アレクサンダーコレスニコフ（国際企業のウイルスアナリスト）は、マスタークラス「脆弱性を理解するために必要なテクノロジーの基礎」にあなたを招待します。OWASP TOP 10分類」、プロコース内で開催されます。アレクサンダーはまた、初心者のバグハンター向けの記事を共有しました。そこでは、HackerOneプラットフォームによって発見された2020年の脆弱性トップ10をレビューしています。
アイデアは、このトップの脆弱性を研究するための実験台を準備することです。脆弱性のあるサンプルアプリケーションを起動して見つける方法については、こちらをご覧ください。タスクは、アプリケーションに埋め込まれている脆弱性を悪用する前に解決され、最後のステップは読者に任されます。
HackerOneによるトップ10の脆弱性
— OWASP TOP 10. , OWASP TOP 10 2017 . . , :
OWASP , HackerOne . HackerOne :
Injection
Broken Authentication
Sensitive Data Exposure
Security Misconfiguration
, 3 .
Injection
Injection — , . . , python .
, . HTTP BurpSuite Community, :
admin — «Login».
, . , . , . . «source.zip». , , /, .
, :
, - Flask. , 2 - debug release. debug - 5000. , :
, . , . .
, :
.\views\user.py
, . , @login_required , - . , /admin/system/change_name/. , :
Lua Redis. , . Redis. python — pickle. .
Security Misconfiguration
, , . Security misconfiguration — , ..
, , file:///etc/passwd. . :
, , . , . file:///proc/self/cmdline :
uwsgi- . 8000. - «/usr/src/rwctf». uwsgi, .
Broken Authentication, Sensitive Data Exposure
Broken Authentication - , . Sensitive Data Exposure - , . , ..
, . , . dirbuster, , . uploads, HTTP 403. c . : /uploads../:
, . . . . .
, -. - .
Disclamer: .
. ? « -», - « ̆, ̆. OWASP TOP 10».