Анна Васильева - Поиск уязвимостей IDOR (BOLA)
HTML-код
- Опубликовано: 3 окт 2024
- Ближайшая конференция - Heisenbug 2024 Autumn, 10 октября (Online), 17-18 октября (Санкт-Петербург + трансляция).
Подробности и билеты: jrg.su/Tq0vcu
- Ближайшая конференция: Heisenbug 2023 Autumn - 10-11 октября (online), 15-16 октября (offline)
Подробности и билеты: bit.ly/3qd3swV
- -
Дополнительные навыки в нагрузочном тестировании, производительности, UX, безопасности, автоматизации и так далее помогают QA эффективнее повышать качество в своем продукте. QA, имея знания в тестировании безопасности, может быть евангелистом безопасности в своей команде (Security Champion).
С чего обычно начинают знакомиться с тестированием безопасности - пентестом? Пробуют перебрать пароли от какого-либо сервиса (брутфорс). Знакомятся с OWASP Top 10 и начинают искать XSS, добавляя в поля img src=x onerror=alert('XSS');.
Но начинать, по мнению спикера, лучше всего с IDOR (BOLA). Эта уязвимость очень простая и часто встречается в различных сервисах.
На мастер-классе вы научитесь искать IDOR. Он будет полезен всем, кто хочет начать тестировать безопасность в своем продукте и вместе поискать IDOR с помощью инструмента Burp Suite.
Для участия в мастер-классе необходимо:
Поставить Burp Suite Community: portswigger.ne...
Настроить проксирование Burp: portswigger.ne...
Установить расширение Autorize:
- Скачать jython standalon: www.jython.org...
- На вкладке Extender/Options добавить его в Python Enviroment
- Перейти на вкладку Extender/BApp Store - выбрать слева Autorize, справа нажать install.
#security #pentest #idor #owasp_top_10
Большое спасибо 😊😊😊
Спасибо большое за видео!Анна очень понятно рассказала и я узнал много интересного
Благодарю
28:30 один рубль на одну копейку)?
Анна а ты на хакеруане нашла хоть 1 уязвимость за которую заплатили?
Начало 3:29
Фактически, начало в 5:58
Начало теории в 27:03
Очевидно, что найти все уязвимости так невозможно и все равно долго, нужно решать вопрос на уровне проектирования
Хорошая аналитика исключает тестирование? Нет? - в безопасности так же. Поэтому и нужны пентесты