Денис Рыбин — Запрос не туда

Опубликовано: 22 Ноябрь 2024
на канале: Heisenbug — конференция по тестированию

1,678

Ближайшая конференция — Heisenbug 2025 Spring, 5—6 апреля (Москва + онлайн-трансляция).
Подробности и билеты: https://jrg.su/Tq0vcu
— Ближайшая конференция: Heisenbug 2023 Autumn — 10–11 октября (online), 15–16 октября (offline)
Подробности и билеты: https://bit.ly/3qd3swV
— — —
. . .К чему ведёт наличие SSRF, как найти и как защититься. Подробный и обстоятельный рассказ о выявлении уязвимостей server side request forgery (SSRF) в тестируемом приложении от постоянного участника bug bounty-программ.

Атака SSRF считается одной из наиболее критичных уязвимостей, которую можно встретить в современных веб-приложениях. Поговорим, как стоит настроить окружения для облегчения процесса обнаружения уязвимостей, приводящих к SSRF, какие сценарии стоит учитывать для покрытия наибольшего количества проверок и увеличения своих шансов найти уязвимость.

Без внимания не останутся:

рекомендации из личного опыта настройки своего VDS-хоста для обнаружения SSRF;
способы обхода некорректно реализованных методов защиты;
интересные сценарии эксплуатации SSRF на примере кейсов из bug bounty и личного опыта.