Пишу новую книгу: «OWASP на практике: пентест для тех, кто не боится Burp Suite». Сейчас можно оформить предзказ. Содержание и цена внутри статьи
Ты читаешь статьи про SQL-инъекции, смотришь ролики про XSS, но как только открываешь Burp Suite - теряешься. Знакомо?
Я пишу книгу, которая закрывает именно этот разрыв: от «прочитал про уязвимость» до «нашёл и подтвердил её сам».
Что внутри:
- Пошаговый путь по методологии OWASP: от разведки (OSINT) до отчёта об уязвимости
- 13 глав, каждая - конкретный вектор атаки: IDOR, SQLi, XSS, CSRF, SSRF и другие
- Мини-лабы на легальных полигонах (DVWA, OWASP Juice Shop) - практика без риска сесть по статье
- Чек-листы ASVS в конце каждой главы, чтобы не гадать, что проверять
- Разбор, как оформить первый отчёт об уязвимости, чтобы его приняли, а не проигнорировали
Это не пересказ документации OWASP и не сухая теория. Это структурированный маршрут для тех, кто хочет перейти от «смотрю обучающие видео» к «нашёл первую реальную уязвимость».
🎯 Для кого книга:
Новички в пентесте, разработчики, которые хотят понимать атаки на свой же код, и все, кто задумывается о bug bounty, но не знает, с чего начать.
💙 Цена предзаказа: 690 ₽
После релиза книга будет стоить 1190 ₽. Предзаказ открыт ограниченное время - успей забрать со скидкой почти в 2 раза.
Содержание:
Введение
• Зачем этичный хакинг и как не сесть по статье
• Легальные полигоны: DVWA, OWASP Juice Shop, PortSwigger Web Security Academy, TryHackMe, Hack The Box
• Инструментарий минимального набора: Burp Suite, Nmap, ffuf/gobuster, Postman
Глава 1. Разведка (WSTG-INFO)
• OSINT: собери досье на цель без единой строки кода
• Fingerprinting: технологии, сервера, CMS
• Поиск поддоменов и скрытых директорий
• Чек-лист ASVS уровня 1: что проверить перед стартом
Глава 2. Конфигурация и деплой (WSTG-CONF)
• Дефолтные пароли и забытые админки
• Ошибки в HTTP-заголовках и CORS
• Утечки через .git, .env, бэкапы
• Мини-лаба: находим misconfig на Juice Shop
Глава 3. Управление идентификацией (WSTG-IDNT)
• Enumeration пользователей
• Слабая политика паролей
• Мини-лаба: user enumeration на DVWA
Глава 4. Аутентификация (WSTG-ATHN + Top10 A07)
• Брутфорс и обход капчи
• JWT: как подделать токен
• Многофакторка: где ломается MFA
• Чек-лист ASVS: требования к аутентификации
Глава 5. Авторизация и Access Control (WSTG-ATHZ + Top10 A01)
• IDOR: поменяй ID - получи чужие данные
• Privilege Escalation: от юзера до админа
• Path Traversal
• Мини-лаба: IDOR-охота на Juice Shop
Глава 6. Управление сессией (WSTG-SESS)
• Session Hijacking и Fixation
• CSRF: подделка запроса от имени жертвы
• Cookie flags: Secure, HttpOnly, SameSite
Глава 7. Валидация ввода и инъекции (WSTG-INPV + Top10 A03)
• SQL Injection от простого к слепому
• XSS: Stored, Reflected, DOM-based
• Command Injection и SSTI
• Мини-лаба: SQLi на DVWA + PortSwigger labs
Глава 8. Криптография (WSTG-CRYP + Top10 Cryptographic Failures)
• Слабые алгоритмы хэширования
• Передача данных без TLS
• Хранение секретов: что не так с "зашитым" API-ключом
Глава 9. Бизнес-логика (WSTG-BUSL)
• Обход воркфлоу (например, пропуск шага оплаты)
• Race conditions
• Мини-лаба: логическая уязвимость на Juice Shop
Глава 10. Клиентская сторона (WSTG-CLNT)
• DOM XSS и Client-Side Injection
• Уязвимости в JS-фреймворках
• Clickjacking
Глава 11. API-безопасность (WSTG-APIT + OWASP API Top 10)
• BOLA (Broken Object Level Authorization)
• Excessive Data Exposure
• Rate Limiting и его отсутствие
• Мини-лаба: тестирование REST API через Postman
Глава 12. Новые угрозы 2025–2026 (Top 10 обновления)
• SSRF
• Supply Chain Failures
• Mishandling of Exceptional Conditions
Глава 13. Отчётность и bug bounty
• Как написать PoC, который поймёт даже уставший админ
• Структура отчёта: severity, impact, remediation
• Первый репорт на Standoff365/Bi.ZONE: чего ждать
Заключение
• Дорожная карта: куда расти дальше (OSCP, ASVS Level 2, специализация в API/mobile)
• Чек-лист "что делать в первую неделю после прочтения книги"
