Вот вы все спите, а я для вас пишу описание атаки, чтобы вы проснулись, а тут как на блюдечке обзора SSRF Server Side Request Forgery ... Данный тип атаки находится на 7 месте в списке OWASP 2025 ... Если по-простому SSRF это подделка запроса со стороны сервера ... По сути атакающий заставляет сервер сделать запрос туда куда у него нет прямого доступа ....например во внутреннюю сеть компании ... Пример! Нормальнрое поведение: пользователь вводит example.com/cat.jpg Сервер скачивает картинку кота и показывает её ... Атака SSRF: Злоумышленник вместо ссылки на картинку подставляет адрес внутреннего сервера компании - например, 192.168.1.5/passwords.txt Рез-тат: Сервер сам отправляет запрос к своей же внутренней сети, получает секретные данные и возвращает их злоумышленнику ... -Всегда проверяйте ввод данных ... (не важно веб это или api) -Например можно сделать белый список доменов, который разрешен -Блокировка внутренних IP - запретить серверу обращаться к локальным адресам С тебя лайк и подписка !

OWASP Agent Memory Guard - новая защита от отравления памяти ИИ-агентов. Буду звать его теперь AMG (не mercedes 👍). 📦 помнится говорил про спящих агентов. Это способ атак отложенных во времени и работающих по триггеру в рамках разговора. А-ля стоп слово в bdsm 🤣. AMG в тч работает против таких отложенных инъекций, но в глобал памяти. Если ваш агент хранит память между сессиями, он уязвим к memory poisoning. Атакующий может переписать цели, внедрить промпт-инъекции или инициировать утечку данных, и это переживёт очистку контекста. Что умеет AMG? ✅ Перехватывает все чтения/записи в память агента ✅ Детектирует промпт-инъекции, утечки секретов/PII, модификацию защищённых ключей ✅ Применяет политику: allow, redact, quarantine, block ✅ Работает без внешних API, всё локально ✅ Готовый middleware для LangChain, LlamaIndex. Уже вижу, как безопасники ликуют 😜 Цифры, которые заявляют: · Детекция реальных эксплойтов - 92.5% (recall), малова-то, над бы охваты держать на уровне 95+, а лучше девяток. 😮‍💨 · Точность - 100% (precision), 0% false positive, эти уже хорошо. 🍷 · Задержка ~59 микросекунд на операцию. Итого F1 - 0.961. В общем, есть ещё над чем поработать, но это лучше чем гварды из коробки с 0.67-0.71 уровнем метрик, что я видел на ру рынке. 😐 Уже в pip:

pip install agent-memory-guard

Проект, как заявляется, уже используют Microsoft и OWASP как стандарт. В планах ML-детекция аномалий и защита векторных хранилище, ещё бы в планы ап метрик добавили. 🔗 Репозиторий: https://github.com/OWASP/www-project-agent-memory-guard Безопасность агентов становится обязательной, поэтому не забывайте внедрять защиту памяти в тч. 💪

🌐 Что такое OWASP? Когда начинают изучать безопасность веб-приложений, практически сразу встречают название OWASP.

📌 OWASP — Open Worldwide Application Security Project. Это международное открытое сообщество, которое создаёт бесплатные материалы, инструменты и методики по безопасности приложений.

Проще говоря:

OWASP помогает разработчикам, пентестерам и компаниям находить, понимать и предотвращать уязвимости в приложениях.

🧠 Важно понимать OWASP — это не одна программа. Это также не конкретная уязвимость и не один обязательный стандарт. OWASP — это целая экосистема проектов по безопасности: — веб-приложений; — API; — мобильных приложений; — исходного кода; — процессов разработки; — облачной инфраструктуры. 🔥 Самый известный проект — OWASP Top 10 OWASP Top 10 — это список наиболее значимых категорий рисков безопасности веб-приложений. В него входят проблемы, связанные с: — нарушением контроля доступа; — ошибками аутентификации; — инъекциями; — криптографическими ошибками; — небезопасной конфигурацией; — уязвимыми компонентами; — недостаточным журналированием; — ошибками проектирования. 💡 OWASP Top 10 не является полным чек-листом пентеста. Это скорее отправная точка, которая помогает понять основные направления проверки. 💀 Почему OWASP важен пентестеру? OWASP помогает: — составить план тестирования; — не забыть важные направления проверки; — классифицировать найденные уязвимости; — подготовить структурированный отчёт; — объяснить риск заказчику; — использовать общепринятую терминологию. 📌 Упрощённо работа может выглядеть так:

Изучение приложения
        ↓
Использование OWASP WSTG как чек-листа
        ↓
Поиск уязвимостей
        ↓
Классификация рисков
        ↓
Подготовка отчёта
        ↓
Рекомендации по устранению

🛡 Почему OWASP важен разработчикам? OWASP нужен не только пентестерам. Разработчики используют материалы OWASP, чтобы: — безопасно работать с пользовательским вводом; — правильно реализовать аутентификацию; — защитить сессии; — ограничить доступ к данным; — безопасно хранить пароли; — не допускать типовых ошибок ещё на этапе разработки. Чем раньше безопасность учитывается в процессе создания продукта, тем дешевле исправлять проблемы. 🧠 Главная мысль OWASP — это не просто список веб-уязвимостей. Это большая открытая база знаний, которая помогает: — изучать безопасность приложений; — проводить пентесты; — выстраивать AppSec-процессы; — создавать более защищённые продукты. А OWASP Top 10 — лишь один из самых известных проектов внутри OWASP. #web #owasp #appsec #pentest #websecurity #base

📚 Продолжаем развивать модуль «WEB-БАЗА» В посте я спросил, какие темы стоит добавить или разобрать подробнее. И практически сразу в комментариях появилось предложение:

OWASP

Отличная тема 👍 OWASP постоянно встречается в вакансиях, отчётах по пентесту, обучающих материалах и требованиях к специалистам по безопасности веб-приложений. Но у новичков часто возникает путаница: — OWASP — это программа? — стандарт? — список уязвимостей? — методика тестирования? — или организация? Поэтому ниже попробуем разобрать: 🌐 что такое OWASP; 📋 какие проекты входят в OWASP; 🔥 что такое OWASP Top 10; 🧪 как OWASP помогает пентестеру; 🛡 зачем OWASP нужен разработчикам и специалистам AppSec. Спасибо подписчику за хорошее предложение. Именно благодаря вашим комментариям база знаний становится полезнее и ближе к реальным вопросам аудитории. Поехали разбираться 👇

💻 Что такое Command Injection? Представьте, что веб-приложение умеет выполнять команды операционной системы. Например: — проверить доступность сервера; — обработать файл; — получить информацию о системе. Само по себе это не проблема. Проблема возникает тогда, когда приложение начинает выполнять пользовательский ввод без должной проверки.

📌 Command Injection — это уязвимость, при которой злоумышленник может добиться выполнения произвольных команд операционной системы через веб-приложение. Другими словами, вместо ожидаемой команды приложение может выполнить совершенно другую.

🧠 Где это встречается? Чаще всего в функциях, которые взаимодействуют с операционной системой: — диагностика сети; — работа с файлами; — архивирование; — обработка изображений; — резервное копирование; — различные административные панели. 💀 Чем это опасно? Если приложение уязвимо, последствия могут быть крайне серьёзными: — выполнение произвольных команд на сервере; — чтение или изменение файлов; — получение конфиденциальной информации; — загрузка вредоносного ПО; — полный захват сервера при наличии дополнительных условий. Именно поэтому Command Injection считается одной из наиболее опасных веб-уязвимостей. 🛡 Как защититься? Основные рекомендации: — не передавать пользовательский ввод напрямую в системные команды; — использовать безопасные функции и библиотеки вместо вызова команд оболочки; — проверять и ограничивать входные данные; — запускать приложения с минимально необходимыми привилегиями. 📌 Хотя сегодня многие современные фреймворки помогают избежать подобных ошибок, Command Injection по-прежнему встречается в административных панелях, устаревших веб-приложениях и самописных сервисах. Поэтому при тестировании веб-приложений всегда стоит обращать внимание на функционал, который взаимодействует с операционной системой. #web #owasp #commandinjection #pentest #websecurity

💉 Что такое SQL Injection? SQL Injection — одна из самых известных веб-уязвимостей, о которой слышал практически каждый, кто начинает изучать пентест. Но что она означает на самом деле?

📌 SQL Injection (SQLi) — это уязвимость, которая возникает, когда приложение неправильно обрабатывает пользовательский ввод при обращении к базе данных.

Проще говоря, злоумышленник может повлиять на SQL-запрос, который приложение отправляет в базу данных. 🧠 Представьте обычную форму входа на сайте. Вы вводите: — логин — пароль После чего приложение обращается к базе данных и проверяет, существует ли такой пользователь. Если разработчик не проверяет входные данные должным образом, появляется риск SQL Injection. 💀 Почему это опасно? В зависимости от приложения и уровня защиты последствия могут быть разными: — получение данных пользователей; — просмотр информации из базы данных; — обход аутентификации; — изменение или удаление данных. Именно поэтому SQL Injection уже много лет входит в список самых опасных веб-уязвимостей. 🛡 Как защититься? Основные рекомендации: — использовать параметризованные запросы (Prepared Statements); — проверять и фильтровать пользовательский ввод; — не собирать SQL-запросы простой конкатенацией строк; — использовать принцип минимальных привилегий для доступа к базе данных. 📌 Несмотря на появление современных фреймворков и ORM, SQL Injection до сих пор регулярно встречается в реальных проектах. Именно поэтому понимание принципов её возникновения остаётся одним из базовых навыков для любого специалиста по веб-безопасности. #web #owasp #sqli #injection