Блог
Что требует экспертиза, где чаще всего ошибаются и как это закрыть — из нашего опыта.
Центр кибербезопасности предупредил о двух уязвимостях в PHP. Какие версии исправлены, как проверить сервер и какие ловушки встречаются на реальных серверах.
Вход через устаревший плагин, фальшивые плагины, скрытые папки и однострочный загрузчик в файлах ядра. Пошаговый разбор реального взлома WordPress.
Экспортированные activity, service, receiver и provider, а также deep link — это вход в приложение извне. Как их проверить и закрыть.
ORM не защищает от SQL-инъекций полностью. Опасные места в whereRaw, orderBy, LIKE и сырых запросах, как их проверить и как исправить в Laravel и Node.
Резервная копия полезна, только если из неё можно восстановиться. Правило 3-2-1, шифрование, офлайн-копия, pg_dump/mysqldump и регулярный тест восстановления.
API за мобильным приложением и SPA на экспертизе проверяют отдельно. Каждый пункт OWASP API Top 10 (2023), как проверить его самостоятельно и как закрыть в Laravel и Node.
React и Blade экранируют данные автоматически, но dangerouslySetInnerHTML, {!! !!}, ссылки javascript: и markdown обходят эту защиту. Как проверить и как исправить.
Обновления, аудит плагинов, xmlrpc, запрет редактирования файлов, запрет PHP в uploads, админы, 2FA, бэкапы, WAF и контрольные суммы — с командами и настройками.
WebView — браузер внутри приложения, но без защит браузера. Как правильно настроить JavaScript-мосты, доступ к файлам, смешанный контент и allowlist URL.
Что логировать, сколько хранить, централизация логов, оповещения и что делать в первый час инцидента. Практическое руководство по сохранению доказательств.
Как работает CSRF, насколько от него защищает SameSite, CSRF-токены, API с cookie и bearer-токенами и связь с CORS. С примерами для Laravel и Node.
В API с токенами экспертиза проверяет алгоритм подписи, стойкость ключа, срок жизни и состояние после выхода. Типичные ошибки и их исправление в Laravel, Node и Flutter.
20 практических пунктов, которые стоит проверить перед подачей сайта или мобильного приложения на экспертизу по кибербезопасности — сервер, код, приложение и документы.
Форма загрузки аватара или документа может открыть путь к выполнению кода на сервере. Практические правила: проверка типа, место хранения и именование файлов.
Даже если ваш код чист, устаревшая библиотека делает его уязвимым. composer audit, npm audit, lock-файлы, Dependabot, заброшенные пакеты и SBOM — практическое руководство.
Пять этапов от заявки до отчёта о готовности. Что ускоряет ИИ-агент, что проверяет специалист и как защищены ваши данные.
Любой ключ и адрес в мобильном приложении находится через jadx или strings. Что можно хранить в приложении, что только на сервере и где предел обфускации.
Загрузка картинки по URL, вебхуки и превью ссылок могут направить сервер во внутреннюю сеть. Как работает SSRF, 169.254.169.254, DNS rebinding, проверка и исправление.
База не должна быть открыта в интернет; пользователи с минимальными правами, TLS, резервные копии, шифрование чувствительных полей и аудит. Практика для PostgreSQL и MySQL.
CORS — не защита, а разрешение для браузера. При ошибке чужой сайт читает данные из вашего API от имени пользователя. Проверка через curl и правильная настройка.
С помощью Frida можно менять функции приложения во время работы. Экспертиза отмечает это как высокий риск на Android и iOS. Что такое RASP и как его внедрить.
Разбор списка OWASP Mobile Top 10 2024 года: что означает каждая категория, как эксперт её проверяет и как подготовить приложение.
Какие HTTP-заголовки безопасности нужны, от чего защищает каждый и как правильно добавить их в nginx — с готовой конфигурацией.
Веб-сервер — первый слой перед приложением. Скрытие версии, default_server, TLS, лимиты, скрытые файлы, ограничение выполнения PHP, rate limiting и логи.
Лёгкое моделирование угроз, чек-лист code review, гигиена секретов, проверки в CI, чек-лист релиза и пре-аудит перед экспертизой. Практический порядок для команды 3-10 человек.
Можно ли открыть чужой отчёт, поменяв число в URL? Что такое IDOR, как его найти и как закрыть с помощью policy в Laravel.
Страница входа — это дверь в систему. Практические проверки: ограничение подбора паролей, OTP-коды, сброс пароля и правильное управление сессией.
Мобильная экспертиза запрашивает MD5, SHA-1 и SHA-256 для сданного файла. Что это такое, как их получить и почему их нужно снимать именно со сдаваемого файла.
Хранение токенов и персональных данных в SharedPreferences или UserDefaults экспертиза считает высоким риском. Как правильно использовать Android Keystore и iOS Keychain.
Если приложение доверяет заголовку Host или X-Forwarded-Host, ссылки сброса пароля могут вести на чужой домен. Реальный случай, способ проверки и исправление в Laravel и nginx.
Где хранить .env, API-токены, пароли от базы и ключи шифрования, кто должен иметь к ним доступ и когда их менять — практическое руководство.
Открытые в интернет порты FTP и панели управления быстро находятся на экспертизе. Практическое руководство: отключение лишних служб, firewall и allowlist для панели.
Если приложение принимает любой сертификат, которому доверяет система, трафик можно перехватить. Как настроить pinning на Android и во Flutter и подготовиться к смене сертификата.
Защита от jailbreak и динамического анализа, ATS, Keychain и подготовка IPA. Что проверить перед тем, как сдавать iOS-приложение на экспертизу по кибербезопасности.
Каждая категория OWASP Top 10 (2021) простыми словами: что это, как выглядит в реальном проекте и что можно проверить уже сегодня.
APP_DEBUG, trustProxies, CSRF, mass assignment, политики, rate limiting и ещё 12 пунктов — практический список для подготовки Laravel-приложения к экспертизе.
Три настройки в AndroidManifest часто становятся находками мобильной экспертизы. Как правильно настроить резервное копирование, незашифрованный трафик и доверие к сертификатам.
Режим отладки, stack trace, версия сервера и выданный в браузер список маршрутов дают атакующему карту системы. Как это закрыть.
На устройстве с root или jailbreak защита приложения ослабевает. Почему экспертиза считает это высоким риском и как правильно внедрить обнаружение.
Самостоятельная проверка до официальной экспертизы сокращает число повторных подач. Что такое pre-audit, что он охватывает и чего от него ждать.
Мобильная экспертиза проверяет защиту приложения от модификации и реверс-инжиниринга. Как настроить R8, обфускацию Dart и проверку целостности.
На какие стандарты опирается экспертиза мобильного приложения и какие уязвимости находят на практике. 9 находок в нашем собственном приложении по уровню риска.
Показывать «оплата успешна», как только пользователь вернулся от платёжного провайдера, — ошибка. Статус подтверждает только callback провайдера.
Что означает каждая находка в отчёте экспертизы по кибербезопасности, чем отличаются уровни и в каком порядке браться за исправления.
Что проверяют на официальной экспертизе кибербезопасности, как выглядит отчёт и как спокойно подготовить к ней продукт.
