Делимся с вами крутыми лайфхаками от Мекана Байрыева, нашего Application Security Engineer. Важный контент, чтобы прокачать навыки по киберсеку:

Gixy - это инструмент для анализа конфигураций Nginx, основной целью которого является предотвращение ошибок безопасности и автоматизация обнаружения уязвимостей.

Что сейчас умеет обнаруживать:

🔜 SSRF
🔜 HTTP Splitting
🔜 Проблемы валидации Referer/Origin, add_header, valid_referers,
🔜 Спуфинг Заголовка Host
🔜 Path Traversal при использовании alias


Ставим

$ pip install gixy

Используем

$ gixy /etc/nginx/nginx.conf

Пример результата

==================== Results ===================

Problem: [http_splitting] Possible HTTP-Splitting vulnerability.
Description: Using variables that can contain "\n" may lead to http injection.
Additional info: https://github.com/yandex/gixy/blob/master/docs/ru/plugins/httpsplitting.md
Reason: At least variable "$action" can contain "\n"
Pseudo config:
include /etc/nginx/sites/default.conf;

 server {

  location ~ /v1/((?<action>[^.]*)\.json)?$ {
   add_header X-Action $action;
  }
 }


==================== Summary ===================
Total issues:
    Unspecified: 0
    Low: 0
    Medium: 0
    High: 1

Мы прошли аудит ISO9001! 👍

Хотим поделиться новостью, что мы успешно прошли аудит ISO9001! Представители аудиторской компании TÜV Rheinland не только похвалили Mad Devs за соответствие требованиям ISO, но еще и отметили, что культура компании, взаимодействие между отделами и внутри них, вовлеченность людей в работу и нацеленность на результат сильно выделяются в лучшую сторону на фоне тех, кого они обычно аудируют.

Мы очень рады этому знаменательному событию! Это очень важный этап для компании! 🔥

Подборка полезных статей, новостей и инструментов

Хорошие традиции забывать нельзя, поэтому врываемся в вашу пятницу с новой подборкой полезных и интересных материалов.

🔹Как выбрать тип рендеринга для вашего приложения

Подробная информация про типы рендеринга SSG, SSR, ISR, CSR, их плюсы и минусы, когда и какой лучше использовать.

🔹nuxt-workers

Появился модуль для быстрой интеграции Web Workers в Nuxt приложение.

🔹Апдейты по ожидаемым фичам JavaScript

Апдейты с последней встречи TC39 (комитет, который занимается развитием JavaScript). Самый ожидаемый Temporal API для работы с датами никак не может достигнуть последней стадии апрува. Препятствием для него стало то, что он добавляет значительно размера JavaScript движку, а это замедляет работу на слабеньких девайсах. В связи с чем было решено удалить некоторые методы из API. Про другие апдейты можно почитать в статье.

🔹React Admin

Если появится необходимость быстро создать админку на React, можно глянуть в сторону этого решения. Есть бесплатная опенсорсная версия и платная для энтерпрайза.

🔹Как получить высоту и ширину элемента с помощью CSS

Стоит рассматривать эту возможность чисто как хак. Лонгрид с подробным объяснением, как это возможно и кратенький пример со снипетами кода и ссылками на CodePen.

Переходим по ссылкам, изучаем и обсуждаем в комментариях ➡️