Полные маршруты по веб-безопасности. Каждый путь — это последовательность модулей: теория, практическая лабораторная, квиз. Проходите по порядку и закрывайте раздел за разделом.
Полное погружение в безопасность загрузки файлов в Go: границы multipart-парсинга, обход allowlist, расхождение имени и содержимого, изоляция обработки и безопасная раздача. Вы научитесь проверять наблюдаемое поведение upload-пайплайна и строить защиту на серверно определённом формате, quarantine и безопасном хранилище.
Разбираемся, как недоверенный текст становится кодом шаблона, чем SSTI отличается от XSS, какие данные и методы реально достижимы и как устранить инъекцию статическим template source. Практика охватывает custom greeting, stored SSTI, богатый map-контекст и direct email render с HTTP preview.
Глубокое погружение в Server-Side Request Forgery (SSRF) в Go-приложениях. Вы научитесь находить SSRF, обращаться к отдельным внутренним сервисам, корректно интерпретировать сетевые исходы и защищать облачные метаданные (AWS, GCP, Azure).
Курс среднего уровня: механика SQL-инъекций и защита, закреплённые в шести практических лабораториях. Проще будет тем, кто уже писал HTTP-обработчики на Go и знает SELECT/WHERE; если нет — первые модули вводят всю базу, разборы кода пошаговые: не писали раньше на Go — объясним по ходу. OOB-техники, sqlmap и DevSecOps рассматриваются концептуально и на уровне code review, а не как практические результаты курса.
Путь разделяет гонки данных в памяти Go, логические TOCTOU и аномалии БД. Вы воспроизведёте многократное начисление одноразового промокода и lost update при параллельных покупках, затем построите полные атомарные границы, оцените, выберете и обоснуете proof-план для нескольких pod, retry и сбоев и подберёте доказательный тест для каждого класса гонки.
Глубокое погружение в Path Traversal в Go-приложениях. Вы научитесь находить и эксплуатировать уязвимости файловых систем, обходить фильтры '../' и использовать спецфайлы Linux (/proc) для кражи переменных окружения и исходного кода.
Broken Access Control в Go с историческим фокусом на IDOR. Путь связывает AuthN с явной политикой доступа, разбирает BOLA на уровне объектов, влияние UUID на обнаруживаемость, BFLA на уровне действий, BOPLA и Mass Assignment на уровне свойств, а затем собирает эти оси в единую модель авторизации.
Глубокое погружение в Command Injection в Go-приложениях. Вы научитесь находить и эксплуатировать выполнение команд через os/exec, обходить фильтры спецсимволов, моделировать Out-of-Band (OOB) каналы, проверять их предпосылки и интерпретировать коррелированные события.
Практический курс о единой границе доверия в трёх Node.js-шаблонизаторах. Вы проследите, как пользовательская строка становится исходником шаблона, проверите это в трёх лабораториях и закрепите инвариант защиты — доверенный template source и недоверенный ввод только как данные.
Курс по Server-Side Request Forgery в Node.js/Express. Разберите три возрастающих класса обхода на практических лабах, а затем соберите единый production-контракт защиты и автоматизации.
Курс по SQL-инъекциям в Node.js/Express. Пять практических лабораторий используют Express и better-sqlite3. Knex, Sequelize, Prisma и автоматизация рассматриваются в сравнительной теории и тестах; отдельных hands-on лабораторий по этим инструментам в пути нет.
Фундаментальный курс по Directory Traversal в Node.js/Express. Изучите три варианта атаки (базовый ../, bypass однократного blacklist-фильтра и absolute path injection), границы URL-декодирования и общий containment-инвариант через path.resolve/path.relative. Три лабы повторно применяют этот инвариант к разным угрозам; финальный модуль даёт справочный обзор Semgrep, CodeQL и CI workflow.
Курс по object-level IDOR/BOLA и function-level BFLA в Node.js/Express. Изучите горизонтальный доступ к чужим объектам, vertical privilege escalation и защитные паттерны через middleware и Sequelize/Prisma. Три exploit/fix-лабы дают практику; SAST/DAST/runtime рассматриваются обзорно — с фокусом на возможности, ограничения и интерпретацию результатов.
Курс по безопасной загрузке файлов в Express-приложениях. Вы разберёте обходы проверки расширений, небезопасное построение пути из имени файла и подделку Content-Type. В двух лабораторных вы отработаете path traversal через имя файла и проверку ограниченного набора сигнатур изображений. Production pipeline, S3, SAST, DAST и CI рассматриваются как концептуальные расширения, а не выполненная практика.
Курс по инъекциям команд в Node.js/Express. Изучите child_process.exec, обход фильтров, blind injection и eval(). Практикуйтесь на 4 лабах с уникальными методами защиты.
Практический курс о том, как недоверенная строка становится исполняемой грамматикой PHP или Twig. Проследите provenance данных, найдите границу компиляции, пройдите две связанные лабы, сравните канонические Fix A/B и закрепите навык локальным oracle и capstone-review.
Курс по Server-Side Request Forgery в PHP Native. Разберём file_get_contents() с URL, cURL-запросы, allow_url_fopen, redirect-атаки, доступ к Cloud Metadata (169.254.169.254) и защиту через parse_url() allowlist, CURLOPT_FOLLOWLOCATION и блокировку приватных IP.
Фундаментальный курс по SQL-инъекциям в PHP Native. Изучите историю самой массовой уязвимости веба, механику атак через mysqli и устаревший mysql_*, современную защиту через PDO Prepared Statements, UNION-атаки, слепые инъекции, Second-Order SQLi и обход WAF.
Курс по Path Traversal в PHP Native. Разберём уязвимости include, fopen, file_get_contents с пользовательским вводом, историю null byte injection, двойное кодирование, абсолютные пути и защиту через realpath() + open_basedir.
Курс по Insecure Direct Object Reference в PHP Native. Разберём разницу между AuthN и AuthZ, горизонтальное повышение (sequential ID), UUID-предсказуемость, вертикальное повышение привилегий и защиту через авторизационные проверки и role middleware.
Курс по безопасности загрузки файлов в PHP. Изучите $_FILES, move_uploaded_file, атаки через webshell, .htaccess manipulation и MIME spoofing, защиту через allowlist расширений, UUID rename и finfo_file().
Углублённый курс по уязвимостям включения файлов в PHP. Изучите механику include/require, Local File Inclusion, чтение исходного кода через php://filter, Remote File Inclusion и PHP stream wrappers.
Углублённый курс по десериализации в PHP — самой PHP-специфичной уязвимости. Изучите внутреннее устройство serialize/unserialize, magic-методы __wakeup/__destruct/__toString, Property-Oriented Programming (POP), phar:// wrapper и инструмент PHPGGC.
Курс по инъекциям команд ОС и кода в PHP Native. Разберём все функции выполнения команд (system, exec, passthru, shell_exec, backtick, popen), eval-инъекции, защиту через escapeshellarg(), regex allowlist и удаление eval.
Практический курс о границе между template source и данными: Jinja2, Python format strings, наблюдаемое влияние и два осознанных варианта исправления. Четыре лаборатории переходят от guided-разбора к самостоятельному переносу на незнакомый render-flow.
Курс по SSRF-уязвимостям в Python/Flask. От базового requests.get до cloud metadata через redirect. 3 лабы с URL allowlist, отключением редиректов и блокировкой приватных IP.
Полный курс по SQL-инъекциям в Python/Flask. Изучите механику атак от простого обхода авторизации до Second-Order и WAF Bypass. Практикуйтесь на 6 лабах с уникальными методами защиты.
Курс по Path Traversal в Python/Flask. От базового ../ до /proc доступа. 4 лабы с os.path, pathlib и уникальными защитами.
Практический курс о серверной авторизации во Flask: доступ к объектам, привилегированным действиям и изменяемым свойствам. Четыре лабы учат выводить политику из principal, action, object и context, а не доверять форме идентификатора или интерфейсу.
Полный курс по уязвимостям загрузки файлов в Python/Flask. Изучите обход расширений, подделку Content-Type и загрузку webshell. Практикуйтесь на 3 лабах с уникальными методами защиты.
Практический курс о том, почему одни и те же bytes становятся данными или инструкциями в зависимости от decoder. Три лабы проводят от pickle VM через YAML constructors к ошибкам авторизации поверх data-only JSON, а финальный кейс учит проектировать безопасную миграцию смешанных форматов.
Курс по инъекциям системных команд в Python/Flask. От os.system() до eval(), от фильтр-байпасов до слепых инъекций. 4 лабы с уникальными защитами.
Глубокое погружение в Cross-Site Scripting (XSS) в Go-приложениях. Вы научитесь находить и эксплуатировать Reflected, Stored и DOM-based XSS, а также освоите современные методы защиты: от html/template до Content Security Policy.
Глубокое погружение в Cross-Site Request Forgery (CSRF) в Go-приложениях. Вы научитесь находить и эксплуатировать уязвимости в формах и API, обходить современные механизмы SameSite Cookie и внедрять надежную защиту с помощью токенов и кастомных заголовков.
Разберите reflected, stored и DOM-based XSS в Node.js/Express, проследите путь данных и обоснуйте выбор защиты для текстового, HTML- и URL-контекста. Теория и самопроверка связаны с 5 учебными лабами; ограничения их практических проверок разобраны в материалах. CSP и nonce дополняют безопасный вывод данных, а автоматизация дана как обзор возможностей SAST/DAST и роли проверок в CI/CD, без настройки сканеров и конвейера. Время — редакторская оценка чтения, размышления и работы в лабах, а не измеренный результат прохождения.
Глубокое погружение в server-side Prototype Pollution общего Object.prototype в пределах одного JavaScript realm. Вы разберёте три фактические цепочки — authorization gadget, исторический гаджет EJS 3.1.6 и прикладной DoS с обработанным HTTP 500, — а также научитесь валидировать вход, писать безопасные sinks, использовать null-prototype-объекты и читать только own-свойства. Object.freeze и Node.js flags рассматриваются как опциональные компенсирующие меры. Пререквизиты: уверенное владение объектами JavaScript, Node.js/Express, JSON/HTTP и основами AppSec.
Курс по Cross-Site Request Forgery в Node.js/Express. Изучите механику CSRF-атак, обход SameSite cookies и защиту JSON API. Практикуйтесь на 3 лабах с уникальными методами защиты.
Полный курс по межсайтовому скриптингу (XSS) в PHP Native. Разберём почему PHP не имеет автоматического экранирования вывода, изучим reflected, stored, DOM-based и attribute-контекст XSS, защиту через htmlspecialchars(), HTMLPurifier, CSP и FILTER_VALIDATE_URL.
Курс по Cross-Site Request Forgery в PHP Native. Разберём механику CSRF-атак на PHP-сессии, защиту через random_bytes() + hash_equals(), SameSite cookie и Custom Headers для JSON API.
Полный курс по XSS-уязвимостям в Python/Flask/Jinja2. От Reflected до DOM-based, от |safe фильтра до CSP с nonce. 5 практических лаб с уникальными защитами.
Курс по CSRF-уязвимостям в Python/Flask. От базовой подделки форм до JSON API CSRF. 4 лабы с Flask-WTF, SameSite cookies, double-submit и CORS.
JWT — это популярно, но крайне опасно в неумелых руках. Изучите, как злоумышленники подделывают подписи (alg: none), взламывают слабые секреты и почему хранить токены в LocalStorage — это преступление уровня увольнения.
Изучаем утечки информации в Go-приложениях — debug-эндпоинты в продакшене, verbose error messages со stack traces, backup-файлы через http.FileServer. Осваиваем безопасную обработку ошибок и конфигурацию файл-сервера.
Глубокий курс по защите пользовательских данных и механизмов входа. От основ хеширования паролей и борьбы с брутфорсом до защиты логики сброса паролей и внедрения многофакторной аутентификации в Go-приложениях.
Глубокое погружение в уязвимости контроля доступа в Go-приложениях. Вы научитесь находить и эксплуатировать Forced Browsing, горизонтальное повышение привилегий, обход URL-нормализации и Referer-based доступ. Освоите RBAC, middleware-цепочки и deny-by-default архитектуру.
Полное руководство по безопасности JSON Web Token в Node.js-приложениях. Вы изучите структуру JWT, разберёте три критические уязвимости — обход через алгоритм none, брутфорс слабых секретов и Key Confusion (RS256→HS256) — и научитесь внедрять надёжную защиту с помощью пакета jsonwebtoken.
Теория разбирает express-rate-limit, zxcvbn, crypto.timingSafeEqual и dummy-bcrypt equalization. Brute-force lab проверяет per-IP rate limiting, weak-password lab — базовую server-side policy и default secret, а timing lab — user enumeration через неодинаковые bcrypt-ветви, но не timingSafeEqual.
Фундаментальный курс по контролю доступа в Node.js на Express. Изучите Forced Browsing к админ-панелям, горизонтальную эскалацию (IDOR) и расхождения регистра URL. Защита через route-bound middleware авторизации, ownership checks, явные RBAC/ABAC-политики через accesscontrol/CASL и автоматизацию обнаружения уязвимостей.
Углублённый курс по безопасности JWT в PHP. Изучите структуру JWT, библиотеку firebase/php-jwt, атаки None Algorithm, брутфорс слабых секретов HMAC, Key Confusion (RS256→HS256) и современные методы защиты.
Курс по безопасности аутентификации в PHP. Изучите session_start, password_hash/verify, атаки брутфорсом, уязвимости слабых паролей через md5/sha1, timing-атаки через == и защиту через rate limiting, bcrypt и hash_equals().
Проверка JWT в Python/Flask на примерах None Algorithm, Weak Secret и Key Confusion. Три лаборатории связывают самостоятельную практику с разбором защиты; итоговый модуль помогает выбрать политику доверия и оценить свидетельства проверок. Время прохождения — редакторская оценка, а не результат замера.
Курс по утечкам информации в Python/Flask. Изучите опасность debug-режима, stack traces и раскрытие backup-файлов. Практикуйтесь на 3 лабах с уникальными методами защиты.
Полный курс по уязвимостям аутентификации в Python/Flask. Изучите атаки brute force, слабые пароли и timing-атаки. Практикуйтесь на 3 лабах с уникальными методами защиты.
Полный курс по уязвимостям контроля доступа в Python/Flask. Изучите Forced Browsing, горизонтальную эскалацию привилегий и обход URL. Практикуйтесь на 3 лабах с уникальными методами защиты.
Полное погружение в безопасность WebSocket-соединений в Go: CSWSH (Cross-Site WebSocket Hijacking), обход Origin, инъекции через сообщения. Вы научитесь эксплуатировать уязвимости в WebSocket-хендлерах и внедрять защиту с проверкой Origin, токенной аутентификацией и валидацией сообщений.
Глубокое погружение в уязвимости бизнес-логики Go-приложений. Вы научитесь находить и эксплуатировать negative quantity, price manipulation и coupon stacking. Освоите валидацию бизнес-правил и серверный контроль целостности операций.
Полное погружение в безопасность REST API на Go: Mass Assignment, BOLA, Rate Limiting. Вы изучите OWASP API Top 10, научитесь эксплуатировать уязвимости через JSON-запросы и внедрите защиту с помощью DTO, авторизации на уровне объектов и ограничения частоты запросов.
Курс по Regular Expression Denial of Service (ReDoS) в Node.js и Express. Вы научитесь распознавать неоднозначные повторения, проверять regex только во внешне ограниченной среде, выбирать prevention и isolation controls, а также настраивать CI и наблюдаемость с учётом их границ. Предварительно нужны базовые знания JavaScript, Express, npm и CI.
Практический курс по PHP 8.2 о том, как транспорт сохраняет или меняет тип, как loose comparison нарушает бизнес-инварианты и как доказать исправление HTTP-матрицей.
Путь для опытных разработчиков и DevOps. Модель угроз цепочки поставки (кейс xz, EU CRA, SLSA, NIST SSDF), SBOM на Syft в форматах SPDX и CycloneDX со сканированием Grype и Trivy, keyless-подписи Sigstore — cosign, GitHub Artifact Attestations, provenance уровня L3 — и капстоун — защищённый GitHub Actions-конвейер с risk-based гейтом уязвимостей, VEX-заявлениями и политикой зависимостей без авто-мержа.
Обнаружение атак в работающем кластере: то, что проскакивает мимо CI-гейтов — supply-chain-компромисс после скана, zero-day, утёкший токен, kubectl exec в прод-под. Вы научитесь писать правила Falco для syscall-событий и K8s-метаданных, проверять их через falco --dry-run, отправлять алерты в Slack через Falcosidekick, блокировать reverse shell в реальном времени политиками Tetragon (detect-then-enforce), читать K8s audit-логи и описывать детекции переносимым форматом Sigma с автоконвертацией в Splunk SPL и Elastic Lucene через pySigma.
Политики безопасности как код: от Rego и Conftest в CI до admission-контроля Kyverno в Kubernetes-кластере. Вы научитесь превращать требования безопасности («никаких :latest, обязательные resource limits, никаких privileged-контейнеров») в исполняемый код с git-версионированием, PR-ревью и тестами, строить гейты для Terraform-планов и K8s-манифестов, проверять подписи образов (cosign) в момент деплоя и внедрять полный контур «PR - CI-гейт - admission - алерты» без войны с разработчиками.
С чего начать на HackAndFix: как устроена лаба, чем отличаются режимы Exploit и Fix, как запускать тесты. И главное — инструменты, которые понадобятся почти в каждой лабе: отправка HTTP-запросов из браузера, Insomnia, Kali Linux в виртуальной машине, curl и Burp Suite.