{"id":1025,"date":"2025-12-01T17:50:05","date_gmt":"2025-12-01T17:50:05","guid":{"rendered":"https:\/\/jiniblog.ru\/?p=1025"},"modified":"2025-12-01T17:51:21","modified_gmt":"2025-12-01T17:51:21","slug":"%d0%ba%d0%b0%d0%ba-%d1%81%d0%b5%d0%b9%d1%87%d0%b0%d1%81-%d1%80%d0%b5%d0%b0%d0%bb%d1%8c%d0%bd%d0%be-%d0%b2%d0%b7%d0%bb%d0%b0%d0%bc%d1%8b%d0%b2%d0%b0%d1%8e%d1%82-%d1%81%d0%b0%d0%b9%d1%82%d1%8b-%d0%b2-2","status":"publish","type":"post","link":"https:\/\/jiniblog.ru\/?p=1025","title":{"rendered":"\u041a\u0430\u043a \u0441\u0435\u0439\u0447\u0430\u0441 \u0440\u0435\u0430\u043b\u044c\u043d\u043e \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442 \u0441\u0430\u0439\u0442\u044b (\u0432 2024\u20132025), \u0435\u0441\u043b\u0438 SQL-injection \u0438 PHP-injection \u0441\u0442\u0430\u043b\u0438 \u0440\u0435\u0434\u043a\u043e\u0441\u0442\u044c\u044e?"},"content":{"rendered":"\n

\u041a\u043e\u0440\u043e\u0442\u043a\u043e: \u0432\u0437\u043b\u043e\u043c\u044b \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0434\u0435\u043b\u0438\u0441\u044c<\/strong>, \u043f\u0440\u043e\u0441\u0442\u043e \u043c\u0435\u0442\u043e\u0434\u044b \u044d\u0432\u043e\u043b\u044e\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0438.<\/p>\n\n\n\n

\"\"
\u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0445\u0430\u043a\u0435\u0440<\/figcaption><\/figure>\n\n\n\n

\u0421\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0432\u0437\u043b\u043e\u043c \u043f\u043e\u0447\u0442\u0438 \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u043d\u0435 \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f\u043c\u0438. \u041f\u0440\u0438\u0447\u0438\u043d\u044b:<\/p>\n\n\n\n

    \n
  • \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 ORM<\/li>\n\n\n\n
  • \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u044d\u043a\u0440\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044f \u0432\u0432\u043e\u0434\u0430<\/li>\n\n\n\n
  • WAF \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b<\/li>\n\n\n\n
  • CI\/CD \u0432\u044b\u044f\u0432\u043b\u044f\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0437\u0430\u0440\u0430\u043d\u0435\u0435<\/li>\n<\/ul>\n\n\n\n

    \u041d\u043e \u043e\u0441\u0442\u0430\u043b\u0438\u0441\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f.<\/p>\n\n\n\n

    \n\n\n\n

    1. \u0410\u0442\u0430\u043a\u0438 \u043d\u0430 \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u044b \u0430\u0434\u043c\u0438\u043d\u043e\u0432 (\u0441\u0430\u043c\u044b\u0439 \u0447\u0430\u0441\u0442\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431)<\/strong><\/h1>\n\n\n\n

    \u041d\u0435 \u043a\u043e\u0434 \u043b\u043e\u043c\u0430\u044e\u0442 \u2014 \u0447\u0435\u043b\u043e\u0432\u0435\u043a\u0430 \u043b\u043e\u043c\u0430\u044e\u0442<\/strong>.<\/p>\n\n\n\n

    \u041c\u0435\u0442\u043e\u0434\u044b:<\/p>\n\n\n\n

    \u0424\u0438\u0448\u0438\u043d\u0433 \u0441 \u0434\u043e\u043c\u0435\u043d\u0430\u043c\u0438-\u0431\u043b\u0438\u0437\u043d\u0435\u0446\u0430\u043c\u0438<\/h3>\n\n\n\n

    \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:
    adm\u00edn-panel.com<\/code> \u0432\u043c\u0435\u0441\u0442\u043e admin-panel.com<\/code>.<\/p>\n\n\n\n

    \u0421\u0431\u043e\u0440 cookies \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0445\u0438\u0449\u0435\u043d\u043d\u044b\u0435 \u0441\u0435\u0441\u0441\u0438\u0438<\/h3>\n\n\n\n

    \u0415\u0441\u043b\u0438 \u0430\u0434\u043c\u0438\u043d \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u0432\u0440\u0435\u0434\u043d\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435 \u2192 \u0442\u043e\u043a\u0435\u043d \u0441\u0435\u0441\u0441\u0438\u0438 \u0443\u043b\u0435\u0442\u0430\u0435\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443.<\/p>\n\n\n\n

    \u0421\u043b\u0430\u0431\u044b\u0435 \u043f\u0430\u0440\u043e\u043b\u0438 \/ \u0443\u0442\u0435\u0447\u043a\u0438 \u0438\u0437 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432<\/h3>\n\n\n\n

    \u041c\u043d\u043e\u0433\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043e\u0434\u0438\u043d \u043f\u0430\u0440\u043e\u043b\u044c \u0432\u0435\u0437\u0434\u0435.<\/p>\n\n\n\n

    \n\n\n\n

    2. XSS \u2192 \u0437\u0430\u0445\u0432\u0430\u0442 \u0441\u0435\u0441\u0441\u0438\u0438 \u2192 \u0432\u0445\u043e\u0434 \u043f\u043e\u0434 \u0430\u0434\u043c\u0438\u043d\u043e\u043c<\/strong><\/h1>\n\n\n\n

    SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0439 \u0441\u0442\u0430\u043b\u043e \u043c\u0430\u043b\u043e, \u0430 XSS \u0436\u0438\u0432\u0435\u0435 \u0432\u0441\u0435\u0445 \u0436\u0438\u0432\u044b\u0445<\/strong>, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e:<\/p>\n\n\n\n

      \n
    • \u0435\u0433\u043e \u0442\u0440\u0443\u0434\u043d\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c<\/li>\n\n\n\n
    • \u0438\u043c \u0447\u0430\u0441\u0442\u043e \u043f\u0440\u0435\u043d\u0435\u0431\u0440\u0435\u0433\u0430\u044e\u0442<\/li>\n\n\n\n
    • \u0434\u0430\u0436\u0435 \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u044b\u0439 backend \u043d\u0435 \u0441\u043f\u0430\u0441\u0430\u0435\u0442 \u043e\u0442 \u0434\u044b\u0440\u043a\u0438 \u0432 frontend<\/li>\n<\/ul>\n\n\n\n

      \u0421\u0445\u0435\u043c\u0430:<\/p>\n\n\n\n

        \n
      1. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432\u043d\u0435\u0434\u0440\u044f\u0435\u0442 JS (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438).<\/li>\n\n\n\n
      2. \u041f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c (\u0438\u043b\u0438 \u0430\u0434\u043c\u0438\u043d!) \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443.<\/li>\n\n\n\n
      3. \u0421\u043a\u0440\u0438\u043f\u0442 \u043a\u0440\u0430\u0434\u0451\u0442 cookie \u0441\u0435\u0441\u0441\u0438\u0438 \u2192 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443.<\/li>\n\n\n\n
      4. \u0425\u0430\u043a\u0435\u0440 \u0432\u0445\u043e\u0434\u0438\u0442 \u043a\u0430\u043a \u0430\u0434\u043c\u0438\u043d \u0438 \u043c\u0435\u043d\u044f\u0435\u0442 \u0441\u0430\u0439\u0442.<\/li>\n<\/ol>\n\n\n\n
        \n\n\n\n

        3. Supply-chain \u0430\u0442\u0430\u043a\u0438 (\u043f\u043e\u0434\u043c\u0435\u043d\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439)<\/strong><\/h1>\n\n\n\n

        \u0412\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442 \u043d\u0435 \u0441\u0430\u0439\u0442 \u2192 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442:<\/p>\n\n\n\n

          \n
        • npm-\u043f\u0430\u043a\u0435\u0442\u044b<\/li>\n\n\n\n
        • composer-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438<\/li>\n\n\n\n
        • docker-\u043e\u0431\u0440\u0430\u0437\u044b<\/li>\n\n\n\n
        • ci\/cd pipeline<\/li>\n\n\n\n
        • github \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438<\/li>\n<\/ul>\n\n\n\n

          \u041f\u0440\u0438\u043c\u0435\u0440:
          \u041f\u043e\u0434\u043c\u0435\u043d\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 npm<\/code>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u043e\u0440\u0443\u0435\u0442 .env<\/code> \u0444\u0430\u0439\u043b \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0441\u0431\u043e\u0440\u043a\u0438.<\/p>\n\n\n\n

          \n\n\n\n

          4. \u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 (RCE \u0447\u0435\u0440\u0435\u0437 \u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f, PDF, ZIP)<\/strong><\/h1>\n\n\n\n

          \u0414\u0430\u0436\u0435 \u0435\u0441\u043b\u0438:<\/p>\n\n\n\n

            \n
          • \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435<\/li>\n\n\n\n
          • \u0441\u0442\u043e\u0438\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 MIME<\/li>\n\n\n\n
          • \u0441\u0442\u043e\u0438\u0442 \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441<\/li>\n<\/ul>\n\n\n\n

            \u0412\u0441\u0435\u0433\u0434\u0430 \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u044b:<\/p>\n\n\n\n

            Polyglot-\u0444\u0430\u0439\u043b\u044b (\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 + \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u043a\u043e\u0434)<\/h3>\n\n\n\n

            Zip Slip<\/h3>\n\n\n\n

            SVG c \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u043c JS<\/h3>\n\n\n\n

            Exif \u0441 \u043e\u043f\u0430\u0441\u043d\u044b\u043c\u0438 payload<\/h3>\n\n\n\n

            Ghostscript RCE \u0447\u0435\u0440\u0435\u0437 PDF<\/h3>\n\n\n\n

            \u042d\u0442\u043e \u0432\u0441\u0451 \u2014 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u0435\u043a\u0442\u043e\u0440\u044b 2024\u20132025.<\/p>\n\n\n\n

            \n\n\n\n

            5. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445, \u0430 \u043d\u0435 \u0432 \u043a\u043e\u0434\u0435<\/strong><\/h1>\n\n\n\n

            Apache \/ Nginx misconfig<\/h3>\n\n\n\n

            \u041e\u0448\u0438\u0431\u043a\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442:<\/p>\n\n\n\n

              \n
            • \u043e\u0431\u0445\u043e\u0434\u0438\u0442\u044c .htaccess<\/code><\/li>\n\n\n\n
            • \u0447\u0438\u0442\u0430\u0442\u044c \u0441\u043a\u0440\u044b\u0442\u044b\u0435 \u0444\u0430\u0439\u043b\u044b<\/li>\n\n\n\n
            • \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c proxy-pass \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u044b<\/li>\n<\/ul>\n\n\n\n

              PHP-FPM bypass<\/h3>\n\n\n\n

              \u0415\u0441\u043b\u0438 \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d fastcgi_param<\/code>, \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c PHP-\u043a\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 .jpg<\/code>.<\/p>\n\n\n\n

              \n\n\n\n

              6. Adminer \/ phpMyAdmin \/ Redis \/ Elasticsearch<\/strong><\/h1>\n\n\n\n

              \u041c\u043d\u043e\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0437\u0430\u0431\u044b\u0432\u0430\u044e\u0442 \u0437\u0430\u043a\u0440\u044b\u0442\u044c \u043d\u0430 firewall:<\/p>\n\n\n\n

                \n
              • Adminer<\/li>\n\n\n\n
              • phpMyAdmin<\/li>\n\n\n\n
              • Redis<\/li>\n\n\n\n
              • MongoDB<\/li>\n\n\n\n
              • Memcached<\/li>\n\n\n\n
              • Elasticsearch<\/li>\n\n\n\n
              • Kibana<\/li>\n\n\n\n
              • RabbitMQ<\/li>\n\n\n\n
              • Docker API<\/li>\n<\/ul>\n\n\n\n

                \u0418\u0445 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c\/\u0443\u0434\u0430\u043b\u0438\u0442\u044c\/\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0431\u0435\u0437 \u043f\u0430\u0440\u043e\u043b\u044f<\/em>.<\/p>\n\n\n\n

                \n\n\n\n

                7. \u041e\u0448\u0438\u0431\u043a\u0438 \u0432 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u0445 (AWS, GCP, Azure)<\/strong><\/h1>\n\n\n\n

                \u0427\u0430\u0441\u0442\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b:<\/p>\n\n\n\n

                  \n
                • \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 S3-\u0431\u0430\u043a\u0435\u0442\u044b<\/li>\n\n\n\n
                • \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u0432 GitHub<\/li>\n\n\n\n
                • \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0441\u0435\u043a\u0440\u0435\u0442\u044b .env<\/code><\/li>\n\n\n\n
                • \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u044b\u0435 IAM-\u043f\u0440\u0430\u0432\u0430<\/li>\n\n\n\n
                • \u0434\u043e\u0441\u0442\u0443\u043f \u043a Kubernetes Dashboard<\/li>\n<\/ul>\n\n\n\n

                  \u042d\u0442\u043e \u043e\u0433\u0440\u043e\u043c\u043d\u044b\u0439 \u043f\u043b\u0430\u0441\u0442 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0432\u0437\u043b\u043e\u043c\u043e\u0432.<\/p>\n\n\n\n

                  \n\n\n\n

                  8. \u041b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 (business logic flaws)<\/strong><\/h1>\n\n\n\n

                  \u041d\u0435 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0430 \u043e\u0448\u0438\u0431\u043a\u0438 \u0432 \u043b\u043e\u0433\u0438\u043a\u0435<\/strong>, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n\n\n\n

                    \n
                  • \u043e\u0431\u0445\u043e\u0434 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0447\u0435\u0440\u0435\u0437 POST \u0432\u043c\u0435\u0441\u0442\u043e GET<\/li>\n\n\n\n
                  • \u043c\u0430\u043d\u0438\u043f\u0443\u043b\u044f\u0446\u0438\u0438 \u0441 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438<\/li>\n\n\n\n
                  • \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u0430\u044f \u0432\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f \u043f\u0440\u0430\u0432<\/li>\n\n\n\n
                  • \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0434\u0430\u043d\u043d\u044b\u043c \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439<\/li>\n<\/ul>\n\n\n\n

                    \u042d\u0442\u043e \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0440\u0430\u0441\u0442\u0451\u0442.<\/p>\n\n\n\n

                    \n\n\n\n

                    9. API-\u0430\u0442\u0430\u043a\u0438: \u043e\u0431\u0445\u043e\u0434 rate limits, \u0447\u0442\u0435\u043d\u0438\u0435 \u0447\u0443\u0436\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445<\/strong><\/h1>\n\n\n\n

                    API \u0441\u0442\u0430\u043b \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u0435\u0435, \u0438 \u0443 \u043d\u0435\u0433\u043e \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0441\u043b\u0430\u0431\u043e\u0441\u0442\u0438:<\/p>\n\n\n\n

                      \n
                    • \u043f\u043b\u043e\u0445\u0430\u044f \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f<\/li>\n\n\n\n
                    • \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043e\u043a \u0442\u043e\u043a\u0435\u043d\u0430<\/li>\n\n\n\n
                    • \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0445 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440<\/li>\n\n\n\n
                    • \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u0430 ID<\/li>\n<\/ul>\n\n\n\n
                      \n\n\n\n

                      10. Zero-day \u0432 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0445 CMS \/ \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430\u0445<\/strong><\/h1>\n\n\n\n

                      \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:<\/p>\n\n\n\n

                        \n
                      • WordPress plugins<\/li>\n\n\n\n
                      • Drupal modules<\/li>\n\n\n\n
                      • Joomla addons<\/li>\n\n\n\n
                      • Laravel packages<\/li>\n\n\n\n
                      • Node.js libs<\/li>\n<\/ul>\n\n\n\n

                        90% \u0432\u0437\u043b\u043e\u043c\u043e\u0432 WordPress \u2014 \u044d\u0442\u043e \u043f\u043b\u0430\u0433\u0438\u043d\u044b<\/strong>, \u0430 \u043d\u0435 \u043e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430.<\/p>\n\n\n\n

                        \n\n\n\n

                        \u0412\u044b\u0432\u043e\u0434<\/h1>\n\n\n\n

                        \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0441\u0430\u0439\u0442\u044b \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442:<\/p>\n\n\n\n

                        \u2714 \u043d\u0435 SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f\u043c\u0438
                        \u2714 \u043d\u0435 \u0441\u0442\u0430\u0440\u044b\u043c php-\u0443\u0447\u0435\u0431\u043d\u0438\u043a\u043e\u043c<\/p>\n\n\n\n

                        \u0410 \u0447\u0435\u0440\u0435\u0437:<\/p>\n\n\n\n

                        \u0441\u043e\u0446\u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0438\u044e \u2022 XSS \u2022 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u2022 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0444\u0430\u0439\u043b\u043e\u0432 \u2022 API-\u0434\u044b\u0440\u044b \u2022 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u2022 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0435 \u043e\u0448\u0438\u0431\u043a\u0438<\/strong><\/p>\n","protected":false},"excerpt":{"rendered":"

                        \u041a\u043e\u0440\u043e\u0442\u043a\u043e: \u0432\u0437\u043b\u043e\u043c\u044b \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0434\u0435\u043b\u0438\u0441\u044c, \u043f\u0440\u043e\u0441\u0442\u043e \u043c\u0435\u0442\u043e\u0434\u044b \u044d\u0432\u043e\u043b\u044e\u0446\u0438\u043e\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0438. \u0421\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0432\u0437\u043b\u043e\u043c \u043f\u043e\u0447\u0442\u0438 \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u043d\u0435 \u0441\u0432\u044f\u0437\u0430\u043d \u0441 \u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u043c\u0438 SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f\u043c\u0438. \u041f\u0440\u0438\u0447\u0438\u043d\u044b: \u041d\u043e \u043e\u0441\u0442\u0430\u043b\u0438\u0441\u044c \u0434\u0440\u0443\u0433\u0438\u0435 \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f. 1. \u0410\u0442\u0430\u043a\u0438 \u043d\u0430 \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u044b \u0430\u0434\u043c\u0438\u043d\u043e\u0432 (\u0441\u0430\u043c\u044b\u0439 \u0447\u0430\u0441\u0442\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431) \u041d\u0435 \u043a\u043e\u0434 \u043b\u043e\u043c\u0430\u044e\u0442 \u2014 \u0447\u0435\u043b\u043e\u0432\u0435\u043a\u0430 \u043b\u043e\u043c\u0430\u044e\u0442. \u041c\u0435\u0442\u043e\u0434\u044b: \u0424\u0438\u0448\u0438\u043d\u0433 \u0441 \u0434\u043e\u043c\u0435\u043d\u0430\u043c\u0438-\u0431\u043b\u0438\u0437\u043d\u0435\u0446\u0430\u043c\u0438 \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440:adm\u00edn-panel.com \u0432\u043c\u0435\u0441\u0442\u043e admin-panel.com. \u0421\u0431\u043e\u0440 cookies \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0445\u0438\u0449\u0435\u043d\u043d\u044b\u0435 \u0441\u0435\u0441\u0441\u0438\u0438 \u0415\u0441\u043b\u0438 \u0430\u0434\u043c\u0438\u043d \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u0432\u0440\u0435\u0434\u043d\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435 \u2192 \u0442\u043e\u043a\u0435\u043d \u0441\u0435\u0441\u0441\u0438\u0438 \u0443\u043b\u0435\u0442\u0430\u0435\u0442 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443. \u0421\u043b\u0430\u0431\u044b\u0435 \u043f\u0430\u0440\u043e\u043b\u0438 \/ \u0443\u0442\u0435\u0447\u043a\u0438 \u0438\u0437 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u041c\u043d\u043e\u0433\u0438\u0435 \u0430\u0434\u043c\u0438\u043d\u044b \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043e\u0434\u0438\u043d \u043f\u0430\u0440\u043e\u043b\u044c \u0432\u0435\u0437\u0434\u0435. 2. XSS \u2192 \u0437\u0430\u0445\u0432\u0430\u0442 \u0441\u0435\u0441\u0441\u0438\u0438 \u2192 \u0432\u0445\u043e\u0434 \u043f\u043e\u0434 \u0430\u0434\u043c\u0438\u043d\u043e\u043c SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0439 \u0441\u0442\u0430\u043b\u043e \u043c\u0430\u043b\u043e, \u0430 XSS \u0436\u0438\u0432\u0435\u0435 \u0432\u0441\u0435\u0445 \u0436\u0438\u0432\u044b\u0445, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e: \u0421\u0445\u0435\u043c\u0430: 3. Supply-chain \u0430\u0442\u0430\u043a\u0438 (\u043f\u043e\u0434\u043c\u0435\u043d\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439) \u0412\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442 \u043d\u0435 \u0441\u0430\u0439\u0442 \u2192 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442: \u041f\u0440\u0438\u043c\u0435\u0440:\u041f\u043e\u0434\u043c\u0435\u043d\u0430 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 npm, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0432\u043e\u0440\u0443\u0435\u0442 .env \u0444\u0430\u0439\u043b \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0441\u0431\u043e\u0440\u043a\u0438. 4. \u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 (RCE \u0447\u0435\u0440\u0435\u0437 \u0438\u0437\u043e\u0431\u0440\u0430\u0436\u0435\u043d\u0438\u044f, PDF, ZIP) \u0414\u0430\u0436\u0435 \u0435\u0441\u043b\u0438: \u0412\u0441\u0435\u0433\u0434\u0430 \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0432\u0430\u0440\u0438\u0430\u043d\u0442\u044b: Polyglot-\u0444\u0430\u0439\u043b\u044b (\u043a\u0430\u0440\u0442\u0438\u043d\u043a\u0430 + \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u044b\u0439 \u043a\u043e\u0434) Zip Slip SVG c \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u043c JS Exif \u0441 \u043e\u043f\u0430\u0441\u043d\u044b\u043c\u0438 payload Ghostscript RCE \u0447\u0435\u0440\u0435\u0437 PDF \u042d\u0442\u043e \u0432\u0441\u0451 \u2014 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u0432\u0435\u043a\u0442\u043e\u0440\u044b 2024\u20132025. 5. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445, \u0430 \u043d\u0435 \u0432 \u043a\u043e\u0434\u0435 Apache \/ Nginx misconfig \u041e\u0448\u0438\u0431\u043a\u0438 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442: PHP-FPM bypass \u0415\u0441\u043b\u0438 \u043d\u0435\u043f\u0440\u0430\u0432\u0438\u043b\u044c\u043d\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d fastcgi_param, \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c PHP-\u043a\u043e\u0434 \u0447\u0435\u0440\u0435\u0437 .jpg. 6. Adminer \/ phpMyAdmin \/ Redis \/ Elasticsearch \u041c\u043d\u043e\u0433\u0438\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0437\u0430\u0431\u044b\u0432\u0430\u044e\u0442 \u0437\u0430\u043a\u0440\u044b\u0442\u044c \u043d\u0430 firewall: \u0418\u0445 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c\/\u0443\u0434\u0430\u043b\u0438\u0442\u044c\/\u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0431\u0435\u0437 \u043f\u0430\u0440\u043e\u043b\u044f. 7. \u041e\u0448\u0438\u0431\u043a\u0438 \u0432 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u0445 (AWS, GCP, Azure) \u0427\u0430\u0441\u0442\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b: \u042d\u0442\u043e \u043e\u0433\u0440\u043e\u043c\u043d\u044b\u0439 \u043f\u043b\u0430\u0441\u0442 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0432\u0437\u043b\u043e\u043c\u043e\u0432. 8. \u041b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 (business logic flaws) \u041d\u0435 \u0442\u0435\u0445\u043d\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0430 \u043e\u0448\u0438\u0431\u043a\u0438 \u0432 \u043b\u043e\u0433\u0438\u043a\u0435, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440: \u042d\u0442\u043e \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0440\u0430\u0441\u0442\u0451\u0442. 9. API-\u0430\u0442\u0430\u043a\u0438: \u043e\u0431\u0445\u043e\u0434 rate limits, \u0447\u0442\u0435\u043d\u0438\u0435 \u0447\u0443\u0436\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 API \u0441\u0442\u0430\u043b \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u0435\u0435, \u0438 \u0443 \u043d\u0435\u0433\u043e \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0441\u043b\u0430\u0431\u043e\u0441\u0442\u0438: 10. Zero-day \u0432 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0445 CMS \/ \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430\u0445 \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440: 90% \u0432\u0437\u043b\u043e\u043c\u043e\u0432 WordPress \u2014 \u044d\u0442\u043e \u043f\u043b\u0430\u0433\u0438\u043d\u044b, \u0430 \u043d\u0435 \u043e\u0441\u043d\u043e\u0432\u043d\u0430\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430. \u0412\u044b\u0432\u043e\u0434 \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u0441\u0430\u0439\u0442\u044b \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u044e\u0442: \u2714 \u043d\u0435 SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f\u043c\u0438\u2714 \u043d\u0435 \u0441\u0442\u0430\u0440\u044b\u043c php-\u0443\u0447\u0435\u0431\u043d\u0438\u043a\u043e\u043c \u0410 \u0447\u0435\u0440\u0435\u0437: \u0441\u043e\u0446\u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0438\u044e \u2022 XSS \u2022 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u2022 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0444\u0430\u0439\u043b\u043e\u0432 \u2022 API-\u0434\u044b\u0440\u044b \u2022 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u2022 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0435 \u043e\u0448\u0438\u0431\u043a\u0438<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1227],"tags":[1517,1512,1516,1509,1514,1515,1513,1511,1510],"class_list":["post-1025","post","type-post","status-publish","format-standard","hentry","category-1227","tag-php-inj","tag-php-","tag-sql-inj","tag-sql-","tag-xss","tag-1515","tag-1513","tag-1511","tag-1510"],"_links":{"self":[{"href":"https:\/\/jiniblog.ru\/index.php?rest_route=\/wp\/v2\/posts\/1025","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jiniblog.ru\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jiniblog.ru\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jiniblog.ru\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jiniblog.ru\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1025"}],"version-history":[{"count":2,"href":"https:\/\/jiniblog.ru\/index.php?rest_route=\/wp\/v2\/posts\/1025\/revisions"}],"predecessor-version":[{"id":1028,"href":"https:\/\/jiniblog.ru\/index.php?rest_route=\/wp\/v2\/posts\/1025\/revisions\/1028"}],"wp:attachment":[{"href":"https:\/\/jiniblog.ru\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1025"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jiniblog.ru\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1025"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jiniblog.ru\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1025"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}