Веб-хакинг

Запросы, ответы, заголовки, cookies, TLS — разбираешь HTTP по косточкам и начинаешь видеть веб глазами хакера, а не пользователя.

• 1.
  Протокол HTTP: запросы, ответы, методыHTTP — это язык, на котором браузер разговаривает с сервером. Понимание этого языка — первый навык веб-хакера. Разбираем структуру запросов и ответов, все методы и практикуемся с curl.
• 2.
  Заголовки HTTP и cookiesЗаголовки — это метаданные каждого HTTP-сообщения, а cookies — механизм памяти для stateless-протокола. Хакеры манипулируют заголовками для обхода защит и крадут cookies для угона сессий.
• 3.
  HTTPS, TLS и сертификатыHTTPS защищает данные в пути, но не делает сайт безопасным. Разбираем TLS handshake, сертификаты, и атаки — SSL stripping, MITM, downgrade. Учимся анализировать сертификаты через openssl.
• 4.
  HTML, CSS, JavaScript — глазами хакераВесь клиентский код — открытая книга для хакера. HTML-формы, скрытые поля, JavaScript-логика, даже CSS — всё это поверхность атаки. Учимся находить утечки информации и уязвимости в исходном коде страниц.
• 5.
  Инструменты разработчика в браузере (DevTools)DevTools — это встроенный хакерский инструмент в каждом браузере. Elements для модификации DOM, Network для перехвата трафика, Console для выполнения JS, Application для кражи cookies. Учимся обходить клиентскую валидацию.

REST API, базы данных, серверные технологии, сессии — понимаешь полную картину веб-приложения и разворачиваешь тренировочные стенды для атак.

• 1.
  Клиент-серверная модель и REST APIКак клиент и сервер общаются через API, что такое REST, и почему понимание эндпоинтов — суперсила пентестера
• 2.
  Базы данных в веб-приложениях (SQL, NoSQL)SQL и NoSQL — как приложения хранят данные, как формируются запросы, и почему небезопасная работа с БД превращается в SQL-инъекцию
• 3.
  Серверные технологии: PHP, Python, Node.jsТри главных серверных стека, их типичные ошибки, и как код на каждом из них становится уязвимым
• 4.
  Аутентификация и управление сессиямиКак веб-приложения узнают, кто ты — cookies, JWT, OAuth — и почему ошибки в аутентификации открывают двери в чужие аккаунты
• 5.
  Развёртывание тренировочных стендов (DVWA, WebGoat, Juice Shop)Поднимаем собственную хакерскую лабораторию с уязвимыми приложениями — DVWA, WebGoat, Juice Shop — и подключаем Burp Suite

Уязвимость №1 в истории веба: UNION, Blind, Error-based — учишься извлекать данные из любой базы и автоматизируешь всё через SQLmap.

• 1.
  Принцип SQL-инъекции и первая эксплуатацияSQL-инъекция — это внедрение вредоносного SQL-кода через пользовательский ввод. Уязвимый код склеивает строки вместо параметризации. Одна кавычка ломает запрос, а ' OR '1'='1 обходит логин.
• 2.
  UNION-based SQL-инъекцияUNION-based SQLi позволяет извлечь данные из любой таблицы БД. Сначала определяем количество столбцов через ORDER BY, затем извлекаем имена таблиц и столбцов из information_schema, и наконец — сами данные, включая пароли.
• 3.
  Blind SQL-инъекция (Boolean и Time-based)Blind SQLi используется когда данные не выводятся на страницу. Boolean-based определяет данные по разнице ответов true/false. Time-based — по задержке SLEEP(). Извлечение побитовое: один символ за запрос, автоматизируется Python-скриптом.
• 4.
  Error-based и Out-of-Band SQL-инъекцииError-based SQLi извлекает данные через сообщения об ошибках (extractvalue, updatexml). Stacked queries позволяют выполнять несколько SQL-команд через точку с запятой. Out-of-Band SQLi отправляет данные через DNS/HTTP когда прямого канала нет.
• 5.
  Автоматизация с SQLmap и защита от SQLiSQLmap автоматизирует все типы SQL-инъекций: обнаружение, эксплуатацию, дамп БД, получение shell. Защита — prepared statements (параметризованные запросы), ORM с осторожностью, WAF как дополнение, а не замена.

Три типа XSS — reflected, stored и DOM-based: ищешь точки инъекции, обходишь фильтры и WAF и доводишь атаку до кражи сессий и кейлоггеров.

• 1.
  Reflected XSS: поиск и эксплуатацияReflected XSS — атака, при которой вредоносный код из URL отражается в ответе сервера и выполняется в браузере жертвы. Ищем в параметрах поиска, ошибках, редиректах.
• 2.
  Stored XSS: кража данных через сохранённый кодStored XSS — вредоносный код сохраняется на сервере (в БД, файле) и выполняется у каждого посетителя. Опаснее Reflected, потому что не требует клика по ссылке — достаточно просто зайти на страницу.
• 3.
  DOM-based XSS и мутацииDOM-based XSS происходит полностью в браузере — сервер не участвует. Уязвимый JavaScript берёт данные из URL (source) и вставляет их в страницу (sink). Mutation XSS обходит санитайзеры через особенности HTML-парсера.
• 4.
  Обход WAF и фильтров XSSБольшинство XSS-фильтров и WAF можно обойти через альтернативные теги, кодирование, смешанный регистр, null-байты и десятки других техник. Чёрные списки (blacklists) — ненадёжная защита.
• 5.
  Продвинутая эксплуатация XSS: кейлоггеры, фишинг, BeEFXSS — это не просто alert(1). Через XSS можно перехватывать нажатия клавиш, подменять формы логина, загружать майнеры и управлять браузером жертвы через BeEF. Защита: CSP, HttpOnly, output encoding, DOMPurify.

CSRF, SSRF, IDOR и Broken Access Control: заставляешь браузер жертвы, сервер и логику приложения работать на себя — и обходишь токены, SameSite и CORS.

• 1.
  CSRF: принцип атаки и создание эксплойтовCSRF заставляет браузер жертвы выполнить действие от её имени — без её ведома. Достаточно одного клика на ссылку, и пароль аккаунта уже изменён. Разбираем механику, создаём эксплойты и практикуемся на DVWA.
• 2.
  SSRF: атака на серверную сторонуSSRF заставляет сервер делать запросы от своего имени — к внутренним сервисам, облачным metadata, базам данных. Это ключ от внутренней сети, доступный через одно поле ввода. Разбираем технику, обходы фильтров и реальный кейс Capital One.
• 3.
  IDOR: небезопасные прямые ссылки на объектыIDOR — это когда замена одного числа в URL открывает данные другого пользователя. Простейшая уязвимость, которая приводит к массовым утечкам. Разбираем поиск IDOR в API, UUID, файлах и практикуемся на Juice Shop.
• 4.
  Broken Access Control и Privilege EscalationBroken Access Control — уязвимость #1 по OWASP Top 10. Горизонтальная и вертикальная эскалация привилегий, forced browsing к admin-панелям, parameter tampering и обход через HTTP-методы. Практикуемся на Juice Shop.
• 5.
  Обход защитных механизмов: токены, SameSite, CORSCSRF-токены, SameSite cookies и CORS — три столпа защиты от межсайтовых атак. Но каждый из них можно обойти при неправильной реализации. Разбираем механику защит, типичные ошибки и составляем финальный чеклист контроля доступа.

Брутфорс, фиксация и перехват сессий, обход 2FA, атаки на JWT и OAuth — разбираешь по косточкам всё, что выдаёт и проверяет личность пользователя.

• 1.
  Брутфорс и перебор учётных данныхHydra, Burp Intruder, wordlists, rate limiting bypass — полный арсенал для атак на логин-формы
• 2.
  Атаки на сессии: fixation, hijacking, predictionКрадём, навязываем и предсказываем session ID — три кита атак на сессии
• 3.
  Обход двухфакторной аутентификации2FA кажется неприступной, но brute force OTP, response manipulation и прямой доступ к защищённым страницам ломают её удивительно часто
• 4.
  Атаки на JWT-токеныNone algorithm, слабые секреты, confusion attack RS256→HS256 — JWT ломается красиво и больно
• 5.
  OAuth и SSO: уязвимости и эксплуатацияRedirect URI manipulation, отсутствие state-параметра, token leakage через Referer — OAuth ломается через логику, а не через криптографию

LFI, RFI, path traversal, загрузка веб-шеллов и command injection — превращаешь мелкие дыры в чтение произвольных файлов и полноценный RCE.

• 1.
  Local File Inclusion (LFI)LFI позволяет читать любые файлы на сервере через подключаемые параметры — а при правильной эскалации превращается в полноценное выполнение кода
• 2.
  Remote File Inclusion (RFI)RFI позволяет подключить файл с удалённого сервера атакующего — и это мгновенный RCE без каких-либо дополнительных трюков
• 3.
  Path Traversal и чтение произвольных файловPath Traversal — это не то же самое, что LFI: здесь файлы читаются, а не выполняются. Но один прочитанный .env или приватный ключ может стоить дороже, чем RCE
• 4.
  Загрузка вредоносных файлов (Unrestricted File Upload)Формы загрузки файлов — одна из самых опасных поверхностей атаки: обход валидации расширения, Content-Type и magic bytes позволяет залить web shell и получить RCE
• 5.
  OS Command Injection и RCECommand Injection — прямое выполнение системных команд через пользовательский ввод. Один непроверенный параметр — и атакующий получает полный контроль над ОС

XXE, SSTI, десериализация, race conditions и prototype pollution — арсенал продвинутых атак на парсеры, шаблонизаторы и логику приложения.

• 1.
  XML External Entity (XXE)XXE позволяет атакующему читать файлы сервера, выполнять SSRF и даже получать RCE — просто подсунув вредоносный XML с внешними сущностями
• 2.
  Server-Side Template Injection (SSTI)SSTI возникает, когда пользовательский ввод попадает прямо в шаблонизатор — от безобидного {{7*7}}=49 до полноценного RCE через цепочки классов Python, Java и PHP
• 3.
  Deserialization-атакиДесериализация недоверенных данных — прямой путь к RCE: PHP magic methods, Java gadget chains и Python pickle позволяют выполнить произвольный код при простом чтении объекта
• 4.
  Race Conditions в веб-приложенияхRace condition — когда два параллельных запроса обгоняют проверку и оба проходят: двойные списания, обход лимитов, бесконечные промокоды — всё это эксплуатируется через Turbo Intruder за секунды
• 5.
  Prototype Pollution и атаки на клиентскую логикуPrototype Pollution позволяет атакующему изменить прототип Object — и все объекты в приложении наследуют вредоносные свойства, что ведёт к XSS на клиенте и RCE на сервере (Node.js)

Burp Suite, ZAP, Nuclei, ffuf и собственные скрипты на Python — собираешь профессиональный рабочий процесс веб-пентестера от прокси до автоматики.

• 1.
  Burp Suite Professional: полный рабочий процессНастраиваем Burp Suite от установки сертификата до автоматического сканирования — осваиваем workflow Proxy → Repeater → Intruder → Scanner и ключевые расширения
• 2.
  Автоматические сканеры: Nikto, ZAP, NucleiТри главных бесплатных сканера — Nikto для быстрой разведки, ZAP как полноценная альтернатива Burp, Nuclei для template-based сканирования — и сравнение их результатов на DVWA
• 3.
  Фаззинг директорий и параметров (ffuf, dirsearch)Фаззинг — автоматический перебор путей, файлов и параметров. Осваиваем ffuf и dirsearch для поиска скрытых админок, забытых бэкапов и секретных API-эндпоинтов
• 4.
  Перечисление поддоменов и скрытых ресурсовПоиск поддоменов через Subfinder, Amass, Certificate Transparency и DNS brute force. Раскапываем исторические URL через Wayback Machine и извлекаем endpoints из JS-файлов
• 5.
  Написание собственных скриптов для пентестаПишем на Python три боевых скрипта — автоматический проверщик SQLi, XSS-фаззер и брутфорсер с обходом CSRF — и учимся интегрировать их в рабочий процесс

Методология, платформы, recon и отчёты: от выбора первой программы до разбора реальных кейсов находок — финальный рывок к первым выплатам на HackerOne и Bugcrowd.

• 1.
  Методология Bug Bounty: с чего начатьBug Bounty — это легальный способ зарабатывать на хакинге. Компании платят за найденные уязвимости, а ты получаешь деньги, репутацию и опыт. Главное — правильный mindset, системный подход и терпение.
• 2.
  Платформы: HackerOne, Bugcrowd, IntigritiТри главные Bug Bounty платформы — HackerOne, Bugcrowd и Intigriti — различаются по размеру, процессам и аудитории. HackerOne — крупнейшая, Bugcrowd — с уникальной VRT-системой, Intigriti — европейская с сильным triage. Начинай с HackerOne, расширяйся по мере роста.
• 3.
  Разведка цели: Recon-методологияRecon — это 50% успеха в Bug Bounty. Пассивная разведка (поддомены, tech stack, утечки) и активная (сканирование, фаззинг) дают карту атаки. Автоматизация пайплайна subfinder → httpx → nuclei экономит часы. Кто лучше разведает — тот находит баги первым.
• 4.
  Составление отчёта об уязвимостиОтчёт — это продающий документ для твоего бага. Чёткая структура (title, severity, steps, impact, fix), правильный CVSS, наглядные PoC и вежливое общение с triagers — разница между bounty и N/A. Плохо описанный Critical закроют как Informational.
• 5.
  Кейсы реальных Bug Bounty находок (Капстоун)Четыре реальных кейса Bug Bounty ($5,000–$15,000) демонстрируют все техники курса в действии: SSRF → AWS takeover, Stored XSS → Account Takeover, IDOR → массовая утечка, Race Condition → бесконечные деньги. Это финал курса — ты готов к реальному миру.