Web-безопасность
11 статей из практики команды DeteAct.
- 28 января 2026 г.Команда DeteAct
Захват аккаунта через telegram-бот: от своего номера к чужому профилю
Автор баги: arkiix Всего пять минут ожидания, один чужой номер телефона и обычная кнопка для получения ссылки — этого оказалось достаточно, чтобы обнаружить критическую уязвимость. Настолько…
- 6 августа 2025 г.Команда DeteAct
Уязвимости в Electron-приложениях: RCE через небезопасную конфигурацию
Автор баги: panyakor Electron — популярный фреймворк для создания кроссплатформенных десктопных приложений с использованием веб-технологий. Однако неправильная конфигурация безопасности может…
- 23 июня 2025 г.Команда DeteAct
Server-Side XSS → SSRF → Компрометация облачной инфраструктуры: как одна картинка стоила целого облака
Автор баги: cyrus_0x00 В этой статье разберем атаку, начавшуюся с уязвимости XSS в генераторе изображений и завершившуюся получением полного доступа к облачной инфраструктуре. Рассмотрим пошагово,…
- 23 апреля 2025 г.Команда DeteAct
От Open Redirect до Account Takeover
Узнайте, как небольшие уязвимости (IDOR, XSS, Open Redirect) в совокупности с неправильной настройкой CSP могут привести к захвату аккаунтов пользователей. Подробный разбор реального кейса из…
- 18 ноября 2023 г.Команда DeteAct
Инъекции в почтовую функциональность веб-приложений
Статья создана в ознакомительных целях и предназначена только для специалистов по анализу защищённости, которые проводят анализ защищённости ресурсов компании-заказчика строго на законных…
- 27 августа 2020 г.Роман Рамазанов
Захват аккаунта через IDOR
Insecure Direct Object Reference (IDOR) — очень распространённый вид недостатков авторизационной логики приложения. Потенциальный ущерб от эксплуатации IDOR может быть как минимальным, так и…
- 29 мая 2020 г.Алексей Долматов
Обход Content Security Policy
Content Security Policy (CSP) — это дополнительный механизм безопасности, встроенный в браузеры, позволяющий предотвращать Cross Site Scripting (XSS). CSP позволяет определять белые списки…
- 26 апреля 2020 г.Роман Рамазанов
Обход Bitrix WAF
UPD: Присвоен идентификатор CVE-2020-13758 Бывает, что при проведении XSS отражённого типа параметры попадают прямо в тело тега script. Обычно это означает, что эксплуатация тривиальна: не…
- 12 декабря 2019 г.Роман Рамазанов
Типичные ошибки реализации SMS-аутентификации
Многие онлайн-сервисы используют SMS в качестве механизма аутентификации пользователей. Но допускаются маленькие ошибки, которые введут к крупным проблемам. Именно об этом пойдет речь в данной…
- 13 августа 2019 г.Роман Рамазанов
Инъекции в Yandex ClickHouse
В целях обработки большого количества данных в Яндекс.Метрике, Яндексом была создана колоночная СУБД ClickHouse. В рамках проектов по анализу защищённости мы встречали ClickHouse в системах…
- 1 августа 2019 г.Роман Рамазанов
DQL-инъекции
В современных веб-приложениях всё реже бывают инъекции, все используют подготовленные запросы и ORM, но мы до сих пор встречаем инъекции при пентестах.
Получить расчёт
Опишите объект и задачу. В течение одного-двух рабочих дней мы уточним границы работ, предложим состав услуг и назовём фиксированную стоимость и сроки.
- Почта
- info@deteact.ru
- Телефон
- +7 499 444-12-46
- Офис
- Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Лицензия
- ФСТЭК России №Л024-00107-00/00581935