Что делать в праздничные дни? Просто отдыхать и смотреть сериалы — скучно 🥱 Другое дело — совместить приятное с полезным и посвятить свободное время любимой сфере.

Именно поэтому наш эксперт Ярослав Бабин, руководитель отдела анализа защищенности приложений PT SWARM, подготовил для вас подборку материалов о практической безопасности, уязвимостях и атаках на веб-приложения.

В Positive Technologies Ярослав занимается аудитом финансовых и веб-приложений, а также АТМ (анализом защищенности банкоматов) и OSINT (разведкой по открытым источникам). Специализируется на изучении методов социальной инженерии, знает все о проблемах и уязвимостях онлайн-банков. Отмечен в залах славы Adobe, Яндекс, Mail.Ru и других известных компаний как ведущий исследователь. Один из организаторов кибербитвы The Standoff и форума по практической безопасности Positive Hack Days. В прошлом — багхантер в Яндекс, Mail.Ru, Mozilla и участник CTF-команды Antichat.

Читайте, слушайте, развивайтесь!

📝 Форумы и блоги: The SQL Injection Knowledge Base, RDot, ANTICHAT, CTF.Antichat, WebSec, Reverse Engineering

🔉 Полезные подкасты про OSINT и практическую безопасность: The Privacy, Security, and OSINT Show, Hack me, если сможешь, Мимокрокодил

📖 Книга месяца: Dafydd Stuttard. Marcus Pinto. The Web Application. Hacker's Handbook

🥼 Курсы и лабы по веб-безопасности: Hacker101, WebSecurityAcademy, PEN-200, Hack The Box, Root Me

📚 Руководства по тестированию: OWASP Mobile Security Testing Guide, OWASP Web Security Testing Guide

🕸 Полезные Telegram-каналы: Кавычка, YAH

🐦 За кем следить в Twitter: Timur Yunusov, James Kettle, PT SWARM, Nicolas Grégoire, Orange Tsai, LiveOverflow, wvu, Sergey Bobrov, James Forshaw, Frans Rosén, rvrsh3ll, Ben Hawkes, Maxim Goryachy, Michael Stepankin

👥 Встречи с единомышленниками: 2600, группы по DEFCON в Москве и других городах

​​Awesome list of secrets in environment variables

Коллекция секретов (паролей, ключей API и токенов), которые обычно хранятся в переменных среды.

https://github.com/Puliczek/awesome-list-of-secrets-in-environment-variables

#infosec #pentesting #soft #api #password #tokens

​Скрипт-кидди под ударом

Привет, форумчане! С Новым годом всех! В конце прошлого года, до того, как наш Казахстан начали громить и изолировали нас от интернета, наткнулся на интереснейший метод "обмана уязвимых слоев хакерского сообщества" - Скрипт-кидди (Script kiddie), о чем попробую сегодня Вам поведать.

📌 Читать статью: https://codeby.net/threads/skript-kiddi-pod-udarom.79298/

📝 Школа Кодебай |🍿Наш ютуб |👾 Наш дискорд

#vpn #injection

🛴 HTTP headers - resources and links 🛴


Understanding HTTP Basics
http://www.steves-internet-guide.com/http-basics/

Basics of HTTP (Very helpful resource)
https://developer.mozilla.org/en-US/docs/Web/HTTP/Basics_of_HTTP

HTTP Headers for Dummies
https://code.tutsplus.com/tutorials/http-headers-for-dummies--net-8039

Identifying resources on the Web
https://developer.mozilla.org/en-US/docs/Web/HTTP/Basics_of_HTTP/Identifying_resources_on_the_Web

Content negotiation
https://developer.mozilla.org/en-US/docs/Web/HTTP/Content_negotiation

Server-side website programming first steps
https://developer.mozilla.org/en-US/docs/Learn/Server-side/First_steps

●▬۩❁ @geeekgirls ❁۩▬●

JavaScript Prototype Pollution
https://youtu.be/J3MIOIqvV8w
https://youtu.be/yDmOXhr8wmw

White House hosts tech summit to discuss open source security after Log4j
In the wake of the Log4j incident, business leaders from Apple, Google, Amazon, Meta, IBM, Microsoft, Oracle, GitHub, the Linux Open Source Foundation and the Apache Software Foundation met at the White House last week to discuss the security of open source software, which was deemed a “key national security concern” by national security advisor Jake Sullivan.