Блог
Разборы уязвимостей и заметки о пентесте и аудите для компаний в Минске и Беларуси.
Разборы
· Кибербезопасность
Один пароль после чужой утечки: почему «нас это не касается» не работает
Базу утёкшего сервиса разбирают не ради того сервиса. Ею приходят в вашу почту, админку и рекламу, если пароль совпал.
Подробнее →· Разработка и ИБ
Чеклист перед запуском сайта
Домен, форма, аналитика, копия и админка. Если это не проверено, день запуска проверяет это на живых людях.
Подробнее →· Кибербезопасность
Похожий домен и поддельный сайт: клиент платит не вам
Один символ в адресе, и письмо со «счётом» выглядит вашим. Защита домена начинается в реестре, а не с баннера «мы не пишем первыми».
Подробнее →· Кибербезопасность
QR-код на счёте, стойке и бейдже: куда он ведёт на самом деле
Код в письме и наклейка поверх вашего кода на двери ведут в одно место: человек не видит адрес, пока не перешёл.
Подробнее →· Кибербезопасность
Звонок, который звучит как директор: что делать бухгалтерии
Голос можно собрать по записи с сайта и с конференции. Подтверждение платежа голосом в трубке - слабое правило.
Подробнее →· Кибербезопасность
Доступ веб-студии к сайту: удобно им и удобно тому, кто придёт следом
Подрядчик с вечным админом - обычная находка аудита. Отзывать доступ в день окончания работ важнее, чем спорить о договоре задним числом.
Подробнее →· Кибербезопасность
Ключ API в коде страницы: его видит каждый, кто открыл сайт
Ключ, который приехал в браузер, уже не секрет. Им ходят в ваш сервис от имени сайта, пока вы не выпустите новый и не выключите старый.
Подробнее →· Кибербезопасность
Открытый файл с паролями на сайте: что делать в первый час
Если по адресу сайта скачивается файл с паролями базы и почты, его уже могли забрать. Сначала смена секретов, потом разбор, кто успел войти.
Подробнее →· Кибербезопасность
Тестовая копия сайта в интернете: забытый адрес с боевыми данными
Поддомен dev или staging часто индексируется, держит старый пароль и свежую базу клиентов. Для поисковика это обычная страница.
Подробнее →· Кибербезопасность
Старые скрипты на хостинге: сайт обновили, вход оставили
Новая витрина стоит на том же хостинге, где лежит загрузчик файлов пятилетней давности. Обновление главной его не трогает.
Подробнее →