Блог
Разборы уязвимостей и заметки о пентесте и аудите для компаний в Минске и Беларуси.
Разборы
· Кибербезопасность
Общий хостинг: соседский сайт иногда ближе, чем ваш подрядчик
На недорогом тарифе сайты делят сервер. Дыра у соседа и слабый пароль панели касаются вас, даже если ваш код аккуратный.
Подробнее →· Кибербезопасность
Захват рекламного кабинета: бюджет уходит, пока сайт ещё ваш
Объявления меняют за ночь. Сайт открывается как обычно. Деньги списываются на чужую страницу, и это замечают по счёту, а не по мониторингу витрины.
Подробнее →· Кибербезопасность
Защита домена у регистратора: сайт могут выключить, не трогая код
Смена DNS уводит сайт и почту за минуты. Код, WAF и резервная копия при этом остаются на старом месте и уже никому не отвечают.
Подробнее →· Кибербезопасность
Заявки клиентов в Telegram: удобный чат с персональными данными
Имя, телефон и суть заказа в общей группе - уже обработка. Ушедший сотрудник и чужой телефон у бота остаются в этом чате навсегда.
Подробнее →· Кибербезопасность
Почта компании без DMARC: письма «от вас» рассылает кто угодно
SPF и DKIM говорят, какие серверы имеют право писать от домена. DMARC говорит, что делать с остальными. Без этой тройки счёт от вашего имени собрать легко.
Подробнее →· Кибербезопасность
Как понять, что сайт взломали, до жалобы клиента
Редирект, новый администратор, письма не от вас и предупреждение в поиске. Что проверить, прежде чем всё удалять.
Подробнее →· Кибербезопасность
Загрузка файлов на форме: резюме и картинки, которые не должны исполняться
Форма «приложите файл» удобна клиенту и опасна, если сервер кладёт её в каталог сайта и готов этот файл открыть как программу.
Подробнее →· Кибербезопасность
Чужой заказ в личном кабинете: страница открывается, границы нет
Клиент меняет номер в адресе и видит чужой заказ, чек или переписку. Сайт при этом «работает». Это находка для пентеста, не для пинга.
Подробнее →· Кибербезопасность
Заголовки безопасности сайта: что включают после аудита, а не вместо него
HSTS, запрет чужой вставки и аккуратный запрет угадывания типа файла закрывают класс бытовых проблем. Они не заменяют роли и обновления.
Подробнее →· Кибербезопасность
Просроченный сертификат: сайт не взломан, но клиент уже ушёл
Браузер пишет предупреждение, реклама льёт трафик в стену, почтовые формы начинают вести себя странно. Частая причина - дата сертификата, о которой забыли.
Подробнее →