Open note Тестирование безопасности API: поиск уязвимостей в современных веб-API
Практическое руководство по тестированию REST API на уязвимости: обходы аутентификации, IDOR, инъекции и проблемы с rate limiting.
Field notes / archive
Selected writing
Practical notes on security, software, and the systems that make both possible.
Open note 
Open note Два обхода капчи — IDOR и повторное использование токенов
Оригинальное исследование уязвимостей: новые техники обхода капчи через Insecure Direct Object Reference (IDOR) и уязвимости повторного использования токенов аутентификации.
Open note $1,000 CSRF до полного захвата аккаунта в Verisign (DomainScope)
Ответственное раскрытие CSRF за $1,000 в привязке Google OAuth сервиса Verisign DomainScope — отсутствие проверки параметра state позволяло злоумышленнику привязать свой Google-аккаунт к профилю жертвы и захватить …