Маленькие ошибки в настройке формы восстановления пароля со стороны разработчиков могут стать ключом ко взлому всей компании.

Роман Насибуллин, специалист анализа защищённости приложений Singleton Security, рассказывает в статье на «Хакере», как использовать формы восстановления пароля при пентестах и как защититься от подобных атак.

Внутри:
- Подмена Host-заголовков (включая X-Forwarded-Host и дублирование).
- Фишинговые ссылки через внедрение HTML (dangling markup).
- Уязвимые параметры (baseurl, return_url) и Mass Assignment.
- Предсказуемые токены и атака «сэндвич».
- Ошибки проверки токенов (LIKE, частичное совпадение).
- Слабые генераторы токенов.
- Брутфорс OTP и отсутствие лимитов.
- Type Jungling из-за нестрогих сравнений.

Читать материал:
https://xakep.ru/2025/11/20/bad-forms/

Мы продолжаем программу стажировок и ищем начинающих и талантливых пентестеров, разработчиков и ML/Data сайентистов 🧙🏻‍♂️

Все подробности на нашем сайте по ссылке: https://internship.singleton-security.ru/

А тут для убедительности поделимся отзывом действующего стажёра. До Singleton Security у него был опыт стажировки в сфере Web3.0 безопасности и многочисленные решенные лабы на HackTheBox и Portswigger.

Рассказывает Saoidama:

За чуть более чем 2 месяца под присмотром наставника поучаствовал примерно в 10 проектах, в том числе в двух Red Team. Несмотря на то, что у меня был ограниченный доступ, получил тонну практического опыта и узнал то, чего не рассказывают на всяких курсах и обучающих платформах. Познакомился с противодействием, маскировкой, посмотрел на атаки со стороны синей команды. А также приземлял знания на практике, погружался в российские реалии и изучал особенности работы с отечественными CMS.

Расширил мышление от «сделал лабу — конец» до полноценного чейна уязвимостей, чтоб они работали друг на друга, а не были в вакууме. Важной частью обучения также была разведка — то, чему практически не учат в лабораторных условиях, когда тебе самому надо собирать скоуп и его верифицировать, что тоже крайне интересно. Туда же относится и взаимодействие с командой: один нашел, другой домыслил, третий докрутил, что невероятно круто.

Благодаря еженедельным созвонам познакомился и с внутренней кухней бизнеса немного, и как работают процессы на уровнях восприятия выше, нежели у обычного пентестера. Тоже расширение сознания.

Ещё научился лучше структурировать свою работу — когда в проекте 300+ доменов, а таких проектов 2-3, то систематизация напрашивается сама по себе. Организация собственных заметок, ведение рабдока, построение собственного покрытия и так далее. А также умение донести свои мысли до других, и в той же мере — способность выслушать и понять коллег.

Записаться на стажировку можно здесь

Мы ищем того самого системного админа, который держит инфраструктуру в порядке так же уверенно, как другие держат кофе по утрам.
Если обожаешь порядок в системах, умеешь предугадывать проблемы и закрывать их ещё до того, как они появились — залетай!

🛠 Что будешь делать:
Рулить серверами и сайтами на WordPress и Bitrix
Работать с облаками (да, Яндекс.Cloud, привет)
Поддерживать и развивать IT-инфраструктуру
Настраивать и управлять сетевым оборудованием
Обеспечивать информационную безопасность на уровне инфраструктуры
Помогать коллегам: рабочие станции, доступы, ПО — ты знаешь этот квест

🎯 Кого ищем:
Сисадмина с опытом 1–2+ лет
Человека, который уверен в Windows / Linux / WordPress / Bitrix
Разбирается в сетях, протоколах и базовой ИБ
Может объяснить сложноe простыми словами
И просто любит, когда инфраструктура работает!

🚀 Что даем:
Оформление под тебя: СЗ/ГПХ/ТД(возможно совмещение)
Гибридный формат: удалёнка/офис 1–2 раза в неделю при необходимости
Дружная команда и поддержка на старте

Если чувствуешь, что это твоя роль — отправляй резюме на [v.safiulina@singleton-security.ru / @valeriyasafiullina] или пиши в личку канала. Будем рады познакомиться!

Долго выбирали мерч для команды, но кажется вот идеальный вариант под новогоднее настроение внутрянщиков 🎄