·path traversal
Path Traversal (Directory Traversal, LFR) — чтение файлов
Краткое объяснение уязвимости Path Traversal / LFR: влияние (чтение файлов), отличия от LFI/RFI, пример payload и базовая защита.
Читать публикацию
Hunt Or Be Hunted
Я разбираю реальные веб‑уязвимости и показываю, как их искать, эксплуатировать в безопасной среде и закрывать в проде. Без воды: чек‑листы атак, редкие кейсы, ошибки разработчиков и практики защиты от CSRF, XXE, Prototype Pollution, десериализации, race conditions, XSS и не только. Если вы пишете веб или проверяете его на прочность — вам сюда.
·http2
HTTP Downgrade и Request Headers в Burp Suite
Короткое объяснение, почему Burp Suite показывает Request Headers похожими на HTTP/1 и как это связано с HTTP Downgrade и псевдо‑заголовками HTTP/2.
Читать публикацию
·xxe
XML External Entity (XXE) injection
Краткое объяснение XXE: виды (видимые, слепые, экзотические), пример полезной нагрузки, влияние (SSRF/LFI/RCE) и базовые способы защиты.
Читать публикацию
·ctfzone
Райтап по таскам CTFZone Quals 2024
Райтап по двум web‑таскам, написанным мной для CTFZone Quals 2024; средняя сложность, разбор доступен по ссылке, в посте — скриншот задания.
Читать публикацию
·offzone
Впечатления OffZone 2024
Короткие личные впечатления от инфобезного фестиваля OffZone 2024: стенды, CTF, локпикинг, комьюнити, мерч и встречи с коллегами.
Читать публикацию
·ssti
Mindmap к атаке SSTI
Красивая mindmap к атаке SSTI: визуальная схема этапов и векторов Server‑Side Template Injection для разбора.
Читать публикацию
·ssti
Server-side template injection (SSTI)
Краткое объяснение SSTI: что это, пример полезной нагрузки и рекомендации по защите; ссылка на репозиторий PayloadsAllTheThings.
Читать публикацию
·race conditions
Race conditions — состояние гонки
Краткий разбор race conditions: типы (включая HTTP/2), влияние (вплоть до RCE) и практики защиты; пример уязвимого кода и пояснение MFA-рокировки.
Читать публикацию
·ctf
Райтапы по бинарной эксплуатации в PicoCTF
Райтапы по бинарной эксплуатации в PicoCTF — на английском, разной сложности, с подробным разбором атак. Ссылка на Notion в посте.
Читать публикацию
·карьера it
Карта карьеры в IT
Карьерная карта IT — визуальная схема направлений и возможных путей развития специалистов; упрощённая двухмерная майнд‑карта.
Читать публикацию
·dvsa
DVSA — CTF-like приложение для тренировки уязвимостей
Проект DVSA — CTF-like приложение с 25 уязвимостями (SQLi, SSRF, XXE, Insecure Deserialization и др.) для практики; запуск через docker-compose.
Читать публикацию
·sqli
Cheatsheet по SQL Injection
Короткая рекомендация на cheatsheet по SQLi (tib3rius) с примерами payload'ов для популярных СУБД — полезно для AppSec.
Читать публикацию
