https://hackandfix.ru/ 2026-10-25 daily 1.0 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Hack & Fix — AppSec-практика https://hackandfix.ru/labs 2026-10-25 daily 0.9 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Каталог лабораторных Hack & Fix https://hackandfix.ru/paths 2026-10-25 weekly 0.9 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Пути практики Hack & Fix https://hackandfix.ru/blog 2026-05-20 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Блог Hack & Fix https://hackandfix.ru/about 2026-09-02 monthly 0.5 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/pricing 2026-09-02 monthly 0.6 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/roadmap 2026-09-02 monthly 0.4 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/how-it-works 2026-09-02 monthly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/contact 2026-09-02 monthly 0.4 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/ranks 2026-09-02 weekly 0.5 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/leaderboard 2026-09-02 daily 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/privacy 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/terms 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/offer 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/cookies 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/security 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/fz152 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/age 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/ip 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/legal/changelog 2026-10-24 monthly 0.3 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/labs/python/xss/python-flask-xss-stored-comments 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Stored XSS в комментариях к товарам Комментарии к товарам выводятся через |safe без санитизации. Укради сессию https://hackandfix.ru/labs/python/xss/python-flask-xss-reflected 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Reflected XSS в поиске магазина Поисковый запрос выводится через |safe фильтр Jinja2 без экранирования. Выполни https://hackandfix.ru/labs/python/xss/python-flask-xss-dom-fragment 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 DOM XSS через location.hash и innerHTML Клиентский JavaScript читает location.hash и вставляет через innerHTML без санитизации. Выполни https://hackandfix.ru/labs/python/xss/python-flask-xss-csp-nonce 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS + обход CSP через unsafe-inline Поисковый запрос выводится через |safe без экранирования, а CSP содержит unsafe-inline — https://hackandfix.ru/labs/python/xss/python-flask-xss-attribute-context 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS через атрибут (javascript: URL) XSS через javascript: URL-схему в атрибуте href. Jinja2 экранирует HTML-сущности, но не блокирует https://hackandfix.ru/labs/python/ssti/python-flask-ssti-rce 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: Report Template RCE Пользовательский шаблон отчёта рендерится через render_template_string() — SSTI позволяет https://hackandfix.ru/labs/python/ssti/python-flask-ssti-format-string 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: Format String Injection Форма восстановления пароля использует str.format() с пользовательским шаблоном — https://hackandfix.ru/labs/python/ssti/python-flask-ssti-blind 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Blind SSTI: Notification Templates Админ-шаблон email-уведомлений рендерится через render_template_string() — слепая SSTI через time-based https://hackandfix.ru/labs/python/ssti/python-flask-ssti-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: User Greeting Пользовательское приветствие рендерится через render_template_string() — SSTI позволяет читать https://hackandfix.ru/labs/python/ssrf/python-flask-ssrf-redirect 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF: Redirect Bypass Обработчик загрузки аватара проверяет IP начального URL, но requests.get() автоматически https://hackandfix.ru/labs/python/ssrf/python-flask-ssrf-cloud-metadata 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF: Cloud Metadata Bypass SSRF-защита проверяет is_loopback но не is_link_local — доступ к cloud metadata 169.254.169.254. https://hackandfix.ru/labs/python/ssrf/python-flask-ssrf-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF: Fetch Avatar Обработчик загрузки аватара делает HTTP-запрос по пользовательскому URL без валидации — https://hackandfix.ru/labs/python/sql-injection/python-flask-sqli-waf-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: WAF Bypass Обход WAF с чёрным списком SQL-ключевых слов для эксплуатации SQL-инъекции в форме логина. https://hackandfix.ru/labs/python/sql-injection/python-flask-sqli-union 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: UNION SELECT Извлечение данных из БД через UNION SELECT в поиске каталога Flask-приложения. https://hackandfix.ru/labs/python/sql-injection/python-flask-sqli-second-order 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Second-Order SQL-инъекция второго порядка: payload сохраняется при регистрации и срабатывает при https://hackandfix.ru/labs/python/sql-injection/python-flask-sqli-blind-time 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Time-based Blind Извлечение данных через Time-based Blind SQLi в форме восстановления пароля Flask-приложения. https://hackandfix.ru/labs/python/sql-injection/python-flask-sqli-blind-boolean 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Boolean-based Blind Извлечение данных через Boolean-based Blind SQLi в эндпоинте проверки купонов. https://hackandfix.ru/labs/python/sql-injection/python-flask-sqli-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Auth Bypass Обход авторизации через SQL-инъекцию в форме логина Flask-приложения. https://hackandfix.ru/labs/python/race-condition/python-flask-promo-race 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Promo Code Race Состояние гонки при активации промокодов (Python). https://hackandfix.ru/labs/python/path-traversal/python-flask-path-traversal-proc 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: /proc Leak Обработчик скачивания файлов не блокирует /proc/self/environ — утечка секретов через https://hackandfix.ru/labs/python/path-traversal/python-flask-path-traversal-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: Normpath Bypass Обработчик использует os.path.normpath() до конкатенации, что не предотвращает выход за https://hackandfix.ru/labs/python/path-traversal/python-flask-path-traversal-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: Базовый обход директорий Классическая уязвимость Path Traversal через os.path.join() без проверки выхода за пределы базовой https://hackandfix.ru/labs/python/path-traversal/python-flask-path-traversal-absolute 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: Absolute Path Обработчик скачивания файлов проверяет только '..' в пути, но не блокирует абсолютные https://hackandfix.ru/labs/python/auth-bypass/python-flask-jwt-weak-secret 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: Weak Secret JWT подписан слабым секретом — подберите его через brute-force и подделайте токен https://hackandfix.ru/labs/python/auth-bypass/python-flask-jwt-none-algorithm 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: None Algorithm Attack Сервер принимает JWT с alg:none и доверяет роли из claims — подделайте токен для получения прав https://hackandfix.ru/labs/python/auth-bypass/python-flask-jwt-key-confusion 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: Key Confusion (RS256 to HS256) Сервер подписывает JWT через RS256, но не проверяет алгоритм при валидации. Атакующий https://hackandfix.ru/labs/python/info-disclosure/python-flask-info-error-message 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Information Disclosure: Утечка через Stack Trace Ошибки сервера возвращают полные stack traces с путями файлов, SQL-схемой и переменными. https://hackandfix.ru/labs/python/info-disclosure/python-flask-info-debug-mode 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Information Disclosure: Flask Debug Mode Flask запущен с debug=True. Через Werkzeug debugger можно получить переменные окружения. https://hackandfix.ru/labs/python/info-disclosure/python-flask-info-backup-files 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Information Disclosure: Утечка через backup-файлы Статическая директория содержит backup-файлы с конфиденциальными данными. Найдите https://hackandfix.ru/labs/python/idor/python-flask-idor-vertical 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Вертикальная эскалация привилегий Админ-эндпоинты проверяют аутентификацию, но не роль пользователя. https://hackandfix.ru/labs/python/idor/python-flask-idor-uuid 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Перебор заказов по последовательным ID Заказы используют последовательные целочисленные ID без проверки владельца. https://hackandfix.ru/labs/python/idor/python-flask-idor-mass-assignment 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Mass Assignment — эскалация через JSON API-эндпоинт обновления профиля принимает все JSON-поля, включая role. https://hackandfix.ru/labs/python/idor/python-flask-idor-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Доступ к чужому счёту Эндпоинт просмотра счёта не проверяет владельца. Получи данные чужого счёта. https://hackandfix.ru/labs/python/file-upload/python-flask-file-upload-webshell 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: Webshell через загрузку в templates/ Загрузка документов сохраняет файлы в директорию templates/ без проверки содержимого. https://hackandfix.ru/labs/python/file-upload/python-flask-file-upload-content-type 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: обход проверки расширения через Content-Type Загрузчик изображений проверяет расширение файла, но не его содержимое. HTML-файл, https://hackandfix.ru/labs/python/file-upload/python-flask-file-upload-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: Path Traversal в имени файла Загрузка аватара без санитизации имени файла позволяет перезаписать серверные https://hackandfix.ru/labs/python/deserialization/python-flask-yaml-unsafe 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Insecure Deserialization: YAML Unsafe Load https://hackandfix.ru/labs/python/deserialization/python-flask-pickle-rce 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Insecure Deserialization: Pickle RCE https://hackandfix.ru/labs/python/deserialization/python-flask-deserialize-json-class 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Insecure Deserialization: JSON Class Markers https://hackandfix.ru/labs/python/csrf/python-flask-csrf-samesite 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: SameSite=Lax Bypass через GET-запрос (Flask) Endpoint смены email доступен через GET. SameSite=Lax не защищает от top-level GET navigation — измени email admin https://hackandfix.ru/labs/python/csrf/python-flask-csrf-referer-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Обход проверки Referer (Flask) Приложение проверяет Referer как защиту от CSRF, но проверка некорректна — атакующий может https://hackandfix.ru/labs/python/csrf/python-flask-csrf-json-api 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: JSON API без кастомного заголовка (Flask) JSON API endpoint /api/profile не требует кастомного заголовка X-Requested-With. Смени пароль admin через https://hackandfix.ru/labs/python/csrf/python-flask-csrf-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Несанкционированное действие через поддельный запрос (Flask) Форма администратора не защищена CSRF-токеном. Заставь бота выполнить действие от имени https://hackandfix.ru/labs/python/command-injection/python-flask-cmd-injection-eval 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: eval() Injection Калькулятор на e-commerce сайте вычисляет выражения через eval(), позволяя любому https://hackandfix.ru/labs/python/command-injection/python-flask-cmd-injection-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: Обход Blacklist WAF Функция ping защищена blacklist-фильтром, блокирующим пробелы и ключевые слова. Фильтр https://hackandfix.ru/labs/python/command-injection/python-flask-cmd-injection-blind 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: Слепая инъекция команд (Timing-based) API сетевой диагностики выполняет команду shell, но не возвращает вывод. Уязвимость https://hackandfix.ru/labs/python/auth-bypass/python-flask-auth-weak-password 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Слабая Парольная Политика Регистрация принимает любой пароль без проверки сложности. Пароль администратора — https://hackandfix.ru/labs/python/command-injection/python-flask-cmd-injection-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: Базовая инъекция команд Панель администратора содержит функцию ping, передающую ввод напрямую в os.popen() без https://hackandfix.ru/labs/python/auth-bypass/python-flask-auth-timing-attack 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Timing-атака на форму входа Обработчик входа раскрывает существование пользователей через разницу во времени https://hackandfix.ru/labs/python/auth-bypass/python-flask-auth-bruteforce 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Брутфорс Формы Входа (Нет Rate Limiting) Форма входа не ограничивает количество попыток, позволяя подобрать пароль https://hackandfix.ru/labs/python/access-control/python-flask-acl-url-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Access Control: Обход проверки через регистр URL Middleware проверяет доступ к /admin по точному совпадению. Обойдите проверку, изменив регистр https://hackandfix.ru/labs/python/access-control/python-flask-acl-horizontal 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Access Control: Горизонтальная эскалация через API API-эндпоинт /api/users/<id>/notes не проверяет владельца. Получите заметки администратора. https://hackandfix.ru/labs/python/access-control/python-flask-acl-forced-browsing 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Access Control: Forced Browsing — открытая админ-панель Административные страницы доступны без аутентификации. Перейдите напрямую и получите https://hackandfix.ru/labs/php/xss/php-xss-stored-comments 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Stored XSS в комментариях к товару Комментарии к товарам выводятся без экранирования — Stored XSS позволяет украсть cookie https://hackandfix.ru/labs/php/xss/php-xss-reflected 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Reflected XSS в поиске товаров Поисковый запрос отображается на странице без экранирования, позволяя выполнить https://hackandfix.ru/labs/php/xss/php-xss-dom-fragment 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 DOM XSS через URL-фрагмент JavaScript читает location.hash и вставляет значение через innerHTML — DOM XSS без участия сервера. https://hackandfix.ru/labs/php/xss/php-xss-attribute-context 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS в HTML-атрибуте (Attribute Context) Пользовательский URL выводится в атрибуте href без валидации схемы — javascript: выполняется https://hackandfix.ru/labs/php/type-juggling/php-type-juggling-strcmp 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Type Juggling: ошибочная интерпретация strcmp() На PHP 8.2 эндпоинт /promo приводит ввод к строке, но принимает `strcmp(...) < 1`: любой https://hackandfix.ru/labs/php/type-juggling/php-type-juggling-json 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Type Juggling: JSON-аутентификация с loose comparison JSON-API логина сравнивает пароль с хешем через loose == . В БД хранится хеш-строка вида 0e830... https://hackandfix.ru/labs/php/type-juggling/php-type-juggling-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Type Juggling: Magic Hash Collision API-логин через токен использует loose comparison (==) между md5-хэшами. Magic hash вида 0e[0-9]+ https://hackandfix.ru/labs/php/ssti/php-ssti-twig 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: Twig createTemplate() Injection Пользовательский ввод передаётся в Twig createTemplate(), что позволяет выполнить произвольный https://hackandfix.ru/labs/php/ssti/php-ssti-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: Server-Side Template Injection via eval() Greeting template executed via eval() allows arbitrary PHP code injection. https://hackandfix.ru/labs/php/ssrf/php-ssrf-redirect 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF через обход проверки IP с помощью HTTP-редиректа Приложение проверяет IP адрес при первом запросе, но cURL автоматически следует https://hackandfix.ru/labs/php/ssrf/php-ssrf-cloud-metadata 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF к облачным метаданным через обход проверки IP Приложение блокирует только loopback-адреса, но не link-local 169.254.169.254 — атакующий читает https://hackandfix.ru/labs/php/ssrf/php-ssrf-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF через file_get_contents() в загрузке аватара Приложение загружает аватар по URL без проверки — атакующий может обратиться к https://hackandfix.ru/labs/php/sql-injection/php-sqli-waf-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection — обход WAF blacklist WAF с blacklist-фильтром блокирует SQL-ключевые слова, но обходится через mixed case. https://hackandfix.ru/labs/php/sql-injection/php-sqli-union 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 UNION SQL Injection в поиске каталога UNION-based SQL-инъекция через поиск товаров позволяет извлечь данные из таблицы https://hackandfix.ru/labs/php/sql-injection/php-sqli-second-order 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Second-Order SQL Injection через профиль пользователя Имя из БД подставляется в SQL через конкатенацию — Second-Order SQLi. https://hackandfix.ru/labs/php/sql-injection/php-sqli-blind-boolean 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Boolean-based Blind SQL Injection через cookie купона Значение купона из cookie подставляется в SQL-запрос без параметризации, позволяя извлечь https://hackandfix.ru/labs/php/sql-injection/php-sqli-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection в форме входа Обход аутентификации через SQL-инъекцию в форме логина. https://hackandfix.ru/labs/php/race-condition/php-promo-race 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Promo Code Race Состояние гонки при активации промокодов (PHP). https://hackandfix.ru/labs/php/path-traversal/php-path-traversal-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal через обход нормализации пути Нормализация пути применяется ДО конкатенации с базовым каталогом — https://hackandfix.ru/labs/php/path-traversal/php-path-traversal-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal в загрузке файлов Обход пути через параметр file в эндпоинте загрузки файлов (PHP). https://hackandfix.ru/labs/php/path-traversal/php-path-traversal-absolute 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: абсолютные пути обходят blacklist Сервер фильтрует '..' в запросах на скачивание, но не проверяет абсолютные пути — можно https://hackandfix.ru/labs/php/auth-bypass/php-jwt-weak-secret 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: Weak Secret JWT подписан слабым секретом — подберите его через brute-force и подделайте токен https://hackandfix.ru/labs/php/auth-bypass/php-jwt-key-confusion 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: Key Confusion (RS256 to HS256) Сервер подписывает JWT через RS256, но при валидации читает алгоритм из заголовка токена. https://hackandfix.ru/labs/php/auth-bypass/php-jwt-auth-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: None Algorithm Attack Сервер принимает JWT с алгоритмом none — подделайте токен без подписи и получите права https://hackandfix.ru/labs/php/idor/php-idor-vertical 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Vertical IDOR: Доступ к админ-панели без проверки роли Admin-эндпоинты /admin/stats и /admin/users/delete защищены только аутентификацией, но не авторизацией. https://hackandfix.ru/labs/php/idor/php-idor-uuid 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Predictable Order IDs Заказы используют последовательные integer ID. Атакующий перебирает ID и просматривает https://hackandfix.ru/labs/php/idor/php-idor-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Просмотр чужих инвойсов Эндпоинт /invoice?id=N возвращает инвойс без проверки владельца. Атакующий перебирает ID и https://hackandfix.ru/labs/php/file-upload/php-file-upload-htaccess 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 .htaccess Upload — RCE через перезапись конфигурации Apache Загрузка .htaccess позволяет выполнять PHP-код внутри файлов с произвольным расширением. https://hackandfix.ru/labs/php/file-upload/php-file-upload-content-type 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: Content-Type Bypass Загрузка файлов проверяет только расширение, но не содержимое. Атакующий может https://hackandfix.ru/labs/php/file-upload/php-file-upload-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: Path Traversal через имя файла Загрузка аватара использует оригинальное имя файла без санитизации. Подмени filename в https://hackandfix.ru/labs/php/file-inclusion/php-rfi-remote 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Remote File Inclusion через include() с allow_url_include Параметр page передаётся в include() при включённом allow_url_include — атакующий загружает и https://hackandfix.ru/labs/php/file-inclusion/php-lfi-php-filter 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 LFI через PHP stream wrappers (php://filter) Наивная фильтрация ../ не блокирует php://filter — атакующий читает исходники PHP-файлов в base64. https://hackandfix.ru/labs/php/file-inclusion/php-lfi-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Local File Inclusion через include() Параметр file передаётся напрямую в include() без валидации — атакующий читает произвольные https://hackandfix.ru/labs/php/deserialization/php-deserialize-pop-chain 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Deserialization: POP-цепочка → RCE через file write unserialize() без allowed_classes + классы с magic-методами (__destruct, __toString) позволяют собрать POP-цепочку, https://hackandfix.ru/labs/php/deserialization/php-deserialize-phar 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP Deserialization: Phar RCE через Phar::getMetadata() Эндпоинт просмотра инвойсов пытается «прочитать структурированные метаданные» и https://hackandfix.ru/labs/php/deserialization/php-deserialize-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Deserialization: unserialize() без allowed_classes Cookie user_prefs десериализуется через unserialize() — подделайте объект с магическим __wakeup() и https://hackandfix.ru/labs/php/csrf/php-csrf-samesite-get 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: SameSite=Lax Bypass через GET-запрос Критичное действие смены пароля выполняется через GET-запрос. SameSite=Lax не защищает от https://hackandfix.ru/labs/php/csrf/php-csrf-json-api 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: JSON API без кастомного заголовка (PHP) JSON-endpoint /api/profile принимает state-changing запрос без проверки CSRF-токена и кастомного заголовка https://hackandfix.ru/labs/php/csrf/php-csrf-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Активация распродажи без токена Админ-эндпоинт активации распродажи не проверяет CSRF-токен. Заставь бота выполнить https://hackandfix.ru/labs/php/command-injection/php-cmd-injection-eval 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Code Injection через eval() в PHP-калькуляторе Пользовательский ввод передаётся в eval(), позволяя выполнить произвольный PHP-код. https://hackandfix.ru/labs/php/command-injection/php-cmd-injection-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: обход blacklist-фильтра WAF Админ-панель содержит функцию ping с blacklist-фильтром (пробел, ;, cat, flag). Фильтр обходится https://hackandfix.ru/labs/php/command-injection/php-cmd-injection-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: Базовая инъекция команд Панель администратора содержит функцию ping, передающую ввод напрямую в shell без https://hackandfix.ru/labs/php/auth-bypass/php-auth-weak-password 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Weak Password Policy Регистрация принимает любой пароль без проверки сложности, что позволяет dictionary attack на https://hackandfix.ru/labs/php/auth-bypass/php-auth-timing-attack 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Timing-атака на форму входа (PHP) Обработчик входа раскрывает существование пользователей через разницу во времени https://hackandfix.ru/labs/php/auth-bypass/php-auth-login-bruteforce 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Login Bruteforce Эндпоинт логина не ограничивает количество попыток аутентификации, позволяя https://hackandfix.ru/labs/nodejs/xss/nodejs-xss-stored-comments 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Stored XSS в комментариях к товарам (Node.js) Комментарии к товарам рендерятся через nunjucks-фильтр |safe без санитайзинга. Укради сессию https://hackandfix.ru/labs/nodejs/xss/nodejs-xss-reflected 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Reflected XSS в поиске Node.js Поисковый запрос выводится через |safe фильтр Nunjucks без экранирования. Выполни https://hackandfix.ru/labs/nodejs/xss/nodejs-express-xss-dom-fragment 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 DOM XSS через location.hash и innerHTML (Express) Клиентский JavaScript на странице каталога читает фрагмент URL (location.hash) и вставляет его https://hackandfix.ru/labs/nodejs/xss/nodejs-xss-csp-nonce 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS + обход CSP через unsafe-inline (Node.js) Поисковый запрос выводится через |safe без экранирования, а CSP содержит unsafe-inline — https://hackandfix.ru/labs/nodejs/xss/nodejs-xss-attribute-context 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS через атрибут (javascript: URL) в Node.js XSS через javascript: URL-схему в атрибуте href. Nunjucks экранирует HTML-сущности, но не блокирует https://hackandfix.ru/labs/nodejs/ssti/nodejs-ssti-pug 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: Pug Template Engine в Express Профиль SecureShop рендерит пользовательское приветствие через pug.render() — SSTI в https://hackandfix.ru/labs/nodejs/ssti/nodejs-ssti-ejs 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: внедрение JavaScript-кода в EJS-шаблон Server-Side Template Injection в Express + EJS: пользовательский ввод используется как сам EJS-шаблон, что https://hackandfix.ru/labs/nodejs/ssti/nodejs-ssti-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI: User Greeting Пользовательское приветствие в SecureShop рендерится через nunjucks.renderString() — SSTI позволяет https://hackandfix.ru/labs/nodejs/ssrf/nodejs-ssrf-redirect 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF: Обход проверки URL через HTTP-редирект в Node.js Админ-форма импорта продуктового фида проверяет hostname URL и отвергает loopback и приватные https://hackandfix.ru/labs/nodejs/ssrf/nodejs-ssrf-cloud-metadata 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF: эксфильтрация облачных credentials через метаданные SSRF в /fetch-url без блокировки link-local адресов — IMDS отдаёт IAM credentials. https://hackandfix.ru/labs/nodejs/ssrf/nodejs-ssrf-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF: Fetch Avatar в Express + better-sqlite3 Обработчик загрузки аватара в Express делает fetch по пользовательскому URL без валидации — https://hackandfix.ru/labs/nodejs/sql-injection/nodejs-sqli-waf-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: WAF Bypass Обход WAF с чёрным списком SQL-ключевых слов для эксплуатации SQL-инъекции в форме логина https://hackandfix.ru/labs/nodejs/sql-injection/nodejs-sqli-union 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: UNION SELECT через поиск каталога Извлечение данных из таблицы users через UNION-based SQL injection в поиске каталога Express-приложения. https://hackandfix.ru/labs/nodejs/sql-injection/nodejs-sqli-second-order 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Second-Order через сохранённый username профиля Second-order SQL injection: вредоносный username безопасно сохраняется при регистрации, но https://hackandfix.ru/labs/nodejs/sql-injection/nodejs-sqli-blind-boolean 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Boolean-based Blind (Node.js) Извлечение секрета через Boolean-based Blind SQLi в эндпоинте проверки купонов. https://hackandfix.ru/labs/nodejs/sql-injection/nodejs-sqli-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Обход аутентификации в Express Обход аутентификации через классическую SQL-инъекцию в форме логина Express + better-sqlite3. https://hackandfix.ru/labs/nodejs/regex-dos/nodejs-redos-validation 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 ReDoS: catastrophic backtracking в URL-валидаторе профиля Express SecureShop валидирует адрес персонального сайта пользователя через регулярное https://hackandfix.ru/labs/nodejs/regex-dos/nodejs-redos-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 ReDoS: catastrophic backtracking в проверке email профиля Сервис ProfileGuard валидирует email пользователя на стороне сервера через регулярное https://hackandfix.ru/labs/nodejs/race-condition/nodejs-express-promo-race 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Race Condition: Гонка при активации промокода в Express Эндпоинт активации промокода в Express + better-sqlite3 содержит TOCTOU между проверкой счётчика и https://hackandfix.ru/labs/nodejs/prototype-pollution/nodejs-prototype-pollution-gadget 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Prototype Pollution → RCE через гаджет в EJS Админ-панель SecureShop рекурсивно сливает JSON-патч предпочтений с in-memory объектом, что https://hackandfix.ru/labs/nodejs/prototype-pollution/nodejs-prototype-pollution-dos 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Prototype Pollution: загрязнение Object.prototype приводит к DoS публичных эндпоинтов Express-эндпоинт POST /profile/settings делает рекурсивный merge JSON-объекта в per-user настройки без https://hackandfix.ru/labs/nodejs/prototype-pollution/nodejs-prototype-pollution-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Prototype Pollution: загрязнение Object.prototype через recursive merge Эндпоинт обновления пользовательских настроек в Express делает recursive merge тела запроса без https://hackandfix.ru/labs/nodejs/path-traversal/nodejs-path-traversal-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: Обход naive blacklist-фильтра в Express Эндпоинт скачивания файлов фильтрует путь через replace('../', '') без флага /g — фильтр https://hackandfix.ru/labs/nodejs/path-traversal/nodejs-path-traversal-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: Базовый обход директорий в Express Классическая Path Traversal в Express через fs.readFileSync(path.join(base, userInput)) без проверки выхода за https://hackandfix.ru/labs/nodejs/path-traversal/nodejs-path-traversal-absolute 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal: чтение произвольных файлов через абсолютный путь Эндпоинт скачивания изображений склеивает имя файла с базовой директорией через https://hackandfix.ru/labs/nodejs/auth-bypass/nodejs-jwt-weak-secret 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: подбор слабого секрета и подделка admin-токена Сервер подписывает JWT слабым секретом из словаря. Получив один валидный токен, https://hackandfix.ru/labs/nodejs/auth-bypass/nodejs-jwt-key-confusion 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: Key Confusion (RS256 to HS256) на jsonwebtoken Express-приложение подписывает JWT через RS256 и публикует RSA публичный ключ через https://hackandfix.ru/labs/nodejs/auth-bypass/nodejs-jwt-auth-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT alg:none — обход аутентификации без подписи Сервер принимает JWT с alg:none и доверяет роли из claims — подделайте токен для получения прав https://hackandfix.ru/labs/nodejs/idor/nodejs-idor-vertical 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Вертикальная эскалация привилегий в Express Админ-эндпоинты Express проверяют наличие сессии, но не роль пользователя. Любой https://hackandfix.ru/labs/nodejs/idor/nodejs-idor-uuid 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: предсказание UUID v1 по таймстампу Заказы интернет-магазина идентифицируются UUID v1 (timestamp + MAC + clock_seq). Все заказы созданы https://hackandfix.ru/labs/nodejs/idor/nodejs-idor-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Доступ к чужому счёту в Express Эндпоинт просмотра счёта в Express + better-sqlite3 не проверяет владельца ресурса. Получи доступ https://hackandfix.ru/labs/nodejs/file-upload/nodejs-file-upload-content-type 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: обход проверки через подделку Content-Type Загрузчик изображений товара доверяет MIME-типу, который пришёл в заголовке Content-Type https://hackandfix.ru/labs/nodejs/file-upload/nodejs-file-upload-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: Path Traversal в имени файла (Express + busboy) Загрузка аватара без санитизации имени файла позволяет перезаписать серверные https://hackandfix.ru/labs/nodejs/csrf/nodejs-csrf-samesite-get 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: SameSite=Lax обходится через GET (Express) Эндпоинт смены email реализован через GET. SameSite=Lax не защищает top-level navigation — измени email https://hackandfix.ru/labs/nodejs/csrf/nodejs-express-csrf-json-api 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: JSON API без проверки происхождения запроса (Express) JSON API /api/profile на Express принимает запросы без CSRF-токена и без проверки кастомного https://hackandfix.ru/labs/nodejs/csrf/nodejs-csrf-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Несанкционированное действие через поддельный запрос (Express) Форма администратора не защищена CSRF-токеном. Заставь бота выполнить действие от имени https://hackandfix.ru/labs/nodejs/command-injection/nodejs-cmd-injection-eval 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Code Injection: eval() в Node.js калькуляторе Веб-калькулятор вычисляет пользовательские выражения через eval(). Это даёт атакующему https://hackandfix.ru/labs/nodejs/command-injection/nodejs-cmd-injection-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: Обход Blacklist-фильтра в Node.js Функция ping в админ-панели защищена blacklist-фильтром, блокирующим пробелы и ключевые https://hackandfix.ru/labs/nodejs/command-injection/nodejs-cmd-injection-blind 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Blind Command Injection: time-based инъекция без вывода в Node.js API сетевой диагностики Express выполняет ping через child_process.exec, но вывод не возвращается https://hackandfix.ru/labs/nodejs/command-injection/nodejs-cmd-injection-basic 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Command Injection: Базовая инъекция команд в Node.js Панель администратора содержит инструмент диагностики сети, передающий ввод напрямую https://hackandfix.ru/labs/nodejs/auth-bypass/nodejs-auth-weak-password 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Слабая Парольная Политика Регистрация принимает любой пароль без проверки сложности. Пароль администратора — https://hackandfix.ru/labs/nodejs/auth-bypass/nodejs-auth-timing-attack 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Timing-атака на форму входа Обработчик входа раскрывает существование пользователей через разницу во времени https://hackandfix.ru/labs/nodejs/auth-bypass/nodejs-auth-login-bruteforce 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Брутфорс Формы Входа (Нет Rate Limiting) — Node.js Форма входа Express-приложения не ограничивает количество попыток, позволяя подобрать https://hackandfix.ru/labs/nodejs/access-control/nodejs-acl-url-bypass 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Access Control: обход URL-проверки через вариации пути Middleware проверяет доступ к /admin по точному совпадению префикса. Обойдите проверку, https://hackandfix.ru/labs/nodejs/access-control/nodejs-acl-horizontal 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Access Control: Горизонтальная эскалация через API в Express API-эндпоинт /api/users/:user_id/notes не проверяет владельца. Получите заметки администратора. https://hackandfix.ru/labs/nodejs/access-control/nodejs-acl-forced-browsing 2026-10-25 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Access Control: Forced Browsing — скрытая админ-панель Административные страницы доступны без аутентификации. Перейдите напрямую и получите https://hackandfix.ru/labs/golang/xss/golang-go-xss-stored-comments 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Stored XSS в комментариях к товарам Комментарии к товарам хранятся без санитаризации и отображаются как HTML. Укради сессию https://hackandfix.ru/labs/golang/xss/golang-go-xss-reflected 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Reflected XSS в поиске магазина Поисковый запрос отражается в HTML без экранирования. Выполни произвольный JS в https://hackandfix.ru/labs/golang/xss/golang-go-xss-dom-fragment 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 DOM XSS через URL-фрагмент (location.hash) JavaScript на странице каталога читает location.hash и вставляет его в DOM через innerHTML. Укради https://hackandfix.ru/labs/golang/xss/golang-go-xss-csp-nonce 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS при слабой CSP (unsafe-inline) Reflected XSS эксплуатируется благодаря CSP с 'unsafe-inline'. Исправление требует nonce-based CSP. https://hackandfix.ru/labs/golang/xss/golang-go-xss-attribute-context 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 XSS через атрибут (javascript: URL) XSS через javascript: URL-схему в атрибуте href. Go html/template экранирует HTML, но пропускает опасные https://hackandfix.ru/labs/golang/websocket-security/golang-go-websocket-injection 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 WebSocket Message Injection (XSS via innerHTML) WebSocket chat broadcasts unsanitized messages. Client renders via innerHTML, enabling XSS. https://hackandfix.ru/labs/golang/websocket-security/golang-go-websocket-auth-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 WebSocket Security: Угон сокета (CSWSH) Сервер открывает WebSocket-соединение для отправки приватных уведомлений, но забывает https://hackandfix.ru/labs/golang/ssti/golang-go-ssti-email 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSTI Email: Инъекция шаблона в email-сообщение SSTI-уязвимость: пользовательский ввод передаётся в template.Parse(), позволяя читать серверные https://hackandfix.ru/labs/golang/ssti/golang-go-ssti-basic 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Basic SSTI: Кастомное приветствие Утечка конфиденциальных данных из контекста страницы через небезопасную обработку https://hackandfix.ru/labs/golang/ssti/golang-go-ssti-advanced 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Advanced SSTI: Вызов методов и доступ к контексту Эксплуатация SSTI через вызов методов объектов в контексте шаблона. https://hackandfix.ru/labs/golang/ssrf/golang-go-ssrf-redirect 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF Redirect: Обход валидации через HTTP-редирект SSRF-уязвимость: валидация URL обходится через HTTP-редирект на внутренний адрес. https://hackandfix.ru/labs/golang/ssrf/golang-go-ssrf-cloud-metadata 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SSRF Cloud Metadata: Доступ к метаданным облака SSRF-уязвимость: неполная фильтрация IP позволяет обратиться к link-local адресу облачных https://hackandfix.ru/labs/golang/ssrf/golang-go-ssrf-bypass 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Bypass SSRF: Обход фильтров хоста SSRF с обходом слабого фильтра хоста в URL и эксплуатация через альтернативные IP-адреса. https://hackandfix.ru/labs/golang/ssrf/golang-go-ssrf-basic 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Basic SSRF: Доступ к админке Простая SSRF-уязвимость, позволяющая получить доступ к внутренним ресурсам сервера. https://hackandfix.ru/labs/golang/sql-injection/golang-go-sqli-waf-bypass 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Обход WAF через mixed case Case-sensitive blacklist SQL keywords обходится через смешанный регистр (uNiOn, sElEcT) https://hackandfix.ru/labs/golang/sql-injection/golang-go-sqli-second-order 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection: Second-Order (хранимая инъекция) Payload сохраняется в БД через безопасный INSERT, но выполняется в другом запросе через https://hackandfix.ru/labs/golang/sql-injection/golang-go-sqli-union 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Union-Based SQL Injection Получение пароля администратора с использованием UNION SELECT https://hackandfix.ru/labs/golang/sql-injection/golang-go-sqli-blind-time 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Time-Based Blind SQL Injection Эксплуатация слепой SQL-инъекции, основанной на задержках времени ответа (Time-Based) в SQLite. https://hackandfix.ru/labs/golang/sql-injection/golang-go-sqli-blind-boolean 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Blind Boolean SQL Injection Слепая Boolean-based SQL-инъекция через Cookie купона https://hackandfix.ru/labs/golang/sql-injection/golang-go-sqli-basic 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL Injection (Auth Bypass) Обход авторизации с использованием SQL Injection https://hackandfix.ru/labs/golang/race-condition/golang-go-race-condition-basic 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Promo Code Race Состояние гонки при активации промокодов. https://hackandfix.ru/labs/golang/race-condition/golang-go-race-balance 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Race Condition: Double-spend баланса Race condition: чтение и списание баланса без транзакции позволяет двойную трату при https://hackandfix.ru/labs/golang/path-traversal/golang-go-path-traversal-proc 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal (Чтение окружения) Выход из каталога изображений и чтение окружения процесса через procfs. https://hackandfix.ru/labs/golang/path-traversal/golang-go-path-traversal-double-encode 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal через двойное URL-кодирование Обработчик скачивания файлов применяет filepath.Clean ДО URL-декодирования. Двойное https://hackandfix.ru/labs/golang/path-traversal/golang-go-path-traversal-bypass 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal (Иллюзия filepath.Clean) Обход неумелого использования функции filepath.Clean. https://hackandfix.ru/labs/golang/path-traversal/golang-go-path-traversal-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal (Базовый) Классическая уязвимость Path Traversal через os.Open. https://hackandfix.ru/labs/golang/path-traversal/golang-go-path-traversal-absolute 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Path Traversal через абсолютный путь Обработчик скачивания файлов проверяет только '..' в пути, но не блокирует абсолютные https://hackandfix.ru/labs/golang/auth-bypass/golang-go-jwt-weak-secret 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT: Подбор слабого секретного ключа Приложение подписывает JWT токеном HMAC-SHA256 со слабым ключом. Подбери секрет и подделай https://hackandfix.ru/labs/golang/auth-bypass/golang-go-jwt-key-confusion 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT Key Confusion (RS256 to HS256) JWT RS256/HS256 key confusion: the server exposes the public key and doesn't enforce the signing algorithm, allowing token forgery via algorithm switch. https://hackandfix.ru/labs/golang/auth-bypass/golang-go-jwt-auth-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT Authentication: Взлом слабой криптографии В этой лаборатории сервер использует JWT для авторизации, но совершает сразу две https://hackandfix.ru/labs/golang/info-disclosure/golang-go-info-error-message 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Утечка данных через сообщения об ошибках Подробные сообщения об ошибках раскрывают структуру БД https://hackandfix.ru/labs/golang/info-disclosure/golang-go-info-debug-endpoint 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Information Disclosure: Открытый debug-эндпоинт Debug-эндпоинт раскрывает переменные окружения и список пользователей без https://hackandfix.ru/labs/golang/info-disclosure/golang-go-info-backup-files 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Information Disclosure: Утечка через файлы бэкапов FileServer раздаёт .env и .bak файлы из корня проекта https://hackandfix.ru/labs/golang/idor/golang-go-idor-vertical 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Вертикальная эскалация привилегий Админ-эндпоинты /admin/stats и /admin/users/delete проверяют аутентификацию, но не авторизацию. Любой https://hackandfix.ru/labs/golang/idor/golang-go-idor-uuid 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Перебор заказов по последовательным ID Заказы используют последовательные целочисленные ID. Эндпоинт /order/{id} не проверяет https://hackandfix.ru/labs/golang/idor/golang-go-idor-mass-assignment 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Mass Assignment — эскалация привилегий через профиль Эндпоинт обновления профиля принимает JSON и записывает все поля, включая role. Отправь https://hackandfix.ru/labs/golang/idor/golang-go-idor-basic 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 IDOR: Доступ к чужому счету Эндпоинт просмотра счета не проверяет владельца. Получи флаг из счета другого https://hackandfix.ru/labs/golang/file-upload/golang-go-file-upload-double-ext 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload Bypass через двойное расширение Обработчик загрузки использует filepath.Ext() для проверки расширения, но эта функция https://hackandfix.ru/labs/golang/file-upload/golang-go-file-upload-content-type 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload Bypass через подмену Content-Type Обработчик загрузки файлов проверяет только расширение (.jpg, .png, .gif), но не реальное https://hackandfix.ru/labs/golang/file-upload/golang-go-file-upload-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 File Upload: Обход расширений и Path Traversal Сервер принимает файлы с расширением .jpg, но слепо доверяет имени файла из Content-Disposition. https://hackandfix.ru/labs/golang/csrf/golang-go-csrf-samesite-get 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: SameSite=Lax Bypass через GET-запрос Мутирующий эндпоинт смены email реализован через GET. SameSite=Lax не защищает от top-level https://hackandfix.ru/labs/golang/csrf/golang-go-csrf-referer-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Обход проверки Referer-заголовка Приложение использует проверку заголовка Referer вместо CSRF-токена. Обойди проверку и https://hackandfix.ru/labs/golang/csrf/golang-go-csrf-json-api 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Атака через JSON API без кастомных заголовков JSON API эндпоинт не требует кастомных заголовков. Используй CSRF для смены пароля admin через https://hackandfix.ru/labs/golang/csrf/golang-go-csrf-basic 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 CSRF: Несанкционированное действие через поддельный запрос Форма администратора не защищена CSRF-токеном. Заставь бота выполнить действие от имени https://hackandfix.ru/labs/golang/command-injection/golang-go-cmd-injection-bypass 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Bypass Filters: Строгий WAF Обход фильтрации пробелов и черного списка команд для RCE. https://hackandfix.ru/labs/golang/command-injection/golang-go-cmd-injection-blind 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Blind Command Injection через сетевую диагностику Обработчик сетевой диагностики передаёт пользовательский ввод в sh -c без фильтрации. https://hackandfix.ru/labs/golang/command-injection/golang-go-cmd-injection-basic 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Basic Command Injection: Сетевой пинг Простая OS Command Injection через инструмент сетевой диагностики в админ-панели. https://hackandfix.ru/labs/golang/command-injection/golang-go-cmd-injection-argument 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Argument Injection в архиваторе файлов Обработчик архивации файлов использует exec.Command без shell, но не фильтрует аргументы, https://hackandfix.ru/labs/golang/business-logic/golang-go-biz-price-manipulation 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Business Logic: Подмена цены в форме Checkout читает цену товара из скрытого поля формы вместо базы данных, позволяя подменить https://hackandfix.ru/labs/golang/business-logic/golang-go-biz-negative-quantity 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Business Logic: Отрицательное количество товаров Корзина магазина принимает отрицательное количество товаров, позволяя получить https://hackandfix.ru/labs/golang/business-logic/golang-go-biz-coupon-stacking 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Business Logic: Стек купонов Система купонов позволяет применять несколько купонов одновременно, суммируя скидки https://hackandfix.ru/labs/golang/auth-bypass/golang-go-auth-weak-password 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Слабые Пароли (Нет Валидации Сложности) Форма регистрации принимает любые пароли, включая однозначные. Аккаунт admin защищён https://hackandfix.ru/labs/golang/auth-bypass/golang-go-auth-timing-attack 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Timing Attack: Перечисление Пользователей Обработчик логина имеет разное время ответа для существующих и несуществующих https://hackandfix.ru/labs/golang/auth-bypass/golang-go-auth-login-bruteforce 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Брутфорс Формы Входа (Нет Rate Limiting) Форма входа не ограничивает количество попыток, позволяя подобрать пароль https://hackandfix.ru/labs/golang/auth-bypass/golang-go-auth-insecure-reset 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Небезопасный Сброс Пароля (IDOR) Форма сброса пароля принимает user_id из клиента, позволяя атакующему сбросить пароль https://hackandfix.ru/labs/golang/auth-bypass/golang-go-auth-cookies-bruteforce 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Предсказуемые Токены Сессии (MD5) Сессионные токены генерируются через MD5(username), что позволяет предсказать токен https://hackandfix.ru/labs/golang/api-security/golang-go-api-rate-limit 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 API Rate Limit: Brute-force логина без ограничений Отсутствие rate limiting на эндпоинте логина позволяет brute-force пароля администратора. https://hackandfix.ru/labs/golang/api-security/golang-go-api-mass-assignment 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 API Mass Assignment: Повышение привилегий через PUT encoding/json декодирует PUT-запрос в map[string]interface{}, а self-service switch ошибочно разрешает role наряду с https://hackandfix.ru/labs/golang/access-control/golang-go-acl-referer-bypass 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Referer Bypass: обход контроля доступа через подмену заголовка API-эндпоинт /api/admin/users проверяет заголовок Referer вместо роли пользователя. Атакующий https://hackandfix.ru/labs/golang/access-control/golang-go-acl-url-bypass 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 URL Case Bypass: обход проверки пути с помощью регистра Middleware проверяет путь с учётом регистра (strings.HasPrefix). Замена /admin на /Admin позволяет обойти https://hackandfix.ru/labs/golang/access-control/golang-go-acl-forced-browsing 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Forced Browsing: доступ к скрытому эндпоинту экспорта Административный эндпоинт /admin/export зарегистрирован без проверки роли — любой https://hackandfix.ru/labs/golang/access-control/golang-go-acl-horizontal 2026-10-24 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Horizontal Privilege Escalation: изменение профиля другого пользователя Обработчик обновления аватара принимает user_id из формы вместо сессии -- атакующий может https://hackandfix.ru/labs/golang/api-security/golang-go-api-bola 2026-10-23 weekly 0.8 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 API BOLA: Доступ к чужим заказам Broken Object Level Authorization (BOLA): API возвращает заказы любого пользователя по ID без проверки https://hackandfix.ru/paths/devsecops-supply-chain 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Supply Chain Security: SBOM, подписи, provenance Путь для опытных разработчиков и DevOps. Модель угроз цепочки поставки (кейс xz, EU CRA, SLSA, NIST https://hackandfix.ru/paths/devsecops-runtime-detection 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Runtime Detection: Falco, eBPF, Sigma Обнаружение атак в работающем кластере: то, что проскакивает мимо CI-гейтов — https://hackandfix.ru/paths/devsecops-policy-as-code 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Policy as Code: Rego, Conftest, Kyverno Политики безопасности как код: от Rego и Conftest в CI до admission-контроля Kyverno в Kubernetes-кластере. https://hackandfix.ru/paths/python-xss 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python XSS: Межсайтовый скриптинг в Flask Полный маршрут по XSS-уязвимостям в Python/Flask/Jinja2. От Reflected до DOM-based, от |safe фильтра до CSP с nonce. https://hackandfix.ru/paths/python-ssti 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python SSTI: от источника шаблона к доказанному риску Практический маршрут о границе между template source и данными: Jinja2, Python format strings, наблюдаемое https://hackandfix.ru/paths/python-ssrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python SSRF: Подделка серверных запросов в Flask Маршрут по SSRF-уязвимостям в Python/Flask. От базового requests.get до cloud metadata через redirect. 3 лабы с URL https://hackandfix.ru/paths/python-sqli 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python SQL Injection: От основ до Second-Order Полный маршрут по SQL-инъекциям в Python/Flask. Изучите механику атак от простого обхода https://hackandfix.ru/paths/python-path-traversal 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Path Traversal: Обход каталогов в Flask Маршрут по Path Traversal в Python/Flask. От базового ../ до /proc доступа. 4 лабы с os.path, pathlib и https://hackandfix.ru/paths/python-jwt 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python JWT: проверка токенов и границы доверия Проверка JWT в Python/Flask на примерах None Algorithm, Weak Secret и Key Confusion. Три лаборатории связывают https://hackandfix.ru/paths/python-information-disclosure 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Information Disclosure: Утечка информации в Flask Маршрут по утечкам информации в Python/Flask. Изучите опасность debug-режима, stack traces и https://hackandfix.ru/paths/python-idor 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Broken Access Control: IDOR, роли и свойства во Flask Практический маршрут о серверной авторизации во Flask: доступ к объектам, https://hackandfix.ru/paths/python-file-upload 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python File Upload: Атаки через загрузку файлов Полный маршрут по уязвимостям загрузки файлов в Python/Flask. Изучите обход расширений, https://hackandfix.ru/paths/python-deserialization 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Deserialization: данные, инструкции и границы доверия Практический маршрут о том, почему одни и те же bytes становятся данными или инструкциями https://hackandfix.ru/paths/python-csrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python CSRF: Межсайтовая подделка запросов в Flask Маршрут по CSRF-уязвимостям в Python/Flask. От базовой подделки форм до JSON API CSRF. 4 лабы с Flask-WTF, https://hackandfix.ru/paths/python-command-injection 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Command Injection: Инъекция команд в Flask Маршрут по инъекциям системных команд в Python/Flask. От os.system() до eval(), от фильтр-байпасов до https://hackandfix.ru/paths/python-auth 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Auth Security: Защита аутентификации Полный маршрут по уязвимостям аутентификации в Python/Flask. Изучите атаки brute force, слабые https://hackandfix.ru/paths/python-access-control 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Python Access Control: Контроль доступа в Flask Полный маршрут по уязвимостям контроля доступа в Python/Flask. Изучите Forced Browsing, https://hackandfix.ru/paths/php-xss 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP XSS: Reflected, Stored, DOM и Attribute Context Полный маршрут по межсайтовому скриптингу (XSS) в PHP Native. Разберём почему PHP не имеет https://hackandfix.ru/paths/php-type-juggling 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP Type Juggling: от происхождения значения до безопасного контракта Практический маршрут по PHP 8.2 о том, как транспорт сохраняет или меняет тип, как loose https://hackandfix.ru/paths/php-ssti 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP SSTI: граница между шаблоном и данными Практический маршрут о том, как недоверенная строка становится исполняемой https://hackandfix.ru/paths/php-ssrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP SSRF: file_get_contents, cURL и Cloud Metadata Маршрут по Server-Side Request Forgery в PHP Native. Разберём file_get_contents() с URL, cURL-запросы, allow_url_fopen, https://hackandfix.ru/paths/php-sqli 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP SQL Injection: От основ до Second-Order Фундаментальный маршрут по SQL-инъекциям в PHP Native. Изучите историю самой массовой https://hackandfix.ru/paths/php-path-traversal 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP Path Traversal: include, fopen и обходы Маршрут по Path Traversal в PHP Native. Разберём уязвимости include, fopen, file_get_contents с пользовательским https://hackandfix.ru/paths/php-jwt 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP JWT Security: None Algorithm, Weak Secret и Key Confusion Углублённый маршрут по безопасности JWT в PHP. Изучите структуру JWT, библиотеку firebase/php-jwt, https://hackandfix.ru/paths/php-idor 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP IDOR: Horizontal, UUID и Vertical Privilege Escalation Маршрут по Insecure Direct Object Reference в PHP Native. Разберём разницу между AuthN и AuthZ, горизонтальное https://hackandfix.ru/paths/php-file-upload 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP File Upload: Webshell, .htaccess и Content-Type Spoofing Маршрут по безопасности загрузки файлов в PHP. Изучите $_FILES, move_uploaded_file, атаки через webshell, https://hackandfix.ru/paths/php-file-inclusion 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP File Inclusion: LFI, php://filter и RFI Углублённый маршрут по уязвимостям включения файлов в PHP. Изучите механику include/require, https://hackandfix.ru/paths/php-deserialization 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP Deserialization: unserialize, POP-цепочки и phar:// Углублённый маршрут по десериализации в PHP — самой PHP-специфичной уязвимости. Изучите https://hackandfix.ru/paths/php-csrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP CSRF: Токены, SameSite и JSON API Маршрут по Cross-Site Request Forgery в PHP Native. Разберём механику CSRF-атак на PHP-сессии, защиту через https://hackandfix.ru/paths/php-command-injection 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP Command Injection: system(), exec() и eval() Маршрут по инъекциям команд ОС и кода в PHP Native. Разберём все функции выполнения команд https://hackandfix.ru/paths/php-auth 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 PHP Authentication: Brute Force, слабые пароли и Timing-атаки Маршрут по безопасности аутентификации в PHP. Изучите session_start, password_hash/verify, атаки https://hackandfix.ru/paths/nodejs-xss 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js XSS: контексты вывода и защита Разберите reflected, stored и DOM-based XSS в Node.js/Express, проследите путь данных и обоснуйте выбор https://hackandfix.ru/paths/nodejs-ssti 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js SSTI: EJS, Nunjucks и Pug Практический маршрут о единой границе доверия в трёх Node.js-шаблонизаторах. Вы https://hackandfix.ru/paths/nodejs-ssrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js SSRF: От fetch до Cloud Metadata Маршрут по Server-Side Request Forgery в Node.js/Express. Разберите три возрастающих класса обхода на https://hackandfix.ru/paths/nodejs-sqli 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js SQL Injection: От основ до WAF Bypass Маршрут по SQL-инъекциям в Node.js/Express. Пять практических лабораторий используют Express и https://hackandfix.ru/paths/nodejs-regex-dos 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js ReDoS: Event Loop Blocking и Catastrophic Backtracking Маршрут по Regular Expression Denial of Service (ReDoS) в Node.js и Express. Вы научитесь распознавать https://hackandfix.ru/paths/nodejs-prototype-pollution 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js Prototype Pollution: Цепочка прототипов, гаджеты и DoS Глубокое погружение в server-side Prototype Pollution общего Object.prototype в пределах одного JavaScript realm. Вы https://hackandfix.ru/paths/nodejs-path-traversal 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js Path Traversal: От ../ до Defense-in-Depth Фундаментальный маршрут по Directory Traversal в Node.js/Express. Изучите три варианта атаки (базовый https://hackandfix.ru/paths/nodejs-jwt 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js JWT Security: None Algorithm, Weak Secret и Key Confusion Полное руководство по безопасности JSON Web Token в Node.js-приложениях. Вы изучите структуру JWT, https://hackandfix.ru/paths/nodejs-idor 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js IDOR: От Sequential ID до Role Bypass Маршрут по object-level IDOR/BOLA и function-level BFLA в Node.js/Express. Изучите горизонтальный доступ к чужим https://hackandfix.ru/paths/nodejs-file-upload 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js File Upload: Extension Bypass, MIME Spoofing и Defense-in-Depth Маршрут по безопасной загрузке файлов в Express-приложениях. Вы разберёте обходы проверки https://hackandfix.ru/paths/nodejs-csrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js CSRF: От основ до JSON API Маршрут по Cross-Site Request Forgery в Node.js/Express. Изучите механику CSRF-атак, обход SameSite cookies и защиту https://hackandfix.ru/paths/nodejs-command-injection 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js Command Injection: От exec до eval Маршрут по инъекциям команд в Node.js/Express. Изучите child_process.exec, обход фильтров, blind injection и https://hackandfix.ru/paths/nodejs-auth 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js Auth Security: Brute Force, Weak Passwords и Timing Attacks Теория разбирает express-rate-limit, zxcvbn, crypto.timingSafeEqual и dummy-bcrypt equalization. Brute-force lab проверяет per-IP rate https://hackandfix.ru/paths/nodejs-access-control 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Node.js Access Control: RBAC, IDOR и Defense-in-Depth в Express Фундаментальный маршрут по контролю доступа в Node.js на Express. Изучите Forced Browsing к https://hackandfix.ru/paths/go-xss 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go XSS Security: От основ до CSP Глубокое погружение в Cross-Site Scripting (XSS) в Go-приложениях. Вы научитесь находить и https://hackandfix.ru/paths/go-websocket 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go WebSocket Security: от перехвата сессий до инъекций в сообщения Полное погружение в безопасность WebSocket-соединений в Go: CSWSH (Cross-Site WebSocket Hijacking), обход Origin, https://hackandfix.ru/paths/go-upload 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go File Upload Security: от загрузки картинок до захвата сервера Полное погружение в безопасность загрузки файлов в Go: границы multipart-парсинга, обход https://hackandfix.ru/paths/go-ssti 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go SSTI Security: от недоверенного шаблона до безопасного рендеринга Разбираемся, как недоверенный текст становится кодом шаблона, чем SSTI отличается от XSS, https://hackandfix.ru/paths/go-ssrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go SSRF Security: От локальной сети до Cloud Metadata Глубокое погружение в Server-Side Request Forgery (SSRF) в Go-приложениях. Вы научитесь находить SSRF, https://hackandfix.ru/paths/go-sqli 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 SQL-инъекции в Go: эксплуатация и защита Маршрут среднего уровня: механика SQL-инъекций и защита, закреплённые в шести https://hackandfix.ru/paths/go-race 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Race Conditions: от горутин до инвариантов БД Путь разделяет гонки данных в памяти Go, логические TOCTOU и аномалии БД. Вы воспроизведёте https://hackandfix.ru/paths/go-path-traversal 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Path Traversal Security: От чтения файлов до /proc/self/environ Глубокое погружение в Path Traversal в Go-приложениях. Вы научитесь находить и https://hackandfix.ru/paths/go-jwt-security 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 JWT & Security Token в Go: Разоблачение магии JWT — это популярно, но крайне опасно в неумелых руках. Изучите, как злоумышленники https://hackandfix.ru/paths/go-information-disclosure 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Information Disclosure: Утечки данных через ошибки и конфигурацию Изучаем утечки информации в Go-приложениях — debug-эндпоинты в продакшене, verbose error messages со https://hackandfix.ru/paths/go-idor 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Broken Access Control: от IDOR/BOLA до BFLA и BOPLA Broken Access Control в Go с историческим фокусом на IDOR. Путь связывает AuthN с явной политикой https://hackandfix.ru/paths/go-csrf 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go CSRF Security: От подделки запросов до обхода SameSite Глубокое погружение в Cross-Site Request Forgery (CSRF) в Go-приложениях. Вы научитесь находить и https://hackandfix.ru/paths/go-command-injection 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Command Injection: от границы данных к безопасному запуску процессов Глубокое погружение в Command Injection в Go-приложениях. Вы научитесь находить и https://hackandfix.ru/paths/go-business-logic 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Business Logic: Уязвимости в бизнес-логике приложений Глубокое погружение в уязвимости бизнес-логики Go-приложений. Вы научитесь находить и https://hackandfix.ru/paths/go-auth 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Безопасность аутентификации в Go Глубокий маршрут по защите пользовательских данных и механизмов входа. От основ https://hackandfix.ru/paths/go-api 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go API Security: OWASP API Top 10 на практике Полное погружение в безопасность REST API на Go: Mass Assignment, BOLA, Rate Limiting. Вы изучите OWASP API Top 10, https://hackandfix.ru/paths/go-access-control 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Go Access Control: От Forced Browsing до обхода URL Глубокое погружение в уязвимости контроля доступа в Go-приложениях. Вы научитесь https://hackandfix.ru/paths/getting-started 2026-10-25 weekly 0.7 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 Старт: платформа и инструменты пентестера С чего начать на HackAndFix: как устроена лаба, чем отличаются режимы Exploit и Fix, как запускать https://hackandfix.ru/blog/how-to-learn-appsec 2026-05-20 monthly 0.6 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/blog/top-10-go-vulnerabilities 2026-05-18 monthly 0.6 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1 https://hackandfix.ru/blog/welcome-to-hackandfix 2026-05-16 monthly 0.6 https://hackandfix.ru/public/og-default.png?v=987f8e4508&g=afg1