Пентестер Гоша и его Python: история о боли, хаосе и тихом ужасе отдела ИБ

[Лиса_Ломает_Логи]

Глава 1. Гоша появляется на свет, к сожалению для всех серверов
Когда Гоша родился, врачи сразу поняли: ребёнок странный.
Другие дети плакали, а Гоша… пытался подобрать пароль к инкубатору.
Когда ему дали погремушку, он разобрал её, нашёл уязвимость конструкции и написал отчёт на двух страницах.
Мать сказала:
- Сынок, ты будешь инженером?
Гоша ответил:
- Я буду кошмаром для инженеров.

Глава 2. Встреча с Python: момент, когда вселенная сказала: Ну всё, держитесь
Когда Гоша впервые увидел Python, он понял:
это язык, на котором можно сломать всё, даже если пытаешься просто считать список. Гоша хотел удалить временный файл.
Удалил системный.
Но так уверенно, что админы подумали - так и должно быть.

Глава 3. Пентест по-Гошински
Рабочий день Гоши выглядит так:
Он пьёт энергетос.
Смотрит на инфраструктуру компании.
Говорит:
- Интересно, что сломается, если я просто посмотрю на это косо?
Обычно ломается прод.
Гоша запускает свой главный скрипт pentest.py, который он пишет уже 7 лет и ни разу не сохранил в Git:
Когда в результате выводится: Ой, это значит, что:

• база упала
• разработчики плачут

Гоша делает серьёзное лицо и говорит:
- Это была симуляция атаки. Учитесь жить в стрессе.

Глава 4. Гоша и разработчики: война миров
Разработчики Гошу ненавидят.
Но уважительно.
Диалог типичный:
Гоша: Я нашёл уязвимость.
Разрабы: Где?
Гоша: В п***е.
После этого начинается спринт пофиксить всё, что вообще существует
Глава 5. Скрипты Гоши - отдельный вид ужаса
Гошины скрипты - как древние рукописи:

никто не знает, что там происходит, но все боятся трогать.
Внутри часто встречается что-то такое:
Легенда гласит: однажды стажёр попытался отформатировать Гошин код black-ом.
Через 10 минут black сгорел, а стажёра больше никто не видел.

Глава 6. Итоги пентеста
Гошин итоговый отчёт - это шедевр.
Первая страница: выводы.
Остальные 90 страниц - мемы, где на каждом втором написано: Не делай так никогда.
В отчёте есть пункты:
Пароли должны быть длинными. Не как ваша логика.
Дыры нужно закрывать, а не оставлять для удобства.
Если ваш API доступен без авторизации - это уже не API. Это подарок хакерам.

Эпилог
Когда Гоша завершает работу, все вздыхают с облегчением.
Точнее, вздохнули бы, если бы сервер не лежал.
Но одно известно наверняка:
где прошёл Гоша, там будет безопасность… ну или нет.