Как взламывают сайты? XSS уязвимость, SQL-injection, CSRF, Code Injection

[@ivan.goncharov]

Внимание! Опрос! Конкурс по взлому ) kzbin.infoUgkxxiV75KYeEBtq71TlB_21l2QjOzwJtRZs

[@alexblr]

Приветствую! Продублирую своё мнение. Лично я за проведение конкурса или челленджа, но на мой взгляд главное не переборщить со сложностью заданий (уровней), так как для некоторых то или иное задание может быть сложным. Помню, когда-то на сайте "античат" были конкурсы по взлому. Если кому интересно, я когда-то делал ЮтубКвест состоящий из нескольких уровней с бонусом в конце - gthu9JVyOVA (ролик на ютубе, описание под видео, полную ссылку не даю, так как тут может быть включена блокировка ссылок), его можно считать как Цикада 3301 лайт :) Если прошёл уровень, оставил коммент, т.е. попал в таблицу рекордов. Первый уровень открыт для всех, все последующие скрыты для тех, кто не прошел предыдущие. Если кто знает подобные конкурсы или есть толковые идеи пишите.

[@ilyatemnikov9624]

Иван, в разработке более 5 лет, пишу на Java. Для нашего мира такие уязвимости уже даже не закрываются, все идет из коробки. Единственное, что настраиваем, это csrf и cors. Очень качественное видео, освежил базу. Спасибо!

[@gggalahad]

Тогда почему на сайте owasp различные иньекции все еще входят в топ 3 самых частых уязвимостей?

[@ilyatemnikov9624]

@@gggalahad Потому что там, вероятно, JSP.

[@gggalahad]

@@ilyatemnikov9624 тоесть только jsp подвержены иньекциям?

[@gggalahad]

@@ilyatemnikov9624 тоесть только jsp подвержены иньекциям?

[@alekseyshev5706]

Это не так, после первого же пентсета вы это поймёте

[@user-ly4vd1mo5g]

Искал серебро, нашел золото. Очень интересная тема для обсуждения в данном видео, то, чего мне явно не хватало. Подписался. Благодарю за ваш труд, Иван.

[@apristen]

Очень толковое объяснение некоторой небольшой части атак, очень интересно продолжение про LFI/RFI, IDOR, SSRF, и т.д.

[@volodnika]

Начинающий программист, очень круто объясняете Иван!

[@Nekrasov_all]

Мужик, видео просто фантастика, лучше на просторах интернета на эту тему сейчас просто не найти. Благодарю

[@MB-mi4ed]

Иван, отличные наглядные примеры! Спасибо за старания!

[@user-ds5pn2vi4x]

Да, было дело́, нужен был другу пароль от аккаунта девушки в вк, это так 2009-2010 год был, и прям в форме почты пихал форму, где требовался пароль для подтверждения, и всё что вводилось в поле отправлялся на txt документ на бесплатном хостинге, готово, и да, после ввода пароля, чтобы жертва ничего не заподозрила ее действительно отправляло на сервис с открытками, эх... Какие простые были времена, сейчас сложно представить такие кражи, двухфакторные авторизации, с подтверждением с телефона... Теперь даже html форму не вставить в обычный почтовый клиент 😢... Кстати, друг уже женат на той жертве, наверное ничего плохого не увидел в ее переписке, возможно помог ему с выбором 😂

[@user-zc3xi3rd6z]

Огромная благодарность Вам за труд! Ждём вторую часть!

[@mvlikhachev]

Спасибо. Очень интересная информация. Я правда думал, что большинство этих уязвимостей уже лет 10 как не актуальны)

[@supreltd]

На Джанго с 3 версии все эти неуязвимости из коробки сложно обойти. Но возможно (обходил)

[@lordew9476]

это было давно

[@ivan.goncharov]

Все новое - это хорошо забытое старое ) поэтому периодически нужно все повторять. Как оказывается, даже в рельсе можно кривой код написать и получить все эти уязвимости обратно )

[@electron_kg]

Все актуально

[@user-qd6hj2fn4w]

при использовании Laravel уже все эти проблемы решены из коробки, давно не актуально, но знать нужно! спасибо Иван за информацию!

[@Photoshopper2010]

тем не менее никто не запрещает эти уязвимости открыть. Можна тот же CSRF отключить или написать нативный SQL без обработки параметров

[@bit_reil]

Тем не менее есть кучи старых сайтов на старых архитектурах под которые к сожалению есть эксплойты

[@SaLeX969]

Интересный разбор. Спасибо:)

[@slavanik169]

Видео топ, базу разобрал 👍 Но было бы интересно продолжение, желательно так же нацеленное на веб по всем остальным уязвимостям, включая более редкие

[@Ranamzes]

Очень полезный ролик! Хотим больше таких)

[@mixaaa7189]

Превосходный гайд, спасибо за такое подробное объяснение!

[@yuriyp8841]

🔥🔥🔥 Это лучшее, что я видел про атаки в вебе. Спасибо большое за примеры - наглядно стало понятнее, что это и как с этим бороться. 🤝

[@valpolik72]

Очень понравилось видео! Хотелось бы еще часть 2 :)

[@Duh280]

Мега интересно узнать об уязвимостях на сайтах🔥🔥🔥

[@Serega5j]

Ура разжевали тему по нормальному. Давно интересовала эта тема я не мог найти настолько номального обьяснения. Мужик, ты лучший!

[@bitcomadm]

Иван, спасибо за подачу и шикарный уровень в профессии 💎🌟

[@evgenyshipko]

Хорошее видео: все понятно, примеры понятны, спокойно и последовательно объясняете. У вас определенно талант! Подписался, жду еще видео)

[@tommex4025]

Иван, в сфере форекса уже давно и копаю базы данных различных платформ, очень интересно было вспомнить базу !

[@eskelgarsio2998]

Отличное видео! Спасибо! Жду вторую часть

[@user-mr5pq1dc1t]

Очень жду вторую часть, начиная с CWE top 25)

[@ivan.goncharov]

топ 25 это часов на 10 нужно видео записывать?)

[@mizakira777]

@@ivan.goncharovкаждую по 10

[@mfshabalin]

Большое спасибо! Очень ценная информация!

[@user-xe9ez1fd5i]

Хорошее видео,почему у автора так мало подписчиков,лайк в развитие канала

[@bitcomadm]

И музыка, между прочим, очень в тему 😊

[@user-dr8nd4et4m]

Спасибо! Ждем вторую часть!

[@ELDAR011288]

Спасибо! 🎉🎉🎉 Ждем вторую часть)

[@scrypt3llo_algotrading]

Огромное спасибо за дословную и интересную подачу !🔥 Продолжайте - хотелось бы видеть ещё больше подобного контента! Было бы таки ещё интересно узнать - аналогична ли структура взлома мобильных приложений? или "как мобильное приложение может быть взломано ?"

[@ivan.goncharov]

Монтировать так и не научился, поэтому извиняюсь за слишком темное видео :)

[@TTTuTTT]

Автор молодец, просто о важном.

[@radiohonk]

Спасибо за такой подробный разбор

[@leomysky]

Отличное видео, спасибо за объяснение

[@volgraft5508]

Спасибо, всё очень понятно!

[@user-lj4fg5co6r]

Ничё не понятно - но Очень интересно !!

[@gggr0m4e]

Наконец-то годнота подъехала!

[@EanutiyDolbayyyb]

Вот поэтому движкам сложно доверять, лучше уж ручками фильтровать и отправлять ошибки в телегу и по счетчику в бан ip.

[@EanutiyDolbayyyb]

Про куки тема не раскрыта полностью, как они отрабатывают из скрипта, фрейма и т.п. Почему подтверждение критической операции по токену нужно завершать, а не по отправке формы. Можно ли в скрытом сформировать страницу и скрипт нужно сайта, и дергать её из главного потока пытаясь вырвать данные.

[@user-mr5pq1dc1t]

Отличный контент, 👍 спасибо

[@user-zv8es8pu7b]

Интересно было посмотреть, лайк. Единственная просьба, плиз, не яваскрипт =)

[@ivan.goncharov]

привычка )

[@user-zv8es8pu7b]

@@ivan.goncharov бывает, первый раз смотрел, так сразу ухо резануло)

[@kekoffer852]

чет прорвало с Боба)))

[@Arsen_Kaliyev]

спасибо за тутор

[@user-fo6fg3uv1v]

При union based sql injection для подбора можно просто указывать null. Union select null,null,null и тд

[@ivan.goncharov]

Кстати да. Оставьте ваши контакты, мы вам перезвоним )

[@user-fo6fg3uv1v]

@@ivan.goncharov зачем😁

[@whatyoumean1498]

@@user-fo6fg3uv1v за горло пожмякать😂

[@ivan.goncharov]

у капитана пара вопросов :)

[@ivan.goncharov]

Кстати нет, там бы не сработали null, они бы поломали код ) Ну а раз тема интересна, то проходим опрос в закрепе, хочу конкурс сделать по взлому )

[@KinoPM2]

15 лет назад мне на сайт напихали писюнов Сейчас даже большие коммерческие проекты хрен кто осиливает )

[@user-xr6vv8tp2u]

😂

[@KinoPM2]

@@user-xr6vv8tp2u было, да, так узнал о xss/sql

[@user-jt9yd6vr8b]

Да ладно. Достаточно напихать писюнов в команду разработки без должного контроля, а дальше через какое-то время хакеры и в весь большой проект напихают.

[@ivan.goncharov]

Проходим опрос в закрепе - хочу сделать конкурс по взлому, посмотрим сколько людей наберется )

[@mayonez5925]

От XSS помогает защитить CSP и trusted types.

[@IstMirWurst]

в 2007 актуально было так ломать сайты..но сейчас это все уже предусмотрено

[@ivan.goncharov]

кем предусмотрено?)

[@IstMirWurst]

@@ivan.goncharov в любом фреймворке если конечно ты совсем не аутист чтоб делать специально такие грубые ошибки с нефильтрацией или том же ларавел csfr token тоже предусмотрен

[@ivangoncharov1472]

@@IstMirWurst как я уже устал писать, каждый год появляются тысячи новых разработчиков, которые пока не понимают для чего писать так или иначе. Откуда они должны узнать что, для чего, и кем предусмотрено? ) И опять же, от csrf защита не сработает, если какой-то важный экшен навешен на GET-запрос, как я и показал. Те же LIKE-запросы раньше встречал даже в обучающих статьях без фильтрации. И есть еще один очень важный момент - статистика. Все эти ошибки до сих пор в топе. Каждый год. Все аутисты что ли?) Нет, просто джунам и даже мидлам нужно хоть раз показать от чего их защищает фреймворк, а от чего они должны защищаться сами. Что в этом видео и постарался сделать. А актуально это или нет, можно посмотреть в статистике.

[@AvitoBot]

Вы не поверите До сих пор очень крупные компании нашей страны не закрыли данные уязвимости

[@Comm1ted]

Очень полезно, спасибо

[@supreltd]

Крутой контент!

[@flick4804]

Хотелось бы увидеть больше Рельс

[@ivan.goncharov]

Как минимум пара еще будет ) Сейчас про опыт применения тактических шаблонов DDD в Rails готовлю.

[@user-oq2wp5ge6f]

Спасибо за видео❤❤❤❤

[@nickkarnapolcev9218]

Спасибо

[@TheTexPro]

Спасибо большое!

[@nickkarnapolcev9218]

🎉

[@userDEELS]

Привет развитие каналу

[@MiFix-sh7el]

не только такие уязвимости, например есть CORS, это на раскрытие информации

[@ivan.goncharov]

CORS это не уязвимость, это фича )

[@MiFix-sh7el]

@@ivan.goncharov ну фича то понятно, но для хакера это плохо, особенно когда там Access-Control-Allow-Origin: *

[@ivan.goncharov]

а чем Access-Control-Allow-Origin: * плохо для хакера? Вроде наоборот хорошо )

[@MiFix-sh7el]

@@ivan.goncharov я хз как обойти это, мб и хорошо

[@alekseyshev5706]

​​@@ivan.goncharovесли разрешены с кредами любые домены , что часто делают неопытные разработчики когда хотят упростить себе задачу , уже не фича))

[@Serhii_Volchetskyi]

Тяжело перенести это на свой язык. Я не делал экранизацию полей HTML потому что не работал с пользовательским вводом, но знаю что это нужная вещь. Остальное - наверное, не сработает. Если XSS не занесу в базу - все будет ок.

[@ivan.goncharov]

Проходим опрос в закрепе ) Будет возможность попрактиковаться и может перенести на свой язык )

[@kirilli8423]

Если взламывать сайты, писать разработчику, что нашел уязвимость и попросить его вознаграждение небольшое, то это не будет считаться как вымогательство/взлом сайта ?

[@ivan.goncharov]

Я не юрист, но вопрос интересный, спросил ChatGPT: 1. Взлом сайта: Независимо от намерений, несанкционированное проникновение на сайт или компьютерную систему является незаконным в большинстве стран. Это считается преступлением, даже если вы не нанесли вред. 2. Ответственность: Если вы нашли уязвимость без разрешения владельца сайта (например, через программу bug bounty или другую форму сотрудничества), и особенно если вы использовали её для доступа к защищенной информации, это может быть расценено как нарушение закона. 3. Вымогательство: Запрос денег за то, чтобы не раскрывать или не использовать уязвимость, также может квалифицироваться как вымогательство, даже если сумма относительно небольшая.

[@SergeyKanibor]

Очень круто! А есть ли где то это приложение на Github? хочу развернуть у себя, пощупать руками

[@ivan.goncharov]

Спасибо, добавил ссылки в описании :)

[@mmm-jn3cw]

В Angular такие уязвимости не работают. Всё, что вводит пользователь, отображается как encoded string (<script>) и ничего не выполняется.

[@sau9703]

Современные сайты разрабатываются на базе каких либо движков или фреймворков , все эти банальные вещи уже лет 15 как неактуальны . разработчику о них даже думать не приходится т.к платформа в себе уже содержит все необходимые меры предосторожности , и не только платформа , на уровне веб.сервера так же многое перекрыто , да и браузер не дурак - в общем столько уровней защиты , что что-то придумать или обойти на таком уровне нереально. П.С Если программист что-то отключает , то к этому моменту вроде как уже должен понимать что отключает и к чему это приводит.

[@ivan.goncharov]

Я же и показываю в видео, что мне приходится отключать встроенные защиты для демонстрации. Но опять же, это не защищает от плохого кода (все вешать на GET-запросы, или использовать интерполяцию в SQL-запросах). Порог входа в программирование постоянно снижается, а вместе с ним снижается и понимание от чего и как нас защищает фреймворк. Это видео не для тех, кто вырос на PHP, а тех, кто начал с рельсы и никогда не задумывался о безопасности. К тому же, как я рассказал в видео, баги все еще встречаются ) и довольно серьезные баги (исполнение кода), которые опять же возникают по вине разработчиков. Поэтому все равно видео считаю полезным)

[@user-zg7wk9sd2b]

мощный)

[@dalvevary1999]

17:00 Pepper это не соль, pepper это pepper Разные понятия:)

[@ivan.goncharov]

Ну да, почитал, немного разные штуки, спасибо )

[@dalvevary1999]

@@ivan.goncharov главное развиваться :)

[@MiMi-nd5cj]

Спасибо за инфу, скажите а можно отследить взломщика, например по транзакции, номеру карты, ФИО, он же не может быть не видимым.

[@chiefkief1337]

Если данные фальшивые, или указана карта дропа, то нет.

[@NIkFreedomForce]

Давай вторую, шеф, красава!

[@user-hh2qp6ez4d]

Уроки по Си планируете продолжать?

[@ivan.goncharov]

Планирую, но через одно видео. Следующее видео планирую на другую тему.

[@l22dev]

SQL инъекции ушли в прошлое, когда в PHP добавили PDO. Я с тех пор никогда их не встречал ни одного запрос без плейсхолдеров уже лет 12. Сейчас это бородатая неактуалочка.

[@ivan.goncharov]

Я несколько лет работал в аутсорсинговой компании, там проекты менялись каждые 2 месяца, иногда и за 2 недели успевали дела поделать. Насмотрелся вообще всякого, особенно там, где индусы код писали, в америке много таких проектов ) Ну и слабо верится, что в PHP-мире все так идеально стало ) Битрикс с его кучей кривых плагинов еще жив, кстати?)

[@ivan.goncharov]

Кстати, лет 5 назад один америкос просил его проект доделать на PHP. Скинул код, а там в КАЖДОМ файле идет подключение к базе данных, в каждом файле конфиг и копи паст кучи функций. Я уверен где-то до сих пор пишут такой код, не говоря уже о допущенных уязвимостях )

[@flepjack]

Не понял, а как тут SQL инъекция срабатывает при обычном get запросе? На бэке это же должно как то обрабатываться, каким то образом превращаться в реальный SQL запрос... Или это как то связано именно с ruby on rails?

[@ivan.goncharov]

Должно обрабатываться, есть встроенные защиты от инъекции, но если неправильно сформировать запрос (как было показано в видео), то защиты не сработают.

[@user-xe9ez1fd5i]

Иван создай пожалуйста телегу свою на всякий случай

[@fimistoklOL]

Бесплатный Стилер с билдом читов для кс 1.6, залитый на ргхост, с оставленными комментариями по типу:» все, скачал, брат жив, только антивирус отключить нужно» как только экзешный файл открывался - сразу же удалялся, а все логины и пароли приходили на почту лол, во время было то

[@evgenybesit1995]

спасибо

[@_black.sun_]

А Django насколько стойкий ко всему этому? Не в теме, но собираюсь делать на нем сайт

[@ivan.goncharov]

Не подскажу, потому что не видел джанго уже лет 10 )

[@heater-hater]

solidJs ,быстрый как ванилька так что;)

[@oleggazman6819]

за взлом не посадят, а возьмут на работу

[@alexrevtovich]

все эти уязвимости не актуальны уже лет так двадцать :D просто невозможно сделать сайт с этими уязвимостями, разве что прям специально делать их зачем-то. еще посмеялся, что Перец - это по русски соль :D Соль и перец - это хоть и похожие штуки, но разные!!! Даже если по какой-то причине не используется OAuth, а вручную хешируется, то будут использованы и соль и перец!

[@MyHomeBand]

Реально, бородатая фигня! А больше всего улыбнуло, что юзает Last pass. Пару лет назад они всю базу свою продали…

[@qwert9313]

Не знаю что ты имеешь ввиду под и соль и перец просто sha256(пароль + salt) -> hash

[@alexrevtovich]

@@qwert9313 так у гугла спроси, там понятное объяснение про шифрование

[@Photoshopper2010]

Я не понял CSRF. Откуда хакерский сайт берёт значения для своей формы?

[@ivan.goncharov]

Значения какие именно? user_id?

[@Photoshopper2010]

@@ivan.goncharov я не внимательно посмотрел видео. Я думал вы в action указали хакерский сайт

[@user-iv3eq8mx6x]

Вступление срок не светит если что , а максимум админка 😃

[@ivan.goncharov]

А что я там такого сказал? (или не сказал?) :)

[@fullform9892]

Все это прекрасно, но по моему уже устарело лет на 5 точно, хотя если на вордпрессе собирать или руби то возможно актуалльно 😊

[@ivan.goncharov]

Все может быть ) Но топ уязвимостей за прошлые годы говорит об обратном )

[@fullform9892]

@@ivan.goncharov в этот год из каждого утюга говорят что нейро сетью можно создавать сайты, как там с уязвимость в топ не зашло? :)

[@SamJones-dp1tc]

куку боба 😂

[@v3663]

Мне не понятно, зачем сайт ищет скрипт в имени и выполняет этот скрипт. Ну и пусть будет посетитель с именем alert(1), зачем его выполнять?

[@ivan.goncharov]

Браузер ничего не ищет, если он видит html-тег, его обязанность - как-то обработать этот тег. Чтобы браузер обработал alert(1) просто как текст, то в теле html это должно выглядеть как: <script>alert(1)</script> А не как . Т.е. знаки больше/меньше должны быть закодированы.

[@ten1674]

разве это не будет работать только локально? как этот код вообще попадет и ввполнится другому клиенту на его машине? Там же браузер получит JS и HTML, который выдаст сайт, а эти инъекции сайт как выдаст, если они по сути локально в вашем браузере? ​@@ivan.goncharov

[@ivan.goncharov]

Что-то я не понимаю вопрос. Надо вам найти ролики о том как работает Веб, как работает http-протокол, и как работает браузер. Тогда все встанет на свои места. В идеале почитать книгу Таненбаума "Компьютерные Сети". Шикарная книга, очень хочу сделать ролик по ней когда-нибудь, но не в ближайшем будущем.

[@romanmed9035]

это кто нынче сразу из ответа с сайта оптравляет в запрос? а по оплате так совсем смех.

[@nrnwest]

кидай руби 2024 год))) передйти на симфони ли лару )

[@ivan.goncharov]

Ruby сильно недооценен :) Я постараюсь в одном из видео показать как красиво на нем можно описывать логику приложения. Даже продакт-менеджерам, далеким от программирования, можно скидывать код и они будут понимать, правильная логика или нет. Таких возможностей нет ни в одном языке :)

[@nrnwest]

@@ivan.goncharov Рынок главный судья.

[@ivan.goncharov]

Согласен на все 100, но пока еще вижу много возможностей для руби ) Пока еще он даже до конца не раскрыл свой потенциал, как я считаю ) На PHP я лет 7 просидел, нормальный язык, претензий не имею, но не кайф ) PS проходим опрос в закрепе )

[@aks964]

А эти уязвимости реально до сих пор работают? Я думал уже давно все разрабы это все перекрывают

[@ivan.goncharov]

Как было показано в видео, любая из них еще может присутствовать. Видео было записано для новичков, которые и могут допускать ошибки, потому что ни один курс по программированию об этом не рассказывает.

[@aks964]

@@ivan.goncharov Да это не претензия) Просто у меня например, на моем языке программирования, та же SQL-injection отсекается библиотекой из коробки, то же самое и с CSRF. Я уже давно не думаю над данными проблемами ибо знаю что при использовании общепринятой библиотеки, которая в любом случае будет, эти проблемы уйдут. И я реально думал что примерно то же самое происходит и на других языках

[@ivan.goncharov]

@@aks964 я понимаю, что не претензия, просто пытаюсь донести, что библиотеки защищают, но ими нужно правильно пользоваться ) Rails один из первых фреймворков, где появилась красивая ORM со всеми возможными защитами. Но до сих пор люди неправильно формируют запрос, особенно часто это происходит в LIKE запросе, пишут where("name ILIKE '%#{params[:query]}'") - и тут защита уже не сработает. 200% в вашем языке то же самое )

[@aks964]

@@ivan.goncharov Я пишу на java с spring data и spring security. При авторизации spring security делает строго свои запросы, и подобные вещи он отсечет 200 процентов) При работе с бд "руками" идет генерация запросов через hibernate или сам спринг и оно аналогично это все переэкронирует и ты тоже в эту уязыимость не впоришься. Впороться в данную уязвимость в тории если прям сильно захотеть то можно, но это нужно сильно постараться, так же как, например, сделать утечку памяти. ps "руками" пишу тоже запросы крайне редко, обычно делаешь метод в интерфейсе и по названию данного метода оно просто загенерирует запросы. Я уже забыл когда запросы писал руками (в приложении, так то в бд хожу частенько чтобы посмотреть чтото) на самом деле

[@ivan.goncharov]

Ну для рельсы тоже есть куча гемов, которые проверяют безопасность кода по многим параметрам, но опять же, не все их используют ) P.S. проходим опрос в закрепе )

[@THEREALNIKOS15]

SQL-injection что взламывать то, старая же, уже защита стоит

[@ivan.goncharov]

Стоит защита, но бывает программисты ее обходят ) Особенно часто я видел это когда формируют запрос поиска через ILIKE: where("name ILIKE '%#{params[:query]}'")

[@makaronronron]

Иван на протяжении 33 минут делает вид что он не хакер))

[@ivan.goncharov]

Информация предоставлена в образовательных целях )

[@mayonez5925]

"Делаем просто вот так" - после этих слов я понял, что человек не понимает как защищать сервисы от уязвимостей) Мдам-с.

[@ivan.goncharov]

Все так, не умею )

[@user-rq8vk3cd1l]

Ещё кто-то сидит на руби?

[@ivan.goncharov]

И даже не собирается уходить )

[@isakneuman9995]

в каких галерах люди вообще работают если такие простые ошибки допускают...

[@ivan.goncharov]

Удивляют такие комментарии ) Каждый год тысячи студентов и самоучек идут в ИТ, откуда они все это должны узнавать? В универе об этом не рассказывают, свыше такая информация тоже не сваливается. Поэтому почему нет.. Я даже мини-доклад сделал в зарубежной компании, очень талантливым ребятам, и почти всем было интересно ) Последнюю ошибку, о которой я рассказал, допустил владелец компании, который уже на частном самолете летает и миллионы евро зарабатывает, я считаю не нам говорить, что он на галерах работает ) Со всеми случается.

[@isakneuman9995]

@@ivan.goncharov я к тому, есть миллионы случаев, почему их не документируют и сжато пишут книги? Книги в которых есть суть а не воду на 1000 страниц

[@ivan.goncharov]

Книгу довольно тяжело выпустить, гораздо легче статью в блоге написать или ролик записать )

[@ivan.goncharov]

Проходим опрос в закрепе, люди с галер хотят конкурс простенький сделать )

[@nickkarnapolcev9218]

М

[@Crasytoser]

Сори за хейт, но хэшИ это не правильно, правильно ударение на э хЭши. Прям бесит.

[@ivan.goncharov]

Ни разу не слышал такого произношения, буду знать ) А вот пишется это слово хЕш. Через е )

[@shimmersairwaves]

кЕши, Хэжи, жижи, шиши, жиши, пжижи ХЭЭЖИИИИИ!!!!

[@ilya1.079]

Ява скрипт

[@funnyaround733]

Что?

[@bsprspktvnk]

гей скрипт

[@shimmersairwaves]

Яна Чиле на раслабоне

[@shimmersairwaves]

Яна вай бе, Яна орфеева, Яна Чиле а ты???

[@user-fg3wl4xu9d]

не получилось никого взломать, обман

[@ivan.goncharov]

Я и не обещал )

[@user-fg3wl4xu9d]

@@ivan.goncharov лучше бы показал, как электронный дневник взломать и оценки исправить. А не этот пердёж в холостую

[@ivan.goncharov]

@@user-fg3wl4xu9d тебе это никак уже не поможет

[@user-fg3wl4xu9d]

@@ivan.goncharov а че ты на личности переходишь?

[@shimmersairwaves]

​@@user-fg3wl4xu9dдружище 🤔😊, чтобы получать хорошие оценки достаточно не прогуливать школу и воображать себя будущим хацкером, достаточно не грубить людям.

[@FrancoisTops-hy9qu]

Что за бред, это работает в оооочень ситуативных случаях и на кривых сайтах.

[@ivan.goncharov]

Ценю мнение, но это только кажется) Многие мидлы сейчас не знают об этих ошибках, потому что порог входа в АйТи снижается каждый год. Появляются более простые инструменты, более простые/быстрые курсы и тд. И даже с крутыми программистами в команде, в нашем проекте (довольно большом) были 3 из 5 уязвимостей, которые я описал. Также я занимался Data Scraping 2 года. За это время спарсил > 10.000 веб-сайтов, по 50 парсилок в день бывало писал. У меня очень большая насмотренность. Баги/кривые конфиги попадаются очень часто. Поэтому бред или не бред, а актуальность эта информация всегда будет иметь)

[@fufloradar]

Программисты должны быть параноиками и не доверять не пользователям а разработчикам этих вшивых фреймворков.

[@ivan.goncharov]

Я застал времена без фреймворков, когда в основном писали на php. Уязвимы были 9 из 10 вебсайтов. Потому что каждый изобретал свой велосипед и в основном как раз вшивый ) Поэтому фреймворки как раз это благо.

[@fufloradar]

@@ivan.goncharov Я имею в виду и технологии и протоколы и все остальное и JS и REST и т.д. просто не стал удлинять предложение нудными деталями. Такие уязвимости можно рассматривать только как закладки. Например нельзя что ли было заескейпить пользовательский ввод встроенно?

[@genapak4864]

Комплитим Альфу, коммитим костыли, апрув.

[@sashair]

И все эти методы и попытки попадают в тупик, когда на пути встаёт php pdo и фильтры😁

[@ivan.goncharov]

Не работал с PDO, но на первый взгляд похоже на мини-копию рубишного ActiveRecord. А значит есть вероятность накосячить и там ) Вся суть видео - в том, что ошибки совершает программист. Даже если его защищает фреймворк, библиотеки, ангелы хранители, все равно допустить ошибку можно. Допустим вот такой код точно так же уязвим: $userInput = $_GET['user_input']; $sql = "SELECT * FROM users WHERE username = '{$userInput}'"; $stmt = $pdo->query($sql); Я помню в PHP есть еще настройки для экранирования кавычек, но их тоже вроде как-то можно обойти )

[@TheLightnessofBeing-nw6hg]

@@ivan.goncharov да, но с PDO используют $pdo->prepare($sql); и execute() А прямые SQL-запросы должны на перепросмотре кода отсекаться

[@ivan.goncharov]

Ну если так подходить, то все ок будет ) на самом деле, везде есть возможности накосячить, и есть возможности добавить больше защиты. Главное - чтобы программист заботился и безопасности. Для этого и видео, как напоминалка о безопасности ) PS проходим опрос в закрепе, )

[@JohnDonko]

Хотите научиться ломать и защищать - hackthebox

[@nicki_codder]

Спасибо