Новичок может пройти мимо, если исследуемое веб-приложение отвечает 403 Forbidden, но не стоит спешить. Вот несколько аспектов, которые можно протестировать:

1️⃣Directory Traversal
2️⃣Манипуляция параметрами
3️⃣Тестирование доступа на основе ошибок
4️⃣Изменение заголовков запроса
5️⃣Использование инструмента 403 Bypasser

👉Читайте подробнее в статье в PDF или на Medium

#tips #pentest #bugbounty

Нас уже больше 10 000 🥳🎊🎂! Спасибо за интерес к «Библиотеке хакера».

Внедрение символов HTML в разные места URL-адреса может дать любопытные результаты:

<a href="{A}javas{B}cript{C}:alert(1)">

A) &#01, &#02 ... ➡️ ... &#32
😎 &#09, &#10, &#13
C) &#09, &#10, &#13

📌Пример

<a href="&#27;javas&#09;cript&#13;:alert(1)">
Click Me
</a>

#tips #bugbounty

— Поддомены API 🤔?
— Это что-то новенькое.

📌Поддомены API — это обычные поддомены сайта/веб-приложения, но специально предназначенные для размещения API.

☑️Понимайте это как отдельные двери для входа в разные части исследуемого веб-приложения. Поверьте, этих дверей может быть очень много, поэтому стоит разбираться в ключевых механизмах работы.

💡Читайте подробнее о том, для чего вообще делать поддомены API и как это использовать в наших целях.

#tips #pentest #bugbounty

Как вы думаете, с какой скоростью ваш выделенный сервер с доступным SSH будут брутить? Таким и многими другими вопросами задался Владимир Туров из Selectel. Под кат стоит заглянуть хотя бы ради собранной статистики. А ниже — выводы, которые можно сделать из экспериментов.

🤦‍♂️Перенос SSH на необычный порт поможет спрятаться от нежелательного внимания, но только не на порт 2222 — это приведет к обратному результату.

🦹‍♂️Сегодня ботнеты можно разделить на две категории: бессмысленные и аккуратные. Первые заполнят логи безуспешными попытками подобрать пароль, а в случае удачи ничего не сделают. Вторые же придут с паролями по умолчанию и в случае успеха оставят вредонос.

🤐За два года практически полностью «вымерли» злоумышленники, которые лишают владельца доступа к своему устройству. Фокус изменился с деструктивных операций на скрытность. Непопулярность других портов и протоколов не гарантирует безопасности от злоумышленников.

#security

😎Выполнение кода на целевой системе может быть достигнуто различными способами и с помощью нескольких типов уязвимостей.

🤑️Ловите подборку трех популярных инструментов, которые помогут вам их выявить и использовать👇

1⃣ Tplmap — сканер, который автоматизирует поиск инъекции кода/шаблонов Server-Side (SSTI) и эксплуатацию уязвимостей SSTI.
2️⃣ Fuxploider — инструмент, который поможет использовать различные баги в функционале загрузки файлов, ведь именно этот функционал обычно позволяет загрузить веб-шелл и исполнить код.
3️⃣ SQLMap — популярный инструмент для эксплуатации SQL-инъекций, который среди прочего обеспечивает поддержку для автоматизации повышения привилегий и удаленного выполнения кода.

#pentest #redteam #bugbounty #tools

🧑‍💻 Статьи для IT: как объяснять и распространять значимые идеи

Напоминаем, что у нас есть бесплатный курс для всех, кто хочет научиться интересно писать — о программировании и в целом.

Что: семь модулей, посвященных написанию, редактированию, иллюстрированию и распространению публикаций.

Для кого: для авторов, копирайтеров и просто программистов, которые хотят научиться интересно рассказывать о своих проектах.

👉Материалы регулярно дополняются, обновляются и корректируются. А еще мы отвечаем на все учебные вопросы в комментариях курса.

🪲 +1 метод поиска поддоменов и виртуальных хостов в вашу коллекцию

#tips #recon

🛞Учитель из России Татьяна Ерухимова уехала в США и занимается тем, чем должен заниматься любой нормальный учитель — прививает любовь к знаниям своим ученикам.

💬Всем бы таких учителей… А вы помните своего любимого учителя и предмет, который больше всего на вас повлиял?

#холивар

Самые полезные каналы для программистов в одной подборке!

Сохраняйте себе, чтобы не потерять 💾

🔥Для всех

Библиотека программиста — новости, статьи, досуг, фундаментальные темы
Книги для программистов
IT-мемы
Proglib Academy — тут мы рассказываем про обучение и курсы

🐘PHP

Библиотека пхпшника
Вакансии по PHP, Symfony, Laravel
Библиотека PHP для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по PHP — код, квизы и тесты

🐍Python

Библиотека питониста
Вакансии по питону, Django, Flask
Библиотека Python для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Python — код, квизы и тесты

☕Java

Библиотека джависта — полезные статьи по Java, новости и обучающие материалы
Библиотека Java для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Java — код, квизы и тесты
Вакансии для java-разработчиков

👾Data Science

Библиотека Data Science — полезные статьи, новости и обучающие материалы
Библиотека Data Science для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Data Science — код, квизы и тесты
Вакансии по Data Science, анализу данных, аналитике, искусственному интеллекту

🦫Go

Библиотека Go разработчика — полезные статьи, новости и обучающие материалы по Go
Библиотека Go для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по Go — код, квизы и тесты
Вакансии по Go

🧠C++

Библиотека C/C++ разработчика — полезные статьи, новости и обучающие материалы по C++
Библиотека C++ для собеса — тренируемся отвечать на каверзные вопросы во время интервью и технического собеседования
Библиотека задач по C++ — код, квизы и тесты
Вакансии по C++

💻Другие профильные каналы

Библиотека фронтендера
Библиотека шарписта
Библиотека мобильного разработчика
Библиотека хакера
Библиотека devops’a
Библиотека тестировщика

💼Каналы с вакансиями

Вакансии по фронтенду, джаваскрипт, React, Angular, Vue
Вакансии по C#, .NET, Unity Вакансии по PHP, Symfony, Laravel
Вакансии по DevOps & SRE
Вакансии для мобильных разработчиков
Вакансии по QA тестированию
InfoSec Jobs — вакансии по информационной безопасности

📁Чтобы добавить папку с нашими каналами, нажмите 👉сюда👈

🤖Также у нас есть боты:
Бот с IT-вакансиями
Бот с мероприятиями в сфере IT

Мы в других соцсетях:
🔸VK
🔸YouTube
🔸Дзен
🔸Facebook
🔸Instagram

🔖 Новая функция reportError() позволяет создать довольно забавный вектор XSS: сохраняйте в закладки

#tips #bugbounty