Журнал
Разборы атак, защита сайтов и серверов, аудит. 51 статья в разделе.
Разбор попытки отложенного XSS: HTML-вставка в сообщении чата в расчёте на то, что оператор откроет его в админке. Почему атака не сработала и какие слои защиты мы добавили сверху.
За час на форму входа в админ-панель пришли запросы почти с двухсот адресов — по одному с каждого. Как распознать распределённый перебор и какие ограничения работают, когда лимит «на IP» бесполезен.
Аккаунты регистрировались каждые полторы минуты, в том числе на адреса с доменом самого сервиса. Зачем это атакующему, почему заблокированные аккаунты продолжали входить и что мы исправили.
Во время спам-атаки на чат блокировки адресов не давали эффекта. Сервер за CDN видел только адреса узлов CDN, а приложение брало адрес клиента из заголовка, который клиент может заполнить сам.
Что подготовить к проверке доступа в многопользовательском сервисе. Инструмент сравнивает заданную политику с введёнными результатами и показывает непроверенные сочетания.
Какие адреса входят в согласованный набор и что исключают из него. Учебная сверка IPv4/CIDR без сканирования, DNS и подтверждения права на тестирование.
Разделяем публичные ресурсы и личные ответы API, проверяем смену аккаунта и формируем безопасную политику кеширования.
Как проверить зависимости выбранной копии на учебной модели файлов. Почему порядок по именам архивов не заменяет понимание full, diff и inc.
Составляем реестр известных доступов, отличаем отзыв от проверки и планируем изменения общих секретов без поломки сервисов.
Как сверить адреса сайта и CRM с DNS-именами сертификата. Учебная матрица точных имён и wildcard: один уровень, основной адрес и вложенные поддомены.
Разбираем границу доверия Mini App, серверную проверку initData, срок актуальности и собственную сессию приложения.
Почему дата последнего архива не определяет подходящую точку восстановления. Инструмент сопоставляет введённые отметки проверки, доступность, границу инцидента и плановые ограничения.
Как ограничить состав логов, сохранить диагностическую пользу и проверить вложенные поля без опасного обещания полной очистки.
