{"id":343304,"date":"2022-12-29T09:01:07","date_gmt":"2022-12-29T09:01:07","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=343304"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=343304","title":{"rendered":"<span>\u041a\u0430\u043a \u0437\u0430 \u043d\u0435\u0434\u0435\u043b\u044e \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u0442\u044c Open redirect \u0432 RCE<\/span>"},"content":{"rendered":"<div><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0412 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u044f \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443 \u0432\u0430\u043c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u0440\u043e\u0432\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u044f \u0441\u0432\u044f\u0437\u0430\u043b \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u0434\u043e\u0441\u0442\u0438\u0436\u0435\u043d\u0438\u044f \u0423\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430 (<abbr class=\"habraabbr\" title=\"Remote code execution\" data-title=\"&lt;p>Remote code execution&lt;\/p>&#187; data-abbr=&#187;RCE&#187;>RCE<\/abbr>) \u043d\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 <a href=\"https:\/\/vk.company\/\" rel=\"noopener noreferrer nofollow\">VK<\/a>. \u042f \u043f\u043e\u0441\u0442\u0430\u0440\u0430\u043b\u0441\u044f \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u043e\u0438 \u0448\u0430\u0433\u0438 \u0432 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u044f\u0445, \u0442\u0430\u043a \u043a\u0430\u043a \u043c\u043d\u0435 \u0441\u0430\u043c\u043e\u043c\u0443, \u043a\u0430\u043a \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u043c\u0443 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044e \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0433-\u0431\u0430\u0443\u043d\u0442\u0438, \u0432\u0441\u0435\u0433\u0434\u0430 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0430\u043a \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043c\u044b\u0441\u043b\u0438\u0442 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439. \u041d\u0430\u0434\u0435\u044e\u0441\u044c, \u0434\u043b\u044f \u0432\u0430\u0441 \u044d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430.<\/p>\n<h4>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h4>\n<p>\u041d\u0435 \u0431\u0443\u0434\u0443 \u0441\u043a\u0440\u044b\u0432\u0430\u0442\u044c, \u044f \u044f\u0432\u043b\u044f\u044e\u0441\u044c \u0444\u0430\u043d\u0430\u0442\u043e\u043c \u0431\u0430\u0433-\u0431\u0430\u0443\u043d\u0442\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b <a href=\"https:\/\/hackerone.com\/mailru\" rel=\"noopener noreferrer nofollow\">VK \u043d\u0430 HackerOne<\/a>. \u0418\u043d\u043e\u0433\u0434\u0430 \u0445\u043e\u043b\u0434\u0438\u043d\u0433 \u043f\u0440\u0438\u043e\u0431\u0440\u0435\u0442\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043f\u043e\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u043e\u0432\u044b\u043c\u0438 \u0430\u043a\u0442\u0438\u0432\u0430\u043c\u0438, \u0447\u0442\u043e \u0434\u0430\u0435\u0442 \u0431\u0430\u0433-\u0445\u0430\u043d\u0442\u0435\u0440\u0430\u043c \u043d\u0435\u043f\u043b\u043e\u0445\u043e\u0439 \u0448\u0430\u043d\u0441 \u0441\u043e\u0431\u0440\u0430\u0442\u044c &#171;\u043d\u0438\u0437\u043a\u043e \u0432\u0438\u0441\u044f\u0449\u0438\u0435 \u0444\u0440\u0443\u043a\u0442\u044b&#187; &#8212; \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u043d\u0430\u0439\u0434\u0435\u043d\u044b \u0431\u0435\u0437 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0437\u0430\u0442\u0440\u0430\u0442 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438 \u0443\u0441\u0438\u043b\u0438\u0439.<\/p>\n<p>\u041f\u043e \u0441\u0432\u043e\u0435\u043c\u0443 \u043e\u043f\u044b\u0442\u0443 \u043c\u043e\u0433\u0443 \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0447\u0435\u043c\u0443-\u0442\u043e, \u0447\u0442\u043e \u0434\u043e \u0432\u0430\u0441 \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u043f\u044b\u0442\u0430\u043b\u0441\u044f \u0432\u0437\u043b\u043e\u043c\u0430\u0442\u044c, \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043e\u0447\u0435\u043d\u044c \u0432\u044b\u0433\u043e\u0434\u043d\u043e. \u041d\u0430 \u043f\u043b\u043e\u0449\u0430\u0434\u043a\u0435 HackerOne \u0435\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0443\u044e \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443 \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u043e \u043b\u044e\u0431\u044b\u0445 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f\u0445 \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445, \u0447\u0435\u043c \u044f \u0438 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f, \u0447\u0442\u043e\u0431\u044b \u0431\u044b\u0442\u044c \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043f\u0435\u0440\u0432\u044b\u0445, \u043a\u0442\u043e \u043d\u0430\u0447\u043d\u0435\u0442 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441.<\/p>\n<p>\u0412 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 2021 \u0433\u043e\u0434\u0430 \u044f \u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0445\u0430\u043d\u0442\u0438\u043b \u0438 \u043e\u0441\u043e\u0431\u043e \u043d\u0435 \u0441\u043b\u0435\u0434\u0438\u043b \u0437\u0430 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f\u043c\u0438 \u0432 \u0438\u0437\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0435, \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e \u044d\u0442\u043e\u0439 \u043f\u0440\u0438\u0447\u0438\u043d\u0435 \u044f \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 Seedr<em>, <\/em>\u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0431\u044b\u0441\u0442\u0440\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0442\u044c \u0432\u0438\u0434\u0435\u043e \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435, \u0441\u0435\u0439\u0447\u0430\u0441 \u0443\u0436\u0435 \u043f\u0440\u0438\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u0430\u044f, \u0431\u044b\u043b\u0430 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u0432 \u0441\u043a\u043e\u0443\u043f.<\/p>\n<p>\u041c\u043e\u044f \u043f\u0435\u0440\u0432\u0430\u044f \u0432\u0441\u0442\u0440\u0435\u0447\u0430 \u0441 Seedr \u0441\u043e\u0441\u0442\u043e\u044f\u043b\u0430\u0441\u044c \u0432 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 2021 \u0433\u043e\u0434\u0430. \u0412 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0447\u0430\u043b\u0430 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0431\u0430\u043d\u0430\u043b\u044c\u043d\u044b\u0445 <abbr class=\"habraabbr\" title=\"Cross-Site Scripting\" data-title=\"&lt;p>&lt;em>Cross-Site Scripting&lt;\/em>  &lt;\/p>&#187; data-abbr=&#187;XSS &#171;>XSS <\/abbr>\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u043d\u043e \u0440\u0435\u0448\u0438\u043b \u043d\u0435 \u0441\u043e\u043e\u0431\u0449\u0430\u0442\u044c \u043e \u043d\u0438\u0445, \u0442\u0430\u043a \u043a\u0430\u043a \u0448\u0430\u043d\u0441 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u0443\u0431\u043b\u0438\u043a\u0430\u0442 \u0431\u044b\u043b \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0432\u044b\u0441\u043e\u043a.<\/p>\n<p>\u0412 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044b\u0445 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u0431\u0430\u0433-\u0445\u0430\u043d\u0442\u0435\u0440\u043e\u0432 \u0438 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u043d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u043d\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0432 Seedr<em>:<\/em><\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1348154\" rel=\"noopener noreferrer nofollow\"><u>RCE \u0432 .api\/nr\/report\/{id}\/download<\/u><\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1354335\" rel=\"noopener noreferrer nofollow\"><u>SSRF + RCE \u0447\u0435\u0440\u0435\u0437 fastCGI \u0432 POST \/api\/nr\/video<\/u><\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1350671\" rel=\"noopener noreferrer nofollow\"><u>XSS Stored on https:\/\/seedr.ru<\/u><\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1360208\" rel=\"noopener noreferrer nofollow\"><u>OS command injection on seedr.ru<\/u><\/a><\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u0434\u0443\u043c\u0430\u0432, \u0447\u0442\u043e \u043c\u043e\u0439 \u043f\u043e\u0435\u0437\u0434 \u0443\u0448\u0435\u043b, \u044f \u0440\u0435\u0448\u0438\u043b \u043d\u0435 \u0442\u0440\u0430\u0442\u0438\u0442\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430 Seedr \u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043b \u043f\u0440\u043e\u043a\u0440\u0430\u0441\u0442\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c.<\/p>\n<h4>\u041d\u0430\u0445\u043e\u0434\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u043b\u0430 \u043c\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435<\/h4>\n<p>\u042f \u0432\u0435\u0440\u043d\u0443\u043b\u0441\u044f \u043a \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e <em>Seedr <\/em>\u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0434\u0435\u043a\u0430\u0431\u0440\u044c\u0441\u043a\u043e\u0433\u043e \u043e\u0442\u043f\u0443\u0441\u043a\u0430 \u0432 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u0440\u0430\u043d\u0435, \u0433\u0434\u0435 \u0441 \u0441\u043e\u0431\u043e\u0439 \u0443 \u043c\u0435\u043d\u044f \u0431\u044b\u043b \u043b\u0438\u0448\u044c \u0440\u044e\u043a\u0437\u0430\u043a \u0438 \u043d\u043e\u0443\u0442\u0431\u0443\u043a. \u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043f\u0440\u0435\u0431\u044b\u0432\u0430\u043d\u0438\u044f \u0432 \u0442\u0430\u043a\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445 \u0443 \u043c\u0435\u043d\u044f \u043f\u0440\u043e\u0441\u044b\u043f\u0430\u0435\u0442\u0441\u044f &#171;\u0431\u0430\u0433-\u0431\u0430\u0443\u043d\u0442\u0438 \u0433\u043e\u043b\u043e\u0434&#187; \u0438 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u043d\u0430\u0439\u0442\u0438 \u0447\u0442\u043e-\u043d\u0438\u0431\u0443\u0434\u044c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435. \u0414\u043b\u044f \u0440\u0430\u0437\u043e\u0433\u0440\u0435\u0432\u0430, \u044f \u043e\u0431\u044b\u0447\u043d\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u044e\u0441\u044c \u043a \u0443\u0436\u0435 \u0437\u043d\u0430\u043a\u043e\u043c\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c \u0438 \u0441\u0442\u0430\u0440\u0430\u044e\u0441\u044c \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u0435\u0436\u0438\u043c \u0432\u0437\u0433\u043b\u044f\u0434\u043e\u043c.<\/p>\n<p>\u041d\u0430 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u044f \u0443\u0434\u0435\u043b\u0438\u043b \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0435 Seedr, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e: \u043f\u043e\u0438\u0441\u043a\u0443 \u0438 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u044e \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u043e\u0432, \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043f\u043e\u0440\u0442\u043e\u0432, \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u0443 \u0432\u0435\u0431-\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0439 \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u041a \u0441\u0447\u0430\u0441\u0442\u044c\u044e, \u044f \u043d\u0430\u0448\u0435\u043b \u0431\u043e\u043b\u0435\u0435 \u0437\u0430\u043c\u0430\u043d\u0447\u0438\u0432\u044b\u0435 \u0432\u0435\u0449\u0438: GitLab, Grafana, \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0445\u043e\u0441\u0442\u043e\u0432 API, cron-\u0444\u0430\u0439\u043b\u044b \u0432 \u0432\u0435\u0431-\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438, \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438 \u0441\u0442\u0435\u043a\u0430 \u0438 \u043c\u043d\u043e\u0433\u043e\u0435 \u0434\u0440\u0443\u0433\u043e\u0435. \u0427\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u0442\u043e\u0447\u0435\u043a \u0432\u0445\u043e\u0434\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0448\u044c &#8212; \u0442\u0435\u043c \u0432\u044b\u0448\u0435 \u0448\u0430\u043d\u0441 \u043d\u0430\u0439\u0442\u0438 \u0447\u0442\u043e-\u0442\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435. \u0425\u043e\u0442\u044f \u043d\u0438 \u043e\u0434\u043d\u0430 \u0438\u0437 \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043d\u0435 \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0441\u0442\u043e\u044f\u0449\u0435\u0439 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043e \u043d\u0435\u0439 \u0441\u043e\u043e\u0431\u0449\u0438\u0442\u044c, \u043e\u0434\u043d\u0430 \u0438\u0437 \u043d\u0438\u0445 \u0432\u0441\u0435 \u0436\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u043b\u0430 \u043c\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435.<\/p>\n<p>\u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c HTML-\u043a\u043e\u0434\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <em>https:\/\/api-stage.seedr.ru\/player <\/em>\u044f \u0437\u0430\u043c\u0435\u0442\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/2c7\/7b7\/b0b\/2c77b7b0b7e7e44e4771caa0d1042a6e.png\" width=\"1518\" height=\"497\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/2c7\/7b7\/b0b\/2c77b7b0b7e7e44e4771caa0d1042a6e.png\"\/><figcaption><\/figcaption><\/figure>\n<pre><code>https:\/\/player.seedr.ru\/video?vid=cpapXGq50UY&amp;post_id=57b6ceef64225d5b0f8b456c&amp;config=https%3A%2F%2Fseedr.com%2Fconfig%2F57975d1b64225d607e8b456e.json&amp;hosting=youtube<\/code><\/pre>\n<p>\u0413\u043e\u0442\u043e\u0432 \u043f\u043e\u0441\u043f\u043e\u0440\u0438\u0442\u044c, \u0447\u0442\u043e \u0431\u043e\u043b\u0435\u0435 \u043e\u043f\u044b\u0442\u043d\u044b\u0439 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044c \u0443\u0436\u0435 \u0437\u0430\u0445\u043e\u0442\u0435\u043b \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <strong>config <\/strong>\u043d\u0430 \u0441\u0432\u043e\u0439 \u0445\u043e\u0441\u0442 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0432\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e HTTP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u0447\u0442\u043e \u044f \u0438 \u0441\u0434\u0435\u043b\u0430\u043b. \u041d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u043f\u043e\u043f\u044b\u0442\u043e\u043a \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043e\u0442\u0441\u0442\u0443\u043a\u0430 \u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043b \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438.<\/p>\n<p>\u041a\u043e\u0433\u0434\u0430 \u044f \u043e\u0442\u043a\u0440\u044b\u043b \u0441\u0441\u044b\u043b\u043a\u0443 <code>https:\/\/player.seedr.ru\/video?vid=cpapXGq50UY&amp;post_id=57b6ceef64225d5b0f8b456c&amp;config=https%3A%2F%2Fseedr.com%2Fconfig%2F57975d1b64225d607e8b456e.json&amp;hosting=youtube<\/code><em> <\/em>\u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435, \u044f \u0437\u0430\u043c\u0435\u0442\u0438\u043b, \u0447\u0442\u043e \u043c\u0435\u0442\u0430\u0442\u0435\u0433\u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u044b \u043f\u043e \u0440\u0430\u0437\u043c\u0435\u0442\u043a\u0435 Open Graph \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0432\u0438\u0434\u0435\u043e: \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435, \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435, \u043f\u0440\u0435\u0432\u044c\u044e \u0438 \u0442.\u0434.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/792\/c77\/b24\/792c77b2469d4a54949faaf9d0636f33.png\" width=\"1516\" height=\"517\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/792\/c77\/b24\/792c77b2469d4a54949faaf9d0636f33.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0445 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b <code>post_id<\/code><strong> <\/strong>\u0438 <code>config<\/code><strong> <\/strong>\u043d\u0435 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u043b\u0438\u044f\u043d\u0438\u044f \u043d\u0430 \u043e\u0442\u0432\u0435\u0442, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u043c URL \u0434\u043e <code>https:\/\/player.seedr.ru\/video?vid=cpapXGq50UY&amp;hosting=youtube<\/code>.<\/p>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0432, \u0447\u0442\u043e \u043f\u043b\u0435\u0435\u0440 \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e YouTube, \u044f \u0438\u0437\u043c\u0435\u043d\u0438\u043b GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<strong> <\/strong><code>hosting<\/code><strong> <\/strong>\u043d\u0430 <em>coub <\/em>\u0438 <em>vimeo:<\/em><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/e0d\/869\/05f\/e0d86905fe585f7151dc8bb0c5d44031.png\" width=\"1523\" height=\"356\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/e0d\/869\/05f\/e0d86905fe585f7151dc8bb0c5d44031.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/971\/7d3\/8e8\/9717d38e85df688b7cc2be6f7ff7a835.png\" width=\"1523\" height=\"408\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/971\/7d3\/8e8\/9717d38e85df688b7cc2be6f7ff7a835.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0442\u0430\u043a, \u043f\u043e\u0445\u043e\u0436\u0435, \u0447\u0442\u043e \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>hosting<\/code>,<strong> <\/strong>\u0441\u0435\u0440\u0432\u0435\u0440 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e PHP-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><strong><em> <\/em><\/strong>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 HTTP-\u0437\u0430\u043f\u0440\u043e\u0441 \u043a YouTube, Vimeo \u0438\u043b\u0438 Coub API, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0432\u0438\u0434\u0435\u043e (GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>vid<\/code>), \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0438\u0445 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 HTML-\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043f\u043b\u0435\u0435\u0440\u0430 \u0441 \u0432\u0438\u0434\u0435\u043e \u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u043e \u0440\u0430\u0437\u043c\u0435\u0442\u043a\u0435 Open Graph \u043c\u0435\u0442\u0430\u0442\u0435\u0433\u0430\u043c\u0438.<\/p>\n<p>GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>vid<\/code><strong> <\/strong>\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u0447\u043a\u043e\u0439 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438, \u0442\u0430\u043a \u043a\u0430\u043a \u043e\u043d \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0447\u0430\u0441\u0442\u044c \u043f\u0443\u0442\u0438 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code> \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043e\u0431\u0445\u043e\u0434\u0430 \u043f\u0443\u0442\u0438 (<code>\/..\/<\/code>) \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 (<code>?, #, @<\/code><em> <\/em>\u0438 \u0442.\u0434.).<\/p>\n<p>\u0427\u0442\u043e \u0435\u0449\u0451 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0441 Vimeo, \u043a\u0430\u043a \u0432\u044b \u043c\u043e\u0433\u043b\u0438 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c \u043d\u0430 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u043c \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435, \u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u0435\u043b\u0430\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u043a <em>http:\/\/vimeo.com\/api\/v2\/video\/VID.php<\/em>. \u0418 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f <code>.php<\/code><strong><em> <\/em><\/strong>\u0432 \u043f\u0443\u0442\u0438, Vimeo \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043d\u0435 JSON, \u0430 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435!<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a6e\/845\/3c8\/a6e8453c840cea1c2ec1371f124c93d3.png\" width=\"1785\" height=\"782\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a6e\/845\/3c8\/a6e8453c840cea1c2ec1371f124c93d3.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042f \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043b, \u0447\u0442\u043e \u043f\u043e\u0441\u043b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u043e\u0442\u0432\u0435\u0442 \u043e\u0442 Vimeo \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>unserialize()<\/code>: <\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/392\/481\/95a\/39248195a67c5649d41494f8809ae8d0.png\" width=\"1280\" height=\"252\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/392\/481\/95a\/39248195a67c5649d41494f8809ae8d0.png\"\/><figcaption><\/figcaption><\/figure>\n<blockquote>\n<p>&#171;\u041e\u0433\u043e, \u043d\u0435\u0443\u0436\u0435\u043b\u0438 \u0443 \u043d\u0430\u0441 \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f?&#187;<\/p>\n<\/blockquote>\n<p>\u0411\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f, \u043f\u043e\u043a\u0430 \u043e\u0442\u0432\u0435\u0442 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u0442 Vimeo.<\/p>\n<h4>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438<\/h4>\n<p>\u0412 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0443 \u0441\u0435\u0431\u044f \u0432 \u0433\u043e\u043b\u043e\u0432\u0435 \u044f \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b \u0442\u0440\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f \u0430\u0442\u0430\u043a\u0438:<\/p>\n<ol>\n<li>\n<p>\u0424\u0430\u0437\u0437\u0438\u043d\u0433 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u0441 \u0446\u0435\u043b\u044c\u044e \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u0441\u043b\u0435\u043f\u043e\u0439 <abbr class=\"habraabbr\" title=\"Server-side request forgery\" data-title=\"&lt;p>Server-side request forgery&lt;\/p>&#187; data-abbr=&#187;SSRF&#187;>SSRF<\/abbr>, \u0442.\u0435. \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c HTTP-\u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u043c\u043d\u0435 \u0440\u0435\u0441\u0443\u0440\u0441, \u0438 \u0432 \u0442\u0435\u043e\u0440\u0438\u0438 \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438;<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0442\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 <em>vimeo.com <\/em>-> \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438;<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0442\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com <\/em>-> SSRF -> \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f.<\/p>\n<\/li>\n<\/ol>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0447\u0430\u0441\u043e\u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0439 GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<strong> <\/strong><code>vid<\/code><strong> <\/strong>\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0444\u0430\u0437\u0437\u0438\u043d\u0433\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u044f \u043d\u0435 \u043d\u0430\u0448\u0435\u043b \u043d\u0438\u0447\u0435\u0433\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0433\u043e \u0438 \u043f\u0430\u0440\u0430\u043b\u043b\u0435\u043b\u044c\u043d\u043e \u0440\u0435\u0448\u0438\u043b \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0432\u0441\u0435\u0439 \u0438\u043c\u0435\u044e\u0449\u0435\u0439\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u043e\u0431 \u044d\u0442\u043e\u0439 \u043d\u0430\u0445\u043e\u0434\u043a\u0435 \u0441 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c\u0438 \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u043c\u0438 \u0442\u043e\u0432\u0430\u0440\u0438\u0449\u0430\u043c\u0438.<\/p>\n<p>\u0418\u0442\u0430\u043a, \u043f\u0435\u0440\u0432\u044b\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b, \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c\u0443 &#8212; \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c\u0443 \u043e\u0442\u0432\u0435\u0442\u0443 \u043d\u0430 <em>vimeo.com<\/em>.<\/p>\n<p>\u042d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043e\u0442\u0432\u0435\u0442\u043e\u043c \u0434\u043e\u043b\u0436\u0435\u043d \u043e\u0442\u0432\u0435\u0447\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f\u043c:<\/p>\n<ul>\n<li>\n<p>\u041a\u043e\u0434 \u043e\u0442\u0432\u0435\u0442\u0430 HTTP &#8212; 200 OK;<\/p>\n<\/li>\n<li>\n<p>\u0414\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0434\u043b\u044f \u043d\u0435\u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f;<\/p>\n<\/li>\n<li>\n<p>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c\u0441\u044f \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u043b\u0430 \u043e\u0442\u0432\u0435\u0442\u0430 (PHP \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u0435\u0442 <code>{VALID_SER_STRING}TRASH<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0442\u044c \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{ }<\/code><em>, <\/em><code>\"\"<\/code><em>, <\/em>\u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432.<\/p>\n<\/li>\n<\/ul>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0437 \u043c\u043e\u0438\u0445 \u043f\u043e\u043f\u044b\u0442\u043e\u043a \u043d\u0430\u0439\u0442\u0438 \u0442\u0440\u0435\u0431\u0443\u0435\u043c\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043d\u0430 <em>vimeo.com:<\/em><\/p>\n<ol>\n<li>\n<p><strong>injection <\/strong>is not a valid method.\u00a0<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: \u043a\u043e\u0434 \u043e\u0442\u0432\u0435\u0442\u0430 HTTP 404 Not Found, \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{}<\/code><em>, <\/em><code>\"\"<\/code><em>.<\/em><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/aaa\/2aa\/394\/aaa2aa394cad0ddc5f08b66b16867762.png\" width=\"1526\" height=\"174\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/aaa\/2aa\/394\/aaa2aa394cad0ddc5f08b66b16867762.png\"\/><figcaption><\/figcaption><\/figure>\n<ol start=\"2\">\n<li>\n<p><strong>injection <\/strong>is not a valid format.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: \u043a\u043e\u0434 \u043e\u0442\u0432\u0435\u0442\u0430 HTTP 404 Not Found, \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{}<\/code><em>, <\/em><code>\"\"<\/code><em>.<\/em><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/afa\/b46\/6dd\/afab466dd635006228414dfca1bb9b48.png\" width=\"1527\" height=\"173\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/afa\/b46\/6dd\/afab466dd635006228414dfca1bb9b48.png\"\/><figcaption><\/figcaption><\/figure>\n<ol start=\"3\">\n<li>\n<p>JavaScript callback.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: <code>\/**\/<\/code><em> <\/em>\u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{}<\/code><em>, <\/em><code>\"\"<\/code><em>.<\/em><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ab2\/37f\/3f0\/ab237f3f050e3ae0089a5f689d4ac609.png\" width=\"1525\" height=\"222\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ab2\/37f\/3f0\/ab237f3f050e3ae0089a5f689d4ac609.png\"\/><figcaption><\/figcaption><\/figure>\n<ol start=\"4\">\n<li>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442 \u0447\u0430\u0442\u0430 \u043f\u0440\u044f\u043c\u043e\u0439 \u0442\u0440\u0430\u043d\u0441\u043b\u044f\u0446\u0438\u0438:<\/p>\n<\/li>\n<\/ol>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/57a\/7da\/980\/57a7da980c5725e10bedeaef21d0f815.png\" width=\"1582\" height=\"493\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/57a\/7da\/980\/57a7da980c5725e10bedeaef21d0f815.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: \u0414\u0430\u0442\u0430 \u0438 \u0438\u043c\u044f \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f.\u00a0<\/p>\n<p>\u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0432\u0442\u043e\u0440\u043e\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u0442\u0430\u043a\u0436\u0435 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0435\u0439 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043d\u0430\u0434\u0435\u0436\u0434\u043e\u0439 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u043d\u0430\u0439\u0442\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com<\/em>. \u0420\u0430\u043d\u0435\u0435 \u044f \u0443\u0436\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0439 <a href=\"https:\/\/hackerone.com\/reports\/44157\" rel=\"noopener noreferrer nofollow\">\u043e\u0442\u0447\u0435\u0442 <\/a>\u043d\u0430 HackerOne \u043e\u0442 2015 \u0433\u043e\u0434\u0430 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u043c \u043d\u0430 <em>vimeo.com<\/em>, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043b, \u0447\u0442\u043e \u0435\u0441\u0442\u044c \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0448\u0430\u043d\u0441 \u043d\u0430\u0439\u0442\u0438 \u0435\u0449\u0451 \u043e\u0434\u0438\u043d. \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435, \u044f \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0438\u0441\u043a\u0430\u043b \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u0435\u0449\u0451 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f, \u043d\u043e \u0441\u043d\u043e\u0432\u0430 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043d\u0430\u0448\u0435\u043b.<\/p>\n<h4>\u041e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442<\/h4>\n<p>\u0412\u0441\u0435 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f, \u043f\u043e\u043a\u0430 \u044f \u0440\u0430\u0441\u043a\u0440\u0443\u0447\u0438\u0432\u0430\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u044f \u043f\u043e\u043c\u043d\u0438\u043b \u043e \u0441\u0442\u0430\u0442\u044c\u0435 Harsh Jaiswal <a href=\"https:\/\/infosecwriteups.com\/vimeo-ssrf-with-code-execution-potential-68c774ba7c1e\" rel=\"noopener noreferrer nofollow\"><em>Vimeo SSRF with code execution potential<\/em><\/a><em>. <\/em>\u042f \u043e\u0442\u0447\u0435\u0442\u043b\u0438\u0432\u043e \u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0445 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 <em>vimeo.com<\/em>. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0431\u044b\u043b\u0430 \u043d\u0430\u0439\u0434\u0435\u043d\u0430 \u0435\u0449\u0451 \u0432 2019 \u0433\u043e\u0434\u0443, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043e\u0436\u0438\u0434\u0430\u043b, \u0447\u0442\u043e \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u044b \u0443\u0436\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u044b. \u041d\u043e \u0442\u0430\u043a \u043a\u0430\u043a, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u044d\u0442\u043e \u0431\u044b\u043b \u043c\u043e\u0439 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0448\u0430\u043d\u0441, \u044f \u043d\u0430\u0447\u0430\u043b \u043a\u043e\u043f\u0430\u0442\u044c \u0432 \u044d\u0442\u043e\u043c \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438.<\/p>\n<p>\u0418\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043d\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0430\u0445 \u0431\u044b\u043b\u0430 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u043a\u0440\u044b\u0442\u0430, \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0439 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u043f\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u043c GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c. \u0423\u0447\u0438\u0442\u044b\u0432\u0430\u044f \u044d\u0442\u043e, \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0433\u0443\u0433\u043b\u0438\u0432 \u0438 \u043f\u043e\u0447\u0438\u0442\u0430\u0432 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u044e Vimeo API, \u044f \u0441\u043c\u043e\u0433 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c, \u043a\u0430\u043a\u043e\u0439 \u0438\u043c\u0435\u043d\u043d\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b Harsh \u0432 \u0441\u0432\u043e\u0435\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u044f\u0441\u043d\u044b\u043c, \u043a\u0430\u043a\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u044f \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c.<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ef0\/2da\/25e\/ef02da25e504b537f372ef62873e4789.png\" width=\"1400\" height=\"538\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ef0\/2da\/25e\/ef02da25e504b537f372ef62873e4789.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042f \u0440\u0435\u0434\u043a\u043e \u043f\u0440\u043e\u0448\u0443 \u043a\u043e\u0433\u043e-\u0442\u043e \u043e \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0447\u0435\u0433\u043e-\u043b\u0438\u0431\u043e, \u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u044f \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0434\u0440\u0443\u0437\u0435\u0439, \u043d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u0431\u044b\u043b \u0432 \u0442\u0443\u043f\u0438\u043a\u0435, Harsh \u0431\u044b\u043b \u043c\u043e\u0435\u0439 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043d\u0430\u0434\u0435\u0436\u0434\u043e\u0439.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u044f \u043d\u0430\u043f\u0438\u0441\u0430\u043b \u0435\u043c\u0443 \u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u043b \u0432\u0441\u044e \u0438\u043c\u0435\u044e\u0449\u0443\u044e\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0443 \u043c\u0435\u043d\u044f \u0431\u044b\u043b\u0430 \u043d\u0430 \u0442\u043e\u043c \u044d\u0442\u0430\u043f\u0435, \u043e\u043d \u043f\u043e\u0434\u0435\u043b\u0438\u043b\u0441\u044f \u0441\u043e \u043c\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0441\u044b\u043b\u043a\u043e\u0439 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0442\u0430\u043a\u043e\u0439 \u0436\u0435, \u043a\u0430\u043a \u044f \u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0435\u0432\u0430\u043b, \u043d\u043e \u0441 \u0432\u0435\u0440\u043d\u044b\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. \u041f\u043e \u044d\u0442\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435 \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u044d\u0442\u043e \u043d\u0435 \u0431\u0430\u0433 \u043d\u0430 <em>vimeo.com, <\/em>\u0430 \u0444\u0438\u0447\u0430 (\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u044d\u0442\u043e \u043d\u0435 \u0448\u0443\u0442\u043a\u0430).<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/2c9\/ea8\/de7\/2c9ea8de7cd502eb43474af1206682ee.png\" width=\"701\" height=\"397\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/2c9\/ea8\/de7\/2c9ea8de7cd502eb43474af1206682ee.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0442\u0430\u043a, \u0442\u0435\u043f\u0435\u0440\u044c \u0443 \u043c\u0435\u043d\u044f \u0435\u0441\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com, <\/em>\u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u043f\u0440\u043e\u0431\u0443\u0435\u043c \u0435\u0433\u043e \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u044c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ee8\/f97\/bc5\/ee8f97bc59955b33e8ee0ca7af03c0a1.png\" width=\"1575\" height=\"397\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ee8\/f97\/bc5\/ee8f97bc59955b33e8ee0ca7af03c0a1.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/046\/0e0\/c1f\/0460e0c1f04059c7bfa038b5be44ebfc.png\" width=\"769\" height=\"169\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/046\/0e0\/c1f\/0460e0c1f04059c7bfa038b5be44ebfc.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041e\u0442\u043b\u0438\u0447\u043d\u043e, \u044f \u043d\u0430\u043a\u043e\u043d\u0435\u0446-\u0442\u043e \u0441\u043b\u043e\u0432\u0438\u043b HTTP-\u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u0441\u0432\u043e\u0439 \u0445\u043e\u0441\u0442. \u041f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u043f\u0435\u0440\u0435\u0439\u0442\u0438 \u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438, \u044f \u0440\u0435\u0448\u0438\u043b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u0433\u0440\u0430\u0442\u044c \u0441 SSRF:<\/p>\n<ul>\n<li>\n<p>https:\/\/127.0.0.1<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f8f\/196\/9f0\/f8f1969f0ec44e8b78d84b36f234a811.png\" width=\"1583\" height=\"325\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f8f\/196\/9f0\/f8f1969f0ec44e8b78d84b36f234a811.png\"\/><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>https:\/\/127.0.0.1:22<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/cc1\/809\/ece\/cc1809ece1b5246d0c7a5d55cb75ebe7.png\" width=\"1581\" height=\"374\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/cc1\/809\/ece\/cc1809ece1b5246d0c7a5d55cb75ebe7.png\"\/><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>http:\/\/127.0.0.1:25<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/271\/994\/574\/2719945747d8260eb2e8c8892d26e165.png\" width=\"1581\" height=\"375\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/271\/994\/574\/2719945747d8260eb2e8c8892d26e165.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u043c\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0438\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u0440\u0430\u0437\u0443 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>unserialize()<\/code><em>, <\/em>\u0443 \u043c\u0435\u043d\u044f \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430\u0441\u044c<em> <\/em>\u043f\u043e\u043b\u043d\u0430\u044f SSRF, \u0447\u0442\u043e\u0431\u044b \u0447\u0438\u0442\u0430\u0442\u044c \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0435 \u043e\u0442\u0432\u0435\u0442\u044b \u043e\u0442 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432. \u041d\u043e, \u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435, \u0443 \u043c\u0435\u043d\u044f \u0443\u0436\u0435 \u0431\u044b\u043b\u0430 \u043f\u043e\u043b\u0443\u0441\u043b\u0435\u043f\u0430\u044f SSRF \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0440\u0442\u043e\u0432:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/b80\/761\/d68\/b80761d685c6c6a54d2c81c10a4364c2.png\" width=\"532\" height=\"201\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b80\/761\/d68\/b80761d685c6c6a54d2c81c10a4364c2.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041a\u0430\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u043f\u043e\u0447\u0442\u0438 \u0432\u0435\u0441\u044c \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b \u044d\u0442\u043e\u0439 SSRF, \u044f \u043f\u0435\u0440\u0435\u043a\u043b\u044e\u0447\u0438\u043b\u0441\u044f \u043d\u0430 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>unserialize()<\/code>.<\/p>\n<h4>\u041d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f<\/h4>\n<p>\u0412\u043a\u0440\u0430\u0442\u0446\u0435 \u043e\u0431\u044a\u044f\u0441\u043d\u044e, \u0447\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 PHP:<\/p>\n<ul>\n<li>\n<p><s>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u0435 \u0432\u0445\u043e\u0434\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435;<\/s><\/p>\n<\/li>\n<li>\n<p>\u041a\u043b\u0430\u0441\u0441 \u0441 \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u043c\u0435\u0442\u043e\u0434\u043e\u043c (<code>__wakeup()<\/code>, <code>__destroy()<\/code>, <code>__toString()<\/code><strong><em> <\/em><\/strong>\u0438 \u0442.\u0434.);<\/p>\n<\/li>\n<li>\n<p>\u0412 \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043c\u0435\u0442\u043e\u0434\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043c\u043e\u0436\u043d\u043e \u0437\u043b\u043e\u0443\u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u044c (\u043c\u0430\u043d\u0438\u043f\u0443\u043b\u044f\u0446\u0438\u044f \u0441 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043a \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0442.\u043f.);<\/p>\n<\/li>\n<li>\n<p>\u041a\u043b\u0430\u0441\u0441 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d.<\/p>\n<\/li>\n<\/ul>\n<p>\u041a\u0430\u043a \u0432\u0438\u0434\u0438\u0442\u0435, \u043d\u0430 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u043e\u0441\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0434\u043d\u043e \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0435\u0445. \u041e \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435 \u044f \u0437\u043d\u0430\u043b \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u043c\u0430\u043b\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 &#8212; \u044d\u0442\u043e \u0432\u0441\u043b\u0435\u043f\u0443\u044e \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u0432\u0441\u0435 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u0432. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 PHPGGC, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e \u0441\u0443\u0442\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043d\u0430\u0431\u043e\u0440\u043e\u043c \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0434\u043b\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>unserialize()<\/code><em> <\/em>\u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u043e\u043c \u0434\u043b\u044f \u0438\u0445 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438. \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u043d \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u043b \u043f\u043e\u0447\u0442\u0438 90 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0445 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a. \u0411\u043e\u043b\u044c\u0448\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0438\u0437 \u043d\u0438\u0445 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d\u0430 \u0434\u043b\u044f \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 CMS \u0438 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u043e\u0432, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a WordPress, ThinkPHP, Typo3, Magento, Laraver \u0438 \u0442.\u0434., \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432 \u043c\u043e\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0431\u044b\u043b\u0438 \u0441\u043e\u0432\u0435\u0440\u0448\u0435\u043d\u043d\u043e \u0431\u0435\u0441\u043f\u043e\u043b\u0435\u0437\u043d\u044b. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f \u0441\u0434\u0435\u043b\u0430\u043b \u0441\u0442\u0430\u0432\u043a\u0443 \u043d\u0430 \u0442\u0430\u043a\u0438\u0435 \u0448\u0438\u0440\u043e\u043a\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438, \u043a\u0430\u043a Doctrine, Guzzle, Monolog \u0438 Swift Mailer.<\/p>\n<p>\u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e PHPGGC \u044f \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u0432\u0441\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u0438\u0445 \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0438 \u043d\u0430\u0447\u0430\u043b \u043f\u0435\u0440\u0435\u0431\u043e\u0440. \u041e\u0434\u043d\u0430\u043a\u043e \u0432\u043e \u0432\u0441\u0435\u0445 \u0441\u043b\u0443\u0447\u0430\u044f\u0445 \u044f \u043f\u043e\u043b\u0443\u0447\u0430\u043b \u043e\u0434\u043d\u0443 \u0438 \u0442\u0443 \u0436\u0435 \u043e\u0448\u0438\u0431\u043a\u0443:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a36\/925\/7b9\/a369257b91929cf3d4553c9f6209df47.png\" width=\"1581\" height=\"310\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a36\/925\/7b9\/a369257b91929cf3d4553c9f6209df47.png\"\/><figcaption><\/figcaption><\/figure>\n<blockquote>\n<p><a href=\"https:\/\/stackoverflow.com\/a\/19511801\" rel=\"noopener noreferrer nofollow\">The error occurs because inside serialized string there is a reference to a class that hasn&#8217;t been included yet &#8212; so the PHP autoloading mechanism is triggered to load that class, and this fails for some reason.<\/a> \u00a9 <a href=\"https:\/\/stackoverflow.com\/users\/1627406\/sven\" rel=\"noopener noreferrer nofollow\">Sven<\/a><\/p>\n<\/blockquote>\n<p>\u0412 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u044f \u0443\u0436\u0435 \u0441\u043c\u0438\u0440\u0438\u043b\u0441\u044f \u0441 \u0442\u0435\u043c, \u0447\u0442\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0439 PHP-\u0441\u043a\u0440\u0438\u043f\u0442\u00a0 \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u0440\u0438\u043c\u0438\u0442\u0438\u0432\u0435\u043d \u0438 \u043d\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043a\u043b\u0430\u0441\u0441\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u044f \u0431\u044b \u043c\u043e\u0433 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c. \u041f\u0435\u0447\u0430\u043b\u044c\u043d\u043e, \u043d\u043e \u044f \u0445\u043e\u0442\u044f \u0431\u044b \u043f\u043e\u043f\u044b\u0442\u0430\u043b\u0441\u044f. \u0422\u0430\u043a \u0447\u0430\u0441\u0442\u043e \u0431\u044b\u0432\u0430\u0435\u0442, \u043a\u043e\u0433\u0434\u0430 \u0440\u0430\u0441\u043a\u0440\u0443\u0447\u0438\u0432\u0430\u0435\u0448\u044c \u043a\u0440\u0443\u0442\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043d\u043e \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u0435\u0448\u044c\u0441\u044f \u0441 \u0447\u0435\u043c-\u0442\u043e, \u0447\u0442\u043e \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u0435.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043e\u0431\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0432\u0441\u0435\u0445 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u044f \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0441\u044f \u043d\u0430 HackerOne \u0438 \u0441\u043e\u0441\u0442\u0430\u0432\u0438\u043b \u043e\u0442\u0447\u0435\u0442 \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c <em>[player.seedr.ru] Semi-blind SSRF<\/em>, \u043d\u0435 \u0437\u0430\u0431\u044b\u0432 \u043f\u0440\u0438\u0433\u043b\u0430\u0441\u0438\u0442\u044c Harsh Jaiswal \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0441\u043e\u0430\u0432\u0442\u043e\u0440\u0430 \u0437\u0430 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com.<\/em><\/p>\n<p>\u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435, \u043d\u0430 \u044d\u0442\u043e\u043c \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u043c\u043e\u0433\u043b\u0430 \u0431\u044b \u0438 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u0442\u044c\u0441\u044f. \u041d\u043e \u0432\u043d\u0443\u0442\u0440\u0438 \u043c\u0435\u043d\u044f \u0442\u0430\u0438\u043b\u043e\u0441\u044c \u0447\u0443\u0432\u0441\u0442\u0432\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043d\u0435 \u0434\u0430\u0432\u0430\u043b\u043e \u0441\u043f\u0430\u0442\u044c \u043f\u043e \u043d\u043e\u0447\u0430\u043c, \u043d\u0430\u043c\u0435\u043a\u0430\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u0435\u0449\u0451 \u043d\u0435 \u043a\u043e\u043d\u0435\u0446 \u0438 \u044f \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c \u0447\u0442\u043e-\u043d\u0438\u0431\u0443\u0434\u044c \u0435\u0449\u0451. \u0414\u0443\u043c\u0430\u044e, \u0432\u0430\u043c \u044d\u0442\u043e \u0447\u0443\u0432\u0441\u0442\u0432\u043e \u0437\u043d\u0430\u043a\u043e\u043c\u043e.<\/p>\n<h4>Kohana<\/h4>\n<p>\u041d\u0435 \u043f\u043e\u043c\u043d\u044e, \u0433\u0434\u0435 \u0438\u043c\u0435\u043d\u043d\u043e, \u043d\u043e \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u043d\u0435\u0439 \u0441\u043f\u0443\u0441\u0442\u044f \u043c\u043e\u0439 \u0432\u0437\u0433\u043b\u044f\u0434 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e \u0437\u0430\u0446\u0435\u043f\u0438\u043b\u0441\u044f \u0437\u0430 \u043a\u0430\u043a\u0443\u044e-\u0442\u043e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043f\u0440\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c use-after-free \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>unserialize()<\/code>. \u0412\u0435\u0440\u0441\u0438\u044f PHP \u043d\u0430 <em>player.seedr.ru <\/em>\u043e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0435\u0439, \u0438 \u044f \u0441\u0440\u0430\u0437\u0443 \u043d\u0430\u0447\u0430\u043b &#171;\u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u044c&#187; \u044d\u0442\u0443 \u0442\u0435\u043c\u0443. \u0412 \u0445\u043e\u0434\u0435 \u044d\u0442\u0438\u0445 &#171;\u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439&#187; \u044f \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u0438\u043b\u0441\u044f \u0441 \u043e\u0442\u0447\u0435\u0442\u0430\u043c\u0438 Taoguang Chen, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043e\u043e\u0431\u0449\u0438\u043b \u043a\u043e\u043c\u0430\u043d\u0434\u0435 PHP \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0434\u0435\u0441\u044f\u0442\u043a\u043e\u0432 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 <code>unserialize()<\/code>. \u0425\u043e\u0442\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441 \u043f\u0430\u043c\u044f\u0442\u044c\u044e, \u0432\u0441\u0435 \u0435\u0449\u0451 \u0442\u0451\u043c\u043d\u044b\u0439 \u043b\u0435\u0441 \u0434\u043b\u044f \u043c\u0435\u043d\u044f, \u044f \u0432\u0441\u0435 \u0436\u0435 \u043f\u043e\u0441\u0442\u0430\u0440\u0430\u043b\u0441\u044f \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a. \u041f\u043e\u0441\u043b\u0435 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0441\u0442\u043e\u0432 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e, \u044f \u0432\u0435\u0440\u043d\u0443\u043b\u0441\u044f \u043d\u0430 <em>player.seedr.ru<\/em>, \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441, \u0438 &#8230;\u00a0<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/b91\/3d8\/8ff\/b913d88ffdab93a15e8b551802ad60ca.png\" width=\"1586\" height=\"296\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b91\/3d8\/8ff\/b913d88ffdab93a15e8b551802ad60ca.png\"\/><figcaption><\/figcaption><\/figure>\n<blockquote>\n<p>&#171;\u0421\u0435\u0440\u044c\u0435\u0437\u043d\u043e? \u041d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435 \u043d\u0435 \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u043c\u0435\u0441\u0442\u0430? \u042f \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u0447\u0430\u043b. \u041d\u043e, \u043f\u043e\u0434\u043e\u0436\u0434\u0438\u0442\u0435, \u044d\u0442\u043e \u043d\u0435 \u043f\u043e\u0445\u043e\u0436\u0435 \u043d\u0430 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0443\u044e \u043e\u0448\u0438\u0431\u043a\u0443 \u043e \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u0432\u0448\u0435\u043c\u0441\u044f \u043c\u0435\u0441\u0442\u0435 \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435&#187;.<\/p>\n<\/blockquote>\n<p>\u0421\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e, \u044d\u0442\u0430 \u043e\u0448\u0438\u0431\u043a\u0430 \u0432\u043e\u0437\u043d\u0438\u043a\u043b\u0430 \u043f\u043e\u0442\u043e\u043c\u0443, \u0447\u0442\u043e \u043c\u043e\u0438 \u0441\u043a\u0430\u043d\u0435\u0440\u044b \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u043c\u043d\u043e\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432, \u043a\u043e\u0433\u0434\u0430\u00a0 \u0432 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u0435 \u0434\u043d\u0438 \u044f \u0438\u0441\u043a\u0430\u043b \u0441\u043a\u0440\u044b\u0442\u044b\u0435 \u0432\u0435\u0431-\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438 \u0438 \u0444\u0430\u0439\u043b\u044b.<\/p>\n<pre><code>ErrorException [ 2 ]: file_put_contents(\/var\/www\/seedr.backend.v2\/application\/logs\/2021\/12\/20.php): failed to open stream: No space left on device ~ SYSPATH\/classes\/kohana\/log\/file.php [ 81 ]<\/code><\/pre>\n<blockquote>\n<p>&#171;\u041a\u0430\u0441\u0442\u043e\u043c\u043d\u044b\u0439 \u043a\u043b\u0430\u0441\u0441 \u0434\u043b\u044f \u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0436\u0443\u0440\u043d\u0430\u043b\u0430? \u0412\u0438\u0434\u0438\u043c\u043e, \u0447\u0442\u043e \u044d\u0442\u043e\u0442 &#171;\u043f\u0440\u0438\u043c\u0438\u0442\u0438\u0432\u043d\u044b\u0439&#187; PHP \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u0441\u0435 \u0436\u0435 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u043a\u043b\u0430\u0441\u0441 \u043b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e. <strong>Kohana<\/strong>? \u042f \u0443\u0436\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b \u044d\u0442\u043e \u0441\u043b\u043e\u0432\u043e \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f Seedr. \u041d\u043e \u0433\u0434\u0435?&#187;<\/p>\n<\/blockquote>\n<p>\u0411\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f Burp Suite Professional \u044f \u0431\u044b\u0441\u0442\u0440\u043e \u043d\u0430\u0448\u0435\u043b \u043f\u0435\u0440\u0432\u043e\u0435 \u0443\u043f\u043e\u043c\u0438\u043d\u0430\u043d\u0438\u0435 \u043e Kohana \u0432 \u0438\u0441\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u043a\u0441\u0438, \u043e\u0442\u043a\u0440\u044b\u043b \u043d\u0443\u0436\u043d\u0443\u044e \u0441\u0441\u044b\u043b\u043a\u0443 \u0438 \u0443\u0432\u0438\u0434\u0435\u043b \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0443\u044e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043e\u0448\u0438\u0431\u043a\u0438.<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/0c1\/fca\/dec\/0c1fcadec9d5a8ddfe6f8e75d6220afa.png\" width=\"517\" height=\"174\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0c1\/fca\/dec\/0c1fcadec9d5a8ddfe6f8e75d6220afa.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/7d8\/52e\/1f6\/7d852e1f666cc8d77abd308459b57637.png\" width=\"1600\" height=\"522\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/7d8\/52e\/1f6\/7d852e1f666cc8d77abd308459b57637.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0417\u0434\u0435\u0441\u044c \u044f \u0441\u0434\u0435\u043b\u0430\u044e \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u043e\u0442\u0441\u0442\u0443\u043f\u043b\u0435\u043d\u0438\u0435, \u0447\u0442\u043e\u0431\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u0442\u044c \u0432\u0430\u043c \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043e Seedr \u0438 \u043e \u0442\u043e\u043c, \u043e\u0442\u043a\u0443\u0434\u0430 \u0432\u0437\u044f\u043b\u0441\u044f <em>v2.nativeroll.tv<\/em>. \u041e\u0434\u043d\u0430\u043a\u043e \u0441\u0442\u043e\u0438\u0442 \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0432\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u044f \u0431\u0443\u0434\u0443 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0442\u044c, \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043c\u043e\u0438\u043c\u0438 \u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u043c\u0438 \u0438 \u043c\u043e\u0436\u0435\u0442 \u043e\u043a\u0430\u0437\u0430\u0442\u044c\u0441\u044f \u043d\u0435\u0442\u043e\u0447\u043d\u043e\u0439.<\/p>\n<p>Seedr \u0438 Nativeroll &#8212; \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0434\u043b\u044f \u0432\u0438\u0434\u0435\u043e\u0440\u0435\u043a\u043b\u0430\u043c\u044b. \u0423 Seedr \u0443\u0441\u0442\u0430\u0440\u0435\u0432\u0448\u0438\u0439 \u0434\u0438\u0437\u0430\u0439\u043d, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043b, \u0447\u0442\u043e \u043e\u043d \u0431\u044b\u043b \u0441\u043e\u0437\u0434\u0430\u043d \u0437\u0430\u0434\u043e\u043b\u0433\u043e \u0434\u043e Nativeroll. \u041e\u0431\u0435 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u044b \u0431\u044b\u043b\u0438 \u043a\u0443\u043f\u043b\u0435\u043d\u044b \u043d\u0430 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0435\u0449\u0451 Mail.Ru Group, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u043a\u0430\u043a\u0438\u043c-\u0442\u043e \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u043e\u0431\u044a\u0435\u0434\u0438\u043d\u0435\u043d\u044b \u0438 \u0440\u0430\u0437\u043c\u0435\u0449\u0435\u043d\u044b \u043d\u0430 HackerOne \u0432 \u043e\u0434\u043d\u043e\u043c \u0441\u043a\u043e\u0443\u043f\u0435. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c, <em>v2.nativeroll.tv\/api\/<\/em>, <em>api.seedr.ru<\/em>, <em>api-stage.seedr.ru<\/em>, <em>player.seedr.ru <\/em>\u0438\u043c\u0435\u043b\u0438 \u043e\u0431\u0449\u0443\u044e \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443. \u041d\u0430\u0434\u0435\u044e\u0441\u044c, \u0442\u0435\u043f\u0435\u0440\u044c \u0441\u0442\u0430\u043b\u043e \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u043d\u044f\u0442\u043d\u0435\u0435.<\/p>\n<p>\u0425\u043e\u0440\u043e\u0448\u043e, \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0432\u0435\u0440\u043d\u0435\u043c\u0441\u044f \u043a \u043a\u0440\u0430\u0441\u0438\u0432\u043e\u0439 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435 \u0441 \u043e\u0448\u0438\u0431\u043a\u043e\u0439. <em>Environment<\/em>, <em>Included files<\/em>, <em>Loaded extensions <\/em>&#8212; \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0441\u043e\u0447\u043d\u043e. \u0412\u043e\u0442 \u0447\u0442\u043e \u044f \u0443\u0432\u0438\u0434\u0435\u043b \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0436\u0430\u0442\u0438\u044f \u043d\u0430 \u0441\u0441\u044b\u043b\u043a\u0443 <em>Included files<\/em>:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/c06\/17c\/8dc\/c0617c8dc15fe48010c3ba0b4c81f3bb.png\" width=\"1600\" height=\"793\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/c06\/17c\/8dc\/c0617c8dc15fe48010c3ba0b4c81f3bb.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0447\u0442\u0438 90 \u0444\u0430\u0439\u043b\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e \u0441\u0443\u0442\u0438 \u0431\u044b\u043b\u0438 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u043c\u0438 \u043a\u043b\u0430\u0441\u0441\u0430\u043c\u0438, \u043f\u043e\u0434\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0447\u0435\u0433\u043e-\u0442\u043e \u0432\u0440\u043e\u0434\u0435 <code>autoload.php<\/code>. \u042f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043b\u0438 Kohana \u0447\u0435\u043c-\u0442\u043e \u0432\u0440\u043e\u0434\u0435 CMS \u0438\u043b\u0438 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430? \u0414\u0430, \u044d\u0442\u043e \u0442\u0430\u043a. \u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0433\u043e \u043f\u043e\u0438\u0441\u043a\u0430 \u044f \u043d\u0430\u0448\u0435\u043b \u043d\u0430 GitHub <a href=\"https:\/\/github.com\/kohana\/kohana\" rel=\"noopener noreferrer nofollow\">\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439<\/a>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0437\u0430\u0431\u0440\u043e\u0448\u0435\u043d\u043d\u044b\u043c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/772\/346\/038\/77234603826ae3f1474d397f2dd16b55.png\" width=\"1600\" height=\"647\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/772\/346\/038\/77234603826ae3f1474d397f2dd16b55.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 <em>v2.nativeroll.ru <\/em>\u0438 <em>api.seed.ru <\/em>\u0438\u043c\u0435\u044e\u0442 \u043e\u0431\u0449\u0443\u044e \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443, \u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0432\u044b\u0437\u0432\u0430\u043b Error exception \u043d\u0430 <em>api.seedr.ru <\/em>\u0442\u0430\u043a\u0438\u043c \u0436\u0435 \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c <em>(<\/em><code>https:\/\/api.seedr.ru\/&lt;svg><\/code>) \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0442\u043e\u0442 \u0436\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442.<\/p>\n<p>\u0427\u0442\u043e\u0431\u044b \u0432\u044b\u0437\u0432\u0430\u0442\u044c Error exception \u0438\u043c\u0435\u043d\u043d\u043e \u043d\u0430 <em>api.seedr.ru\/video <\/em>(\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u043b), \u044f \u0432\u0437\u044f\u043b \u043e\u0442\u0432\u0435\u0442 \u0441 <em>http:\/\/vimeo.com\/api\/v2\/video\/123456.php<\/em> \u0438 \u0438\u0437\u043c\u0435\u043d\u0438\u043b \u0442\u0438\u043f \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430 description \u0441\u043e <em>\u0441\u0442\u0440\u043e\u043a\u0438 <\/em>\u043d\u0430 <em>\u043c\u0430\u0441\u0441\u0438\u0432.<\/em><\/p>\n<figure class=\"\"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a6e\/845\/3c8\/a6e8453c840cea1c2ec1371f124c93d3.png\" width=\"auto\" height=\"auto\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a6e\/845\/3c8\/a6e8453c840cea1c2ec1371f124c93d3.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/91b\/80e\/eff\/91b80eeff739e23081a6ae49bc79ff78.png\" width=\"1828\" height=\"736\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/91b\/80e\/eff\/91b80eeff739e23081a6ae49bc79ff78.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0412\u043e \u0432\u0440\u0435\u043c\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f <code>htmlspecialchars()<\/code><em> <\/em>\u043e\u0436\u0438\u0434\u0430\u043b\u0430 <em>\u0441\u0442\u0440\u043e\u043a\u0443<\/em>, \u043d\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430 <em>\u043c\u0430\u0441\u0441\u0438\u0432<\/em>, \u0447\u0442\u043e \u0432\u044b\u0437\u0432\u0430\u043b\u043e Error exception \u0441 \u0447\u0430\u0441\u0442\u0438\u0447\u043d\u044b\u043c \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435\u043c PHP-\u0448\u0430\u0431\u043b\u043e\u043d\u0430 \u0438 \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u043e\u0439 \u0441\u0442\u0435\u043a\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/779\/161\/a02\/779161a022438666694600d86f5da0c9.png\" width=\"1600\" height=\"771\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/779\/161\/a02\/779161a022438666694600d86f5da0c9.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ec6\/780\/35e\/ec678035e0434f232885dd47d655a1eb.png\" width=\"1600\" height=\"273\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ec6\/780\/35e\/ec678035e0434f232885dd47d655a1eb.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041a\u0430\u043a \u044f \u0438 \u0434\u0443\u043c\u0430\u043b, \u0442\u0430\u043c \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b \u0441\u043a\u0440\u0438\u043f\u0442 \u0430\u0432\u0442\u043e\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 Composer. \u0421\u0440\u0435\u0434\u0438 \u043f\u043e\u0434\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432\u044b\u0434\u0435\u043b\u0438\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u043f\u043e\u043b\u0435\u0437\u043d\u044b \u043f\u0440\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>Guzzle (<em>\/var\/www\/sentry\/vendor\/guzzlehttp\/&#8230;<\/em>)<\/p>\n<\/li>\n<li>\n<p>Swift Mailer (<em>MODPATH\/email\/vendor\/swiftmailer\/&#8230;<\/em>)<\/p>\n<\/li>\n<li>\n<p>Symfony (<em>\/var\/www\/sentry\/vendor\/symfony\/&#8230;<\/em>)<\/p>\n<\/li>\n<li>\n<p>Mustache (<em>MODPATH\/kostache\/vendor\/mustache\/&#8230;<\/em>)<\/p>\n<\/li>\n<li>\n<p>Sentry (<em>\/var\/www\/sentry\/vendor\/sentry\/&#8230;<\/em>)<\/p>\n<\/li>\n<li>\n<p>&#8230;<\/p>\n<\/li>\n<\/ul>\n<p>\u042f \u0437\u043d\u0430\u043b, \u0447\u0442\u043e\u00a0 \u0432 PHPGGC \u0435\u0441\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0446\u0435\u043f\u043e\u0447\u0435\u043a \u0433\u0430\u0434\u0436\u0435\u0442\u043e\u0432 \u0434\u043b\u044f Guzzle, Swift Mailer \u0438 Symfony. \u041f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u044f \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u0438 \u043f\u0440\u043e\u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u0430 <em>api-stage.seedr.ru, <\/em>\u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u043d\u043e\u0432\u044b\u0435 \u043e\u0448\u0438\u0431\u043a\u0438. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u043e\u043f\u044b\u0442\u043a\u0430 \u0441 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0434\u043b\u044f Guzzle \u0432\u0435\u0440\u043d\u0443\u043b\u0430 \u043e\u0448\u0438\u0431\u043a\u0443 <code>FnStream never should be unserialized<\/code><em>. <\/em>\u042d\u0442\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u043e \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0441\u043a\u0440\u0438\u043f\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0443\u0436\u0435 <a href=\"https:\/\/github.com\/guzzle\/psr7\/blob\/master\/src\/FnStream.php#L60\" rel=\"noopener noreferrer nofollow\">\u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e<\/a>:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/8ed\/436\/c11\/8ed436c11f7564eecf7321653d7af1c3.png\" width=\"893\" height=\"226\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/8ed\/436\/c11\/8ed436c11f7564eecf7321653d7af1c3.png\"\/><figcaption><\/figcaption><\/figure>\n<p>Swift Mailer \u0438 Symfony \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0432\u043e\u043e\u0431\u0449\u0435, \u0438 \u0430\u043d\u0430\u043b\u0438\u0437 \u043a\u043e\u0434\u0430 Mustache \u0438 Sentry \u043d\u0430 Github \u0442\u0430\u043a\u0436\u0435 \u043d\u0435 \u043f\u0440\u0438\u043d\u0435\u0441 \u043d\u0438\u043a\u0430\u043a\u0438\u0445 \u043f\u043b\u043e\u0434\u043e\u0432, \u0442\u0430\u043a \u0447\u0442\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u043c\u0435\u043d\u044f \u043d\u0435 \u0432\u044b\u0440\u0443\u0447\u0438\u043b\u0438. \u041f\u0440\u0438\u0448\u043b\u043e \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u0433\u0440\u0443\u0437\u0438\u0442\u044c\u0441\u044f \u0432 Kohana.<\/p>\n<p>\u041f\u043e\u0438\u0441\u043a \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a <code>__wakeup()<\/code><em>, <\/em><code>__destruct()<\/code><em>, <\/em><code>__toString()<\/code>, \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 Kohana \u043e\u043a\u0430\u0437\u0430\u043b\u0441\u044f \u0431\u0435\u0437\u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0438\u0432\u043d\u044b\u043c:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f8f\/344\/fe0\/f8f344fe07a17a5bdbca51cc1b1005f1.png\" width=\"1420\" height=\"487\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f8f\/344\/fe0\/f8f344fe07a17a5bdbca51cc1b1005f1.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041d\u043e \u0432 \u044d\u0442\u043e\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u0435\u0441\u0442\u044c \u043a\u0430\u0442\u0430\u043b\u043e\u0433 <em>system<\/em>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0435\u043c Kohana Core:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/49c\/86f\/17c\/49c86f17c680e6289897849749dd67e9.png\" width=\"1284\" height=\"422\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/49c\/86f\/17c\/49c86f17c680e6289897849749dd67e9.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/77a\/88b\/566\/77a88b566e008f27cb558849c9f31ccd.png\" width=\"1600\" height=\"413\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/77a\/88b\/566\/77a88b566e008f27cb558849c9f31ccd.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u043f\u0440\u043e\u0431\u0443\u0435\u043c \u043f\u043e\u0438\u0441\u043a\u0430\u0442\u044c \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0443\u0436\u0435 \u0432 \u044d\u0442\u043e\u043c \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438. \u0414\u043b\u044f <code>__destruct()<\/code><em>, <\/em><code>__wakeup()<\/code><em> <\/em>\u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u043f\u043e\u0447\u0442\u0438 \u043d\u0435\u0442, \u043d\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0434\u043b\u044f <code>__toString()<\/code><em> <\/em>\u043e\u0431\u043d\u0430\u0434\u0435\u0436\u0438\u0432\u0430\u044e\u0442:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/5f5\/5b0\/6d3\/5f55b06d3a4a566c7f2e245c911ba02d.png\" width=\"1238\" height=\"926\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/5f5\/5b0\/6d3\/5f55b06d3a4a566c7f2e245c911ba02d.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042f \u0431\u0435\u0433\u043b\u043e \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u043b \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b, \u0438 \u0444\u0430\u0439\u043b <a href=\"https:\/\/github.com\/kohana\/core\/blob\/bdbe81afb5a09cee4269d2e2210a0d293265231a\/classes\/Kohana\/View.php\" rel=\"noopener noreferrer nofollow\"><em>classes\/Kohana\/View.php<\/em><\/a> \u0438 \u0435\u0433\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u044f <a href=\"https:\/\/github.com\/kohana\/core\/blob\/bdbe81afb5a09cee4269d2e2210a0d293265231a\/classes\/Kohana\/View.php#L346\" rel=\"noopener noreferrer nofollow\">render()<\/a><em> <\/em>\u0441\u0440\u0430\u0437\u0443 \u0436\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u043b\u0438 \u043c\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435.<\/p>\n<p>\u0414\u043e\u043b\u0436\u0435\u043d \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u0432 \u043f\u0440\u043e\u0448\u043b\u043e\u043c \u0443 \u043c\u0435\u043d\u044f \u0431\u044b\u043b \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u043e\u043f\u044b\u0442 \u0431\u044d\u043a\u0435\u043d\u0434 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u042f \u043d\u0430\u043f\u0438\u0441\u0430\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 Laravel \u0438 \u0443\u0436\u0435 \u0431\u044b\u043b \u0437\u043d\u0430\u043a\u043e\u043c \u0441 \u043f\u0430\u0442\u0442\u0435\u0440\u043d\u043e\u043c MVC (Model-View-Controller). \u0414\u043b\u044f \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u043d\u0433\u0430 \u0448\u0430\u0431\u043b\u043e\u043d\u043e\u0432\/\u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u0438\u0439 \u0432 Laravel \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u0432\u0438\u0436\u043e\u043a Blade. \u0422\u0430\u043a \u043a\u0430\u043a \u0442\u0430\u043a\u0438\u0435 \u0434\u0432\u0438\u0436\u043a\u0438 \u043e\u0431\u044b\u0447\u043d\u043e \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u044e\u0442 \u0448\u0430\u0431\u043b\u043e\u043d\u044b, \u044f \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043b, \u0447\u0442\u043e \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u044f \u043c\u043e\u0433\u0443 \u043a\u0430\u043a-\u0442\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \u0438\u043b\u0438 \u0441\u0432\u043e\u0439 \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442.<\/p>\n<p>\u0414\u0430\u0432\u0430\u0439\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u0442\u0435\u043b\u044c\u043d\u043e \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0438\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>render()<\/code><strong><em>:<\/em><\/strong><\/p>\n<pre><code class=\"php\">public function render($file = NULL) { if ($file !== NULL) { $this->set_filename($file); }  if (empty($this->_file)) { throw new View_Exception('You must set the file to use within your view before rendering'); }  \/\/ Combine local and global data and capture the output return View::capture($this->_file, $this->_data); }<\/code><\/pre>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u044f <code>render()<\/code><strong><em> <\/em><\/strong>\u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u043e\u0434\u0438\u043d \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442 \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c <code>$file<\/code>, \u0430 \u0437\u0430\u0442\u0435\u043c \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>capture()<\/code>.<\/p>\n<pre><code class=\"php\">protected static function capture($kohana_view_filename, array $kohana_view_data) { \/\/ Import the view variables to local namespace extract($kohana_view_data, EXTR_SKIP);  if (View::$_global_data) { \/\/ Import the global view variables to local namespace extract(View::$_global_data, EXTR_SKIP | EXTR_REFS); }  \/\/ Capture the view output ob_start();  try { \/\/ Load the view within the current scope include $kohana_view_filename; } catch (Exception $e) { \/\/ Delete the output buffer ob_end_clean();  \/\/ Re-throw the exception throw $e; }  \/\/ Get the captured output and close the buffer return ob_get_clean(); }<\/code><\/pre>\n<p>\u041a\u0430\u043a \u0441\u043a\u0430\u0437\u0430\u043d\u043e \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438, \u0444\u0443\u043d\u043a\u0446\u0438\u044f <code>capture()<\/code><strong><em> <\/em><\/strong>\u043e\u0431\u044a\u0435\u0434\u0438\u043d\u044f\u0435\u0442 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0438 \u0433\u043b\u043e\u0431\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0438 \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u0442 \u0432\u044b\u0432\u043e\u0434.<\/p>\n<p>\u0424\u0443\u043d\u043a\u0446\u0438\u044f <code>capture()<\/code><strong><em> <\/em><\/strong>\u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0434\u0432\u0430 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430: <code>$kohana_view_filename<\/code><strong><em> <\/em><\/strong>\u0438 <code>$kohana_view_data<\/code><strong>.<em> <\/em><\/strong>\u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0437 \u0432\u0430\u0441, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0443\u0436\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u043b\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044e, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043c\u043e\u0436\u043d\u043e \u0437\u043b\u043e\u0443\u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u044c \u043f\u0440\u0438 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<pre><code class=\"php\">try { \/\/ Load the view within the current scope include $kohana_view_filename; }<\/code><\/pre>\n<p><code>include()<\/code>!<em> <\/em>\u042d\u0442\u043e \u0443\u0436\u0435 \u043f\u043e\u043f\u0430\u0445\u0438\u0432\u0430\u0435\u0442 <abbr class=\"habraabbr\" title=\"Local file inclusion\" data-title=\"&lt;p>Local file inclusion&lt;\/p>&#187; data-abbr=&#187;LFI &#171;>LFI <\/abbr>\u0438 RCE. \u041d\u043e \u0435\u0441\u0442\u044c \u043b\u0438 \u0443 \u043d\u0430\u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 <code>$kohana_view_filename<\/code><em>?<\/em><\/p>\n<p>\u041e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0434\u0430! \u041c\u044b \u043c\u043e\u0436\u0435\u043c \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u0435\u0433\u043e \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>__construct()<\/code> \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430 <code>View<\/code><strong><em>:\u00a0<\/em><\/strong><\/p>\n<pre><code class=\"php\">public function __construct($file = NULL, array $data = NULL) { if ($file !== NULL) { $this->set_filename($file); }  if ($data !== NULL) { \/\/ Add the values to the current data $this->_data = $data + $this->_data; } }<\/code><\/pre>\n<p>\u0412 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0443 \u043c\u0435\u043d\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u0438\u0441\u044c \u0432\u0441\u0435 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044f \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438:<\/p>\n<ul>\n<li>\n<p>\u042f \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043b \u0432\u0445\u043e\u0434\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435;<\/p>\n<\/li>\n<li>\n<p>\u0423 \u043c\u0435\u043d\u044f \u0431\u044b\u043b \u0432\u043e\u043b\u0448\u0435\u0431\u043d\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 <code>__toString()<\/code><strong> <\/strong>\u043a\u043b\u0430\u0441\u0441\u0430 <code>View<\/code> \u0441 \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 <code>include()<\/code>.<\/p>\n<\/li>\n<li>\n<p>\u041a\u043b\u0430\u0441\u0441 <code>View<\/code><strong><em> <\/em><\/strong>\u0431\u044b\u043b \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d.<\/p>\n<\/li>\n<\/ul>\n<p>\u0411\u0438\u043d\u0433\u043e!<\/p>\n<h4>\u0412\u0441\u0451 \u0432\u043c\u0435\u0441\u0442\u0435<\/h4>\n<p>\u0427\u0435\u0440\u0435\u0437 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u044f \u0441\u043e\u0437\u0434\u0430\u043b \u0433\u0430\u0434\u0436\u0435\u0442 \u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0434\u043b\u044f PHPGGC \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u043e\u0437\u0436\u0435 \u0431\u044b\u043b\u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u044b \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u0439 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439:<\/p>\n<pre><code class=\"php\">&lt;?php  namespace GadgetChain\\Kohana;  class FR1 extends \\PHPGGC\\GadgetChain\\FileRead {     public static $version = '3.*';     public static $vector = '__toString';     public static $author = 'byq';     public static $information = 'include()';      public function generate(array $parameters)     {         return new \\View($parameters['remote_path']);     } }<\/code><\/pre>\n<pre><code class=\"php\">&lt;?php  class View  { protected $_file;  public function __construct($_file) { $this->_file = $_file; } }<\/code><\/pre>\n<p>\u0417\u0430\u0442\u0435\u043c \u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b PHPGGC \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442:<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/0ad\/9ca\/543\/0ad9ca54377f0c7c75553d6d849354da.png\" width=\"382\" height=\"57\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0ad\/9ca\/543\/0ad9ca54377f0c7c75553d6d849354da.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0420\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0438 &#8230;\u00a0<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/de5\/df7\/094\/de5df7094f4ae622a5c970780267f0d8.png\" width=\"1579\" height=\"378\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/de5\/df7\/094\/de5df7094f4ae622a5c970780267f0d8.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435, \u044d\u0442\u043e \u0431\u044b\u043b\u043e \u0447\u0442\u043e-\u0442\u043e \u043d\u043e\u0432\u0435\u043d\u044c\u043a\u043e\u0435. \u041d\u043e \u043d\u0430 \u0447\u0442\u043e \u044f \u043d\u0430\u0434\u0435\u044f\u043b\u0441\u044f? \u0412\u0435\u0434\u044c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f \u043c\u0435\u0442\u043e\u0434 <code>__toString()<\/code><em>,<\/em> \u0430 \u043d\u0435 \u043c\u0435\u0442\u043e\u0434\u044b <code>__wakeup()<\/code><em> <\/em>\u0438\u043b\u0438 <code>__destruct()<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u044e\u0442 \u0432 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0438 \u0443\u043d\u0438\u0447\u0442\u043e\u0436\u0435\u043d\u0438\u044f \u043e\u0431\u044a\u0435\u043a\u0442\u0430 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0435\u043d\u043d\u043e. \u0412 <a href=\"https:\/\/www.php.net\/manual\/ru\/language.oop5.magic.php#object.tostring\" rel=\"noopener noreferrer nofollow\">\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 PHP<\/a> \u0441\u043a\u0430\u0437\u0430\u043d\u043e:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/67b\/a5f\/d44\/67ba5fd440bcd8002d7f032726e4d4dc.png\" width=\"1000\" height=\"50\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/67b\/a5f\/d44\/67ba5fd440bcd8002d7f032726e4d4dc.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f, \u043c\u043d\u0435 \u043a\u0430\u043a-\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0432\u044b\u0432\u0435\u0441\u0442\u0438 \u043e\u0431\u044a\u0435\u043a\u0442 <code>View<\/code>. \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u043d\u0435\u0441\u043b\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u044f \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u0441\u0432\u043e\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 <code>View<\/code><em> <\/em>\u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430 title \u0438\u043b\u0438 description &#8212; \u0442\u0440\u044e\u043a, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u043f\u0440\u043e\u0434\u0435\u043b\u0430\u043b \u0440\u0430\u043d\u0435\u0435 \u0441 \u043c\u0430\u0441\u0441\u0438\u0432\u043e\u043c<em>, <\/em>\u0447\u0442\u043e\u0431\u044b \u0432\u044b\u0437\u0432\u0430\u0442\u044c Error exception. \u0412\u043e\u0442 \u043a\u0430\u043a \u0432\u044b\u0433\u043b\u044f\u0434\u0435\u043b\u0430 \u043c\u043e\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/bb6\/0ba\/ba2\/bb60baba228b35fbacbd44b2d8a4222e.png\" width=\"1676\" height=\"782\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/bb6\/0ba\/ba2\/bb60baba228b35fbacbd44b2d8a4222e.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042f \u0441\u043d\u043e\u0432\u0430 \u043e\u0431\u043d\u043e\u0432\u0438\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0438, \u043d\u0430\u043a\u043e\u043d\u0435\u0446, \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043e\u0442\u0432\u0435\u0442:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/03d\/edb\/b4f\/03dedbb4f2120a0886d58904ff46d18a.png\" width=\"733\" height=\"318\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/03d\/edb\/b4f\/03dedbb4f2120a0886d58904ff46d18a.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042f \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0444\u0430\u0439\u043b\u0430 <em>\/etc\/passwd <\/em>\u0432\u043d\u0443\u0442\u0440\u0438 \u043c\u0435\u0442\u0430\u0442\u0435\u0433\u0430 <em>og:description<\/em>. \u041a\u0440\u0443\u0442\u043e, \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0435 \u0447\u0442\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430\u043c\u043d\u043e\u0433\u043e \u043b\u0443\u0447\u0448\u0435, \u0447\u0435\u043c \u043f\u043e\u043b\u0443\u0441\u043b\u0435\u043f\u0430\u044f SSRF, \u043d\u043e \u044d\u0442\u043e \u0432\u0441\u0435 \u0435\u0449\u0451 \u043d\u0435 RCE.<\/p>\n<h4>\u041b\u043e\u0433\u0438<\/h4>\n<p>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c LFI \u043d\u0430\u0441\u0442\u043e\u043b\u044c\u043a\u043e \u0440\u0435\u0434\u043a\u0430\u044f \u043d\u0430\u0445\u043e\u0434\u043a\u0430 \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445, \u0447\u0442\u043e \u043c\u043d\u0435 \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u0432\u0441\u043f\u043e\u043c\u0438\u043d\u0430\u0442\u044c, \u0433\u0434\u0435 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u0442\u044c \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443, \u0447\u0442\u043e\u0431\u044b \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0435\u0435 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>include()<\/code><em> <\/em>\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c RCE. \u041d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u043c\u0438 \u0442\u0435\u0445\u043d\u0438\u043a\u0430\u043c\u0438 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f:<\/p>\n<ul>\n<li>\n<p>\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 (\u0432 \u043c\u043e\u0435\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u043d\u0435 \u0431\u044b\u043b\u043e \u0442\u0430\u043a\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438);<\/p>\n<\/li>\n<li>\n<p>\u043b\u043e\u0433\u0438 (apache, nginx, mail, ssh, &#8230;);<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/73b\/34f\/b76\/73b34fb762a907e339f6bc7a42b03f49.png\" width=\"1600\" height=\"557\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/73b\/34f\/b76\/73b34fb762a907e339f6bc7a42b03f49.png\"\/><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/20f\/31f\/1a5\/20f31f1a5628dfd367370f2824c3e678.png\" width=\"1600\" height=\"602\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/20f\/31f\/1a5\/20f31f1a5628dfd367370f2824c3e678.png\"\/><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>\/proc\/*\/fd, \/proc\/self\/environ;<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/209\/208\/d3a\/209208d3abe9d4371bac9ef31b6addf6.png\" width=\"1600\" height=\"568\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/209\/208\/d3a\/209208d3abe9d4371bac9ef31b6addf6.png\"\/><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>\u0444\u0430\u0439\u043b PHP-\u0441\u0435\u0441\u0441\u0438\u0438;<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/45d\/795\/5a9\/45d7955a930dfbda1350d093f1d27e33.png\" width=\"1600\" height=\"576\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/45d\/795\/5a9\/45d7955a930dfbda1350d093f1d27e33.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041a\u0430\u043a \u0432\u044b \u0443\u0436\u0435 \u043f\u043e\u043d\u044f\u043b\u0438, \u044f \u043f\u0435\u0440\u0435\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u043b \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435, \u043d\u043e \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e.<\/p>\n<p>\u041f\u0440\u0438\u0448\u043b\u043e \u0432\u0440\u0435\u043c\u044f \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0448\u0430\u0433\u043e\u0432 \u043d\u0430\u0437\u0430\u0434, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e \u043a \u043e\u0448\u0438\u0431\u043a\u0435, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435\u043c \u043c\u0435\u0441\u0442\u0430 \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/44b\/94d\/6a7\/44b94d6a7e2db58ff8b6a492c2a49770.png\" width=\"1586\" height=\"296\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/44b\/94d\/6a7\/44b94d6a7e2db58ff8b6a492c2a49770.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0437 \u044d\u0442\u043e\u0439 \u043e\u0448\u0438\u0431\u043a\u0438 \u044f \u0441\u043c\u043e\u0433 \u0438\u0437\u0432\u043b\u0435\u0447\u044c \u043f\u0443\u0442\u044c \u043a \u043a\u0430\u043a\u043e\u043c\u0443-\u0442\u043e \u043b\u043e\u0433\u0443<em> \/application\/logs\/2021\/12\/20.php. <\/em>\u041f\u043e\u0441\u043b\u0435 \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044c <em>https:\/\/api.seedr.ru\/application\/logs\/2021\/12\/20.php <\/em>\u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435, \u044f \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043e\u0448\u0438\u0431\u043a\u0443 <code>No direct script access<\/code><em>. <\/em>\u041f\u043e\u0447\u0442\u0438 \u0432 \u043a\u0430\u0436\u0434\u043e\u043c PHP-\u0444\u0430\u0439\u043b\u0435 \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430 Kohana \u0435\u0441\u0442\u044c \u0442\u0430\u043a\u0430\u044f \u0441\u0442\u0440\u043e\u0447\u043a\u0430 \u0432 \u043d\u0430\u0447\u0430\u043b\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/4a2\/04a\/6d0\/4a204a6d0c8a8c8a384fce59e03d7333.png\" width=\"1445\" height=\"604\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/4a2\/04a\/6d0\/4a204a6d0c8a8c8a384fce59e03d7333.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0445\u043e\u0436\u0435, \u0447\u0442\u043e \u044f \u043d\u0435 \u043c\u043e\u0433\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043b\u043e\u0433\u0430\u043c \u0441 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435\u043c <code>.php<\/code><em> <\/em>\u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0438\u0437 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430. \u041a \u043c\u043e\u0435\u043c\u0443 \u0443\u0434\u0438\u0432\u043b\u0435\u043d\u0438\u044e, \u043f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u044c \u043d\u0430 stage \u0445\u043e\u0441\u0442\u0435 <em>http:\/\/api-stage.seedr.ru\/application\/logs\/2021\/12\/20.php, \u044f <\/em>\u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043a\u043e\u0434 \u043e\u0432\u0435\u0442\u0430 HTTP 404. \u041d\u0435 \u0437\u043d\u0430\u044e, \u0447\u0442\u043e \u043c\u0435\u043d\u044f \u043f\u043e\u0434\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u043e, \u043d\u043e \u044f \u0438\u0437\u043c\u0435\u043d\u0438\u043b \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 <code>.php<\/code><em> <\/em>\u043d\u0430 <code>.log<\/code><em>, <\/em>\u0438 &#8230;<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/ff6\/cf9\/399\/ff6cf9399c2ca13dfb01b336ed076851.png\" width=\"1579\" height=\"342\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/ff6\/cf9\/399\/ff6cf9399c2ca13dfb01b336ed076851.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0414\u0430, \u044f \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043e\u0433\u0440\u043e\u043c\u043d\u044b\u0439 \u043b\u043e\u0433-\u0444\u0430\u0439\u043b, \u043f\u043e\u0441\u043b\u0435 \u0447\u0435\u0433\u043e \u043c\u043e\u0439 Burp Suite \u0434\u0430\u0436\u0435 \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0434\u0432\u0438\u0441. \u0414\u043e\u043b\u0436\u0435\u043d \u043e\u0442\u043c\u0435\u0442\u0438\u0442\u044c, \u0447\u0442\u043e \u0442\u0430\u043a\u043e\u0439 \u0442\u0440\u044e\u043a \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b \u043d\u0430 production \u0445\u043e\u0441\u0442\u0435 <em>api.seedr.ru<\/em>. \u0414\u0443\u043c\u0430\u044e, \u0447\u0442\u043e \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 Seedr \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0447\u0442\u043e-\u0442\u043e \u043f\u043e\u043c\u0435\u043d\u044f\u043b\u0438 \u043d\u0430 stage \u0445\u043e\u0441\u0442\u0435, \u0447\u0442\u043e\u0431\u044b \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043b\u043e\u0433\u0430\u043c. \u041d\u043e, \u043a\u0430\u043a \u043e\u0431\u044b\u0447\u043d\u043e, \u044d\u0442\u043e \u043f\u0440\u0438\u0432\u0435\u043b\u043e \u043a \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438.\u00a0<\/p>\n<p>\u0412 \u043e\u0447\u0435\u0440\u0435\u0434\u043d\u043e\u0439 \u0440\u0430\u0437 \u043f\u0435\u0440\u0435\u0434\u043e \u043c\u043d\u043e\u0439 \u043e\u0442\u043a\u0440\u044b\u043b\u0430\u0441\u044c \u043d\u043e\u0432\u0430\u044f \u0434\u0432\u0435\u0440\u044c. \u0412\u044b \u0432\u0441\u0435 \u0435\u0449\u0451 \u043f\u043e\u043c\u043d\u0438\u0442\u0435, \u043a\u0430\u043a \u044f \u0432\u044b\u0437\u0432\u0430\u043b Error exception \u0432 \u043f\u0435\u0440\u0432\u044b\u0439 \u0440\u0430\u0437 (<code>https:\/\/api.seedr.ru\/&lt;svg><\/code>)? \u0412\u043e\u0442 \u0437\u0430\u043f\u0438\u0441\u044c \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 \u043b\u043e\u0433\u0435:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/33a\/fdf\/4c8\/33afdf4c8ee4ac4f1e87c91b53cd153d.png\" width=\"1574\" height=\"68\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/33a\/fdf\/4c8\/33afdf4c8ee4ac4f1e87c91b53cd153d.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043a\u0440\u0430\u0442\u043a\u043e\u0433\u043e \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u043b\u043e\u0433\u043e\u0432 \u044f &#171;\u043e\u0442\u0440\u0430\u0432\u0438\u043b&#187; \u0435\u0433\u043e \u0442\u0430\u043a\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u044c\u044e:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/d5f\/f64\/38f\/d5ff6438f2249a56dc30b3029993591c.png\" width=\"1600\" height=\"315\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/d5f\/f64\/38f\/d5ff6438f2249a56dc30b3029993591c.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0421 \u043f\u043e\u043c\u043e\u0449\u044c\u044e PHPGGC \u044f \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u043d\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 <code>View<\/code><em> <\/em>\u0441 \u0444\u0430\u0439\u043b\u043e\u043c <em>\/var\/www\/t1.seedr.backend\/application\/logs\/2021\/12\/20.log<\/em>, \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u0435\u0433\u043e \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0443\u044e \u043e\u0448\u0438\u0431\u043a\u0443:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/46e\/3b6\/e6e\/46e3b6e6e3b1c00c1695ace5e5bbcf46.png\" width=\"1600\" height=\"90\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/46e\/3b6\/e6e\/46e3b6e6e3b1c00c1695ace5e5bbcf46.png\"\/><figcaption><\/figcaption><\/figure>\n<p><s>\u0412\u0438\u0434\u0438\u043c\u043e, \u0438\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0444\u0430\u0439\u043b \u0436\u0443\u0440\u043d\u0430\u043b\u0430 \u0431\u044b\u043b \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0431\u043e\u043b\u044c\u0448\u0438\u043c (>200000 \u0441\u0442\u0440\u043e\u043a), \u043a\u0430\u043a\u0430\u044f-\u0442\u043e \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u043b\u043e\u043c\u0430\u043b\u0430\u0441\u044c \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 &#171;<\/s><em><s>?&#187;<\/s><\/em><s>, \u0432\u044b\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u043b\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u043b\u0430 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0430.<\/s> \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435 \u044f \u043f\u0440\u043e\u0441\u0442\u043e \u043e\u043f\u0435\u0447\u0430\u0442\u0430\u043b\u0441\u044f, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u00a0 \u0432\u0430\u043c \u043d\u0430\u0439\u0442\u0438 \u043e\u0448\u0438\u0431\u043a\u0443 \u0432 \u043c\u043e\u0435\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0435. \u0418\u0437 <a href=\"https:\/\/www.php.net\/manual\/en\/language.oop5.magic.php#object.tostring\" rel=\"noopener noreferrer nofollow\">\u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 PHP<\/a> \u044f \u0443\u0437\u043d\u0430\u043b, \u0447\u0442\u043e:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/4b6\/00a\/600\/4b600a600d22351bfd5753aacf0a3dfb.png\" width=\"1033\" height=\"51\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/4b6\/00a\/600\/4b600a600d22351bfd5753aacf0a3dfb.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u043b\u043e\u0433 \u0437\u0430 20 \u0434\u0435\u043a\u0430\u0431\u0440\u044f \u0431\u044b\u043b \u0438\u0441\u043f\u043e\u0440\u0447\u0435\u043d \u043c\u043e\u0435\u0439 \u043d\u0435\u0443\u0434\u0430\u0447\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439, \u0434\u0430\u043b\u044c\u043d\u0435\u0439\u0448\u0435\u0435 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u044d\u0442\u043e\u043c \u0445\u043e\u0441\u0442\u0435 \u0431\u044b\u043b\u043e \u0431\u0435\u0441\u043f\u043e\u043b\u0435\u0437\u043d\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f \u043f\u0435\u0440\u0435\u0448\u0435\u043b \u043a \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438. \u041c\u043d\u043e\u0433\u043e\u0447\u0430\u0441\u043e\u0432\u0430\u044f \u043e\u0442\u043b\u0430\u0434\u043a\u0430 \u0438 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u044b \u0441 \u0444\u0443\u043d\u043a\u0446\u0438\u0435\u0439 <code>include()<\/code><em> <\/em>\u0438 \u043b\u043e\u0433\u043e\u043c \u043d\u0435 \u043f\u0440\u0438\u0432\u0435\u043b\u0438 \u043a \u0436\u0435\u043b\u0430\u0435\u043c\u043e\u043c\u0443 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0443.\u00a0<\/p>\n<p>\u0412\u043e \u0432\u0440\u0435\u043c\u044f \u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0433\u043e \u0434\u0443\u0448\u0430 \u044f \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043b \u0435\u0449\u0451 \u043e\u0434\u043d\u0443 \u043f\u043e\u0442\u0440\u044f\u0441\u0430\u044e\u0449\u0443\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u043e\u0442 Charlese Fol <a href=\"https:\/\/www.ambionics.io\/blog\/laravel-debug-rce\" rel=\"noopener noreferrer nofollow\"><em>Laravel &lt;= v8.4.2 debug mode: Remote code execution (CVE-2021-3129)<\/em><\/a>. \u0412 \u043d\u0435\u0439 \u0430\u0432\u0442\u043e\u0440 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u0442\u0435\u0445\u043d\u0438\u043a\u0443 \u0441 \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e\u0441\u0442\u044c\u044e \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0434\u0435\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f base64, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0438\u0433\u043d\u043e\u0440\u0438\u0440\u0443\u0435\u0442 \u043d\u0435 base64 \u0441\u0438\u043c\u0432\u043e\u043b\u044b. \u0418\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u043e \u044f \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u043e\u0431 \u044d\u0442\u043e\u043c \u0432 <a href=\"http:\/\/blog.orange.tw\/2018\/10\/\" rel=\"noopener noreferrer nofollow\">\u0431\u043b\u043e\u0433\u0435 <\/a>\u0442\u0430\u0439\u0432\u0430\u043d\u044c\u0441\u043a\u043e\u0433\u043e \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 Orange Tsai. \u041c\u043e\u044f \u0438\u0434\u0435\u044f \u0437\u0430\u043a\u043b\u044e\u0447\u0430\u043b\u0430\u0441\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043e\u0442\u0440\u0430\u0432\u0438\u0442\u044c \u043b\u043e\u0433 PHP-\u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439 \u0437\u0430\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0432 base64 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0437, \u0430 \u0437\u0430\u0442\u0435\u043c \u0440\u0430\u0441\u043a\u043e\u0434\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0435\u0433\u043e \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 PHP-\u0444\u0438\u043b\u044c\u0442\u0440\u043e\u0432 <code>convert.base64-decode<\/code><em> <\/em>\u0432\u043d\u0443\u0442\u0440\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>include()<\/code><em>, <\/em>\u0447\u0442\u043e\u0431\u044b \u043e\u0431\u043e\u0439\u0442\u0438 \u043e\u0448\u0438\u0431\u043a\u0443 \u0441 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u043c <code>?<\/code>. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u0443 \u043c\u0435\u043d\u044f \u0431\u044b\u043b\u0430 \u0431\u0435\u0441\u0441\u043e\u043d\u043d\u0430\u044f \u043d\u043e\u0447\u044c, \u043c\u043e\u0439 \u043c\u043e\u0437\u0433 \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u043f\u043b\u043e\u0445\u043e, \u0438 \u044f \u0441\u043e\u0432\u0441\u0435\u043c \u0437\u0430\u0431\u044b\u043b, \u0447\u0442\u043e \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0441 Laravel \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u0437\u043b\u043e\u0443\u043f\u043e\u0442\u0440\u0435\u0431\u043b\u044f\u043b \u0446\u0435\u043f\u043e\u0447\u043a\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0439 <code>file_get_contents()<\/code><em> <\/em>\u0438 <code>file_put_contents()<\/code><em> <\/em>\u0441 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u043c\u0438 \u0430\u0440\u0433\u0443\u043c\u0435\u043d\u0442\u0430\u043c\u0438 \u0432\u043d\u0443\u0442\u0440\u0438, \u0447\u0442\u043e \u043f\u043e\u0437\u0432\u043e\u043b\u0438\u043b\u043e \u0435\u043c\u0443 \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u0430\u0442\u044c \u043b\u043e\u0433. \u042f \u0442\u0430\u043a\u0436\u0435 \u0437\u0430\u0431\u044b\u043b \u0438 \u043e\u0431 \u044d\u0442\u043e\u043c \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0438:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/0ec\/fbc\/959\/0ecfbc9596b8ed70ae7f66f5811a5982.png\" width=\"1142\" height=\"173\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0ec\/fbc\/959\/0ecfbc9596b8ed70ae7f66f5811a5982.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0437-\u0437\u0430 \u043f\u0440\u0435\u0434\u0441\u043a\u0430\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u043f\u0443\u0442\u0438 (<em>\/application\/logs\/2021\/12\/20.log<\/em>) \u044f \u0441\u043a\u0430\u0447\u0430\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043b\u043e\u0433\u043e\u0432 \u0437\u0430 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0438\u0435 \u0434\u043d\u0438 \u0438 \u043f\u043b\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b \u043e\u0442\u0440\u0430\u0432\u0438\u0442\u044c \u043b\u043e\u0433 \u0437\u0430 21 \u0434\u0435\u043a\u0430\u0431\u0440\u044f \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0443\u0442\u043e\u043a, \u043f\u043e\u043a\u0430 \u043e\u043d \u043d\u0435 \u0441\u0442\u0430\u043b \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0431\u043e\u043b\u044c\u0448\u0438\u043c.\u00a0<\/p>\n<p>\u042f \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u043d\u043e\u0432\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u0432 \u043e\u0442\u0447\u0435\u0442 \u043d\u0430 HackerOne \u0438 \u0443 \u043c\u0435\u043d\u044f \u0432 \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u0446\u0435\u043b\u044b\u0439 \u0434\u0435\u043d\u044c \u0434\u043e 21 \u0434\u0435\u043a\u0430\u0431\u0440\u044f. \u041d\u0435 \u0442\u0435\u0440\u044f\u044f \u0432\u0440\u0435\u043c\u0435\u043d\u0438, \u044f \u043f\u043e\u043f\u044b\u0442\u0430\u043b\u0441\u044f \u043f\u0440\u043e\u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0430 <em>api.seedr.ru<\/em>, \u0442\u0430\u043a \u043a\u0430\u043a \u0432\u0441\u0435 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0435 \u0442\u0435\u0441\u0442\u044b \u044f \u043f\u0440\u043e\u0432\u043e\u0434\u0438\u043b \u043d\u0430 <em>api-stage.seedr.ru<\/em>. \u0415\u0449\u0451 \u0440\u0430\u0437 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e PHPGGC \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u043e\u0431\u044a\u0435\u043a\u0442 <code>View<\/code><em> <\/em>\u0441 \u0444\u0430\u0439\u043b\u043e\u043c <em>\/etc\/passwd<\/em>, \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u0435\u0433\u043e \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0438 \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b \u0432 \u043e\u0442\u0432\u0435\u0442\u0435 \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430 <em>\/etc\/passwd<\/em>. \u042f \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u043b \u0442\u0435 \u0436\u0435 \u0448\u0430\u0433\u0438 \u043d\u0430 <em>api-stage.seedr.ru, <\/em>\u043d\u043e \u0442\u0430\u043c \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0432\u0441\u0451 \u0440\u0430\u0431\u043e\u0442\u0430\u043b\u043e \u043a\u0430\u043a \u043d\u0430\u0434\u043e. \\<\/p>\n<blockquote>\n<p>&#171;\u0423\u043f\u0441, \u043d\u0435\u0443\u0436\u0435\u043b\u0438 \u0443\u044f\u0437\u0432\u0438\u043c \u0442\u043e\u043b\u044c\u043a\u043e stage \u0445\u043e\u0441\u0442?&#187;.<\/p>\n<\/blockquote>\n<h4>\u041d\u0443\u043b\u0435\u0432\u043e\u0439 \u0431\u0430\u0439\u0442<\/h4>\n<p>\u0417\u0434\u0435\u0441\u044c \u044f \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0440\u0438\u0437\u043d\u0430\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u043a\u043e\u0433\u0434\u0430 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u043e\u0431\u044a\u0435\u043a\u0442 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e PHPGGC, \u044f \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u0438\u0437\u043c\u0435\u043d\u044f\u043b \u0435\u0433\u043e:<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a18\/6f0\/806\/a186f080613a12fa7b9e47a08b774b6e.png\" width=\"382\" height=\"57\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a18\/6f0\/806\/a186f080613a12fa7b9e47a08b774b6e.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0414\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u043b\u0438 \u0441\u0442\u0440\u043e\u043a\u0430 <code>*_file<\/code><em> <\/em>\u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 8 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432? \u041d\u0435\u0442, \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0437 6. \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u043e \u044f \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u043a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437, \u0438 \u0432\u0441\u0451 \u043e\u0442\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043b\u043e \u0431\u0435\u0437 \u043e\u0448\u0438\u0431\u043e\u043a \u043d\u0430 <em>api-stage.seedr.ru. <\/em>\u041f\u043e\u0437\u0436\u0435 \u0432 \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0435 \u0441\u0442\u0435\u043a\u0430 \u044f \u0437\u0430\u043c\u0435\u0442\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0435:<\/p>\n<figure class=\"\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/9d7\/c03\/686\/9d7c03686b2931916ad622ba122efb40.png\" width=\"462\" height=\"117\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/9d7\/c03\/686\/9d7c03686b2931916ad622ba122efb40.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0417\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0430\u0442\u0440\u0438\u0431\u0443\u0442\u0430 <code>_file<\/code><em> <\/em>\u0440\u0430\u0432\u043d\u044f\u0435\u0442\u0441\u044f NULL, \u043d\u043e \u043f\u043e \u043a\u0430\u043a\u043e\u0439-\u0442\u043e \u043f\u0440\u0438\u0447\u0438\u043d\u0435 \u0443 \u043e\u0431\u044a\u0435\u043a\u0442\u0430 <code>View<\/code><em> <\/em>\u0435\u0449\u0451 \u0435\u0441\u0442\u044c \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 \u0430\u0442\u0440\u0438\u0431\u0443\u0442 <code>*_file<\/code><em> <\/em>\u0441 \u043c\u043e\u0435\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u0437\u043d\u0430\u0442\u043e\u043a\u0438 PHP \u0443\u0436\u0435 \u043f\u043e\u043d\u044f\u043b\u0438 \u043f\u0440\u0438\u0447\u0438\u043d\u0443 \u0442\u0430\u043a\u043e\u0433\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u043d\u043e \u043c\u043d\u0435 \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u043f\u043e\u0442\u0440\u0430\u0442\u0438\u0442\u044c \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u043d\u0430 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u044d\u0442\u043e\u0439 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b.\u00a0<\/p>\n<p>\u041a\u0430\u043a \u0432\u044b \u043c\u043e\u0433\u043b\u0438 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c \u043f\u043e \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0430\u043c, \u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u044f \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0441\u0435\u0440\u0432\u0438\u0441 <a href=\"https:\/\/webhook.site\/\" rel=\"noopener noreferrer nofollow\">https:\/\/webhook.site\/<\/a> &#8212; \u0431\u044b\u0441\u0442\u0440\u043e\u0435 \u0438 \u043f\u0440\u043e\u0441\u0442\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u043f\u0440\u0438\u0435\u043c\u0430 \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0445 HTTP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 \u0438 \u0440\u0430\u0437\u043c\u0435\u0449\u0435\u043d\u0438\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438. \u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0432 \u0442\u043e\u0442 \u0440\u0430\u0437 \u044d\u0442\u043e \u0441\u044b\u0433\u0440\u0430\u043b\u043e \u0441\u043e \u043c\u043d\u043e\u0439 \u0437\u043b\u0443\u044e \u0448\u0443\u0442\u043a\u0443. \u0414\u0435\u043b\u043e \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e <a href=\"https:\/\/stackoverflow.com\/a\/37468673\" rel=\"noopener noreferrer nofollow\">\u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0433\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f \u0432 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 PHP \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442 \u043d\u0443\u043b\u0435\u0432\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b (\\0) \u0432\u043e\u043a\u0440\u0443\u0433 \u0441\u0438\u043c\u0432\u043e\u043b\u0430 &#171;*&#187;<\/a>. \u0412\u043e\u0442 \u043f\u043e\u0447\u0435\u043c\u0443 <code>*_file<\/code><em> <\/em>\u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0438\u0437 8 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/698\/d1b\/a49\/698d1ba49469b2cc683222da11d72d6a.png\" width=\"546\" height=\"101\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/698\/d1b\/a49\/698d1ba49469b2cc683222da11d72d6a.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043f\u0440\u043e\u0441\u0442\u043e \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u043d\u0430 <em>webhook.site<\/em>, \u043e\u043d \u043d\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u043b \u044d\u0442\u0438 \u043d\u0443\u043b\u0435\u0432\u044b\u0435 \u0441\u0438\u043c\u0432\u043e\u043b\u044b \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0432\u0430\u043b \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>unserialize()<\/code><em> <\/em>\u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 \u0430\u0442\u0440\u0438\u0431\u0443\u0442 <code>*_file<\/code>. \u0427\u0442\u043e\u0431\u044b \u0440\u0435\u0448\u0438\u0442\u044c \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0443, \u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443 \u0441 \u043d\u0443\u043b\u0435\u0432\u044b\u043c\u0438 \u0431\u0430\u0439\u0442\u0430\u043c\u0438 \u043d\u0430 \u0441\u0432\u043e\u0435\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435. \u0422\u0435\u043f\u0435\u0440\u044c <em>vimeo.com <\/em>\u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u043b \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043d\u0430 \u043c\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u0433\u0434\u0435 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>echo()<\/code><em> \u044f <\/em>\u043e\u0442\u0434\u0430\u0432\u0430\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0441 \u043d\u0443\u043b\u0435\u0432\u044b\u043c\u0438 \u0441\u0438\u043c\u0432\u043e\u043b\u0430\u043c\u0438. \u041f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043c\u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \u0444\u0430\u0439\u043b\u0430 <em>\/etc\/passwd <\/em>\u043d\u0430 <em>api.seedr.ru, \u044f <\/em>\u0441\u043d\u043e\u0432\u0430 \u0432\u0435\u0440\u043d\u0443\u043b\u0441\u044f \u043a \u0430\u043d\u0430\u043b\u0438\u0437\u0443 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u0445 \u043b\u043e\u0433\u043e\u0432.<\/p>\n<h4>\u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435<\/h4>\n<p>\u0412 \u043b\u043e\u0433\u0430\u0445 \u0431\u044b\u043b\u043e \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u0442\u0438\u043f\u043e\u0432 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043d\u043e \u043b\u0438\u0448\u044c \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0437 \u043d\u0438\u0445 \u043c\u043e\u0436\u043d\u043e \u0431\u044b\u043b\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438, \u0430 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u0432 \u0432\u043e\u043e\u0431\u0449\u0435 \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u0438 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e. \u0423\u0436\u0435 \u043f\u0440\u0438 \u043f\u0435\u0440\u0432\u043e\u043c \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u043b\u043e\u0433\u043e\u0432 \u044f \u0437\u0430\u043c\u0435\u0442\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0442\u0438\u043f \u0437\u0430\u043f\u0438\u0441\u0438:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/b3c\/694\/e72\/b3c694e7203c691e5fc687c96f3832ee.png\" width=\"1600\" height=\"101\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/b3c\/694\/e72\/b3c694e7203c691e5fc687c96f3832ee.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u042d\u0442\u043e\u0442 \u0442\u0438\u043f \u0437\u0430\u043f\u0438\u0441\u0438 \u0445\u043e\u0440\u043e\u0448 \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u043d \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0434\u0438\u043d \u0440\u0430\u0437 \u0438 \u043d\u0435 \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u043b \u0435\u0435, \u043a\u0430\u043a \u0432 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u0439 \u043f\u043e\u043f\u044b\u0442\u043a\u0435. \u042f \u0442\u0430\u043a\u0436\u0435 \u043f\u0440\u0438\u043c\u0435\u0442\u0438\u043b \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u0443\u044e \u0442\u043e\u0447\u043a\u0443 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438: \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043e\u043a <em>user-agent<\/em>. \u041d\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0437\u0430\u043a\u043b\u044e\u0447\u0430\u043b\u0430\u0441\u044c \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u044f \u043d\u0435 \u0437\u043d\u0430\u043b, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0430\u043a\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0432 \u043b\u043e\u0433\u0435, \u043a \u043a\u0430\u043a\u043e\u043c\u0443 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0443 \u043c\u043d\u0435 \u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u044c\u0441\u044f. \u042f \u0433\u0440\u0435\u043f\u043d\u0443\u043b \u043b\u043e\u0433 \u0441\u043e \u0441\u0432\u043e\u0438\u043c IP \u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b, \u0447\u0442\u043e \u0432 \u0441\u0435\u0433\u043e\u0434\u043d\u044f\u0448\u043d\u0435\u043c \u043b\u043e\u0433\u0435 \u0437\u0430\u043f\u0438\u0441\u044c \u0441 \u043c\u043e\u0438\u043c IP \u0443\u0436\u0435 \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u043e\u0432\u0430\u043b\u0430, \u0447\u0442\u043e \u043e\u0437\u043d\u0430\u0447\u0430\u043b\u043e, \u0447\u0442\u043e \u044f \u0443\u0436\u0435 \u0442\u043e\u0447\u043d\u043e \u043e\u0431\u0440\u0430\u0449\u0430\u043b\u0441\u044f \u043a \u043d\u0443\u0436\u043d\u043e\u043c\u0443 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0443. \u041a \u0442\u043e\u043c\u0443 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0432 \u043c\u043e\u0435\u0439 \u0438\u0441\u0442\u043e\u0440\u0438\u0438 Burp Proxy \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u043b\u043e\u0441\u044c \u0431\u043e\u043b\u0435\u0435 40000 \u0437\u0430\u043f\u0438\u0441\u0435\u0439, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0430\u0439\u0442\u0438 \u043d\u0443\u0436\u043d\u044b\u0439 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u043e\u043a\u0430\u0437\u0430\u043b\u043e\u0441\u044c \u043d\u0435 \u0442\u0430\u043a-\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e. \u0421\u0440\u0430\u0432\u043d\u0438\u0432 \u0432\u0440\u0435\u043c\u044f \u0437\u0430\u043f\u0438\u0441\u0438 \u0441 \u043c\u043e\u0438\u043c IP \u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u044c\u044e, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0431\u044b\u043b \u0437\u0430\u043d\u044f\u0442 \u0432 \u0442\u043e \u0432\u0440\u0435\u043c\u044f, \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u0437\u0430\u043f\u0438\u0441\u044c, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0431\u044b\u043b\u0430 \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e dirsearch. \u042f \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b \u0435\u0433\u043e \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u043e \u0438 \u0447\u0435\u0440\u0435\u0437 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u0442\u0430\u043a\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c, \u0431\u044b\u043b \u043d\u0430\u0439\u0434\u0435\u043d &#8212; <em>api-stage.seedr.ru\/inc.\u00a0<\/em><\/p>\n<p>\u041d\u0430 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438 \u044f \u0441\u043f\u0440\u044f\u0442\u0430\u043b \u043d\u043e\u0432\u0443\u044e \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0432 \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u043b\u043e\u0433, \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u0435\u0433\u043e \u0447\u0435\u0440\u0435\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>include()<\/code> \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0432\u044b\u0432\u043e\u0434 \u043a\u043e\u043c\u0430\u043d\u0434\u044b bash. \u041e\u0441\u0442\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043e\u0436\u0434\u0430\u0442\u044c\u0441\u044f 21 \u0434\u0435\u043a\u0430\u0431\u0440\u044f \u0438 \u0441\u0432\u0435\u0436\u0435\u0433\u043e \u043b\u043e\u0433\u0430, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u043b\u043e\u0433\u0438 \u0437\u0430 20 \u0434\u0435\u043a\u0430\u0431\u0440\u044f \u0434\u043b\u044f <em>api.seedr.ru <\/em>\u0438 <em>api-stage.seedr.ru <\/em>\u0431\u044b\u043b\u0438 \u043e\u0442\u0440\u0430\u0432\u043b\u0435\u043d\u044b \u043c\u043e\u0438\u043c\u0438 \u043d\u0435\u0443\u0434\u0430\u0447\u043d\u044b\u043c\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430\u043c\u0438.<\/p>\n<p>\u041d\u0430 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u0434\u0435\u043d\u044c \u044f &#171;\u043e\u0442\u0440\u0430\u0432\u0438\u043b&#187; \u043b\u043e\u0433 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u0433\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0430:<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/525\/ccc\/df2\/525cccdf2ed3c1d5e6ac8d56b116480a.png\" width=\"1580\" height=\"345\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/525\/ccc\/df2\/525cccdf2ed3c1d5e6ac8d56b116480a.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0421\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043b \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443, \u0440\u0430\u0437\u043c\u0435\u0441\u0442\u0438\u043b \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435, \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b \u0437\u0430\u043f\u0440\u043e\u0441 &#8230;<\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/0c7\/ed3\/c27\/0c7ed3c2727dd093f62085f6a09f0322.png\" width=\"763\" height=\"446\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/0c7\/ed3\/c27\/0c7ed3c2727dd093f62085f6a09f0322.png\"\/><figcaption><\/figcaption><\/figure>\n<p>\u0414\u0430, \u044f \u0437\u0430\u0431\u044b\u043b \u043f\u043e\u043c\u0435\u043d\u044f\u0442\u044c <code>$argv[1]<\/code><em> <\/em>\u043d\u0430 <code>$_GET[1]<\/code><em> <\/em>\u043f\u043e\u0441\u043b\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0445 \u0442\u0435\u0441\u0442\u043e\u0432&#8230; \u0412 \u043e\u0436\u0438\u0434\u0430\u043d\u0438\u0438 \u0435\u0449\u0451 \u043e\u0434\u043d\u043e\u0433\u043e \u0434\u043d\u044f \u0432\u0441\u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u0443 \u043c\u0435\u043d\u044f \u0435\u0441\u0442\u044c \u0435\u0449\u0451 \u043e\u0434\u043d\u0430 \u043f\u043e\u043f\u044b\u0442\u043a\u0430 \u043d\u0430 <em>api-stage.seedr.ru:<\/em><\/p>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/f37\/465\/6c9\/f374656c90423ccd2b73c429a7d78998.png\" alt=\"$$$\" title=\"$$$\" width=\"865\" height=\"187\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/f37\/465\/6c9\/f374656c90423ccd2b73c429a7d78998.png\"\/><figcaption>$$$<\/figcaption><\/figure>\n<hr\/>\n<h3>TL;DR<\/h3>\n<figure class=\"full-width\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/getpro\/habr\/upload_files\/a4d\/92a\/fd4\/a4d92afd4504a890053dce90ad8ea341.png\" alt=\"https:\/\/imgur.com\/DrNEGRH\" title=\"https:\/\/imgur.com\/DrNEGRH\" width=\"1600\" height=\"884\" data-src=\"https:\/\/habrastorage.org\/getpro\/habr\/upload_files\/a4d\/92a\/fd4\/a4d92afd4504a890053dce90ad8ea341.png\"\/><figcaption>https:\/\/imgur.com\/DrNEGRH<\/figcaption><\/figure>\n<hr\/>\n<h4>\u0411\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u043d\u043e\u0441\u0442\u044c:<\/h4>\n<ul>\n<li>\n<p><a href=\"https:\/\/twitter.com\/rootxharsh\" rel=\"noopener noreferrer nofollow\">@rootxharsh<\/a> \u0437\u0430 \u0442\u043e, \u0447\u0442\u043e \u043f\u043e\u0434\u0435\u043b\u0438\u043b\u0441\u044f \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c;<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/twitter.com\/act1on3\" rel=\"noopener noreferrer nofollow\">@act1on3<\/a> \u0438 \u043c\u043e\u0435\u0433\u043e \u043b\u0438\u0447\u043d\u043e\u0433\u043e \u044d\u043a\u0441\u043f\u0435\u0440\u0442\u0430 \u043f\u043e PHP \u0437\u0430 \u0442\u043e, \u0447\u0442\u043e \u043e\u043d\u0438 \u0431\u044b\u043b\u0438 \u043c\u043e\u0438\u043c\u0438 \u0440\u0435\u0437\u0438\u043d\u043e\u0432\u044b\u043c\u0438 \u0443\u0442\u043e\u0447\u043a\u0430\u043c\u0438.<\/p>\n<\/li>\n<\/ul>\n<h4>\u041f\u043e\u043b\u0435\u0437\u043d\u044b\u0435 \u0441\u0441\u044b\u043b\u043a\u0438:<\/h4>\n<p><a href=\"https:\/\/twitter.com\/rootxharsh\" rel=\"noopener noreferrer nofollow\">https:\/\/twitter.com\/rootxharsh<\/a>\u00a0<\/p>\n<p><a href=\"https:\/\/infosecwriteups.com\/vimeo-ssrf-with-code-execution-potential-68c774ba7c1e\" rel=\"noopener noreferrer nofollow\">https:\/\/infosecwriteups.com\/vimeo-ssrf-with-code-execution-potential-68c774ba7c1e<\/a><\/p>\n<p><a href=\"https:\/\/github.com\/ambionics\/phpggc\" rel=\"noopener noreferrer nofollow\">https:\/\/github.com\/ambionics\/phpggc<\/a><\/p>\n<p><a href=\"https:\/\/hackerone.com\/ryat\" rel=\"noopener noreferrer nofollow\">https:\/\/hackerone.com\/ryat<\/a><\/p>\n<p><a href=\"https:\/\/twitter.com\/cfreal_\" rel=\"noopener noreferrer nofollow\">https:\/\/twitter.com\/cfreal_<\/a><\/p>\n<p><a href=\"https:\/\/www.ambionics.io\/blog\/laravel-debug-rce\" rel=\"noopener noreferrer nofollow\">https:\/\/www.ambionics.io\/blog\/laravel-debug-rce<\/a><\/p>\n<p><a href=\"https:\/\/twitter.com\/orange_8361\" rel=\"noopener noreferrer nofollow\">https:\/\/twitter.com\/orange_8361<\/a>\u00a0<\/p>\n<p><a href=\"http:\/\/blog.orange.tw\/2018\/10\/\" rel=\"noopener noreferrer nofollow\">http:\/\/blog.orange.tw\/2018\/10\/<\/a><\/p>\n<h4>P.S.<\/h4>\n<p>\u0420\u0430\u0431\u043e\u0442\u0430 \u043d\u0430\u0434 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c\u044e \u0432\u0435\u043b\u0430\u0441\u044c \u0432 \u0434\u0435\u043a\u0430\u0431\u0440\u0435 2021 \u0433\u043e\u0434\u0430, \u043d\u043e \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0443\u0436\u0435 \u0442\u043e\u0433\u0434\u0430 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u043e\u0432\u0430\u043b \u0430\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u043d\u044b\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u044d\u0441\u043a\u0430\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c LFI \u0434\u043e RCE, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0431\u0435\u0440\u0442\u043a\u0438 PHP. \u0422\u0430\u043a\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c &#171;\u043e\u0442\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435&#187; \u043b\u043e\u0433\u043e\u0432 \u043d\u0435 \u043f\u043e\u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u0431\u044b. \u0428\u0438\u0440\u043e\u043a\u043e \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u043e \u043d\u043e\u0432\u043e\u0439 \u0442\u0435\u0445\u043d\u0438\u043a\u0435 \u0441\u0442\u0430\u043b\u043e \u043d\u0435 \u0442\u0430\u043a \u0434\u0430\u0432\u043d\u043e, \u0432 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 2022 \u0433\u043e\u0434\u0430. \u041f\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u0435\u0435 \u043c\u043e\u0436\u043d\u043e \u0437\u0434\u0435\u0441\u044c:<\/p>\n<p><a href=\"https:\/\/gist.github.com\/loknop\/b27422d355ea1fd0d90d6dbc1e278d4d\" rel=\"noopener noreferrer nofollow\">https:\/\/gist.github.com\/loknop\/b27422d355ea1fd0d90d6dbc1e278d4d<\/a><\/p>\n<p><a href=\"https:\/\/www.synacktiv.com\/publications\/php-filters-chain-what-is-it-and-how-to-use-it.html\" rel=\"noopener noreferrer nofollow\">https:\/\/www.synacktiv.com\/publications\/php-filters-chain-what-is-it-and-how-to-use-it.html<\/a><\/p>\n<p>\u041a\u0441\u0442\u0430\u0442\u0438, \u0432 \u0443\u0437\u043a\u0438\u0445 \u043a\u0440\u0443\u0433\u0430\u0445 \u043e \u0433\u0430\u0434\u0436\u0435\u0442\u0435 \u0441 Kohana \u0442\u043e\u0436\u0435 \u0441\u0443\u0434\u044f \u043f\u043e \u0432\u0441\u0435\u043c\u0443 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e \u0443\u0436\u0435 \u0434\u0430\u0432\u043d\u043e. \u0412 \u0430\u0432\u0433\u0443\u0441\u0442\u0435 2022 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u0432\u0438\u0434\u0435\u043e \u0434\u043e\u043a\u043b\u0430\u0434\u0430 <a href=\"https:\/\/twitter.com\/paul_axe\" rel=\"noopener noreferrer nofollow\">Paul Axe<\/a> \u043e\u0442 2015 \u0433\u043e\u0434\u0430:<\/p>\n<p><a href=\"https:\/\/www.youtube.com\/watch?v=PWjkz8xTI8g&amp;t=314s\" rel=\"noopener noreferrer nofollow\">https:\/\/www.youtube.com\/watch?v=PWjkz8xTI8g&amp;t=314s<\/a><\/p>\n<\/p>\n<\/div>\n<\/div>\n<\/div>\n<p> <!----> <!----><\/div>\n<p> <!----> <!----><br \/> \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/post\/708384\/\"> https:\/\/habr.com\/ru\/post\/708384\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<div><\/div>\n<div id=\"post-content-body\">\n<div>\n<div class=\"article-formatted-body article-formatted-body article-formatted-body_version-2\">\n<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0412 \u044d\u0442\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u044f \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0443 \u0432\u0430\u043c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u0440\u043e\u0432\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u044f \u0441\u0432\u044f\u0437\u0430\u043b \u0432 \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u0434\u043e\u0441\u0442\u0438\u0436\u0435\u043d\u0438\u044f \u0423\u0434\u0430\u043b\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430 (<abbr class=\"habraabbr\" title=\"Remote code execution\" data-title=\"&lt;p>Remote code execution&lt;\/p>&#187; data-abbr=&#187;RCE&#187;>RCE<\/abbr>) \u043d\u0430 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u0445 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 <a href=\"https:\/\/vk.company\/\" rel=\"noopener noreferrer nofollow\">VK<\/a>. \u042f \u043f\u043e\u0441\u0442\u0430\u0440\u0430\u043b\u0441\u044f \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0441\u0432\u043e\u0438 \u0448\u0430\u0433\u0438 \u0432 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e\u0441\u0442\u044f\u0445, \u0442\u0430\u043a \u043a\u0430\u043a \u043c\u043d\u0435 \u0441\u0430\u043c\u043e\u043c\u0443, \u043a\u0430\u043a \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e\u043c\u0443 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044e \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u043f\u043e \u0431\u0430\u0433-\u0431\u0430\u0443\u043d\u0442\u0438, \u0432\u0441\u0435\u0433\u0434\u0430 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u044f\u0442\u044c, \u043a\u0430\u043a \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c \u043c\u044b\u0441\u043b\u0438\u0442 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u043d\u0435\u043e\u0431\u044b\u0447\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439. \u041d\u0430\u0434\u0435\u044e\u0441\u044c, \u0434\u043b\u044f \u0432\u0430\u0441 \u044d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430.<\/p>\n<h4>\u0412\u0432\u0435\u0434\u0435\u043d\u0438\u0435<\/h4>\n<p>\u041d\u0435 \u0431\u0443\u0434\u0443 \u0441\u043a\u0440\u044b\u0432\u0430\u0442\u044c, \u044f \u044f\u0432\u043b\u044f\u044e\u0441\u044c \u0444\u0430\u043d\u0430\u0442\u043e\u043c \u0431\u0430\u0433-\u0431\u0430\u0443\u043d\u0442\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b <a href=\"https:\/\/hackerone.com\/mailru\" rel=\"noopener noreferrer nofollow\">VK \u043d\u0430 HackerOne<\/a>. \u0418\u043d\u043e\u0433\u0434\u0430 \u0445\u043e\u043b\u0434\u0438\u043d\u0433 \u043f\u0440\u0438\u043e\u0431\u0440\u0435\u0442\u0430\u0435\u0442 \u043d\u043e\u0432\u044b\u0435 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438, \u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0430 \u043f\u043e\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u043e\u0432\u044b\u043c\u0438 \u0430\u043a\u0442\u0438\u0432\u0430\u043c\u0438, \u0447\u0442\u043e \u0434\u0430\u0435\u0442 \u0431\u0430\u0433-\u0445\u0430\u043d\u0442\u0435\u0440\u0430\u043c \u043d\u0435\u043f\u043b\u043e\u0445\u043e\u0439 \u0448\u0430\u043d\u0441 \u0441\u043e\u0431\u0440\u0430\u0442\u044c &#171;\u043d\u0438\u0437\u043a\u043e \u0432\u0438\u0441\u044f\u0449\u0438\u0435 \u0444\u0440\u0443\u043a\u0442\u044b&#187; &#8212; \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043c\u043e\u0433\u0443\u0442 \u0431\u044b\u0442\u044c \u043d\u0430\u0439\u0434\u0435\u043d\u044b \u0431\u0435\u0437 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0437\u0430\u0442\u0440\u0430\u0442 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438 \u0443\u0441\u0438\u043b\u0438\u0439.<\/p>\n<p>\u041f\u043e \u0441\u0432\u043e\u0435\u043c\u0443 \u043e\u043f\u044b\u0442\u0443 \u043c\u043e\u0433\u0443 \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0447\u0435\u043c\u0443-\u0442\u043e, \u0447\u0442\u043e \u0434\u043e \u0432\u0430\u0441 \u043d\u0438\u043a\u0442\u043e \u043d\u0435 \u043f\u044b\u0442\u0430\u043b\u0441\u044f \u0432\u0437\u043b\u043e\u043c\u0430\u0442\u044c, \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u043e\u0447\u0435\u043d\u044c \u0432\u044b\u0433\u043e\u0434\u043d\u043e. \u041d\u0430 \u043f\u043b\u043e\u0449\u0430\u0434\u043a\u0435 HackerOne \u0435\u0441\u0442\u044c \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u0443\u044e\u0449\u0443\u044e \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0443 \u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0442\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u043e \u043b\u044e\u0431\u044b\u0445 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f\u0445 \u0432 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u0445, \u0447\u0435\u043c \u044f \u0438 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u0441\u044f, \u0447\u0442\u043e\u0431\u044b \u0431\u044b\u0442\u044c \u043e\u0434\u043d\u0438\u043c \u0438\u0437 \u043f\u0435\u0440\u0432\u044b\u0445, \u043a\u0442\u043e \u043d\u0430\u0447\u043d\u0435\u0442 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441.<\/p>\n<p>\u0412 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 2021 \u0433\u043e\u0434\u0430 \u044f \u043d\u0435 \u043e\u0447\u0435\u043d\u044c \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u0445\u0430\u043d\u0442\u0438\u043b \u0438 \u043e\u0441\u043e\u0431\u043e \u043d\u0435 \u0441\u043b\u0435\u0434\u0438\u043b \u0437\u0430 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f\u043c\u0438 \u0432 \u0438\u0437\u0431\u0440\u0430\u043d\u043d\u043e\u0439 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0435, \u0438\u043c\u0435\u043d\u043d\u043e \u043f\u043e \u044d\u0442\u043e\u0439 \u043f\u0440\u0438\u0447\u0438\u043d\u0435 \u044f \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b \u0443\u0432\u0435\u0434\u043e\u043c\u043b\u0435\u043d\u0438\u0435 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0430 Seedr<em>, <\/em>\u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u0431\u044b\u0441\u0442\u0440\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u0442\u044c \u0432\u0438\u0434\u0435\u043e \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0435, \u0441\u0435\u0439\u0447\u0430\u0441 \u0443\u0436\u0435 \u043f\u0440\u0438\u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u0430\u044f, \u0431\u044b\u043b\u0430 \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u0432 \u0441\u043a\u043e\u0443\u043f.<\/p>\n<p>\u041c\u043e\u044f \u043f\u0435\u0440\u0432\u0430\u044f \u0432\u0441\u0442\u0440\u0435\u0447\u0430 \u0441 Seedr \u0441\u043e\u0441\u0442\u043e\u044f\u043b\u0430\u0441\u044c \u0432 \u043e\u043a\u0442\u044f\u0431\u0440\u0435 2021 \u0433\u043e\u0434\u0430. \u0412 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u043c\u0438\u043d\u0443\u0442 \u043f\u043e\u0441\u043b\u0435 \u043d\u0430\u0447\u0430\u043b\u0430 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u044f \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0431\u0430\u043d\u0430\u043b\u044c\u043d\u044b\u0445 <abbr class=\"habraabbr\" title=\"Cross-Site Scripting\" data-title=\"&lt;p>&lt;em>Cross-Site Scripting&lt;\/em>  &lt;\/p>&#187; data-abbr=&#187;XSS &#171;>XSS <\/abbr>\u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u043d\u043e \u0440\u0435\u0448\u0438\u043b \u043d\u0435 \u0441\u043e\u043e\u0431\u0449\u0430\u0442\u044c \u043e \u043d\u0438\u0445, \u0442\u0430\u043a \u043a\u0430\u043a \u0448\u0430\u043d\u0441 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u0443\u0431\u043b\u0438\u043a\u0430\u0442 \u0431\u044b\u043b \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u0432\u044b\u0441\u043e\u043a.<\/p>\n<p>\u0412 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u0432\u044b \u043c\u043e\u0436\u0435\u0442\u0435 \u043f\u0440\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u044b\u0445 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u0434\u0440\u0443\u0433\u0438\u0445 \u0431\u0430\u0433-\u0445\u0430\u043d\u0442\u0435\u0440\u043e\u0432 \u0438 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c, \u043d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043d\u0435\u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0435 \u0434\u043b\u044f \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u043d\u0438 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u043b\u0438 \u0432 Seedr<em>:<\/em><\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1348154\" rel=\"noopener noreferrer nofollow\"><u>RCE \u0432 .api\/nr\/report\/{id}\/download<\/u><\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1354335\" rel=\"noopener noreferrer nofollow\"><u>SSRF + RCE \u0447\u0435\u0440\u0435\u0437 fastCGI \u0432 POST \/api\/nr\/video<\/u><\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1350671\" rel=\"noopener noreferrer nofollow\"><u>XSS Stored on https:\/\/seedr.ru<\/u><\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/hackerone.com\/reports\/1360208\" rel=\"noopener noreferrer nofollow\"><u>OS command injection on seedr.ru<\/u><\/a><\/p>\n<\/li>\n<\/ul>\n<p>\u041f\u043e\u0434\u0443\u043c\u0430\u0432, \u0447\u0442\u043e \u043c\u043e\u0439 \u043f\u043e\u0435\u0437\u0434 \u0443\u0448\u0435\u043b, \u044f \u0440\u0435\u0448\u0438\u043b \u043d\u0435 \u0442\u0440\u0430\u0442\u0438\u0442\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043d\u0430 Seedr \u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043b \u043f\u0440\u043e\u043a\u0440\u0430\u0441\u0442\u0438\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c.<\/p>\n<h4>\u041d\u0430\u0445\u043e\u0434\u043a\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u043b\u0430 \u043c\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435<\/h4>\n<p>\u042f \u0432\u0435\u0440\u043d\u0443\u043b\u0441\u044f \u043a \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e <em>Seedr <\/em>\u0432\u043e \u0432\u0440\u0435\u043c\u044f \u0434\u0435\u043a\u0430\u0431\u0440\u044c\u0441\u043a\u043e\u0433\u043e \u043e\u0442\u043f\u0443\u0441\u043a\u0430 \u0432 \u0434\u0440\u0443\u0433\u043e\u0439 \u0441\u0442\u0440\u0430\u043d\u0435, \u0433\u0434\u0435 \u0441 \u0441\u043e\u0431\u043e\u0439 \u0443 \u043c\u0435\u043d\u044f \u0431\u044b\u043b \u043b\u0438\u0448\u044c \u0440\u044e\u043a\u0437\u0430\u043a \u0438 \u043d\u043e\u0443\u0442\u0431\u0443\u043a. \u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u043f\u0440\u0435\u0431\u044b\u0432\u0430\u043d\u0438\u044f \u0432 \u0442\u0430\u043a\u0438\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445 \u0443 \u043c\u0435\u043d\u044f \u043f\u0440\u043e\u0441\u044b\u043f\u0430\u0435\u0442\u0441\u044f &#171;\u0431\u0430\u0433-\u0431\u0430\u0443\u043d\u0442\u0438 \u0433\u043e\u043b\u043e\u0434&#187; \u0438 \u043f\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u043d\u0430\u0439\u0442\u0438 \u0447\u0442\u043e-\u043d\u0438\u0431\u0443\u0434\u044c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435. \u0414\u043b\u044f \u0440\u0430\u0437\u043e\u0433\u0440\u0435\u0432\u0430, \u044f \u043e\u0431\u044b\u0447\u043d\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u044e\u0441\u044c \u043a \u0443\u0436\u0435 \u0437\u043d\u0430\u043a\u043e\u043c\u044b\u043c \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c \u0438 \u0441\u0442\u0430\u0440\u0430\u044e\u0441\u044c \u0432\u0437\u0433\u043b\u044f\u043d\u0443\u0442\u044c \u043d\u0430 \u043d\u0438\u0445 \u0441\u0432\u0435\u0436\u0438\u043c \u0432\u0437\u0433\u043b\u044f\u0434\u043e\u043c.<\/p>\n<p>\u041d\u0430 \u044d\u0442\u043e\u0442 \u0440\u0430\u0437 \u044f \u0443\u0434\u0435\u043b\u0438\u043b \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u0440\u0430\u0437\u0432\u0435\u0434\u043a\u0435 Seedr, \u0430 \u0438\u043c\u0435\u043d\u043d\u043e: \u043f\u043e\u0438\u0441\u043a\u0443 \u0438 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u0438\u044e \u043f\u043e\u0434\u0434\u043e\u043c\u0435\u043d\u043e\u0432, \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e \u043f\u043e\u0440\u0442\u043e\u0432, \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u0443 \u0432\u0435\u0431-\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0439 \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u041a \u0441\u0447\u0430\u0441\u0442\u044c\u044e, \u044f \u043d\u0430\u0448\u0435\u043b \u0431\u043e\u043b\u0435\u0435 \u0437\u0430\u043c\u0430\u043d\u0447\u0438\u0432\u044b\u0435 \u0432\u0435\u0449\u0438: GitLab, Grafana, \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0445\u043e\u0441\u0442\u043e\u0432 API, cron-\u0444\u0430\u0439\u043b\u044b \u0432 \u0432\u0435\u0431-\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0438, \u0442\u0440\u0430\u0441\u0441\u0438\u0440\u043e\u0432\u043a\u0438 \u0441\u0442\u0435\u043a\u0430 \u0438 \u043c\u043d\u043e\u0433\u043e\u0435 \u0434\u0440\u0443\u0433\u043e\u0435. \u0427\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u0442\u043e\u0447\u0435\u043a \u0432\u0445\u043e\u0434\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0448\u044c &#8212; \u0442\u0435\u043c \u0432\u044b\u0448\u0435 \u0448\u0430\u043d\u0441 \u043d\u0430\u0439\u0442\u0438 \u0447\u0442\u043e-\u0442\u043e \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e\u0435. \u0425\u043e\u0442\u044f \u043d\u0438 \u043e\u0434\u043d\u0430 \u0438\u0437 \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043d\u0435 \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0441\u0442\u043e\u044f\u0449\u0435\u0439 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e\u0431\u044b \u043e \u043d\u0435\u0439 \u0441\u043e\u043e\u0431\u0449\u0438\u0442\u044c, \u043e\u0434\u043d\u0430 \u0438\u0437 \u043d\u0438\u0445 \u0432\u0441\u0435 \u0436\u0435 \u043f\u0440\u0438\u0432\u043b\u0435\u043a\u043b\u0430 \u043c\u043e\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435.<\/p>\n<p>\u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c HTML-\u043a\u043e\u0434\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u044b <em>https:\/\/api-stage.seedr.ru\/player <\/em>\u044f \u0437\u0430\u043c\u0435\u0442\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<pre><code>https:\/\/player.seedr.ru\/video?vid=cpapXGq50UY&amp;post_id=57b6ceef64225d5b0f8b456c&amp;config=https%3A%2F%2Fseedr.com%2Fconfig%2F57975d1b64225d607e8b456e.json&amp;hosting=youtube<\/code><\/pre>\n<p>\u0413\u043e\u0442\u043e\u0432 \u043f\u043e\u0441\u043f\u043e\u0440\u0438\u0442\u044c, \u0447\u0442\u043e \u0431\u043e\u043b\u0435\u0435 \u043e\u043f\u044b\u0442\u043d\u044b\u0439 \u0447\u0438\u0442\u0430\u0442\u0435\u043b\u044c \u0443\u0436\u0435 \u0437\u0430\u0445\u043e\u0442\u0435\u043b \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <strong>config <\/strong>\u043d\u0430 \u0441\u0432\u043e\u0439 \u0445\u043e\u0441\u0442 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0432\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e HTTP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f, \u0447\u0442\u043e \u044f \u0438 \u0441\u0434\u0435\u043b\u0430\u043b. \u041d\u043e \u043f\u043e\u0441\u043b\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u043f\u043e\u043f\u044b\u0442\u043e\u043a \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043e\u0442\u0441\u0442\u0443\u043a\u0430 \u0438 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0438\u043b \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438.<\/p>\n<p>\u041a\u043e\u0433\u0434\u0430 \u044f \u043e\u0442\u043a\u0440\u044b\u043b \u0441\u0441\u044b\u043b\u043a\u0443 <code>https:\/\/player.seedr.ru\/video?vid=cpapXGq50UY&amp;post_id=57b6ceef64225d5b0f8b456c&amp;config=https%3A%2F%2Fseedr.com%2Fconfig%2F57975d1b64225d607e8b456e.json&amp;hosting=youtube<\/code><em> <\/em>\u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0435, \u044f \u0437\u0430\u043c\u0435\u0442\u0438\u043b, \u0447\u0442\u043e \u043c\u0435\u0442\u0430\u0442\u0435\u0433\u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u044b \u043f\u043e \u0440\u0430\u0437\u043c\u0435\u0442\u043a\u0435 Open Graph \u0438 \u0441\u043e\u0434\u0435\u0440\u0436\u0430\u0442 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0432\u0438\u0434\u0435\u043e: \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435, \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u0435, \u043f\u0440\u0435\u0432\u044c\u044e \u0438 \u0442.\u0434.<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0445 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b <code>post_id<\/code><strong> <\/strong>\u0438 <code>config<\/code><strong> <\/strong>\u043d\u0435 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u043b\u0438\u044f\u043d\u0438\u044f \u043d\u0430 \u043e\u0442\u0432\u0435\u0442, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u043c URL \u0434\u043e <code>https:\/\/player.seedr.ru\/video?vid=cpapXGq50UY&amp;hosting=youtube<\/code>.<\/p>\n<p>\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0432, \u0447\u0442\u043e \u043f\u043b\u0435\u0435\u0440 \u0441\u043a\u043e\u0440\u0435\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e YouTube, \u044f \u0438\u0437\u043c\u0435\u043d\u0438\u043b GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440<strong> <\/strong><code>hosting<\/code><strong> <\/strong>\u043d\u0430 <em>coub <\/em>\u0438 <em>vimeo:<\/em><\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0442\u0430\u043a, \u043f\u043e\u0445\u043e\u0436\u0435, \u0447\u0442\u043e \u0432 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u043e\u0442 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 <code>hosting<\/code>,<strong> <\/strong>\u0441\u0435\u0440\u0432\u0435\u0440 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e PHP-\u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><strong><em> <\/em><\/strong>\u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 HTTP-\u0437\u0430\u043f\u0440\u043e\u0441 \u043a YouTube, Vimeo \u0438\u043b\u0438 Coub API, \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u0442 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0432\u0438\u0434\u0435\u043e (GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>vid<\/code>), \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0438\u0445 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 HTML-\u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043f\u043b\u0435\u0435\u0440\u0430 \u0441 \u0432\u0438\u0434\u0435\u043e \u0438 \u0437\u0430\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u043e \u0440\u0430\u0437\u043c\u0435\u0442\u043a\u0435 Open Graph \u043c\u0435\u0442\u0430\u0442\u0435\u0433\u0430\u043c\u0438.<\/p>\n<p>GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 <code>vid<\/code><strong> <\/strong>\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u0447\u043a\u043e\u0439 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438, \u0442\u0430\u043a \u043a\u0430\u043a \u043e\u043d \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044e\u044e \u0447\u0430\u0441\u0442\u044c \u043f\u0443\u0442\u0438 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code> \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043e\u0431\u0445\u043e\u0434\u0430 \u043f\u0443\u0442\u0438 (<code>\/..\/<\/code>) \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u043e\u043b\u0435\u0437\u043d\u044b\u0445 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 (<code>?, #, @<\/code><em> <\/em>\u0438 \u0442.\u0434.).<\/p>\n<p>\u0427\u0442\u043e \u0435\u0449\u0451 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e, \u0432 \u0441\u043b\u0443\u0447\u0430\u0435 \u0441 Vimeo, \u043a\u0430\u043a \u0432\u044b \u043c\u043e\u0433\u043b\u0438 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c \u043d\u0430 \u043f\u0440\u0435\u0434\u044b\u0434\u0443\u0449\u0435\u043c \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0435, \u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u0435\u043b\u0430\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u043a <em>http:\/\/vimeo.com\/api\/v2\/video\/VID.php<\/em>. \u0418 \u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f <code>.php<\/code><strong><em> <\/em><\/strong>\u0432 \u043f\u0443\u0442\u0438, Vimeo \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043d\u0435 JSON, \u0430 \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435!<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u042f \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043b, \u0447\u0442\u043e \u043f\u043e\u0441\u043b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u0441\u0435\u0440\u0432\u0435\u0440 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u0435\u0442 \u043e\u0442\u0432\u0435\u0442 \u043e\u0442 Vimeo \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>unserialize()<\/code>: <\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<blockquote>\n<p>&#171;\u041e\u0433\u043e, \u043d\u0435\u0443\u0436\u0435\u043b\u0438 \u0443 \u043d\u0430\u0441 \u0437\u0434\u0435\u0441\u044c \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f?&#187;<\/p>\n<\/blockquote>\n<p>\u0411\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f, \u043f\u043e\u043a\u0430 \u043e\u0442\u0432\u0435\u0442 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u0442 Vimeo.<\/p>\n<h4>\u0412\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438<\/h4>\n<p>\u0412 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0443 \u0441\u0435\u0431\u044f \u0432 \u0433\u043e\u043b\u043e\u0432\u0435 \u044f \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043b \u0442\u0440\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f \u0430\u0442\u0430\u043a\u0438:<\/p>\n<ol>\n<li>\n<p>\u0424\u0430\u0437\u0437\u0438\u043d\u0433 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u0441 \u0446\u0435\u043b\u044c\u044e \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u0441\u043b\u0435\u043f\u043e\u0439 <abbr class=\"habraabbr\" title=\"Server-side request forgery\" data-title=\"&lt;p>Server-side request forgery&lt;\/p>&#187; data-abbr=&#187;SSRF&#187;>SSRF<\/abbr>, \u0442.\u0435. \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c HTTP-\u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u043f\u043e\u0434\u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u043d\u044b\u0439 \u043c\u043d\u0435 \u0440\u0435\u0441\u0443\u0440\u0441, \u0438 \u0432 \u0442\u0435\u043e\u0440\u0438\u0438 \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438;<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0442\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u0439 \u043e\u0442\u0432\u0435\u0442 \u043d\u0430 <em>vimeo.com <\/em>-> \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438;<\/p>\n<\/li>\n<li>\n<p>\u041d\u0430\u0439\u0442\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com <\/em>-> SSRF -> \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f.<\/p>\n<\/li>\n<\/ol>\n<p>\u041f\u043e\u0441\u043b\u0435 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0447\u0430\u0441\u043e\u0432 \u0440\u0430\u0437\u043b\u0438\u0447\u043d\u044b\u0445 \u043c\u043e\u0434\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0439 GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430<strong> <\/strong><code>vid<\/code><strong> <\/strong>\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0433\u043e \u0444\u0430\u0437\u0437\u0438\u043d\u0433\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u044f \u043d\u0435 \u043d\u0430\u0448\u0435\u043b \u043d\u0438\u0447\u0435\u0433\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0433\u043e \u0438 \u043f\u0430\u0440\u0430\u043b\u043b\u0435\u043b\u044c\u043d\u043e \u0440\u0435\u0448\u0438\u043b \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0432\u0441\u0435\u0439 \u0438\u043c\u0435\u044e\u0449\u0435\u0439\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0435\u0439 \u043e\u0431 \u044d\u0442\u043e\u0439 \u043d\u0430\u0445\u043e\u0434\u043a\u0435 \u0441 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u043c\u0438 \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u043c\u0438 \u0442\u043e\u0432\u0430\u0440\u0438\u0449\u0430\u043c\u0438.<\/p>\n<p>\u0418\u0442\u0430\u043a, \u043f\u0435\u0440\u0432\u044b\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b, \u043f\u0435\u0440\u0435\u0439\u0434\u0435\u043c \u043a \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0435\u043c\u0443 &#8212; \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u043e\u043c\u0443 \u043e\u0442\u0432\u0435\u0442\u0443 \u043d\u0430 <em>vimeo.com<\/em>.<\/p>\n<p>\u042d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0441 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043e\u0442\u0432\u0435\u0442\u043e\u043c \u0434\u043e\u043b\u0436\u0435\u043d \u043e\u0442\u0432\u0435\u0447\u0430\u0442\u044c \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u044f\u043c:<\/p>\n<ul>\n<li>\n<p>\u041a\u043e\u0434 \u043e\u0442\u0432\u0435\u0442\u0430 HTTP &#8212; 200 OK;<\/p>\n<\/li>\n<li>\n<p>\u0414\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0434\u043b\u044f \u043d\u0435\u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f;<\/p>\n<\/li>\n<li>\n<p>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u043d\u0430\u0445\u043e\u0434\u0438\u0442\u044c\u0441\u044f \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0442\u0435\u043b\u0430 \u043e\u0442\u0432\u0435\u0442\u0430 (PHP \u0443\u0441\u043f\u0435\u0448\u043d\u043e \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0443\u0435\u0442 <code>{VALID_SER_STRING}TRASH<\/code>);<\/p>\n<\/li>\n<li>\n<p>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0434\u043e\u043b\u0436\u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0442\u044c \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{ }<\/code><em>, <\/em><code>\"\"<\/code><em>, <\/em>\u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u044b\u0435 \u0434\u043b\u044f \u0445\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043e\u0431\u044a\u0435\u043a\u0442\u043e\u0432.<\/p>\n<\/li>\n<\/ul>\n<p>\u041d\u0438\u0436\u0435 \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u044b \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0437 \u043c\u043e\u0438\u0445 \u043f\u043e\u043f\u044b\u0442\u043e\u043a \u043d\u0430\u0439\u0442\u0438 \u0442\u0440\u0435\u0431\u0443\u0435\u043c\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043d\u0430 <em>vimeo.com:<\/em><\/p>\n<ol>\n<li>\n<p><strong>injection <\/strong>is not a valid method.\u00a0<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: \u043a\u043e\u0434 \u043e\u0442\u0432\u0435\u0442\u0430 HTTP 404 Not Found, \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{}<\/code><em>, <\/em><code>\"\"<\/code><em>.<\/em><\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<ol start=\"2\">\n<li>\n<p><strong>injection <\/strong>is not a valid format.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: \u043a\u043e\u0434 \u043e\u0442\u0432\u0435\u0442\u0430 HTTP 404 Not Found, \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{}<\/code><em>, <\/em><code>\"\"<\/code><em>.<\/em><\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<ol start=\"3\">\n<li>\n<p>JavaScript callback.<\/p>\n<\/li>\n<\/ol>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: <code>\/**\/<\/code><em> <\/em>\u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u043d\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0441\u0438\u043c\u0432\u043e\u043b\u044b <code>{}<\/code><em>, <\/em><code>\"\"<\/code><em>.<\/em><\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<ol start=\"4\">\n<li>\n<p>\u042d\u043a\u0441\u043f\u043e\u0440\u0442 \u0447\u0430\u0442\u0430 \u043f\u0440\u044f\u043c\u043e\u0439 \u0442\u0440\u0430\u043d\u0441\u043b\u044f\u0446\u0438\u0438:<\/p>\n<\/li>\n<\/ol>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043a\u0438: \u0414\u0430\u0442\u0430 \u0438 \u0438\u043c\u044f \u0432 \u043d\u0430\u0447\u0430\u043b\u0435 \u0441\u0442\u0440\u043e\u043a\u0438, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f.\u00a0<\/p>\n<p>\u041a \u0441\u043e\u0436\u0430\u043b\u0435\u043d\u0438\u044e, \u0432\u0442\u043e\u0440\u043e\u0439 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0439 \u0442\u0430\u043a\u0436\u0435 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043c\u043e\u0435\u0439 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043d\u0430\u0434\u0435\u0436\u0434\u043e\u0439 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u043d\u0430\u0439\u0442\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com<\/em>. \u0420\u0430\u043d\u0435\u0435 \u044f \u0443\u0436\u0435 \u0432\u0441\u0442\u0440\u0435\u0447\u0430\u043b \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u043d\u044b\u0439 <a href=\"https:\/\/hackerone.com\/reports\/44157\" rel=\"noopener noreferrer nofollow\">\u043e\u0442\u0447\u0435\u0442 <\/a>\u043d\u0430 HackerOne \u043e\u0442 2015 \u0433\u043e\u0434\u0430 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u043c \u043d\u0430 <em>vimeo.com<\/em>, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u043b, \u0447\u0442\u043e \u0435\u0441\u0442\u044c \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u0448\u0430\u043d\u0441 \u043d\u0430\u0439\u0442\u0438 \u0435\u0449\u0451 \u043e\u0434\u0438\u043d. \u041d\u0430 \u0441\u0430\u043c\u043e\u043c \u0434\u0435\u043b\u0435, \u044f \u043e\u0434\u043d\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u043e \u0438\u0441\u043a\u0430\u043b \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u0435\u0449\u0451 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u044f, \u043d\u043e \u0441\u043d\u043e\u0432\u0430 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043d\u0430\u0448\u0435\u043b.<\/p>\n<h4>\u041e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442<\/h4>\n<p>\u0412\u0441\u0435 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f, \u043f\u043e\u043a\u0430 \u044f \u0440\u0430\u0441\u043a\u0440\u0443\u0447\u0438\u0432\u0430\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u044f \u043f\u043e\u043c\u043d\u0438\u043b \u043e \u0441\u0442\u0430\u0442\u044c\u0435 Harsh Jaiswal <a href=\"https:\/\/infosecwriteups.com\/vimeo-ssrf-with-code-execution-potential-68c774ba7c1e\" rel=\"noopener noreferrer nofollow\"><em>Vimeo SSRF with code execution potential<\/em><\/a><em>. <\/em>\u042f \u043e\u0442\u0447\u0435\u0442\u043b\u0438\u0432\u043e \u043f\u043e\u043c\u043d\u0438\u043b, \u0447\u0442\u043e \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0445 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 <em>vimeo.com<\/em>. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0431\u044b\u043b\u0430 \u043d\u0430\u0439\u0434\u0435\u043d\u0430 \u0435\u0449\u0451 \u0432 2019 \u0433\u043e\u0434\u0443, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043e\u0436\u0438\u0434\u0430\u043b, \u0447\u0442\u043e \u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c\u044b\u0435 \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u044b \u0443\u0436\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u044b. \u041d\u043e \u0442\u0430\u043a \u043a\u0430\u043a, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u044d\u0442\u043e \u0431\u044b\u043b \u043c\u043e\u0439 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0448\u0430\u043d\u0441, \u044f \u043d\u0430\u0447\u0430\u043b \u043a\u043e\u043f\u0430\u0442\u044c \u0432 \u044d\u0442\u043e\u043c \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0438.<\/p>\n<p>\u0418\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044f \u043d\u0430 \u0441\u043a\u0440\u0438\u043d\u0448\u043e\u0442\u0430\u0445 \u0431\u044b\u043b\u0430 \u043d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0441\u043a\u0440\u044b\u0442\u0430, \u0443\u0434\u0430\u043b\u043e\u0441\u044c \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0439 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u043f\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u044b\u043c GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c. \u0423\u0447\u0438\u0442\u044b\u0432\u0430\u044f \u044d\u0442\u043e, \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0433\u0443\u0433\u043b\u0438\u0432 \u0438 \u043f\u043e\u0447\u0438\u0442\u0430\u0432 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u044e Vimeo API, \u044f \u0441\u043c\u043e\u0433 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c, \u043a\u0430\u043a\u043e\u0439 \u0438\u043c\u0435\u043d\u043d\u043e \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b Harsh \u0432 \u0441\u0432\u043e\u0435\u0439 \u0446\u0435\u043f\u043e\u0447\u043a\u0435. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u044f\u0441\u043d\u044b\u043c, \u043a\u0430\u043a\u0438\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u044f \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c.<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u042f \u0440\u0435\u0434\u043a\u043e \u043f\u0440\u043e\u0448\u0443 \u043a\u043e\u0433\u043e-\u0442\u043e \u043e \u043f\u043e\u043c\u043e\u0449\u0438 \u0432\u043e \u0432\u0440\u0435\u043c\u044f \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0447\u0435\u0433\u043e-\u043b\u0438\u0431\u043e, \u043d\u0435 \u0441\u0447\u0438\u0442\u0430\u044f \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0434\u0440\u0443\u0437\u0435\u0439, \u043d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u0431\u044b\u043b \u0432 \u0442\u0443\u043f\u0438\u043a\u0435, Harsh \u0431\u044b\u043b \u043c\u043e\u0435\u0439 \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0439 \u043d\u0430\u0434\u0435\u0436\u0434\u043e\u0439.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u044f \u043d\u0430\u043f\u0438\u0441\u0430\u043b \u0435\u043c\u0443 \u0438 \u043f\u0440\u0435\u0434\u043e\u0441\u0442\u0430\u0432\u0438\u043b \u0432\u0441\u044e \u0438\u043c\u0435\u044e\u0449\u0443\u044e\u0441\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0443 \u043c\u0435\u043d\u044f \u0431\u044b\u043b\u0430 \u043d\u0430 \u0442\u043e\u043c \u044d\u0442\u0430\u043f\u0435, \u043e\u043d \u043f\u043e\u0434\u0435\u043b\u0438\u043b\u0441\u044f \u0441\u043e \u043c\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0447\u0435\u0439 \u0441\u0441\u044b\u043b\u043a\u043e\u0439 \u0441 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043e\u043a\u0430\u0437\u0430\u043b\u0430\u0441\u044c \u0442\u0430\u043a\u043e\u0439 \u0436\u0435, \u043a\u0430\u043a \u044f \u0438 \u043f\u043e\u0434\u043e\u0437\u0440\u0435\u0432\u0430\u043b, \u043d\u043e \u0441 \u0432\u0435\u0440\u043d\u044b\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 GET-\u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. \u041f\u043e \u044d\u0442\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435 \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u044d\u0442\u043e \u043d\u0435 \u0431\u0430\u0433 \u043d\u0430 <em>vimeo.com, <\/em>\u0430 \u0444\u0438\u0447\u0430 (\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u043e, \u044d\u0442\u043e \u043d\u0435 \u0448\u0443\u0442\u043a\u0430).<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0442\u0430\u043a, \u0442\u0435\u043f\u0435\u0440\u044c \u0443 \u043c\u0435\u043d\u044f \u0435\u0441\u0442\u044c \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442 \u043d\u0430 <em>vimeo.com, <\/em>\u0434\u0430\u0432\u0430\u0439\u0442\u0435 \u043f\u043e\u043f\u0440\u043e\u0431\u0443\u0435\u043c \u0435\u0433\u043e \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u0442\u044c:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041e\u0442\u043b\u0438\u0447\u043d\u043e, \u044f \u043d\u0430\u043a\u043e\u043d\u0435\u0446-\u0442\u043e \u0441\u043b\u043e\u0432\u0438\u043b HTTP-\u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u0441\u0432\u043e\u0439 \u0445\u043e\u0441\u0442. \u041f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u043f\u0435\u0440\u0435\u0439\u0442\u0438 \u043a \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438, \u044f \u0440\u0435\u0448\u0438\u043b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0438\u0433\u0440\u0430\u0442\u044c \u0441 SSRF:<\/p>\n<ul>\n<li>\n<p>https:\/\/127.0.0.1<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>https:\/\/127.0.0.1:22<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<ul>\n<li>\n<p>http:\/\/127.0.0.1:25<\/p>\n<\/li>\n<\/ul>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u0418\u0437-\u0437\u0430 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u043c\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0438\u0437 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>file_get_contents()<\/code><em> <\/em>\u043f\u0435\u0440\u0435\u0434\u0430\u0435\u0442\u0441\u044f \u0441\u0440\u0430\u0437\u0443 \u0432 \u0444\u0443\u043d\u043a\u0446\u0438\u044e <code>unserialize()<\/code><em>, <\/em>\u0443 \u043c\u0435\u043d\u044f \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0430\u0441\u044c<em> <\/em>\u043f\u043e\u043b\u043d\u0430\u044f SSRF, \u0447\u0442\u043e\u0431\u044b \u0447\u0438\u0442\u0430\u0442\u044c \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0435 \u043e\u0442\u0432\u0435\u0442\u044b \u043e\u0442 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432. \u041d\u043e, \u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435, \u0443 \u043c\u0435\u043d\u044f \u0443\u0436\u0435 \u0431\u044b\u043b\u0430 \u043f\u043e\u043b\u0443\u0441\u043b\u0435\u043f\u0430\u044f SSRF \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e\u0440\u0442\u043e\u0432:<\/p>\n<figure class=\"full-width\"><figcaption><\/figcaption><\/figure>\n<p>\u041a\u0430\u043a \u0442\u043e\u043b\u044c\u043a\u043e \u044f \u043f\u043e\u043d\u044f\u043b, \u0447\u0442\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u043f\u043e\u0447\u0442\u0438 \u0432\u0435\u0441\u044c \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b \u044d\u0442\u043e\u0439 SSRF, \u044f \u043f\u0435\u0440\u0435\u043a\u043b\u044e\u0447\u0438\u043b\u0441\u044f \u043d\u0430 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044e \u0444\u0443\u043d\u043a\u0446\u0438\u0438 <code>unserialize()<\/code>.<\/p>\n<h4>\u041d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f<\/h4>\n<p>\u0412\u043a\u0440\u0430\u0442\u0446\u0435 \u043e\u0431\u044a\u044f\u0441\u043d\u044e, \u0447\u0442\u043e \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0434\u043b\u044f \u0443\u0441\u043f\u0435\u0448\u043d\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0439 \u0434\u0435\u0441\u0435\u0440\u0438\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 PHP:<\/p>\n<ul>\n<li>\n<p><s>\u041a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u0443\u0435\u043c\u044b\u0435 \u0432\u0445\u043e\u0434\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435;<\/s><\/p>\n<\/li>\n<li>\n<p>\u041a\u043b\u0430\u0441\u0441 \u0441 \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u0438\u043c \u043c\u0435\u0442\u043e\u0434\u043e\u043c (<code>__wakeup()<\/code>, <code>__destroy()<\/code>, <code>__toString()<\/code><strong><em> <\/em><\/strong>\u0438 \u0442.\u0434.);<\/p>\n<\/li>\n<li>\n<p>\u0412 \u043c\u0430\u0433\u0438\u0447\u0435\u0441\u043a\u043e\u043c \u043c\u0435\u0442\u043e\u0434\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0430 \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u043e\u043d\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u044c, \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043c\u043e\u0436\u043d\u043e \u0437\u043b\u043e\u0443\u043f\u043e\u0442\u0440\u0435\u0431\u0438\u0442\u044c (\u043c\u0430\u043d\u0438\u043f\u0443\u043b\u044f\u0446\u0438\u044f \u0441 \u0444\u0430\u0439\u043b\u043e\u0432\u043e\u0439 \u0441\u0438\u0441\u0442\u0435\u043c\u043e\u0439, \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043a \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u0438 \u0442.\u043f.);<\/p>\n<\/li>\n<li>\n<p>\u041a\u043b\u0430\u0441\u0441 \u0437\u0430\u0433\u0440\u0443\u0436\u0435\u043d.<\/p>\n<\/li>\n<\/ul>\n<p>\u041a\u0430\u043a \u0432\u0438\u0434\u0438\u0442\u0435, \u043d\u0430 \u0442\u043e\u0442 \u043c\u043e\u043c\u0435\u043d\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u043b\u043e\u0441\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u0434\u043d\u043e \u0442\u0440\u0435\u0431\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u0437 \u0447\u0435\u0442\u044b\u0440\u0435\u0445. \u041e \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u043e\u043c \u043a\u043e\u0434\u0435 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435 \u044f \u0437\u043d\u0430\u043b \u0441\u043b\u0438\u0448\u043a\u043e\u043c \u043c\u0430\u043b\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-343304","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/343304","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=343304"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/343304\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=343304"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=343304"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=343304"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}