что происходит с запросом внутри nginx и Apache
Как nginx и Apache выбирают сайт, обрабатывают путь и передают запрос приложению. Что из этого можно проверить чёрным ящиком.
Статьи
где на самом деле ломается HTTP
Как прокси и приложение разбирают один запрос по-разному: границы тела, путь, служебные заголовки и ключ кэша.
Постквантовый JWT и будущее токенов
Финал серии. Алгоритм Шора ломает все асимметричные JWT-алгоритмы. ML-DSA подписи по 2.4 KB не влезают в cookie. SD-JWT для selective disclosure. Harvest Now, Decrypt Later — почему миграция JWE на постквантовую криптографию нужна уже сейчас.
RFC 8725 - чеклист который никто не читает
RFC 8725 — пятнадцать правил безопасности JWT от авторов стандарта. Для каждого — какую атаку из серии оно предотвращает, какие CVE существуют, и почему ~65% приложений не проверяют aud. Плюс три новых правила из bis-обновления 2026.
Что вместо JWT - PASETO, Macaroons, opaque tokens и server-side sessions
JWT не идеален — 70+ CVE за десять лет. Разбираем альтернативы: PASETO без поля alg, Macaroons с уникальным attenuation, opaque tokens с мгновенным отзывом, серверные сессии Google/Netflix. Для каждой — что ломать на пентесте.
Hardcoded secrets - когда секрет лежит в открытом коде
CVE-2025-20188 (CVSS 10.0): восемь символов 'notfound' в Lua-скрипте Cisco IOS XE = root RCE на enterprise-оборудовании. 17% JWT CVE за 2024-2026 — захардкоженные секреты. Где искать: git-история, Docker-слои, JS-бандлы, source maps, firmware.
Продвинутые криптоатаки - lattice, side-channels, fault injection
Утечка трёх бит nonce из каждой ECDSA-подписи — и 100 подписей спустя у тебя полный приватный ключ. Minerva, TPM-FAIL, EUCLEAK: реальные атаки на реальные устройства, и что из этого применимо на веб-пентесте прямо сейчас.
XSS + JWT = полный захват аккаунта
Нашёл Reflected XSS? Если приложение хранит JWT в localStorage, это не просто alert(1) — это захват всех аккаунтов. Разбираем кражу из каждого хранилища, CSP bypass через WebRTC и CSS injection, и единственные защиты, которые реально работают.
JWT в OAuth 2.0 и OIDC - где ломается в реальном мире
На стыках компонентов OAuth/OIDC появляются атаки, которых нет в изоляции: token confusion, cross-service relay, ALBeast в AWS и обход DPoP — с конкретными CVE и пошаговыми проверками для пентеста.
JWT-библиотеки - рейтинг дырявости
От выбора библиотеки зависит, какие атаки сработают: рейтинг самых уязвимых, tier-классификация от рекомендуемых до опасных, и fingerprinting бэкенда по заголовку токена без единого запроса к серверу.