Alexander Kolesnikov (Virenanalyst bei einem internationalen Unternehmen) lädt Sie in die Meisterklasse „Grundlagen der Technologien ein, die zum Verständnis von Sicherheitslücken erforderlich sind. OWASP TOP 10 Klassifizierung “ , die im Rahmen des Profikurses stattfinden wird. Alexander hat auch einen Artikel für Anfänger-Bug-Jäger veröffentlicht, in dem er die TOP 10-Sicherheitslücken von 2020 überprüft, die von der HackerOne-Plattform gefunden wurden.
Die Idee ist, einen Labortisch vorzubereiten, um die Schwachstellen in diesem Top zu untersuchen. Sie können lesen , wie eine Beispielanwendung mit einer Schwachstelle starten und finden hier . Die Aufgaben werden gelöst, bevor die Sicherheitsanfälligkeit in der Anwendung ausgenutzt wird. Der letzte Schritt wird den Lesern überlassen.
TOP 10 Schwachstellen von HackerOne
— OWASP TOP 10. , OWASP TOP 10 2017 . . , :
OWASP , HackerOne . HackerOne :
Injection
Broken Authentication
Sensitive Data Exposure
Security Misconfiguration
, 3 .
Injection
Injection — , . . , python .
, . HTTP BurpSuite Community, :
admin — «Login».
, . , . , . . «source.zip». , , /, .
, :
, - Flask. , 2 - debug release. debug - 5000. , :
, . , . .
, :
.\views\user.py
, . , @login_required , - . , /admin/system/change_name/. , :
Lua Redis. , . Redis. python — pickle. .
Security Misconfiguration
, , . Security misconfiguration — , ..
, , file:///etc/passwd. . :
, , . , . file:///proc/self/cmdline :
uwsgi- . 8000. - «/usr/src/rwctf». uwsgi, .
Broken Authentication, Sensitive Data Exposure
Broken Authentication - , . Sensitive Data Exposure - , . , ..
, . , . dirbuster, , . uploads, HTTP 403. c . : /uploads../:
, . . . . .
, -. - .
Disclamer: .
. ? « -», - « ̆, ̆. OWASP TOP 10».