ГДЕ можно поближе познакомиться с веб-тасками и порешать их:

1. https://tryhackme.com/ - тут очень много хорошей теории про Linux, основные уязвимости, разные способы эксплуатации этих уязвимостей и защиты от них.

2. https://portswigger.net - тут также есть объяснение того, как работают веб-уявзимости, но главное что тут огромное колличество лаб на абсолютно разные темы. Если нужна практика по вебу - must seen

3. https://app.hackthebox.com - отличная платформа для практики. Большое колличество, как и black box (без исходного кода) машин, так и white box (с исходным кодом).

4. https://vk.com/@spbctf-ctf-for-beginners - тут и теория, и практика для самых маленьких.

#learn

ХО-ХО-ХОООО

Summary вчерашнего занятия

1. Поговорили про слабые варианты защиты от Path Traversal
2. Разобрали сложное задание с прошлого года CybHack CTF. Само задание все еще доступно на нашей платформе. (Для решения вам может понадобиться интересная статейка про flask-unsign)
3. Поговорили про самую распространенную Client-Side уязвимость XSS (Cross-Site-Scripting)
4. Познакомились с платформой PortSwigger и решили несколько лабораторных работ оттуда - разобрали SSRF и логические уязвимости приложений. (Данная платформа считается самой лучшей для вкатывания в информационную безопасность веб-приложений, так что дерзайте, там очень много лаб.-. p.s. если будут вопросы по лабам, можете смело писать нам)

#summary #learn

Лекция

Также хотим напомнить, что сегодня в 17.00 Леша проведет для вас лекцию в нашем дискорде. В ней он немножко отойдет от CTF и интересно расскажет вам, как работают сети и каким образом компьютеры взаимодействуют друг с другом. Обязательно приходите, Леша очень крутой рассказчик!

#event

Курс

Совершенно забыл вам рассказать про курс ugractf, где вкратце рассказано про все категории тасков, которые вы можете встретить на реальных ctf. В нем присутствуют и практические задания, так что сможете сразу и попрактиковаться, начав с простого

P.S. Сам с него начинал когда-то оч давно, так что действительно советую для старта в мире флагов

#learn

JWT

На занятии говорили с вами о сессионных куки фласка, однако это не единственный способ для авторизации пользователей в веб-приложении. Один из них - JWT (json web token). С его помощью можно хранить информацию о пользователе на стороне клиента, не задействуя при этом никаких ресурсов для хранения этих токенов (как это реализовано в flask). Советую почитать статейку о том, как они работают, ибо это очень часто встречающаяся технология на CTF.

#learn

Исправляюсь с Base64

Тулинг

Для работы с любыми кодировками лучше всего подходит CyberChef - он как швейцарский нож

Для JWT самый популярный декодер/энкодер - это jwt.io

#tools #learn

Выкатил небольшой таск на jwt, чтобы вы потренировались и разобрались, как он работает

Кто не успел привязать тг к аккаунту на нашей платформе и хочет получить баллы и призы от студа, пж сделайте в ближайшее время

Занятие!!

Напоминаем, сегодня встречаемся на последнем занятии в рамках школы CTF в 273 аудитории в 18.00!

#event

Вы вчера: