irsdl/webhacklistArchiv der Top 10 Web-Hacking-Techniken – jeder Nominierte seit 2006, bewahrt
Das vollständige Archiv der Top 10 Web Hacking Techniques — jede nominierte Technik (nicht nur die Gewinner) für jedes Jahr seit 2006, plus PDF-Snapshots der ursprünglichen Ankündigungsbeiträge, damit die Aufzeichnung ihre Hosts überlebt.
Durchsuche jede Technik, filtere nach Jahr und öffne jedes erhaltene Dokument, ohne den Browser zu verlassen.
Nach Jahr durchsuchen · Wo sich was befindet · Dateiaufbau · Die drei Epochen · Das PDF-Archiv · Face the Judge · Unterstützung · Mitwirken
Seit 2006 nominiert die Web-Security-Community jedes Jahr die innovativsten Web-Hacking-Forschungsarbeiten, stimmt ab und kürt eine Top 10. Die Liste wurde von Jeremiah Grossman ins Leben gerufen und wird heute von James Kettle bei PortSwigger fortgeführt.
Die jährlichen Ankündigungsbeiträge haben jedoch die Angewohnheit zu verschwinden — der Blog von WhiteHat Security (Heimat der Listen von 2011–2015) ist bereits verschwunden. Dieses Repository bewahrt das Ganze an einem dauerhaften, durchsuchbaren Ort auf:
[!IMPORTANT] Die Jahreslisten sind vollständig: alles, was offiziell nominiert wurde, ist enthalten. Dennoch haben die Nominierungsrunden gelegentlich bemerkenswerte Forschungsarbeiten übersehen. Wenn du von Arbeiten weißt, die auf der Liste eines Jahres hätten stehen sollen, öffne ein Issue oder einen PR — alles, was als Nominierung für eine Web-Hacking-Technik für dieses Jahr in Frage kommt, wird geprüft und, falls es passt, dem entsprechenden Jahr hinzugefügt. Spätere Audit-Ergänzungen sind sichtbar von den ursprünglichen Nominierungen getrennt, erfordern eine vollständige private Bewertung nach den aktuellen Qualitätskriterien der Judging-Skill und dokumentieren Hinzugefügt / Nicht hinzugefügt unter
ai-evaluation/.
[!TIP] Viele der älteren Links sind tot. Füge eine beliebige tote URL in die Wayback Machine ein — die meisten sind dort erhalten, und das PDF-Archiv bewahrt die Ankündigungsseiten selbst auf.
webhacklist/
├── 2006.md … 2025.md ← the lists — every nominated technique, one file per year
├── <year>-ai.md ← AI-collected candidates for a year with no vote yet — machine-assembled, unreviewed, kept deliberately separate from the curated lists above
├── ai-evaluation/<year>/ ← candidate links, Added / Not added, and decision history
├── original-listings/ ← PDF snapshots of the original announcement posts
│ ├── <year>-nominees.pdf ← the full nominee list for that year
│ ├── <year>-top10.pdf ← the post naming the winning ten
│ └── README.md ← per-year index, notes, and archive rationale
├── website/ ← production progressive archive website
│ ├── archive-years.json ← publishing registry
│ └── data/ ← generated small catalogue + one JSON shard per collection
├── tools/ ← the capture pipeline that builds the PDF archive
│ ├── capture_pdf.py ← headless-Chrome capture driver + verifier
│ ├── sources.json ← manifest: what to capture, from where, with assertions
│ └── capture-report.json ← provenance log of the last run
└── assets/ ← logo and artwork
Jede <year>.md beginnt mit einem Abschnitt ## Top 10, der die zehn Techniken enthält, die
die Abstimmung jenes Jahres tatsächlich gewonnen haben, in der Reihenfolge ihrer Platzierung, jede mit ihrem Rang versehen:
## Top 10
- [Blind SSTI](https://github.com/vladko312/Research_Successful_Errors) **#1**
- [ORM Leaking More Than You Joined For](https://www.elttam.com/blog/leaking-more-than-you-joined-for/) **#2**
Jede Jahresdatei verwendet dasselbe Layout: ein --Aufzählungspunkt pro Technik, keine abschließenden Backslashes und keine Leerzeilen innerhalb der Listen.
Alles andere, was in jenem Jahr nominiert wurde, folgt unter ## Other nominations, ohne Rangfolge und in seiner ursprünglichen Reihenfolge. So kannst du die zehn lesen, die herausragten, ohne den langen Schwanz zu verlieren – wo sich oft die wirklich neuartige Arbeit versteckt.
[!NOTE] Die Ränge stammen aus den Ankündigungsbeiträgen, aber der Eintragstext bleibt so, wie ihn die Nominiertenliste enthielt. Der Titel eines Gewinners im Ergebnisbeitrag ist manchmal kürzer oder anders formuliert als seine Nominierung, sodass die beiden nicht immer identisch lauten.
In vier Jahren hielten die Organisatoren einige Forschung aus dem Wettbewerb heraus, um einen Interessenkonflikt zu vermeiden. Statt sie verschwinden zu lassen, stehen diese Einträge oben unter ## Other nominations, jeweils mit der Phase gekennzeichnet, aus der sie herausgehalten wurden – die Phasen unterschieden sich, also unterscheidet sich auch die Formulierung – unter einer Anmerkung, die erklärt, was geschah: