлено: 17.07.2026 WAPT Codeby: ключевые детали, которых не хватает для выбора WAPT (Web Application Penetration Testing) от Codeby - курс на 144...

Багбаунти — это не просто модное слово. Это реальный способ для исследователей безопасности зарабатывать деньги, помогая компаниям находить и устранять...

Готов ли ты провести полноценный веб‑пентест и обнаружить уязвимости, которые пропустят автоматические сканеры? В этой статье ты получишь простой и понятный...

Здравствуйте, коллеги! Найдено на гитхабе. Генератор лицухи и лоадер для BurpSuite Pro. хттps://github.com/RebootEx/burp Всё работает. Проверено.