Web Security Testing Starter Kit

[Lenny_The_Rabbit]

Спасибо за статью!

[4lemon]

Да не за что:)

[ARG89]

Нет, за статью!:)

[EminH]

Вопрос по XSS — большинство браузеров такие атаки успешно блокирует. Есть ли техники обхода анти-XSS механизмов браузеров?

[4lemon]

В общем случае — есть. В частности — зависит от версии и типа браузера. XSS Auditor bypass поищите в поисковике — статей много.

[javs]

Я правильно понял, что на примере с аватарой вы, по сути, атаковали собственную компанию изнутри? Я понимаю, что если писать код во всех отношениях грамотно, то подобной ситуации возникнуть не должно и все же, в данном случае это больше вопрос лояльности сотрудника, чем вопрос уязвимости кода. Вы абсолютно справедливо заметили, что главный источник безопасности — это пользователи системы, но должен быть какой-то разумный подход к внутренней безопасности, потому что безопасность и удобство являются антагонистами. :)

[4lemon]

В данном случает — это учебный стенд для сотрудников, на котором мы и показываем как работает эта уязвимость. Он изолирован от основной инфраструктуры. Но да, на нём мы и показываем, что «вот если такое будет в реальном веб-приложении, то через этот сервер можно попасть вот сюда и сюда и сюда».

[javs]

Тогда понятно, я просто отметил, что требования к безопасности системы извне и изнутри обычно бывают разные. Под правильным кодом, я как раз подразумевал то, что проверка типа файла являет необходимым условием, для безопасности. Если файл не является изображением, то он не должен приниматься системой, отвечающей за обработку графической аватары.