📌 Web-хакерство под капотом

В посте топ-5 материалов, которые реально помогут прокачать понимание на собесах:

1️⃣ PortSwigger Academy — HTTP Request Smuggling

➡️ Теория + интерактивные лабки от авторов Burp Suite.

2️⃣ HTTP Request Smuggling Explained

➡️ Видео от создателя техники, разбор с примерами.

3️⃣ JWT Vulnerabilities: Ultimate Guide

➡️ Практика по JWT: none-alg, alg confusion, weak secrets и не только.

4️⃣ JWT vulnerabilities, common attacks and best practices

➡️ Обзор типичных ошибок + best practices по защите.

5️⃣ How to: CORS Part 3: By-Pass CORS

➡️ Как реально эксплуатируются дыры в CORS.

🐸 Библиотека хакера

#свежак

🕳 SSRF через SVG-upload

Приложение принимает только аватарки в формате .svg. Фильтр проверяет расширение и MIME, но не валидирует содержимое. Аватарки доступны по /uploads/<user>.svg.

❓ Как можно использовать это, чтобы:

— Сделать SSRF-запрос к https://localhost:8080/admin
— Достать данные с AWS Metadata API

👉 Варианты ответов на картинке, голосуйте реакцией ✅

🐸 Библиотека хакера

#междусобойчик

🤪 Топ-вакансий для хакеров за неделю

Системный аналитик — офис (Москва)

Инженер по ИБ — удаленно/гибрид (Иннополис, Москва, Новосибирск)

Руководитель отдела ИБ — до 250 000 ₽, офис (Москва)

Инженер по безопасности рантайма — от 430 000 ₽, офис (Москва)

Web Pentester / Red Team Web Specialist — от 300 000 до 450 000 ₽, удаленно (Москва)

➡️ Еще больше топовых вакансий — в нашем канале InfoSec jobs

🐸 Библиотека хакера

#свежак