Massive-Web-Application-Penetration-Testing-Bug-Bounty-Notes

Тестирование на проникновение: от новичка до эксперта!

Это руководство предназначено как для начинающих, так и для опытных специалистов по тестированию на проникновение. Оно охватывает все аспекты тестирования безопасности веб-приложений, включая фундаментальные концепции, настройку тестовых сред с помощью таких инструментов, как Burp Suite и bWAPP, а также подробные методики выявления и эксплуатации уязвимостей, особенно тех, что перечислены в OWASP Top 10. Руководство также предоставляет практические ресурсы, такие как видеоуроки и ссылки на соответствующие инструменты, что делает его полезным для всех, кто хочет улучшить свои навыки тестирования безопасности веб-приложений и поиска уязвимостей (bug bounty).

Список содержания:

• Фаза 1 — История
• Фаза 2 — Веб- и серверные технологии
• Фаза 3 — Настройка лаборатории с Burp Suite и bWAPP
• Фаза 4 — Картографирование приложения и поверхности атаки
• Фаза 5 — Понимание и эксплуатация уязвимостей OWASP Top 10
• Фаза 6 — Тестирование управления сессиями
• Фаза 7 — Обход клиентских controls
• Фаза 8 — Атака на аутентификацию/вход
• Фаза 9 — Атака на controls доступа (IDOR, повышение привилегий, скрытые файлы и директории)
• Фаза 10 — Атака на проверку ввода (все инъекции, XSS и прочее)
• Фаза 11 — Генерация и тестирование кодов ошибок
• Фаза 12 — Тестирование слабой криптографии
• Фаза 13 — Уязвимости бизнес-логики

---

Тестирование безопасности веб-приложений

Фаза 1 — История

• История Интернета — https://www.youtube.com/watch?v=VPToE8vwKew
• Как работает Интернет за 5 минут — https://www.youtube.com/watch?v=sMHzfigUxz4

Фаза 2 — Веб- и серверные технологии

• Основные концепции веб-приложений, как они работают и протокол HTTP — https://www.youtube.com/watch?v=qcALGDn0zpk
• Курс HTML для абсолютных новичков — https://www.youtube.com/watch?v=salY_Sm6mv4
• Разница между статическим и динамическим веб-сайтом — https://www.youtube.com/watch?v=0QT06AFAbdc
• Методы HTTP-запросов и заголовки, объяснение — https://www.youtube.com/watch?v=8q5mc1AEtYo
• Концепции и примеры REST API — https://www.youtube.com/watch?v=-mN3VyJuCjM
• Что такое cookie? — https://www.youtube.com/watch?v=yoE9-tNvhRs
• Коды состояния HTTP — https://www.youtube.com/watch?v=qmpUfWN7hh4
• Что такое HTTP-прокси? — https://www.youtube.com/watch?v=j9-Y0KWVJ1k
• HTTP-куки и сессии — https://www.youtube.com/watch?v=zHBpJA5XfDk
• Базовая и дайджест-аутентификация HTTP — https://www.baeldung.com/cs/digest-vs-basic-authentication
• Что такое сервер? — https://www.youtube.com/watch?v=BPVcsOKfd34
• Модель «клиент-сервер» — https://www.youtube.com/watch?v=B8azMzrluHE
• Символы, знаки и чудо Unicode — https://www.youtube.com/watch?v=MijmeoH9LT4
• Основы кодирования — https://www.youtube.com/watch?v=8ue8febDDKU

Фаза 3 — Настройка лаборатории с BurpSuite и bWAPP

• Настройка лаборатории с bWAPP (2024) — https://www.youtube.com/watch?v=cQhE0aBfreU
• Начало работы с Burp Suite (официально от PortSwigger) — https://www.youtube.com/watch?v=S9i_15D2VvY
• Настройка Firefox с Burp Suite и установка сертификата — https://www.youtube.com/watch?v=JexC1-eeg-c
• Картографирование и определение области веб-сайта с Burp Suite — https://www.youtube.com/watch?v=Pr-212A0A4E
• Спайдеринг и сканирование (crawling) с Burp Suite — https://www.youtube.com/watch?v=tAqj6h5a-k8
• Активное и пассивное сканирование — https://www.youtube.com/watch?v=vVuxa-5n_1M
• Burp Suite Intruder: полное руководство — https://www.youtube.com/watch?v=1pGZ5dw-23k
• Типы атак в Burp Suite Intruder, объяснение — https://www.youtube.com/watch?v=4zjg6ZST5vU
• Руководство по Burp Suite Repeater — https://www.youtube.com/watch?v=L9iK2aPmNsM
• Burp Suite Sequencer, объяснение — https://www.youtube.com/watch?v=qbtD5I6m90A
• Руководство по Burp Suite Decoder — https://www.youtube.com/watch?v=LqZ6Yh-a2Pk
• Руководство по Burp Suite Comparer — https://www.youtube.com/watch?v=D0s8yf8aWPE

Фаза 4 — Картографирование приложения и поверхности атаки

• Картографирование приложения с помощью robots.txt — https://www.youtube.com/watch?v=W9udg2iM_RA
• Поиск скрытых директорий и файлов с GoBuster — https://www.youtube.com/watch?v=40n5p-0I2iA
• Обнаружение скрытых директорий и файлов с Burp Intruder — https://www.youtube.com/watch?v=4Fz9mJeMNkI
• Определение точек входа в приложение — https://www.youtube.com/watch?v=IgJWPZ2OKO8
• Определение клиентской и серверной технологии (Wappalyzer и WhatWeb) — https://www.youtube.com/watch?v=B8jN_iWjtyM
• Определение серверной технологии с помощью захвата баннера (telnet) — https://www.youtube.com/watch?v=O67M-U2UOAg
• Пентестинг с Google Dorks (Google Hacking) — https://www.youtube.com/watch?v=NmdrKFwAw9U
• Использование Nmap для fingerprinting веб-сервера — https://www.youtube.com/watch?v=VQV-y_-AN80
• Проверка метафайлов веб-серверов на утечку информации — https://www.youtube.com/watch?v=sds3Zotf_ZY
• Перечисление веб-приложений — https://www.youtube.com/watch?v=vX-qn6V_y-Q
• Картографирование пути выполнения через приложение — https://www.youtube.com/watch?v=0I0NPiyo9UI
• Fingerprinting фреймворков веб-приложений — https://www.youtube.com/watch?v=ASzG0kBoE4c

Фаза 5 — Понимание и эксплуатация уязвимостей OWASP Top 10

• OWASP Top 10 2021, объяснение (полный курс) — https://www.youtube.com/watch?v=1I-b--I4j4U
• A01:2021 — Нарушение контроля доступа — https://www.youtube.com/watch?v=P38at6Tp8Ms
• A02:2021 — Криптографические сбои — https://www.youtube.com/watch?v=2RKbacrkUBU
• A03:2021 — Инъекции (SQL-инъекция) — https://www.youtube.com/watch?v=rWHvp7rUka8
• A04:2021 — Небезопасный дизайн — https://www.youtube.com/watch?v=QJexYmJ-d5A
• A05:2021 — Неправильная конфигурация безопасности — https://www.youtube.com/watch?v=JuGSUMtKTPU
• A06:2021 — Уязвимые и устаревшие компоненты — https://www.youtube.com/watch?v=IGsNYVDKRV0
• A07:2021 — Сбои идентификации и аутентификации — https://www.youtube.com/watch?v=mruO75ONWy8
• A08:2021 — Сбои целостности программного обеспечения и данных (небезопасная десериализация) — https://www.youtube.com/watch?v=nkTBwbnfesQ
• A09:2021 — Сбои регистрации и мониторинга безопасности — https://www.youtube.com/watch?v=IFF3tkUOF5E
• A10:2021 — Server-Side Request Forgery (SSRF) — https://www.youtube.com/watch?v=52-g7x1i-8Y

Фаза 6 — Тестирование управления сессиями

• Обход аутентификации с помощью манипуляции cookie — https://www.youtube.com/watch?v=mEbmturLljU
• Безопасность cookie через флаги HttpOnly и Secure — OWASP — https://www.youtube.com/watch?v=3aKA4RkAg78
• Что такое фиксация сессии? (PortSwigger) — https://www.youtube.com/watch?v=YpFRx0a4kX8
• Что такое Cross-Site Request Forgery (CSRF)? (PortSwigger) — https://www.youtube.com/watch?v=m0EHlfTgGUU
• Обход администратора с помощью угона сессии — https://www.youtube.com/watch?v=1wp1o-1TfAc

Фаза 7 — Обход клиентских controls

• Что такое скрытые поля формы в HTML? — https://www.youtube.com/watch?v=orUoGsgaYAE
• Обход скрытых полей формы с помощью Burp Suite — https://www.youtube.com/watch?v=xahvJyUFTfM
• Изменение цены на сайте электронной коммерции с помощью подделки параметров — https://www.youtube.com/watch?v=A-ccNpP06Zg
• Взлом веб-сайтов с помощью подделки cookie — https://www.youtube.com/watch?v=NgKXm0lBecc
• Понимание заголовка Referer — https://www.youtube.com/watch?v=GkQnBa3C7WI
• Что такое Cross-Origin Resource Sharing (CORS)? — https://www.youtube.com/watch?v=Ka8vG5miErk
• Что такое заголовки безопасности? — https://www.youtube.com/watch?v=TNlcoYLIGFk

Фаза 8 — Атака на аутентификацию/вход

• Подбор панели входа (brute-force) с Burp Suite Intruder — https://www.youtube.com/watch?v=25cazx5D_vw
• Перебор имен пользователей — https://www.youtube.com/watch?v=WCO7LnSlskE
• Аутентификация через небезопасный протокол HTTP (Wireshark) — https://www.youtube.com/watch?v=ueSG7TUqoxk
• Уязвимость «Забыли пароль» — https://www.youtube.com/watch?v=FEUidWWnZwU
• Уязвимость включенной функции автозаполнения на странице входа — https://www.youtube.com/watch?v=XNjUfwDmHGc
• Тестирование на слабую политику паролей (OTG-AUTHN-007) — https://www.owasp.org/index.php/Testing_for_Weak_password_policy(OTG-AUTHN-007
• Тестирование передачи учетных данных через зашифрованный канал — https://www.youtube.com/watch?v=21_IYz4npRs
• Тестирование уязвимостей кэша браузера — https://www.youtube.com/watch?v=2T_Xz3Humdc
• Обход панели входа с помощью SQL-инъекции — https://www.youtube.com/watch?v=TSqXkkOt6oM

Фаза 9 — Атака на controls доступа (IDOR, повышение привилегий, скрытые файлы и директории)

• Поиск панелей администратора — https://www.youtube.com/watch?v=r1k2lgvK3s0
• Поиск скрытых веб-страниц с Dirbuster / Gobuster — https://www.youtube.com/watch?v=--nu9Jq07gA
• Что такое IDOR (Insecure Direct Object Reference)? — https://www.youtube.com/watch?v=gci4R9Vkulc
• Прохождение IDOR от Zomato на Bug Bounty — https://www.youtube.com/watch?v=tCJBLG5Mayo
• Что такое повышение привилегий? — https://www.youtube.com/watch?v=80RzLSrczmc
• Пример повышения привилегий — https://www.youtube.com/watch?v=g3lv__87cWM

Фаза 10 — Атака на проверку ввода (все инъекции, XSS и прочее)

Подмена HTTP-глаголов (HTTP verb tampering)

• Введение в подмену HTTP-глаголов — https://www.youtube.com/watch?v=Wl0PrIeAnhs
• Демонстрация подмены HTTP-глаголов — https://www.youtube.com/watch?v=bZlkuiUkQzE

Загрязнение HTTP-параметров (HTTP parameter pollution)

• Введение в загрязнение HTTP-параметров — https://www.youtube.com/watch?v=Tosp-JyWVS4
• Демонстрация загрязнения HTTP-параметров — https://www.youtube.com/watch?v=QVZBl8yxVX0

XSS — межсайтовый скриптинг

• Что такое XSS? (PortSwigger) — https://www.youtube.com/watch?v=cbmBDiR6WaY
• Демонстрация отражённого XSS — https://www.youtube.com/watch?v=r79ozjCL7DA
• Демонстрация хранимого XSS — https://www.youtube.com/watch?v=oHIl_pCahsQ
• DOM-основанный XSS, объяснение — https://www.youtube.com/watch?v=SHmQ3sQFeLE
• Шпаргалка по обходу фильтров XSS — https://owasp.org/www-community/xss-filter-evasion-cheatsheet

SQL-инъекция

• Полный курс по SQL-инъекциям (серия) — https://www.youtube.com/watch?v=243tripa-pI&list=PLk_nB42gPc_c_r2a-sY2y5sIIZ3nYa-hO

NoSQL-инъекция

• Введение в NoSQL-инъекцию — https://www.youtube.com/watch?v=h0h37-Dwd_A
• Атака на базы данных NoSQL — https://www.youtube.com/watch?v=lcO1BTNh8r8

XPath и XML-инъекция

• Что такое XPath-инъекция? — https://www.youtube.com/watch?v=L2k3223i-w8
• Что такое XML External Entity (XXE) Injection? (PortSwigger) — https://www.youtube.com/watch?v=g2ey7ry8_CQ
• Демонстрация XXE — https://www.youtube.com/watch?v=3B8QhyrEXlU

LDAP-инъекция

• Введение и практическая демонстрация — https://www.youtube.com/watch?v=-TXFlg7S9ks

Инъекция команд ОС

• Что такое инъекция команд ОС? (PortSwigger) — https://www.youtube.com/watch?v=v_R0p3n_5I8
• Демонстрация инъекции команд ОС в bWAPP — https://www.youtube.com/watch?v=qLIkGJrMY9k

Включение файлов (LFI/RFI)

• Local File Inclusion (LFI), объяснение — https://www.youtube.com/watch?v=kcojXEwolIs
• Remote File Inclusion (RFI), объяснение — https://www.youtube.com/watch?v=MZjORTEwpaw

HTTP splitting/smuggling

• Что такое HTTP Request Smuggling? (PortSwigger) — https://www.youtube.com/watch?v=bVaZWHrfiPw
• Демонстрация HTTP Request Smuggling — https://www.youtube.com/watch?v=mOf4H1aLiiE

Фаза 11 — Генерация и тестирование кодов ошибок

• Принудительное получение сообщений об ошибках с Burp Intruder — https://www.youtube.com/watch?v=LDF6OkcvBzM

Фаза 12 — Тестирование слабой криптографии

• Слабая конфигурация SSL/TLS, объяснение — https://www.youtube.com/watch?v=Rp3iZUvXWlM
• Тестирование слабых шифров SSL/TLS с Nmap — https://www.youtube.com/watch?v=slbwCMHqCkc
• Тестирование безопасности SSL/TLS с Qualys SSL Labs — https://www.youtube.com/watch?v=Na8KxqmETnw
• Конфиденциальная информация, передаваемая по незашифрованным каналам — https://www.youtube.com/watch?v=21_IYz4npRs

Фаза 13 — Уязвимости бизнес-логики

• Что такое дефект бизнес-логики? — https://www.youtube.com/watch?v=ICbvQzva6lE
• Как выявить дефекты бизнес-логики — https://www.youtube.com/watch?v=FJcgfLM4SAY
• Дефекты бизнес-логики: мышление атакующего — https://www.youtube.com/watch?v=Svxh9KSTL3Y
• Эксплуатация бизнес-логики: утечка данных — https://www.youtube.com/watch?v=qe0bEvguvbs
• Демо 1 — Чрезмерное доверие к клиенту — https://www.youtube.com/watch?v=yV7O-QRyOao
• Демо 2 — Небезопасный сброс пароля — https://www.youtube.com/watch?v=A8V_58QZPMs
• Демо 3 — Пример дефекта логики на Bug Bounty — https://www.youtube.com/watch?v=1pvrEKAFJyk
• Отчёт HackerOne — Дефект логики при сбросе пароля — https://hackerone.com/reports/145745
• Отчёт HackerOne — Дефект бизнес-логики, позволяющий добавлять кредиты — https://hackerone.com/reports/430854

---

НАСЛАЖДАЙТЕСЬ И УДАЧИ В ОБУЧЕНИИ! ♥

Подпишитесь на меня в LinkedIn: @xalgord