Hunt Or Be Hunted·OS command injection
Краткое объяснение OS command injection (shell-инъекция): пример полезной нагрузки, влияние (RCE) и рекомендации по защите.
Читать
Каналы
Hunt Or Be Hunted·Hunt Or Be Hunted·SQL Injection (SQLi)
Краткий обзор уязвимости SQL injection: типы (Error-, Union-, Blind, Time-, Out‑of‑Bound, Second‑Order), пример полезной нагрузки и защита через prepared statements.
Читать
Hunt Or Be Hunted·Recon Toolset — набор инструментов для разведки
Инструменты для этапа разведки в pentest/bugbounty: amass, nmap, ffuf, crt.sh и другие полезные утилиты.
Читать
Hunt Or Be Hunted·BSCP побежден!
Отчет о сдаче BSCP (Burp Suite Certified Practitioner): успешная попытка с первой попытки, прокторинг, проблемы с эксплоитами и нюансы оплаты.
Читать
Hunt Or Be Hunted·Roadmap сертификаций по безопасности
Разбор проекта Security Certification Roadmap (Paul Jerimy): ранжированный список сертификаций с оценкой по сложности, стоимости и временным затратам.
Читать
Hunt Or Be Hunted·XML External Entity (XXE) injection
Краткое объяснение XXE: виды (видимые, слепые, экзотические), пример полезной нагрузки, влияние (SSRF/LFI/RCE) и базовые способы защиты.
Читать
Hunt Or Be Hunted·Эволюция мышления веб‑пентестера
Рефлексия о четырёх этапах развития мышления веб‑пентестера: от «переиграть сканер» до открытия новых техник (например, HTTP Request Smuggling).
Читать
Hunt Or Be Hunted·Кандидаты OWASP Top 10 2025
Краткий обзор предварительного списка OWASP Top 10 2025: смещения позиций, объединения и новая категория Mishandling of Exceptional Conditions.
Читать
Hunt Or Be Hunted·Преподавание в ИБ (Часть 2)
Размышления о позитивных сторонах преподавания в области информационной безопасности: структурирование знаний, менторство, влияние ИИ и студенческая мотивация.
Читать
Hunt Or Be Hunted·Впечатления OffZone 2025
Личные впечатления от OffZone 2025: доклад, стенды, афтепати и мерч — автор делится наблюдениями и выводами об организации и экспириенсе.
Читать
Hunt Or Be Hunted·HTTP/1.1 Must Die — итоги исследования
Разбор исследования Portswigger о проблемах HTTP/1.1 и технике request smuggling 0.CL; основные выводы и ссылка на лабораторию.
Читать
Hunt Or Be Hunted·Auth Attacks — часть 3: другие механизмы аутентификации
Третья часть цикла про векторы атак на аутентификацию: session fixation, кастомные куки, сброс пароля, CAPTCHAs, JWT/OAuth и редкие эксплойты.
Читать
Hunt Or Be Hunted·Атаки на авторизацию. Часть 1: Вход по паролю
Чеклист атак на формы логин‑пароль: брутфорс, credential stuffing, username enumeration, особенности вроде GraphQL и обходы CAPTCHA.
Читать
Hunt Or Be Hunted·Cross-site request forgery (CSRF)
Разбор CSRF: что это, три ключевых условия эксплуатации (релевантное действие, авторизация через cookie, непредсказуемые параметры) и пример формы.
Читать
Hunt Or Be Hunted·PHP Type Juggling — особенности сравнения
Разбор PHP type juggling: магические хеши, поведение == и ===, риск обхода контроля доступа; рекомендации: ===, hash_equals(), password_verify().
Читать
Hunt Or Be Hunted·Преподавание в ИБ (Часть 1)
Размышления лектора по ИБ о том, как становятся преподавателями, мотивациях и краткий дайджест достижений: Иннополис, РАН, собственный курс.
Читать
Hunt Or Be Hunted·Auth Attacks Part 2: Multi-Factor Authentication
Вторая часть про атаки на MFA: предсказуемые OTP, полный обход, подмена аккаунта, брутфорс и флуд; рекомендации (напр. Google Authenticator).
Читать
Hunt Or Be Hunted·CSRF: принципы, обходы и защита
Разбор CSRF: почему обходится SOP, ограничения отправки форм, особенности SameSite и базовые методы защиты (token, SameSite, Referrer).
Читать
Hunt Or Be Hunted·HTTP Downgrade и Request Headers в Burp Suite
Короткое объяснение, почему Burp Suite показывает Request Headers похожими на HTTP/1 и как это связано с HTTP Downgrade и псевдо‑заголовками HTTP/2.
Читать
Hunt Or Be Hunted·Server-side template injection (SSTI)
Краткое объяснение SSTI: что это, пример полезной нагрузки и рекомендации по защите; ссылка на репозиторий PayloadsAllTheThings.
Читать