Сегодня разберем мисконфиги OAuth, которые встречаются в дикой природе и хоть сами по себе безобидны, в определенных условиях могут иметь серьезные последствия — вплоть до похека админских аккаунтов. В этой сатье я покажу, как искать такие цепочки уязвимостей.

Никакой сайт в современном вебе не обходится без формы авторизации, а под ней ты часто видишь кнопки входа через соцсети. Работают они благодаря протоколу OAuth, с устройством и основными уязвимостями которого я познакомлю тебя в этой статье. Для закрепления знаний пройдем несколько лабораторных работ.

В этой статье мы максимально глубоко изучим технологию JSON Web Tokens (JWT): где она используется, в чем ее плюсы и минусы и какие опасности она может таить для всего веб‑приложения, если программист видит ее впервые. Мы также рассмотрим типичные уязвимости JWT, научимся их эксплуатировать и исправлять.

QR-код сейчас совершенно обыденная вещь — их используют как один из способов авторизации крупные сервисы вроде WhatsApp, Яндекса и AliExpress. Но насколько надежна эта технология? Можно ли создать такой QR-код, при сканировании которого выполнится нагрузка на девайсе жертвы? Этот вопрос мы сегодня разберем подробнее.

В прошлых статьях о пентестах точек доступа Wi-Fi мы разобрали базовые техники, а сейчас примемся за более продвинутые. Рассмотрим особенности адаптеров и добавим мощности нашему донглу. Это необходимо, чтобы использовать ускоренные способы взлома, принудительно отключать беспроводные клиенты, атаковать скрытые сети и обходить фильтрацию по MAC-адресам.

Рано или поздно у разработчика мобильных приложений возникает желание каким-то образом выделить каждого пользователя — создать ему личный профиль, дать возможность перенести приложение на новый телефон без потери контента или просто разослать персонифицированную рекламу.