https://rmrf.tips/tags/web/Баги, уязвимости и security-ресерч. Web2, Web3, Bug BountyHugorurmrf_0rmrf_0© 2026 ПингискокSat, 24 Oct 2026 00:00:00 +0300https://rmrf.tips/series/web-servers/web-servers-anatomy/Sat, 24 Oct 2026 00:00:00 +0300https://rmrf.tips/series/web-servers/web-servers-anatomy/Как nginx и Apache выбирают сайт, обрабатывают путь и передают запрос приложению. Что из этого можно проверить чёрным ящиком.https://rmrf.tips/series/web-servers/web-servers-why-broken/Sat, 24 Oct 2026 00:00:00 +0300https://rmrf.tips/series/web-servers/web-servers-why-broken/Как прокси и приложение разбирают один запрос по-разному: границы тела, путь, служебные заголовки и ключ кэша.https://rmrf.tips/series/jwt/jwt-post-quantum/Fri, 03 Apr 2026 20:20:00 +0300https://rmrf.tips/series/jwt/jwt-post-quantum/Финал серии. Алгоритм Шора ломает все асимметричные JWT-алгоритмы. ML-DSA подписи по 2.4 KB не влезают в cookie. SD-JWT для selective disclosure. Harvest Now, Decrypt Later — почему миграция JWE на постквантовую криптографию нужна уже сейчас.https://rmrf.tips/series/jwt/jwt-rfc8725/Fri, 03 Apr 2026 20:19:00 +0300https://rmrf.tips/series/jwt/jwt-rfc8725/RFC 8725 — пятнадцать правил безопасности JWT от авторов стандарта. Для каждого — какую атаку из серии оно предотвращает, какие CVE существуют, и почему ~65% приложений не проверяют aud. Плюс три новых правила из bis-обновления 2026.https://rmrf.tips/series/jwt/jwt-alternatives/Fri, 03 Apr 2026 20:18:00 +0300https://rmrf.tips/series/jwt/jwt-alternatives/JWT не идеален — 70+ CVE за десять лет. Разбираем альтернативы: PASETO без поля alg, Macaroons с уникальным attenuation, opaque tokens с мгновенным отзывом, серверные сессии Google/Netflix. Для каждой — что ломать на пентесте.https://rmrf.tips/series/jwt/jwt-hardcoded-secrets/Fri, 03 Apr 2026 20:17:00 +0300https://rmrf.tips/series/jwt/jwt-hardcoded-secrets/CVE-2025-20188 (CVSS 10.0): восемь символов 'notfound' в Lua-скрипте Cisco IOS XE = root RCE на enterprise-оборудовании. 17% JWT CVE за 2024-2026 — захардкоженные секреты. Где искать: git-история, Docker-слои, JS-бандлы, source maps, firmware.https://rmrf.tips/series/jwt/jwt-advanced-crypto/Sat, 28 Mar 2026 10:14:00 +0300https://rmrf.tips/series/jwt/jwt-advanced-crypto/Утечка трёх бит nonce из каждой ECDSA-подписи — и 100 подписей спустя у тебя полный приватный ключ. Minerva, TPM-FAIL, EUCLEAK: реальные атаки на реальные устройства, и что из этого применимо на веб-пентесте прямо сейчас.https://rmrf.tips/series/jwt/jwt-xss/Sat, 28 Mar 2026 10:13:00 +0300https://rmrf.tips/series/jwt/jwt-xss/Нашёл Reflected XSS? Если приложение хранит JWT в localStorage, это не просто alert(1) — это захват всех аккаунтов. Разбираем кражу из каждого хранилища, CSP bypass через WebRTC и CSS injection, и единственные защиты, которые реально работают.https://rmrf.tips/series/jwt/jwt-oauth-oidc/Sat, 28 Mar 2026 10:12:00 +0300https://rmrf.tips/series/jwt/jwt-oauth-oidc/На стыках компонентов OAuth/OIDC появляются атаки, которых нет в изоляции: token confusion, cross-service relay, ALBeast в AWS и обход DPoP — с конкретными CVE и пошаговыми проверками для пентеста.https://rmrf.tips/series/jwt/jwt-libraries/Sat, 28 Mar 2026 10:11:00 +0300https://rmrf.tips/series/jwt/jwt-libraries/От выбора библиотеки зависит, какие атаки сработают: рейтинг самых уязвимых, tier-классификация от рекомендуемых до опасных, и fingerprinting бэкенда по заголовку токена без единого запроса к серверу.https://rmrf.tips/series/jwt/jwt-jwe/Sat, 28 Mar 2026 10:10:00 +0300https://rmrf.tips/series/jwt/jwt-jwe/JWE - зашифрованные JWT с пятью частями и двумя уровнями шифрования. Разбираем весь зоопарк атак: Invalid Curve на ECDH-ES, Bleichenbacher на RSA1_5, Padding Oracle на AES-CBC, PBES2 DoS одним запросом и forbidden attack на AES-GCM.https://rmrf.tips/series/jwt/jwt-crypto/Sat, 28 Mar 2026 10:09:00 +0300https://rmrf.tips/series/jwt/jwt-crypto/Разбираем математику за HMAC, RSA и ECDSA изнутри: почему Sony потеряла PlayStation 3 из-за одного повторяющегося числа, и как частичная утечка nonce позволяет восстановить приватный ключ.https://rmrf.tips/series/jwt/jwt-psychic-signatures/Sat, 21 Mar 2026 18:07:00 +0300https://rmrf.tips/series/jwt/jwt-psychic-signatures/Подпись из одних нулей проходит ECDSA-верификацию на Java 15-18. Для любого сообщения, с любым ключом. Пять строк Python - и ты admin.https://rmrf.tips/series/jwt/jwt-bruteforce/Sat, 21 Mar 2026 18:06:00 +0300https://rmrf.tips/series/jwt/jwt-bruteforce/JWT содержит все для офлайн-атаки: сообщение и подпись. Hashcat на GPU перебирает 150 миллионов HS256 в секунду. Секрет 'secret' подбирается за 2 секунды.https://rmrf.tips/series/jwt/jwt-header-injection/Sat, 21 Mar 2026 18:05:00 +0300https://rmrf.tips/series/jwt/jwt-header-injection/Заголовок JWT может содержать URL, и сервер пойдет по этому URL скачивать ключ для проверки подписи. Это не баг - это RFC 7515.https://rmrf.tips/series/jwt/jwt-kid-injection/Sat, 21 Mar 2026 18:04:00 +0300https://rmrf.tips/series/jwt/jwt-kid-injection/RFC не определяет структуру kid. Разработчики используют его как путь к файлу, SQL-параметр или аргумент команды. Каждый вариант - отдельный класс уязвимостей.https://rmrf.tips/series/jwt/jwt-algorithm-confusion/Sat, 21 Mar 2026 18:03:00 +0300https://rmrf.tips/series/jwt/jwt-algorithm-confusion/Берешь публичный ключ сервера из открытого доступа, подписываешь им токен - и сервер его принимает. Подпись есть, подпись корректна, но токен поддельный.https://rmrf.tips/series/jwt/jwt-alg-none/Sat, 21 Mar 2026 18:02:00 +0300https://rmrf.tips/series/jwt/jwt-alg-none/RFC требует поддержку алгоритма none в каждой JWT-библиотеке. Меняем одно поле в заголовке - и сервер пропускает проверку подписи.https://rmrf.tips/series/jwt/jwt-anatomy/Fri, 20 Mar 2026 18:01:00 +0300https://rmrf.tips/series/jwt/jwt-anatomy/Берем реальный токен и разбираем как патологоанатом: header, payload, signature, Base64url, claims, edge cases.https://rmrf.tips/series/jwt/jwt-why-broken/Fri, 20 Mar 2026 18:00:00 +0300https://rmrf.tips/series/jwt/jwt-why-broken/70+ CVE за десять лет. Один баг из 2015 года до сих пор стреляет в 2026-м. Разбираемся, почему JWT упорно остается дырявым.