Создавайте неуязвимые приложения

В каждой лабе вы сначала смотрите, как работает уязвимость, а потом пишете правку прямо в редакторе на платформе. Тесты сразу показывают: получилось закрыть ошибку или нет, не сломали ли при этом обычную работу приложения.

• Несколько языков: Go, Python, Node.js и PHP — выбираете тот, на котором пишете на работе.
• Два варианта правки: один — только средствами стандартной библиотеки, второй — через внешний пакет. Полезно, когда хочется понять разницу в подходах.
• Приложение близко к реальному: магазин с каталогом, корзиной, оформлением заказа, личным кабинетом, админкой и API. Уязвимость встроена в обычный сценарий, а не выдумана искусственно ради задачи.

Чтобы замечать атаки в логах или при ревью кода, полезно посмотреть на них глазами атакующего. Платформа позволяет это сделать, не обязательно запуская сами атаки — к каждой лабе приложен подробный разбор.

• Теория и проверочный тест идут перед лабой — материал можно использовать как основу для обучения команды.
• Группировка по OWASP Top 10: на странице маршрута видно, какие категории уже разобраны.
• Полный разбор атаки и правки к каждой лабе: можно просто прочитать, без запуска уязвимости в браузере.

Каждая лаба — это отдельная копия небольшого веб-приложения, которое запускается у вас на время прохождения. Внутри настоящая авторизация, страницы, база данных — нужно искать уязвимость в обычном сценарии работы, а не в искусственной задаче.

• Разные классы уязвимостей: SQL-инъекции, XSS, проблемы с авторизацией и сессиями, SSRF, загрузка файлов, недочёты в JWT и другое. Список постепенно дополняется.
• Чтобы зачесть лабу, нужно реально получить флаг из приложения — без подсказок и заранее заданных подсказок в коде.
• Лабы выглядят как обычные сайты, а не как CTF-задачи — это ближе к тому, что встречается в реальной работе.

Каждая лаба показывает связку: уязвимый код → тесты, которые её ловят → правка, после которой тесты меняют состояние. Это та же модель, которую вы внедряете в свой pipeline.

• Готовые примеры для онбординга разработчиков или для тренинга — можно взять конкретную лабу и пройти всей командой.
• Учебные пути сгруппированы по OWASP Top 10 — удобно собрать программу обучения и видеть, что уже пройдено.
• Платформа сама использует security- и functional-тесты, которые проходят на уязвимом коде и падают после правки — полезный пример для своего CI.
• В конце каждой темы — отдельный DevSecOps-блок: что добавить в CI, какие линтеры и SAST-правила ловят этот класс уязвимости, как покрыть его автотестами.