HPP (HTTP Parameter Pollution) - что это и почему важно
HTTP Parameter Pollution - это техника, при которой злоумышленник добавляет в запрос несколько одинаковых параметров. Разные фреймворки и серверы могут по-разному интерпретировать такие запросы.

🔎 Пример:

https://example.com/profile?id=10&id=999

Один сервер возьмёт первый id=10.
Другой - последний id=999.
Третий превратит их в массив [10, 999].

В результате можно обойти фильтры, изменить логику приложения или получить доступ к данным.

⚠️ Почему это важно:
Возможен обход авторизации и ACL.
В некоторых случаях удаётся внедрить XSS или SQLi.
HPP помогает атакующему обойти WAF или нестандартные фильтры.

🛡️ Как защищаться:
Явно валидировать входные параметры.
Запрещать дублирующиеся ключи в запросах.
Использовать один стандартный парсер параметров.
HPP часто недооценивают, но на практике эта техника помогает открыть «скрытые двери» в веб-приложениях.

Есть тут кто хорошо шарит в SQL инъекциях и XSS инъекциях?
Надо будет проводить курсы для новичков
Сам погряз в основных делах с обучением, поэтому нужна светлая голова, а лучше 2 ))
За деньги конечно же
Пишите @faroeman

Ребят еще вопрос - кто знает на неплохом уровне Python / C++ / JS HTML CSS / и был бы готов преподавать молодым умам 12-18 лет занятия программированием?
Тоже ищу преподавателя в акаедемию к себе
Вообще у меня 2 направления пока
Python
HTML CSS JS

Но готов обсудить с вами что-то еще
@faroeman

💀 Вы можете положить прод, даже если ваш API "всего лишь" ходит к другому API
Многие разработчики считают, что если они берут данные из “надёжного” внешнего API - всё ок.
Нет, не ок. Добро пожаловать в OWASP A10 - Unsafe Consumption of APIs.

🔻 Что это значит
Ты без проверки доверяешь ответу от другого сервиса.
Не фильтруешь, не валидируешь, не проверяешь структуру.
Берёшь JSON как есть - и кидаешь дальше в прод, в базу, в лог, в HTML.

🔻 Что может случиться
В ответ прилетит вредоносный payload, и ты получишь XSS или SQL-инъекцию.
Внешний API поменяет формат, и твой код рухнет под нагрузкой.
“Надёжный партнёр” случайно вернёт чужие персональные данные - а ты их запишешь себе в лог.

🔻 Почему это опасно
Потому что ты даже не замечаешь проблему.
Проблема не “у тебя” - но падаешь именно ты.

🧠 Совет:
Проверяй схему (JSON Schema, Joi, Zod).
Валидируй поля и типы.
Не доверяй никаким внешним данным - даже если это внутренний микросервис.

⚡ В проде не бывает “безопасных” API. Есть только те, которые ты проверил сам.

Готовлю для вас лабу/курс по HPP (Http Parameter Pollution), поэтому временно не до канала.
Скоро все будет, очень полезная штука.

Так как у меня не хватает временных ресурсов на полноценные курсы, я буду делать мини-курсы + лабы, где вы можете решать их и набираться опыта.

Вот первая лаба будет по HPP

Опасная штука, кстати...

Ждите 🙂

HTTP Request Smuggling - редкая, но серьёзная штука.

Многие про неё не слышали, но она стоит за крупными утечками.
Суть: фронт (CDN/прокси) и бэкенд по-разному понимают, где заканчивается один HTTP-запрос и начинается другой. Атакующий вклинивает лишний запрос - и сервера начинают путать ответы.

Чем это опасно:
• воруют сессии;
• отравляют кэш (cache poisoning);
• обходят WAF и авторизацию;
• подсовывают ложные ответы другим пользователям.

Когда возможно: если в цепочке есть несовместимые прокси или старые парсеры HTTP.

Что сделать прямо сейчас:
• запретить одновременное использование Transfer-Encoding и Content-Length;
• обновить прокси/балансировщики и бэкенды;
• протестировать связку фронт→бекенд на рассинхронизацию.

Короче - найдите рассинхронизацию между фронтом и бэком, обновите стеки и заблокируйте одновременный Transfer-Encoding + Content-Length.

📢 OWASP Top 10: 2025 - скоро релиз!
OWASP объявила, что новая версия OWASP Top 10:2025 будет представлена на OWASP Global AppSec Conference в Вашингтоне (DC) - в первую неделю ноября 2025 года. 🔐

Сейчас проект находится на финальной стадии, и команда идёт по плану.

Кроме того, открыт общественный опрос — вы можете внести свой вклад и поделиться своим опытом:
👉 https://docs.google.com/forms/d/e/1FAIpQLSeiy0ve9N6tZj-IBPXUuCWIDqdhppFJYYowM5Cnu39dwEaY3w/closedform

Напомнюююю, OWASP Top 10 - это международный стандарт, отражающий десять самых критичных рисков безопасности веб-приложений. Документ формируется на основе консенсуса экспертов и служит ориентиром для разработчиков и специалистов по безопасности во всём мире.

Следите за обновлениями - версия 2025 обещает быть важным шагом вперёд в осведомлённости о киберрисках. 🚀

Ждете? Признавайтесь!

ZAP против Burp Suite: стоит ли переплачивать?
Если коротко - OWASP ZAP - мощная бесплатная альтернатива Burp Suite.

ZAP умеет:
- перехватывать HTTP/HTTPS-трафик,
- делать пассивное и активное сканирование,
- фуззить,
- сканировать AJAX-приложения,
- работать через API и CI/CD.

Но есть нюанс:
Burp Suite всё ещё лучше для глубокого ручного пентеста, имеет более зрелый интерфейс, плагины, стабильность и поддержку.

Итог:
ZAP - отличный выбор для обучения, бюджетных проектов и автоматизации.
Burp - для тех, кто зарабатывает пентестом и хочет максимум комфорта.

ZAP - 0 € и немного времени на настройку.
Burp Suite Pro - 449 € в год и готовый продукт “из коробки”.

Что выберите?

Хорошие новости. В начале ноября я запускаю IT академию (по факту IT школа) Brainup Academy, в которой будет доступное обучение для каждого. Оно не бесплатное, потому что это бизнес, но оно намного доступнее, чем в остальных буткемпах и академиях.

В чем преимущество?
1) Я отобрал крутых спецов по направлениям: Ручное тестирование, автоматизация тестирования, нарузочное тестирование, тестирование безопасности, программирование. Они будут рады помочь вам в ваших начинаниях

2) Цены - гораздо ниже, чем у конкурентов. Это важно, потому что не каждый может позволить себе оплатить обучение - теперь с этим будет проще.

3) У меня уже есть одна компания, с которой у меня есть договоренность о практике моим студентам. Я работаю дальше для привлечения других компаний, где лучшие студенты смогут получить место (либо бесплатно, либо вам будут платить какие-то деньги), но это не так просто и быстро.

Пишите, кому какое направление было бы интересно (можно и несколько), составим короткий шорт-лист и поймем, кому что интересно.

PS: некоторые дисциплины я буду вести сам.

Академия все ближе и я знаю примерные цены на обучение:
Ниже добавлю цены(примерные) и ссылки на вступление в закрытые чаты (можно выбрать хоть все курсы)

У нас одни из лучших цен (в скобках написал сколько примерно получается стоимость 1 часа), кружка кофе с булочкой по сути )))) и крутые специалисты, работающие в действующих IT компаниях.

QA Engineer Manual (30 часов) - 320 евро (10 евро 1 час урока)
https://t.me/+5fg9W3vTiDVlNzhk

QA Engineer Automation (50 часов) - 520 евро (10 евро 1 час урока) - Java Selenium
https://t.me/+VGlfe4FdriM5Y2E0

Инженер по нагрузочному тестированию (JMeter) (30 часов) - 320 евро (10 евро 1 час урока)
https://t.me/+ESbmRSdoaKs1ZGE0

Введение в кибербезопасность (10-15 часов) - 190 евро (12 евро 1 час урока)
https://t.me/+uF2z_EJ1NRNhNmNk

Инженер по тестированию безопасности (30 часов) - 490 евро (16 евро 1 час урока)
https://t.me/+kDobhda8l95hZjNk

Программирование на HTML / CSS / Javascript (50 часов) - 520 евро (10 евро 1 час урока)
https://t.me/+HMpijd-uL-c3MWM0

Программирование для детей (1 месяц 8 занятий по 1 часу) - 110 евро (13 евро 1 час в группе)
Пишите в личку тут, у кого есть дети
Если не знаете, что вам выбрать - пишите в личку, подскажу.

По идее, если все ОК, я сделаю оплату частями(но сам я не тестировал пока), но сделал через Stripe - Klarna. (для РФ, РБ увы никак)
Надо тестить. Можно на 2-3-4 части разбить.

Пишите в лс @faroeman

PS: не исключаю, что вторые потоки будут дороже
PS2: Это живое онлайн обучение - НЕ ЗАПИСИ!

Ура! Да, я лично снизил цены на все курсы! После вчерашнего поста, многие изъявили желание учиться, но некоторые не тянут по финансам.
Пришлось прислушаться к мнению будущих студентов :)

Ниже добавлю цены и ссылки на вступление в закрытые чаты (можно выбрать хоть все курсы)

🟢 QA Engineer Manual (30 часов) -
Старая цена 320 евро
Новая цена - 220 евро (7.5 евро 1 час урока)
Ссылка на вступление
https://t.me/+5fg9W3vTiDVlNzhk

🟢 QA Engineer Automation (50 часов)
Старая цена 520 евро
Новая цена 390 евро (7.5 евро 1 час урока) - Java Selenium
Ссылка на вступление
https://t.me/+VGlfe4FdriM5Y2E0

🟢 Инженер по нагрузочному тестированию (JMeter) (30 часов) -
Старая цена - 320 евро
Новая цена 290 евро (9.5 евро 1 час урока)
Ссылка на вступление
https://t.me/+ESbmRSdoaKs1ZGE0

🟢 Введение в кибербезопасность (10-15 часов) -
Цена 190 евро (12 евро 1 час урока)
Ссылка на вступление
https://t.me/+uF2z_EJ1NRNhNmNk

🟢 Инженер по тестированию безопасности OWASP TOP 10 2025 (30 часов) -
Старая цена 490 евро (16 евро 1 час урока)
Новая цена 290 евро (9.5 евро 1 час урока)
Ссылка на вступление
https://t.me/+kDobhda8l95hZjNk

🟢 Программирование на HTML / CSS / Javascript (30 часов) -
Старая цена 520 евро (50 часов)
Новая цена 290 евро (30 часов), 9.5 евро 1 час урока
Ссылка на вступление
https://t.me/+HMpijd-uL-c3MWM0

🟢 Программирование для детей (1 месяц 8 занятий по 1 часу) - 110 евро (13 евро 1 час в группе)
Пишите в личку тут, у кого есть дети

🔸 Если не знаете, что вам выбрать - пишите в личку, подскажу.

🔸 Ниже цен вы не найдете друзья :) , а за качество могу ответить, отбирал хорошо специалистов.
🔸 Это реально хороший шанс бюджетно обучаться!

🔸 Завтра, если все по плану пойдет, то выкачу сайт на прод.

🟩 Пишите в лс @faroeman, если что-то хотите узнать / спросить.

🟩 PS: ВАЖНО! Это живое онлайн обучение - НЕ ЗАПИСИ! + остаются записи + будет куча бонусов в подарок (курсы в записи, поддержка и тд)

🟩 Подробные программы в каналах, ссылки на которые я дал выше

🟩 Места ограничены!

Хорошего дня! 🦸‍♂️🦸‍♂️🦸‍♂️

Ребят, есть возможность пройти тренинг по AWS Cloud с высококлассным специалистом и по приятной цене.

Более подробно можно почитать тут

🚀 Учебный проект для QA-инженеров: тестирование API на AWS
Практические навыки на реальной инфраструктуре в облаке AWS. Во время практики будет продемонстрирован cloud-native подход на заранее развернутом приложении.

https://brainupacademy.com/aws-cloud.html

Кому интересно, вступайте в закрытую группу в ТГ, там скоро будут анонсы

https://t.me/+Da9_b_-M9tllNGZk

Ребят, есть кто физически находится в Белграде, Сербия и кто напрямую связан с тестированием безопасности?
Отпишите мне, пожалуйста.
Есть вариант сотрудничества / работы

У нас через полторы недели стартуют 2 курса
🟢 Введение в кибербезопасность (10-15 часов) -
Цена 190 евро (12 евро 1 час урока)
Ссылка на вступление
https://t.me/+uF2z_EJ1NRNhNmNk

🟢 Инженер по тестированию безопасности OWASP TOP 10 2025 (30 часов) -
Старая цена 490 евро (16 евро 1 час урока)
Новая цена 290 евро (9.5 евро 1 час урока)
Ссылка на вступление
https://t.me/+kDobhda8l95hZjNk

Прошу, кому интересно зайти в чат и отписаться в чатике
Набор пока идет

Как назвать данную кибератаку? Ваши мнения?
Лучший ответ получить скидку на обучение в нашу академию 20% на курсы по ИБ.))))

Как вам идея?

Ребят, кто хоть немного в теме QA - скидываю вам папку с каналами по тематике тестирования. там найдете много полезного, это не реклама
Так что покопайтесь там и вступайте к ребятам

https://t.me/addlist/PNmSaWa9ktw2YjRi