burp suite

В январе 2025 года кто-то проэксплуатировал CVE-2025-1094 в PostgreSQL - баг в функциях PQescapeLiteral(), PQescapeIdentifier() и PQescapeString() библиотеки libpq (CWE-149, Improper Neutralization of Quoting Syntax, CVSS 8.1 HIGH, вектор AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H). Цепочка прошла...

Купон на скидку применяется один раз. Так написано в ТЗ, так реализовано в коде, так проходит QA. А потом кто-то отправляет двадцать одинаковых POST-запросов в одном TCP-пакете - и купон применяется двадцать раз. Баланс уходит в минус, товар отгружается бесплатно, а в журналах всё выглядит как...

1. CTF-контекст и real-world релевантность. JSON Web Tokens (JWT) стали стандартом аутентификации и авторизации в современных веб-приложениях, особенно в архитектурах микросервисов. Несмотря на свою популярность, их неправильная реализация часто приводит к критическим уязвимостям, позволяющим...

Багбаунти — это не просто модное слово. Это реальный способ для исследователей безопасности зарабатывать деньги, помогая компаниям находить и устранять уязвимости. Это также шанс улучшить свои навыки в области информационной безопасности, одновременно повышая репутацию в индустрии. Если вы...

Введение Вы решили стать кибер-самураем, атакующим системы по заказу, чтобы сделать их крепче? Или только начинаете погружаться в мир этичного взлома? Без правильного инструментария — как без катаны. Правильно подобранный арсенал — это 80% успеха на пентесте. Я собрал для вас топ-10...

Забудь про OWASP Top 10, или почему ты не найдешь SQLi в 2025! 💡 Здарова, коллега! Пристегнись, сейчас будет мясо. Давай начистоту: когда ты в последний раз на реальном проекте находил классическую слепую SQL-инъекцию в id параметре? А теперь ответь честно: как часто ты ломал мозг над API...

Начинающие специалисты в сфере информационной безопасности часто сталкиваются с одной и той же проблемой: инструментов для пентеста так много, что сложно понять, с чего начать. Nmap, Metasploit, Wireshark — звучат круто, но как их использовать? В этой статье мы собрали топ-10 must-know...

Добрый день коллеги, штурмуем задания из учебы, на этот раз "Сломанный ящик" Залетаем в задание и осматриваемся в нашем любимом burp Все как и положено включаем intercept, и штудируем запрос Видим adoba и понимаем, что нам с ним работать. Так же видим, что у нас используется кодировка URL...

Вы только установили Kali Linux и растерялись от сотен непонятных программ в меню? Не переживайте — я проведу вас через 10 самых важных инструментов, с которых стоит начать свой путь в кибербезопасности. Это как набор первоклассного хирурга: скальпели будут острыми, но руки останутся чистыми. 1...

Введение OWASP SamuraiWTF — это полноценный Desktop Linux для использования в обучении безопасности приложений. Он бесплатный и с открытым исходным кодом, распространяется как в виде готовых виртуальных машин, так и в виде исходного кода. В процессе сборки он извлекает различные инструменты и...

Привет Кодебай! Так уж вышло, что WEB сервисы стали настолько большими и продвинутыми, что без автоматизации провести их пентест - не тривиальная задача. Соответственно, нужно выбрать правильную лопату, чтобы эффективно копать искать уязвимости и ключевым классом инструментов в этом деле...

Добрый вечер, сканер Acunetix обнаружил уязвимость на сайте и выдал payload: (select(0)from(select(sleep(3)))v)/*'+(select(0)from(select(sleep(6)))v)+'"+(select(0)from(select(sleep(9)))v)+"*/ Решил проверить в sqlmap'e, пытался по-разному скормить, но ничего не вышло. Грузил запрос с этой...

Здравия желаю! В статье я пройдусь по лабе со "Слепая SQL-инъекция с условными ошибками". Надеюсь, у всех читающих эту статью стандартная тема Codeby. Это мощная статья План статьи: Докажем, что параметр уязвим Проверим существование базы данных Подтвердим наличие 'administrator' в базе...

Это перевод статьи с PortSwigger Введение В этом посте автор покажет, как вы можете использовать новую функцию всплывающих окон HTML в Chrome для эксплуатации XSS в мета-тегах и скрытых полях ввода. Все началось, когда я заметил новое поведение всплывающих окон в Chrome на Twitter. Мы все знаем...

Burpsuite Pro v2023.6.2 Burp Suite — это интегрированная платформа, предназначенная для проведения аудита веб-приложения, как в ручном, так и в автоматических режимах. В комплекте Java 18 для винды (exe'шник) https://mega.nz/file/UocFhLiA#fElSUmRt-aaScFXrt8FgKKZBZ1Eadq5HvKs1szay1mg Инфо...

Burpsuite Pro v2023.1.2 + BurpBounty Pro v2.6.1 burpsuite_pro_v2023.1.2.zip MD5: 079DF63342C88E8D104230D587DC5A9D Burp Suite — это интегрированная платформа, предназначенная для проведения аудита веб-приложения, как в ручном, так и в автоматических режимах...

Пробую сбрутить пароль в веб приложении через burp. Сам сайт веб приложения выдает 404 если включать прокси. Естественно через burp intruder ничего не получается. Что можно с этим сделать? ( на все остальные сайты заходит нормально)

Burp Suite Pro v2022.9 MD5: 9557D39EE03DA5FDA4782393C32F4D78 Burp Suite — это интегрированная платформа, предназначенная для проведения аудита веб-приложения, как в ручном, так и в автоматических режимах. https://mega.nz/file/Vl0wTJIR#NEgOcXQRQB0svCH9N_q7Z_MkKOkQbGiBJWDU83NVrGo...

Привет всем! На написание этой статьи меня сподвигло обучение на курсах WAPT от Codeby. Получилось так, что по условиям обучения, не приветствуется использование любых сканеров уязвимостей или автоматических средств их эксплуатации (sqlmap, tplmap и др.). На экзамене это будет строжайше...

Резюме Виртуальная машина - отличный способ познакомиться с тестированием на проникновение мобильных приложений на базе OS андроид, но для полноценного bug bounty этот способ скорее всего не подойдет. Как бы я ни старался, некоторые apk запускаться отказываются. Так же есть проблемы при...