Asosiy matnga o'tish
Sipar

Blog

Ekspertizaga tayyorgarlik bo'yicha amaliy maqolalar

Ekspertiza nimani so'raydi, qayerda xato ko'p bo'ladi va uni qanday yopish kerak — o'z tajribamizdan.

Yangiliklar

PHP CVE-2026-109618 va CVE-2026-109619: serverni bosqichma-bosqich yangilash

Kiberxavfsizlik markazi PHP'dagi ikki zaiflik haqida ogohlantirdi. Qaysi versiyalar tuzatilgan, qanday tekshirish va real serverlarda uchragan tuzoqlar.

2026-yil 29-oktabr · 10 daq. o'qish
Yangiliklar

WordPress backdoor tahlili: real buzilish qanday topildi va tozalandi

Eskirgan plagin orqali kirish, soxta plaginlar, yashirin papkalar va core fayllardagi bir qatorli yuklovchi. Real WordPress buzilishini bosqichma-bosqich tahlil qilamiz.

2026-yil 28-oktabr · 12 daq. o'qish
Mobil

Deep link va eksport qilingan komponentlar: Android va iOS ilovaning ochiq eshiklari

Eksport qilingan activity, service, receiver va provider'lar hamda deep link'lar ilovaga tashqaridan kirish yo'li. Ularni qanday tekshirish va yopish kerak.

2026-yil 27-oktabr · 10 daq. o'qish
Veb

SQL injection ORM davrida: zaiflik qayerda yashirinib qoladi

ORM SQL injection'dan to'liq himoya qilmaydi. whereRaw, orderBy, LIKE va xom so'rovlardagi xavfli joylar, ularni qanday tekshirish va Laravel hamda Node'da qanday tuzatish.

2026-yil 26-oktabr · 10 daq. o'qish
Server

Zaxira nusxa va tiklash: 3-2-1 qoidasidan tiklash testigacha

Zaxira nusxa faqat undan tiklay olsangiz foydali. 3-2-1 qoidasi, shifrlash, oflayn nusxa, pg_dump/mysqldump va muntazam tiklash testi bo'yicha amaliy qo'llanma.

2026-yil 25-oktabr · 10 daq. o'qish
Veb

API xavfsizligi: OWASP API Security Top 10 bo'yicha amaliy qo'llanma

Mobil ilova va SPA ortidagi API ekspertizada alohida tekshiriladi. OWASP API Top 10 (2023) ning har bir bandi, uni o'zingiz qanday tekshirish va Laravel hamda Node'da qanday yopish.

2026-yil 24-oktabr · 11 daq. o'qish
Veb

XSS React va Blade'da: framework himoyasi qayerda tugaydi

React va Blade ma'lumotni avtomatik ekranlaydi, lekin dangerouslySetInnerHTML, {!! !!}, javascript: havolalar va markdown bu himoyani chetlab o'tadi. Tekshirish va tuzatish yo'llari.

2026-yil 23-oktabr · 10 daq. o'qish
Veb

WordPress xavfsizligi: ekspertizadan oldin 12 bandli checklist

Yangilanishlar, plaginlar auditi, xmlrpc, fayl tahrirlashni o'chirish, uploads'da PHP taqiqi, adminlar, 2FA, zaxira, WAF va nazorat yig'indilari — buyruq va sozlamalar bilan.

2026-yil 21-oktabr · 11 daq. o'qish
Mobil

WebView xavfsizligi: JavaScript ko'priklari, fayl ruxsatlari va logout'da tozalash

WebView ilova ichidagi brauzer, lekin brauzer himoyalarisiz. JavaScript ko'priklari, fayl ruxsati, aralash kontent va URL allowlist'ni qanday to'g'ri sozlash kerak.

2026-yil 20-oktabr · 10 daq. o'qish
Server

Loglar va hodisaga javob: kichik jamoa uchun asoslar

Nimani loglash, qancha saqlash, loglarni markazlashtirish, ogohlantirishlar va hodisaning birinchi soatida nima qilish kerak. Dalillarni saqlash bo'yicha amaliy qo'llanma.

2026-yil 19-oktabr · 10 daq. o'qish
Veb

CSRF va SameSite cookie: foydalanuvchi nomidan yuborilgan so'rovlar

CSRF qanday ishlaydi, SameSite cookie undan qanchalik himoya qiladi, CSRF token, cookie va bearer token'li API'lar hamda CORS bilan bog'liqlik. Laravel va Node misollari bilan.

2026-yil 18-oktabr · 9 daq. o'qish
Veb

JWT va token xatolari: imzo, muddat, saqlash va bekor qilish

Token bilan ishlaydigan API'larda ekspertiza imzo algoritmi, kalit kuchi, muddat va logout'dan keyingi holatni tekshiradi. Keng tarqalgan xatolar va Laravel, Node, Flutter'da tuzatish.

2026-yil 16-oktabr · 10 daq. o'qish
Jarayon

Ekspertizaga topshirishdan oldingi checklist: veb va mobil uchun 20 band

Veb-sayt yoki mobil ilovani kiberxavfsizlik ekspertizasiga topshirishdan oldin tekshirib chiqish kerak bo'lgan 20 ta amaliy band — server, kod, ilova va hujjatlar.

2026-yil 15-oktabr · 9 daq. o'qish
Veb

Fayl yuklash zaifliklari va ulardan himoyalanish

Avatar yoki hujjat yuklash formasi serverda kod ishga tushirishga yo'l ochishi mumkin. Fayl turini tekshirish, saqlash joyi va nomlash bo'yicha amaliy qoidalar.

2026-yil 15-oktabr · 8 daq. o'qish
Server

Bog'liqliklar zaifliklari: composer, npm va ta'minot zanjiri xavfsizligi

Kodingiz toza bo'lsa ham, eskirgan kutubxona uni zaif qiladi. composer audit, npm audit, lock fayllar, Dependabot, tashlab qo'yilgan paketlar va SBOM — amaliy qo'llanma.

2026-yil 15-oktabr · 10 daq. o'qish
Jarayon

AI agent va inson-mutaxassis: Sipar tekshiruvi qanday ishlaydi

Arizadan tayyorlik hisobotigacha besh bosqich. AI agent nimani tezlashtiradi, mutaxassis nimani tekshiradi va ma'lumotlaringiz qanday himoyalanadi.

2026-yil 14-oktabr · 7 daq. o'qish
Mobil

APK va IPA ichidagi kalitlar va API manzillar: nega "yashirilgan" kalit sir emas

Mobil ilovaga qo'yilgan har qanday kalit va manzil jadx yoki strings bilan topiladi. Nimani ilovada saqlash mumkin, nimani faqat serverda, va obfuskatsiya qayergacha yordam beradi.

2026-yil 13-oktabr · 10 daq. o'qish
Veb

SSRF: server sizning nomingizdan so'rov yuborganda

URL bo'yicha rasm yuklash, webhook va havola preview'i serverni ichki tarmoqqa yo'naltirishi mumkin. SSRF qanday ishlaydi, 169.254.169.254, DNS rebinding, tekshirish va tuzatish.

2026-yil 12-oktabr · 10 daq. o'qish
Server

Ma'lumotlar bazasi xavfsizligi: portdan maydon shifrlashgacha

Baza internetga ochiq bo'lmasligi, minimal huquqli foydalanuvchilar, TLS, zaxira, maxfiy maydonlarni shifrlash va audit. PostgreSQL va MySQL uchun amaliy qo'llanma.

2026-yil 11-oktabr · 11 daq. o'qish
Veb

CORS noto'g'ri sozlanganda: Origin'ni aks ettirish, wildcard va null

CORS himoya emas, balki brauzerga beriladigan ruxsat. Noto'g'ri sozlansa, begona sayt foydalanuvchi nomidan API'ingizdan ma'lumot o'qiydi. curl bilan tekshirish va to'g'ri sozlash.

2026-yil 9-oktabr · 9 daq. o'qish
Mobil

Dinamik tahlil (Frida) va emulyatordan himoya: RASP nima

Frida bilan ilova funksiyalarini ish vaqtida o'zgartirish mumkin. Ekspertiza buni Android va iOS'da yuqori xavf deb belgilaydi. RASP nima va uni qanday joriy qilish kerak.

2026-yil 7-oktabr · 7 daq. o'qish
Mobil

OWASP Mobile Top 10 (2024): M1 dan M10 gacha va ekspertiza har birida nimani tekshiradi

OWASP Mobile Top 10 ning 2024 yilgi ro'yxati bo'yicha qo'llanma: har bir toifa nima, ekspert uni qanday tekshiradi va ilovangizni qanday tayyorlash kerak.

2026-yil 7-oktabr · 12 daq. o'qish
Veb

Xavfsizlik headerlari: CSP, HSTS va boshqalar — skanerlarda A+ ga qanday chiqish

Qaysi HTTP xavfsizlik headerlari kerak, har biri nimadan himoya qiladi va nginx'da ularni qanday to'g'ri qo'shish mumkin — tayyor konfiguratsiya bilan.

2026-yil 7-oktabr · 7 daq. o'qish
Server

nginx'ni xavfsiz sozlash: ekspertizadan oldin ko'rib chiqiladigan 10 ta band

Veb-server ilovadan oldin turadigan birinchi qatlam. Versiyani yashirish, default_server, TLS, limitlar, yashirin fayllar, PHP bajarilishini cheklash, rate limiting va loglar.

2026-yil 6-oktabr · 11 daq. o'qish
Jarayon

Kichik jamoa uchun xavfsiz dasturlash jarayoni

Yengil tahdid modellashtirish, kod review checklisti, sirlar gigiyenasi, CI tekshiruvlari, reliz checklisti va ekspertizadan oldingi pre-audit. 3-10 kishilik jamoa uchun amaliy tartib.

2026-yil 3-oktabr · 11 daq. o'qish
Veb

IDOR va avtorizatsiya xatolari: boshqa foydalanuvchi ma'lumotini ko'rish

URL'dagi raqamni o'zgartirib boshqa birovning hisobotini ochish mumkinmi? IDOR nima, uni qanday topish va Laravel'da policy bilan qanday yopish.

2026-yil 22-sentabr · 8 daq. o'qish
Veb

Login himoyasi: brute-force, rate limit, OTP va sessiya xavfsizligi

Kirish sahifasi — tizimning eshigi. Parol tanlashga qarshi cheklovlar, OTP kodlari, parolni tiklash va sessiyani to'g'ri boshqarish bo'yicha amaliy tekshiruvlar.

2026-yil 17-sentabr · 8 daq. o'qish
Jarayon

APK va IPA nazorat qiymatlari (MD5, SHA-1, SHA-256): nima uchun so'raladi va qanday olinadi

Mobil ekspertiza topshirilgan fayl uchun MD5, SHA-1 va SHA-256 qiymatlarini so'raydi. Ular nima, qanday olinadi va nega aynan topshirilgan fayldan olinishi kerak.

2026-yil 16-sentabr · 6 daq. o'qish
Mobil

Mobil ilovada maxfiy ma'lumotlarni xavfsiz saqlash: Keystore va Keychain

Token va shaxsiy ma'lumotlarni SharedPreferences yoki UserDefaults'da saqlash ekspertizada yuqori xavf deb topiladi. Android Keystore va iOS Keychain'dan to'g'ri foydalanish.

2026-yil 16-sentabr · 6 daq. o'qish
Veb

Host header injection: oddiy ko'rinadigan, lekin jiddiy zaiflik

Ilova Host yoki X-Forwarded-Host headeriga ishonsa, parol tiklash havolalari begona domenga yo'naltirilishi mumkin. Real holat, tekshirish usuli va Laravel hamda nginx'da tuzatish.

2026-yil 10-sentabr · 7 daq. o'qish
Server

Sirlar va kalitlarni boshqarish: .env, tokenlar va rotatsiya

.env fayli, API tokenlar, ma'lumotlar bazasi parollari va shifrlash kalitlarini qayerda saqlash, kim ko'rishi va qachon almashtirish kerakligi haqida amaliy qo'llanma.

2026-yil 27-avgust · 8 daq. o'qish
Server

Ochiq portlar va serverni qattiqlashtirish (hardening)

Internetdan ochiq FTP va boshqaruv paneli portlari ekspertizada tez topiladi. Keraksiz xizmatlarni yopish, firewall va panel allowlist bo'yicha amaliy qo'llanma.

2026-yil 26-avgust · 7 daq. o'qish
Mobil

SSL pinning: mobil ilovada sertifikatni mahkamlash

Ilova tizim ishongan har qanday sertifikatni qabul qilsa, trafikni ushlash mumkin. Android va Flutter'da pinning qanday sozlanadi va sertifikat almashuviga qanday tayyorlanadi.

2026-yil 26-avgust · 7 daq. o'qish
Mobil

iOS ilovani ekspertizaga tayyorlash: amaliy checklist

Jailbreak va dinamik tahlildan himoya, ATS, Keychain va IPA tayyorlash. iOS ilovani kiberxavfsizlik ekspertizasiga topshirishdan oldin nimalarni tekshirish kerak.

2026-yil 26-avgust · 8 daq. o'qish
Veb

OWASP Top 10 (2021) — dasturchilar uchun qisqa qo'llanma

OWASP Top 10 (2021) ning har bir toifasi oddiy tilda: nima bu, real loyihada qanday ko'rinadi va bugun nimani tekshirish mumkin.

2026-yil 19-avgust · 7 daq. o'qish
Veb

Laravel loyihasi xavfsizligi: ekspertizadan oldin 12 ta tekshiruv

APP_DEBUG, trustProxies, CSRF, mass assignment, policy'lar, rate limiting va boshqa 12 ta band — Laravel ilovasini ekspertizaga tayyorlash uchun amaliy ro'yxat.

2026-yil 6-avgust · 9 daq. o'qish
Mobil

Android: allowBackup, cleartext trafik va network security config

AndroidManifest'dagi uchta sozlama mobil ekspertizada tez-tez topilma bo'ladi. Zaxira nusxa, shifrlanmagan trafik va sertifikat ishonchini qanday to'g'ri sozlash.

2026-yil 5-avgust · 7 daq. o'qish
Veb

Ma'lumotlar ochiqlanishi: debug rejim, xato sahifalari va marshrutlar ro'yxati

Debug rejim, stack trace, server versiyasi va brauzerga chiqarilgan marshrutlar ro'yxati hujumchiga tizim xaritasini beradi. Ularni qanday yopish kerak.

2026-yil 5-avgust · 7 daq. o'qish
Mobil

Root va jailbreak aniqlash: nega kerak va qanday joriy qilinadi

Root yoki jailbreak qilingan qurilmada ilova himoyasi zaiflashadi. Ekspertiza buni nega yuqori xavf deb belgilaydi va aniqlashni qanday to'g'ri joriy qilish mumkin.

2026-yil 5-avgust · 6 daq. o'qish
Jarayon

Pre-audit: nima uchun ekspertizadan oldin o'zingiz tekshirishingiz kerak

Rasmiy ekspertizadan oldin mahsulotni o'zingiz tekshirish qayta topshirish aylanmalarini kamaytiradi. Pre-audit nima, u nimani qamraydi va undan nima kutish kerak.

2026-yil 29-iyul · 6 daq. o'qish
Mobil

Ilova yaxlitligi va obfuskatsiya: R8 va Dart --obfuscate

Mobil ekspertiza ilovani o'zgartirish va teskari muhandislikdan himoyani tekshiradi. R8, Dart obfuskatsiyasi va tamper tekshiruvini qanday sozlash kerakligi.

2026-yil 15-iyul · 7 daq. o'qish
Mobil

Mobil ilova ekspertizasida nimalar qattiq tekshiriladi: MASVS, MASWE va OWASP Mobile Top 10

Mobil ilova ekspertizasi qanday standartlarga tayanadi va amalda qaysi zaifliklar topiladi. O'z ilovamizda aniqlangan 9 ta topilma xavf darajasi bo'yicha.

2026-yil 14-iyul · 7 daq. o'qish
Veb

To'lov tasdiqlanmasdan "muvaffaqiyatli" sahifasi: biznes-mantiq zaifligi

Foydalanuvchi to'lov provayderidan qaytishi bilan "to'lov muvaffaqiyatli" ko'rsatish xato. Holatni faqat provayder callback'i tasdiqlaydi.

2026-yil 14-iyul · 7 daq. o'qish
Jarayon

Ekspertiza hisobotini qanday o'qish kerak: yuqori, o'rta, past va "ma'lumot uchun

Kiberxavfsizlik ekspertizasi hisobotidagi har bir topilma nimani anglatadi, darajalar qanday farqlanadi va tuzatishni qaysi tartibda boshlash kerak.

2026-yil 9-iyul · 7 daq. o'qish
Jarayon

Kiberxavfsizlik ekspertizasi nima va unga qanday tayyorlanish kerak

Rasmiy kiberxavfsizlik ekspertizasida nimalar tekshiriladi, hisobot qanday ko'rinadi va mahsulotni unga qanday qilib xotirjam tayyorlash mumkin.

2026-yil 8-iyul · 6 daq. o'qish