| Date | Title | Description |
| Sign up to see | Sign up to see | Sign up to see |
| Oct 6, 2026 | Публичный видеосервис на VPS: как не открыть дверь в домашнюю сеть | В первой статье цикла я разобрал C++-реализацию сервера видеоаналитики, а во второй — настройку системы через браузерный Viewer. Теперь переходим к эксплуатации: вынесем точку входа на VPS, поднимем HTTPS и покажем работающую систему через ... |
| Jun 5, 2026 | Meta's AI support agent bound recovery emails for anyone who asked. Your SOC never saw an alert. | Meta's AI support agent bound recovery emails to accounts for whoever asked, and SOCs never saw an alert. An authorized agent writes a log of legitimate transactions, so nothing in the detection stack fired. Attackers asked the bot to ... |
| Jun 5, 2026 | CSR для SSL: разбор частых ошибок в SAN и wildcard | Большинство проблем с SSL-сертификатами возникают не при настройке TLS, а на этапе создания CSR — неверные SAN, забытые поддомены, неправильные ожидания от wildcard.
Wildcard *.example.com покрывает только один уровень поддоменов и по станд... |
| Feb 15, 2026 | Как я написал Telegram-бота для SEO-аудита и не дал ему стать инструментом для атак | Вступление (до ката)
Проверить мета-теги на одной странице — дело пяти минут. Найти битые ссылки на сайте из 500 страниц — уже задача на вечер. А если нужно ещё проанализировать тексты на переоптимизацию, сравнить SEO-метрики с конкурентом ... |
| Dec 4, 2025 | Секреты на клиенте: как снизить вероятность утечки с нуля до почти нуля | Мобильное приложение всегда оказывается на устройстве пользователя — а значит, потенциально доступ к нему может быть и у злоумышленника. Это значительно повышает требования к безопасности выпускаемых продуктов, поскольку в коде приложений н... |
| Feb 7, 2025 | Сам себе «ИБшник»: как понять информационную безопасность с помощью Threagile | Работая в финансовой сфере много лет, я замечал, что иногда людям из разных профессий бывает довольно сложно понять друг друга. Например, по причине повышенных требований к сохранности данных, аналитикам и разработчикам часто приходится общ... |
| Dec 19, 2024 | Атаки на GitHub-разработчика в 2024 году | Тренд «Platform Engineering», предложенный аналитическими агентствами, стал интересен не только компаниям, которые трансформируют свои процессы, команды и инструменты согласно новым подходам. Этот тренд также интересует и злоумышленников, к... |
| Jun 7, 2024 | Nasty bug with very simple exploit hits PHP just in time for the weekend | Enlarge reader comments 35
A critical vulnerability in the PHP programming language can be trivially exploited to execute malicious code on Windows devices, security researchers warned as they urged those affected to take action before the ... |
| May 8, 2024 | Critical vulnerabilities in BIG-IP appliances leave big networks open to intrusion | Enlarge
Getty Images reader comments 36
Researchers on Wednesday reported critical vulnerabilities in a widely used networking appliance that leaves some of the world’s biggest networks open to intrusion.
The vulnerabilities reside in BIG-I... |
| May 3, 2024 | Безопасность веб-приложений для самых маленьких фронтов | С первого взгляда кажется, что безопасность - это тема devops-а или бэкенда. Но разделить зоны ответственности в этом вопросе очень сложно. В этой статье я хотел бы поговорить о моментах, связанных именно с фронтендом - т.е. об атаках, кото... |
| Feb 2, 2024 | Ладья на XSS: как я хакнул chess.com детским эксплойтом | Шахматы – это одно из многих моих хобби, за которыми я провожу свободное время, когда не ковыряюсь с какой-нибудь электроникой. При этом играю я так себе, и когда мне изрядно надоело проигрывать, я решил заняться тем, что у меня получается ... |
| Dec 25, 2023 | Загрязненный — значит опасный: про уязвимость Prototype Pollution | Prototype Pollution (CVE-2023-45811, CVE-2023-38894, CVE-2019-10744) — не новая брешь, вы уже наверняка читали про нее и на Хабре, и на PortSwigger, и даже в научных журналах, но есть нюанс. Несмотря на большое количество публикаций, некото... |
| Nov 12, 2023 | DevSecOps не рассказывает сказки | Кибер-джин уже не сказка
Никогда не доверяйте компьютеру, который Вы не можете выбросить в окно.
Стив Возняк
PS. От автора: выброшенному компьютеру тоже не стоит доверять. Введение или часть, которую можно пропустить, если знакомы с DevSecO... |
| Oct 5, 2023 | Совет по безопасности: увеличьте количество проходов bcrypt | Приветствую! На этой неделе мы отправимся в интересный и сложный мир механизм хэширования паролей, и рассмотрим очень простое изменение, которое Вы должны сделать в своих приложениях для повышения безопасности, основываясь на двух PR, котор... |
| Sep 16, 2023 | Как стать гуру или WiFi Cheat Sheet | Помните, что использование полученных знаний и навыков должно быть ограничено законными и этическими рамками, и вмешательство в чужие сети без разрешения является неприемлемым и незаконным действием.
Как это принято у новичков на habr-е - &... |
| Sep 7, 2023 | Mobile App Security: Best Practices to Follow | Mobile App Security is a critical topic in today’s digital world. The rise of mobile apps has revolutionized the way we live, work, and play. However, this ease of access can also bring risks.
One primary concern for mobile app developers a... |
| Jul 19, 2023 | Внедряем Gitleaks для анализа pull request на наличие секретов в Azure DevOps Server | Вступление
Cтатья будет полезна разработчикам и инженерам по ИБ, желающим повысить уровень безопасности приложений за счет внедрения проверок, запрещающих вносить секреты в открытом виде в исходный код.
Автор:
Голяков Сергей
DevSecOps, в ин... |
| Jul 3, 2023 | [HTTP API & REST] Работа с ошибками в HTTP API. Заключительные положения и общие рекомендации | Это главы 39 и 40 раздела «HTTP API & REST» моей книги «API». Второе издание книги будет содержать три новых раздела: «Паттерны API», «HTTP API и REST», «SDK и UI‑библиотеки». Если эта работа была для вас полезна, пожалуйста, оцените кн... |
| May 16, 2023 | Шпаргалка по сегментации от OWASP | Сообщество OWASP опубликовало мои требования по сегментации приложений.
Шпаргалка будет полезна командам разработки и специалистам по безопасности при формировании требований к количеству сетевых сегментов, сетевых доступов и сетевому взаим... |
| May 4, 2023 | Что такое URL | В прошлом году Дэниэл Стенберг, создатель curl, написал пост об одном забавном URL:
http://http://http://@http://http://?http://#http://
Пост интересен, рекомендую его прочитать. Автор объясняет, как устроен URL, и как различные системы его... |
| Apr 25, 2023 | XSS атакует! Не краткий обзор где и как искать уязвимости | Казалось бы, XSS уязвимостям уже 100 лет в обед: написано огромное количество материала на эту тему, браузеры и инструменты которые мы используем тоже развиваются и добавляются новые уровни защиты. Но тема не перестает быть актуальной, ведь... |
| Apr 6, 2023 | Меньше багов богу разработки: плюсы, минусы и нюансы имплементации подхода Secure by design | По дефолту разработчики, стремясь достичь безопасности приложения, идут операционным путем: пишут тесты и делают ревью, чтобы устранять уязвимости уже по факту их выявления. Однако существует подход, в рамках которого классический комплекс ... |
| Feb 27, 2023 | 12 неочевидных правил проектирования REST API | Раскрываем 12 кейсов проектирования спецификации REST API из практики red_mad_robot, которые помогут сэкономить время для разработки. А также объясняем, почему стоит следовать подходу contract first — писать спецификацию прежде кода.
Статей... |
| Jan 25, 2023 | Не пытайтесь обезопасить ввод. Экранируйте вывод | Время от времени мы слышим в кругу разработчиков разговоры о “санации пользовательского ввода” с целью предотвращения атак с использованием межсайтового скриптинга. Эта техника, хоть и придумана из лучших побуждений, приводит к ложному чувс... |
| Jan 23, 2023 | Все еще работаете с access token на клиенте? Тогда мы идем к вам | Организация работы с токенами в клиентской части веб-приложений - тема, которая на слуху давно и многократно обсуждалась, однако далеко не для всех современных веб-приложений все еще оцениваются риски в этой части, что приводит к уязвимым р... |
| Dec 22, 2022 | LastPass users: Your info and password vault data are now in hackers’ hands | Enlarge
Getty Images reader comments 338 with 0 posters participating
Share this story
Share on Facebook
Share on Twitter
Share on Reddit
LastPass, one of the leading password managers, said that hackers obtained a wealth of personal inform... |
| Dec 3, 2022 | OWASP Web Security Testing Guide: как улучшить защищённость web-приложений | Open Web Application Security Project (OWASP) — одна из самых известных организаций, целью которой является улучшение защищённости приложений. Большинство специалистов в области информационной безопасности знакомы с OWASP Top Ten. У OWASP е... |
| Jul 28, 2022 | Перевод стандарта ASVS 4.0. Часть 2 | Говорят, обещанного три года ждут, но не прошло и двух, с тех пор как здесь появилась первая часть перевода OWASP Application Security Verification Standard 4.0, как я решил доделать начатое. В первой части помимо раздела об архитектуре был... |
| Jul 28, 2022 | Перевод стандарта OWASP ASVS 4.0. Часть 2 | Говорят, обещанного три года ждут, но не прошло и двух с появления первой части, как я решил не ждать продолжения, а доперевести OWASP Application Security Verification Standard самостоятельно. В первой части помимо раздела об архитектуре б... |
| Jul 4, 2022 | О проблемах информационной безопасности и IT образования на примере HTML Academy
Часть первая, техническая.
Часть вторая, бюрократическая.
Рекомендации | Меня всегда очень интересовала довольно грустная ситуация с языком РНР. Из неказистого шаблонного движка для веб-страничек, к середине 2010-х он вырос в мощный, современный и аккуратный язык программирования… в то время как практически все ... |
| Jun 9, 2022 | Как найти и устранить IDOR — ликбез по уязвимости для пентестеров и веб-разработчиков | 99% того, что я делаю — использование ошибок, которых можно избежать. Сегодня я расскажу про IDOR — одну из самых распространенных и простых в использовании веб-уязвимостей. С ее помощью можно посмотреть чужие фотографии в социальной сети и... |
| May 26, 2022 | Как бы вы реализовали форму аутентификации на сайте? Вопрос для собеседования на Junior/Middle/Senior? | В свете исследования "Веб-разработчики пишут небезопасный код по умолчанию" мне подумалось, что именно так может звучать один из базовых вопросов на собеседовании с точки зрения проверки знания web-разработчика от уровня Junior до... |
| Dec 22, 2021 | Inside Adyen: The Log4j Saga | It has been quite a week for the Java Ecosystem and the Open Source communities: on December 9, 2021, a critical vulnerability was discovered in the popular Java Logging framework Log4j (version 2).
In this blog post I am going to talk abou... |
| Oct 7, 2021 | Frontend Security: о чем вы хотели бы забыть, но не сможете | Какие атаки на клиентскую часть веб-ресурсов вы знаете? XSS, CSRF, HTTP Response Splitting, Clickjacking, CSHM, атаки на CORS, следствия других ошибок программистов? В среднем разработчик вспоминает не половину, и даже не треть. Разнообрази... |
| Sep 30, 2021 | Фрагменты кода со StackOverflow, которые разработчики часто копируют вместе с ошибками | Инспекция кода с прицелом на безопасность – то, чем я занимаюсь изо дня в день уже тринадцать с половиной лет. За это время я просмотрел несколько сотен кодовых баз и не раз имел дело с криптографическим кодом. В большинстве случаев в крипт... |
| Jan 26, 2021 | Buzzy New Social Media Site Pillowfort Is Riddled With Basic Bugs | Hacking. Disinformation. Surveillance. CYBER is Motherboard's podcast and reporting on the dark underbelly of the internet.
See More →
A new highly anticipated social media website is full of "silly" and "old-school"... |
| Sep 18, 2019 | Cross-Site Request Forgery: How to protect your app from CSRF attacks | The rise of cyber-attacks in the last few years is stunning. The list of targeted organizations includes big name retailers like Macy’s, social sites like Twitter, banks, hospitals, utility companies, governments, military installations… no... |
| Атаки на GraphQL | В ходе пентеста веб-приложений специалист по тестированию на проникновение достаточно часто сталкивается с необходимостью тестировать API. Как правило это REST API, про тестирование которого написано уже много. Однако все чаще и чаще встреч... |
