Анна Васильева - Поиск уязвимостей IDOR (BOLA)

Ближайшая конференция - Heisenbug 2025 Spring, 5-6 апреля (Москва + онлайн-трансляция).
Подробности и билеты: jrg.su/Tq0vcu
- Ближайшая конференция: Heisenbug 2023 Autumn - 10-11 октября (online), 15-16 октября (offline)
Подробности и билеты: bit.ly/3qd3swV
- -
Дополнительные навыки в нагрузочном тестировании, производительности, UX, безопасности, автоматизации и так далее помогают QA эффективнее повышать качество в своем продукте. QA, имея знания в тестировании безопасности, может быть евангелистом безопасности в своей команде (Security Champion).
С чего обычно начинают знакомиться с тестированием безопасности - пентестом? Пробуют перебрать пароли от какого-либо сервиса (брутфорс). Знакомятся с OWASP Top 10 и начинают искать XSS, добавляя в поля img src=x onerror=alert('XSS');.
Но начинать, по мнению спикера, лучше всего с IDOR (BOLA). Эта уязвимость очень простая и часто встречается в различных сервисах.
На мастер-классе вы научитесь искать IDOR. Он будет полезен всем, кто хочет начать тестировать безопасность в своем продукте и вместе поискать IDOR с помощью инструмента Burp Suite.
Для участия в мастер-классе необходимо:
Поставить Burp Suite Community: portswigger.ne...
Настроить проксирование Burp: portswigger.ne...
Установить расширение Autorize:
- Скачать jython standalon: www.jython.org...
- На вкладке Extender/Options добавить его в Python Enviroment
- Перейти на вкладку Extender/BApp Store - выбрать слева Autorize, справа нажать install.
#security #pentest #idor #owasp_top_10

[@ЭдуардГибадуллин-ц5к]

Большое спасибо 😊😊😊

[@ЖекаДмитренко-ж1б]

Благодарю

[@delvig6699]

Спасибо большое за видео!Анна очень понятно рассказала и я узнал много интересного

[@Котики-с9б9к]

28:30 один рубль на одну копейку)?

[@БорисМарьин-ш7ж]

Начало 3:29

[@БорисМарьин-ш7ж]

Фактически, начало в 5:58

[@БорисМарьин-ш7ж]

Начало теории в 27:03

[@Bob-vv4zw]

Анна а ты на хакеруане нашла хоть 1 уязвимость за которую заплатили?

[@bananasba]

Очевидно, что найти все уязвимости так невозможно и все равно долго, нужно решать вопрос на уровне проектирования

[@annavasilyeva3076]

Хорошая аналитика исключает тестирование? Нет? - в безопасности так же. Поэтому и нужны пентесты