{"id":499785,"date":"2026-10-22T13:37:23","date_gmt":"2026-10-22T10:37:23","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=499785"},"modified":"2026-10-22T13:37:23","modified_gmt":"2026-10-22T10:37:23","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=499785","title":{"rendered":"\u041c\u0435\u0436\u0434\u0443 \u043a\u043e\u0434\u043e\u043c \u0438 \u043f\u0440\u043e\u0434\u043e\u043c: \u043c\u0435\u0441\u0442\u043e DAST \u0432 SSDLC"},"content":{"rendered":"
\n
<\/figure>\n

\u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0435 \u0434\u0432\u0430 \u0433\u043e\u0434\u0430 DAST \u043d\u0430 \u0441\u0445\u0435\u043c\u0430\u0445 DevSecOps \u0440\u0438\u0441\u0443\u044e\u0442 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e: \u043f\u0440\u044f\u043c\u043e\u0443\u0433\u043e\u043b\u044c\u043d\u0438\u043a \u043f\u043e\u0441\u043b\u0435 deploy<\/code>, \u0432\u043d\u0443\u0442\u0440\u0438 \u2014 ZAP \u0438\u043b\u0438 Nuclei. \u0421\u043a\u0430\u043d\u0435\u0440 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0430\u0434\u0440\u0435\u0441 \u0441\u0442\u0435\u043d\u0434\u0430, \u0432\u0435\u0440\u043d\u0443\u043b \u043e\u0442\u0447\u0435\u0442, \u0434\u0436\u043e\u0431\u0430 \u043f\u043e\u0437\u0435\u043b\u0435\u043d\u0435\u043b\u0430. \u0422\u043e\u043b\u044c\u043a\u043e \u043f\u043e \u0437\u0435\u043b\u0435\u043d\u043e\u0439 \u0434\u0436\u043e\u0431\u0435 \u043d\u0435 \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043e. \u0421\u043a\u0430\u043d \u0432\u043f\u043e\u043b\u043d\u0435 \u043c\u043e\u0433 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u0442\u044c\u0441\u044f \u0431\u0435\u0437 \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0445 \u043d\u0430\u0445\u043e\u0434\u043e\u043a, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0434\u043e \u043d\u0438\u0445 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435 \u0434\u043e\u0448\u0435\u043b.<\/p>\n

\u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0414\u0430\u043d\u0438\u0438\u043b \u0421\u043b\u044e\u0441\u0430\u0440\u044c, \u044f \u0440\u0443\u043a\u043e\u0432\u043e\u0436\u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u043e\u0439 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432 AppSec \u0432 Positive Technologies. \u0420\u0430\u0437\u0431\u0435\u0440\u0435\u043c, \u0447\u0442\u043e \u0432\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u044f\u043c\u043e\u0443\u0433\u043e\u043b\u044c\u043d\u0438\u043a\u0430, \u043a\u0430\u043a\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u043e\u043d \u0440\u0435\u0448\u0430\u0435\u0442, \u0433\u0434\u0435 \u0435\u043c\u0443 \u043c\u0435\u0441\u0442\u043e \u0432 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440\u0435 \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0431\u0435\u0437 \u043d\u0435\u0433\u043e \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u043e\u0439 \u0437\u0430\u0449\u0438\u0442\u044b \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u0441\u044f.<\/p>\n

\u0427\u0435\u0440\u0435\u0437 \u0432\u0435\u0431 \u0437\u0430\u0445\u043e\u0434\u044f\u0442 \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443, \u0438 \u0434\u0435\u043b\u0430\u044e\u0442 \u044d\u0442\u043e \u0447\u0430\u0441\u0442\u043e. \u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u0432\u0435\u0436\u0435\u043c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438<\/a> \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0432 36% \u0441\u043b\u0443\u0447\u0430\u0435\u0432 \u043d\u0430\u0447\u0438\u043d\u0430\u043b\u043e\u0441\u044c \u0441 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0435. \u0423 \u0433\u043e\u0441\u0441\u0438\u0441\u0442\u0435\u043c \u0435\u0441\u0442\u044c \u0438 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u043f\u043e\u0432\u043e\u0434: \u0441 1 \u043c\u0430\u0440\u0442\u0430 2026 \u0433\u043e\u0434\u0430 \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u0440\u0438\u043a\u0430\u0437 \u0424\u0421\u0422\u042d\u041a \u2116 117<\/a>, \u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0442\u0435\u043f\u0435\u0440\u044c \u043d\u0443\u0436\u043d\u043e \u0443\u0441\u0442\u0440\u0430\u043d\u0438\u0442\u044c \u0437\u0430 24 \u0447\u0430\u0441\u0430, \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u0441\u043e\u043a\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u2014 \u0437\u0430 7 \u0434\u043d\u0435\u0439.<\/p>\n

\u041a\u0442\u043e \u0447\u0442\u043e \u0432\u0438\u0434\u0438\u0442<\/h3>\n
\"\u041c\u0435\u0441\u0442\u043e<\/p>\n
\u041c\u0435\u0441\u0442\u043e DAST \u0432 SSDLC<\/figcaption><\/div>\n<\/figure>\n
\n
\n\n\n\n\n\n\n\n
\n

\u0421\u043b\u043e\u0439<\/strong><\/p>\n<\/td>\n

\n

\u0427\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442<\/strong><\/p>\n<\/td>\n

\n

\u0413\u0434\u0435 \u0443\u043f\u0438\u0440\u0430\u0435\u0442\u0441\u044f<\/strong><\/p>\n<\/td>\n<\/tr>\n

\n

SAST<\/p>\n<\/td>\n

\n

\u041e\u043f\u0430\u0441\u043d\u044b\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0438 \u043f\u0443\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u043e\u0434\u0435<\/p>\n<\/td>\n

\n

\u041d\u0435 \u0432\u0438\u0434\u0438\u0442, \u043a\u0430\u043a \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043e \u0438 \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u043e<\/p>\n<\/td>\n<\/tr>\n

\n

SCA<\/p>\n<\/td>\n

\n

\u0418\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u0445 \u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445<\/p>\n<\/td>\n

\n

\u041d\u0443\u0436\u0435\u043d \u0441\u043e\u0441\u0442\u0430\u0432 \u041f\u041e; \u0434\u043e\u0441\u0442\u0438\u0436\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043e\u0446\u0435\u043d\u0438\u0432\u0430\u0435\u0442 \u043d\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0438 \u043d\u0435 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u044f\u0437\u044b\u043a\u0430<\/p>\n<\/td>\n<\/tr>\n

\n

DAST<\/p>\n<\/td>\n

\n

\u041a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043f\u043e HTTP: \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438<\/p>\n<\/td>\n

\n

\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e, \u0434\u043e \u0447\u0435\u0433\u043e \u0434\u043e\u0448\u0435\u043b; \u0441\u0442\u0440\u043e\u043a\u0443 \u043a\u043e\u0434\u0430 \u0441 \u043f\u0440\u0438\u0447\u0438\u043d\u043e\u0439 \u043e\u0431\u044b\u0447\u043d\u043e \u043d\u0435 \u043f\u043e\u043a\u0430\u0436\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n

\n

WAF<\/p>\n<\/td>\n

\n

\u0417\u0430\u043f\u0440\u043e\u0441\u044b \u0432 \u043f\u0440\u043e\u0434\u0435 \u043d\u0430 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0430\u0442\u0430\u043a<\/p>\n<\/td>\n

\n

\u0411\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u043d\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0438 \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u0435\u0435 \u043d\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n

\u0420\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u2014 \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u0440\u043e\u043a\u0441\u0438, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u2014 \u0438\u0437 \u044d\u0442\u0438\u0445 \u0441\u043b\u043e\u0435\u0432 \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e DAST. SAST \u0438 SCA \u0441\u043c\u043e\u0442\u0440\u044f\u0442, \u0438\u0437 \u0447\u0435\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043e, DAST \u2014 \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u0432 \u0438\u0442\u043e\u0433\u0435. \u041a \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u043d\u043e\u0439 \u043d\u0430\u0445\u043e\u0434\u043a\u0435 \u043e\u043d \u043f\u0440\u0438\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u0438 \u043e\u0442\u0432\u0435\u0442, \u0442\u0430\u043a \u0447\u0442\u043e \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c \u0435\u0435 \u043c\u043e\u0436\u0435\u0442 \u043b\u044e\u0431\u043e\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a.<\/p>\n

\u041a\u043e\u0434 \u0435\u0441\u0442\u044c, \u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u0432 \u043d\u0435\u043c<\/h4>\n

\u0412\u043e\u0437\u044c\u043c\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435: SPA-\u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434 \u0438 API. \u0417\u0430\u043f\u0440\u043e\u0441\u044b \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u044b, \u043f\u0430\u0440\u043e\u043b\u0438 \u0445\u0435\u0448\u0438\u0440\u0443\u044e\u0442\u0441\u044f, \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u0432\u0435\u0436\u0438\u0435, SAST \u0438 SCA \u0437\u0435\u043b\u0435\u043d\u044b\u0435. \u0412\u0441\u0435 \u044d\u0442\u043e \u043e\u0442\u0434\u0430\u0435\u0442 Caddy, \u0438 \u043f\u0440\u0438 \u0434\u0435\u043f\u043b\u043e\u0435 \u0432 \u0435\u0433\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0435 \u043a\u043e\u0440\u0435\u043d\u044c \u0441\u0442\u0430\u0442\u0438\u043a\u0438 \u0443\u043a\u0430\u0437\u0430\u043b\u0438 \u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0432\u044b\u0448\u0435 \u043d\u0443\u0436\u043d\u043e\u0433\u043e:<\/p>\n

app.example.ru {\u00a0\u00a0\u00a0\u00a0handle_path \/api\/* {\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0reverse_proxy backend:8080\u00a0\u00a0\u00a0\u00a0}\u00a0\u00a0\u00a0\u00a0handle {\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0root * \/srv\/app\u00a0 \u00a0 \u00a0 \u00a0 # \u0430 \u043d\u0443\u0436\u043d\u043e \/srv\/app\/dist\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0file_server\u00a0\u00a0\u00a0\u00a0}}<\/code>
<\/span><\/a><\/div><\/pre>\n
\u0412\u043c\u0435\u0441\u0442\u043e \u0441\u0431\u043e\u0440\u043a\u0438 \u0438\u0437 dist<\/code> Caddy \u0442\u0435\u043f\u0435\u0440\u044c \u0440\u0430\u0437\u0434\u0430\u0435\u0442 \u0432\u0435\u0441\u044c \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u2014 \u0441 .env<\/code>, \u0433\u0434\u0435 \u043b\u0435\u0436\u0438\u0442 \u043f\u0430\u0440\u043e\u043b\u044c \u043e\u0442 \u0431\u0430\u0437\u044b, \u0438 .git<\/code> \u0441 \u0438\u0441\u0442\u043e\u0440\u0438\u0435\u0439 \u043a\u043e\u0434\u0430:<\/p>\n
GET \/.env         \u2192 200  DB_PASSWORD=\u2026  SECRET_KEY=\u2026GET \/.git\/config  \u2192 200  [remote \"origin\"] url = \u2026<\/code>
<\/span><\/a><\/div><\/pre>\n
\u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0430\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u044d\u0442\u043e\u0439 \u0443\u0442\u0435\u0447\u043a\u0438 \u043d\u0435\u0442. \u041e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c Caddy \u0441\u043c\u044b\u0441\u043b\u0430 \u043d\u0435\u0442 \u2014 \u043e\u0448\u0438\u0431\u043a\u0430 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435. \u0415\u0435 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c \u043d\u0430 \u0440\u0435\u0432\u044c\u044e Caddyfile, \u0435\u0441\u043b\u0438 \u0434\u043e \u043d\u0435\u0433\u043e \u0434\u043e\u0439\u0434\u0443\u0442 \u0440\u0443\u043a\u0438. DAST \u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0434\u0435\u043f\u043b\u043e\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0438\u0442 \u044d\u0442\u0438 \u0444\u0430\u0439\u043b\u044b \u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u041d\u0430 \u043d\u0430\u0448\u0435\u043c \u0441\u0442\u0435\u043d\u0434\u0435 PT BlackBox \u043d\u0430\u0448\u0435\u043b .env<\/code> \u0438 \u0447\u0435\u0442\u044b\u0440\u0435 \u0444\u0430\u0439\u043b\u0430 \u0438\u0437 .git<\/code>: config<\/code>, HEAD<\/code>, refs\/heads\/master<\/code> \u0438 logs\/refs\/heads\/master<\/code>.<\/p>\n
\"\u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441<\/p>\n
\u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 PT BlackBox: \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435 \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0432\u0430\u0436\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0441 Caddy<\/figcaption><\/div>\n<\/figure>\n
\u0418\u0437 \u0442\u043e\u0439 \u0436\u0435 \u0441\u0435\u0440\u0438\u0438: \u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u0430\u044f \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430\u044f \u0441\u043d\u0430\u0440\u0443\u0436\u0438; \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u044b\u0435 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b \/actuator<\/code>; \u0441\u0435\u0440\u0432\u0438\u0441, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0439\u0442\u0438 \u043c\u0438\u043c\u043e API-\u0448\u043b\u044e\u0437\u0430; X-Forwarded-For<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u043e\u043a\u0441\u0438 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430, \u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0435\u043c\u0443 \u0432\u0435\u0440\u0438\u0442. \u041e\u0434\u0438\u043d 200 OK<\/code> \u0437\u0434\u0435\u0441\u044c \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u2014 \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0443\u0436\u043d\u043e \u043d\u0430 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435.<\/p>\n
\u041a\u043e\u0433\u0434\u0430 \u043a\u043e\u0434\u0430 \u043d\u0435\u0442 \u0441\u043e\u0432\u0441\u0435\u043c: \u0441\u043a\u0430\u043d\u0438\u0440\u0443\u0435\u043c \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440<\/h4>\n
\u0421 \u043a\u043e\u0440\u043e\u0431\u043e\u0447\u043d\u044b\u043c \u041f\u041e \u2014 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u043c \u043c\u0435\u0441\u0441\u0435\u043d\u0434\u0436\u0435\u0440\u043e\u043c, CMS, VPN-\u043f\u043e\u0440\u0442\u0430\u043b\u043e\u043c \u2014 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432 \u0434\u043b\u044f SAST \u043d\u0435\u0442. SCA \u043d\u0443\u0436\u0435\u043d \u0441\u043e\u0441\u0442\u0430\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u0430 \u0435\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440 \u0434\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430. \u041e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0441\u043d\u0430\u0440\u0443\u0436\u0438: DAST \u043d\u0430\u0439\u0434\u0435\u0442 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e HTTP, WAF \u043c\u043e\u0436\u0435\u0442 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0442\u044c \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0435\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c.<\/p>\n
\u041f\u0440\u0438\u043c\u0435\u0440 \u2014 TrueConf Server. \u0412 \u0430\u0432\u0433\u0443\u0441\u0442\u0435 2025 \u0433\u043e\u0434\u0430 \u041d\u0438\u043a\u0438\u0442\u0430 \u041f\u0435\u0442\u0440\u043e\u0432 \u0438\u0437 PT SWARM \u043d\u0430\u0448\u0435\u043b \u0432 \u043d\u0435\u043c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0438\u0437 \u0442\u0440\u0435\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439: \u043e\u0431\u0445\u043e\u0434 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 (BDU:2025-10114, CVSS 3.1 \u2014 7,5), \u0447\u0442\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0447\u0435\u0440\u0435\u0437 Path Traversal (BDU:2025-10115, 7,5) \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u041e\u0421 (BDU:2025-10116, 9,8). \u0412\u043c\u0435\u0441\u0442\u0435 \u043e\u043d\u0438 \u0434\u0430\u044e\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0431\u0435\u0437 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438. \u042d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u0432 \u0411\u0414\u0423 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u044b \u043a\u0430\u043a \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u043c\u0438. \u0412\u0435\u043d\u0434\u043e\u0440 \u0441\u043e\u043e\u0431\u0449\u0438\u043b \u043e\u0431 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f\u0445<\/a> \u0432 \u0432\u0435\u0440\u0441\u0438\u044f\u0445 5.3.7, 5.4.6 \u0438 5.5.1.<\/p>\n
\u0422\u043e\u043b\u044c\u043a\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043c\u0430\u043b\u043e \u2014 \u043d\u0430\u0434\u043e \u0443\u0431\u0435\u0434\u0438\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0448\u043b\u043e. \u041e\u0431\u043d\u043e\u0432\u0438\u043b\u0438 \u043d\u0435 \u0442\u043e\u0442 \u0443\u0437\u0435\u043b, \u043e\u0442\u043a\u0430\u0442\u0438\u043b\u0438\u0441\u044c \u0438\u0437 \u0431\u044d\u043a\u0430\u043f\u0430, \u0437\u0430\u0431\u044b\u043b\u0438 \u043f\u0440\u043e \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u0442\u043e\u0440\u0447\u0430\u0449\u0438\u0439 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442, \u2014 \u0432\u0441\u0435 \u044d\u0442\u043e \u0441\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f. \u0421\u043d\u0430\u0440\u0443\u0436\u0438, \u0431\u0435\u0437 \u0430\u0433\u0435\u043d\u0442\u0430 \u0438 \u0443\u0447\u0435\u0442\u043a\u0438 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435, \u0442\u0430\u043a\u043e\u0435 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 DAST.<\/p>\n
\u041c\u044b \u043f\u0440\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0441\u0442\u0435\u043d\u0434 \u0441 TrueConf Server 5.5.0, \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c \u043a\u043e \u0432\u0441\u0435\u043c \u0442\u0440\u0435\u043c. \u0412\u0435\u0440\u0441\u0438\u044e \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0432\u044b\u0434\u0430\u0435\u0442 \u0441\u0430\u043c: \u0430\u0434\u043c\u0438\u043d\u043a\u0430 \u0433\u0440\u0443\u0437\u0438\u0442 \/admin-area\/bundle.js?version=5.5.0.13828~debian12<\/code>. \u0421\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0432\u0441\u0435 \u0442\u0440\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u2014 BDU:2025-10114, BDU:2025-10115 \u0438 BDU:2025-10116. \u0421\u043a\u0430\u043d \u0437\u0430\u043d\u044f\u043b \u0434\u0432\u0435 \u0441 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u043e\u0439 \u043c\u0438\u043d\u0443\u0442\u044b.<\/p>\n
\"\u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441<\/p>\n
\u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 PT BlackBox: \u0442\u0440\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 TrueConf Server, \u0432 \u043a\u0430\u0440\u0442\u043e\u0447\u043a\u0435 \u2014 BDU:2025-10116<\/figcaption><\/div>\n<\/figure>\n
\u041a\u043e\u0440\u043e\u0431\u043e\u0447\u043d\u043e\u0435 \u041f\u041e \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442: \u043f\u043e\u0441\u043b\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0438 \u043f\u043e \u0440\u0430\u0441\u043f\u0438\u0441\u0430\u043d\u0438\u044e. \u0421\u043a\u0430\u043d \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0430\u043c\u0438\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c. \u0415\u0441\u043b\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 \u0443\u0436\u0435 \u043e\u0442\u0447\u0438\u0442\u0430\u043b\u0441\u044f \u043e \u043f\u0430\u0442\u0447\u0435, \u0430 \u043e\u043f\u0430\u0441\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c, \u044d\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0432\u0438\u0434\u043d\u043e.<\/p>\n
\u0427\u0442\u043e \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u043a\u0430\u043d\u0435\u0440\u0430<\/h3>\n
\u0421\u043a\u0430\u043d\u0435\u0440 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432 \u0434\u0432\u0430 \u0448\u0430\u0433\u0430: \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u044c \u0430\u0442\u0430\u043a\u0438 \u2014 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b, \u043c\u0435\u0442\u043e\u0434\u044b, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u2014 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0435\u0435. \u042d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b \u043e\u043d \u0431\u0435\u0440\u0435\u0442 \u0438\u0437 \u043a\u0440\u0430\u0443\u043b\u0435\u0440\u0430, API-\u0441\u0445\u0435\u043c\u044b \u0438\u043b\u0438 \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0415\u0441\u043b\u0438 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430 \u043d\u0435\u0442 \u043d\u0438 \u0432 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u043d\u0438\u0445, \u0441\u043a\u0430\u043d\u0435\u0440 \u0435\u0433\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0442\u0430\u043a\u043e\u043c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0435 \u0441\u0442\u0430\u043d\u0435\u0442 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u043e\u043c (false negative), \u0438 \u043f\u043e \u043e\u0442\u0447\u0435\u0442\u0443 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c: \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430 \u0442\u0430\u043c \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u0442.<\/p>\n
\u041f\u043e\u043a\u0440\u044b\u0442\u0438\u0435: \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0432\u0435\u0431 \u2014 \u044d\u0442\u043e SPA<\/h4>\n
\u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 <a href><\/code> \u0438 <form><\/code>, \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u043d\u0438\u043c \u2014 \u0438 \u0442\u0430\u043a \u043f\u043e \u043a\u0440\u0443\u0433\u0443. \u0412 SPA \u043d\u0430 React \u0438\u043b\u0438 Vue, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0432 \u043b\u0438\u0447\u043d\u043e\u043c \u043a\u0430\u0431\u0438\u043d\u0435\u0442\u0435 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442-\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u0430, \u044d\u0442\u043e\u0442 \u043d\u043e\u043c\u0435\u0440 \u043d\u0435 \u043f\u0440\u043e\u0439\u0434\u0435\u0442. \u041a\u043b\u0438\u043a \u043f\u043e \u0430\u0432\u0430\u0442\u0430\u0440\u0443 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u043c\u0435\u043d\u044e, \u0432 \u043c\u0435\u043d\u044e \u2014 \u00ab\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438\u00bb, \u0442\u0430\u043c \u0432\u043a\u043b\u0430\u0434\u043a\u0438, \u0432\u043e \u0432\u043a\u043b\u0430\u0434\u043a\u0435 \u043a\u043d\u043e\u043f\u043a\u0430 \u0441\u043c\u0435\u043d\u044b \u0444\u043e\u0442\u043e, \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u043d\u0430 \u0448\u043b\u0435\u0442 PUT \/api\/profile<\/code>. \u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c DOM \u044d\u0442\u0438\u0445 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u043d\u0435 \u0431\u044b\u043b\u043e, URL \u043d\u0435 \u043c\u0435\u043d\u044f\u043b\u0441\u044f, \u0437\u0430\u043f\u0440\u043e\u0441 \u0443\u0448\u0435\u043b \u0432 \u0444\u043e\u043d\u0435. \u0421\u0441\u044b\u043b\u043a\u0438, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0434\u043e \u043d\u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0439\u0442\u0438, \u043d\u0435\u0442.<\/p>\n
\u041e\u0431\u0445\u043e\u0434\u0438\u0442\u044c \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430. \u0418\u0445 \u044d\u043a\u0441\u043f\u043e\u043d\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043c\u043d\u043e\u0433\u043e, \u0430 \u043f\u043e\u043d\u044f\u0442\u044c \u043f\u043e DOM, \u043d\u043e\u0432\u043e\u0435 \u044d\u0442\u043e \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0438\u043b\u0438 \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043d\u043d\u043e\u0435, \u043d\u0435\u043f\u0440\u043e\u0441\u0442\u043e. \u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043c\u044b \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u043b\u0438 \u044d\u0442\u043e \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u00ab\u0421\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u043d\u0430 SPA\u00bb<\/a>. \u0415\u0441\u043b\u0438 \u043a\u043e\u0440\u043e\u0442\u043a\u043e, \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0443 \u043d\u0430\u0441 \u2014 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043a\u043e\u0432 \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0445 \u043f\u0440\u044f\u043c\u043e \u0441\u0435\u0439\u0447\u0430\u0441. URL \u0432 \u043d\u0435\u0433\u043e \u043d\u0435 \u0432\u0445\u043e\u0434\u0438\u0442, \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043e\u043a \u0443\u0441\u0442\u043e\u0439\u0447\u0438\u0432 \u043a \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c id, \u0447\u0438\u0441\u043b\u0430\u043c \u0438 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0430\u0442\u0430\u043c. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0432 \u0433\u0440\u0430\u0444\u0435 \u043e\u0431\u0445\u043e\u0434\u0430 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0443\u0437\u043b\u044b: \u043a\u043d\u043e\u043f\u043a\u0430 \u043b\u043e\u0433\u0438\u043d\u0430 \u0435\u0441\u0442\u044c \u0432 \u043f\u044f\u0442\u0438\u0434\u0435\u0441\u044f\u0442\u0438 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f\u0445, \u0430 \u0443\u0437\u0435\u043b \u0443 \u043d\u0435\u0435 \u043e\u0434\u0438\u043d.<\/p>\n
\u0420\u0430\u043d\u044c\u0448\u0435 \u043d\u0430 SPA \u0431\u0435\u0437 API-\u0441\u0445\u0435\u043c\u044b \u0438 HAR \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u0432\u0438\u0434\u0435\u043b \u043f\u043e\u0447\u0442\u0438 \u043e\u0434\u043d\u0443 \u0441\u0442\u0430\u0442\u0438\u043a\u0443. \u041d\u0430 Rocket.Chat<\/a> \u043e\u043d \u043d\u0435 \u043c\u043e\u0433 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0434\u0430\u0436\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u0432\u0445\u043e\u0434\u0430, \u0438 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0431\u044b\u043b\u043e \u043d\u0443\u043b\u0435\u0432\u044b\u043c. \u0422\u0435\u043f\u0435\u0440\u044c \u0442\u0430\u043c \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 93% \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438. \u041c\u0435\u043d\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u043d\u0430 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u043c \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0435 YouTrack \u2014 65%, \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e \u043d\u0430 Juice Shop \u2014 97%. \u0415\u0434\u0438\u043d\u0438\u0446\u0435\u0439 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438 \u043c\u044b \u0441\u0447\u0438\u0442\u0430\u043b\u0438 \u0441\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u0430, \u043f\u0443\u0442\u0438, \u0444\u043e\u0440\u043c\u044b \u0442\u0435\u043b\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. \u041f\u0443\u0442\u0438 \u043d\u043e\u0440\u043c\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b\u0438, \u0447\u0442\u043e\u0431\u044b \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0435 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u0432 URL \u043d\u0435 \u0440\u0430\u0437\u0434\u0443\u0432\u0430\u043b\u0438 \u0441\u0447\u0435\u0442. \u042d\u0442\u0430\u043b\u043e\u043d\u043e\u043c \u0441\u043b\u0443\u0436\u0438\u043b\u0438 API-\u0441\u0445\u0435\u043c\u044b \u0438 HAR, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0435 \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u0420\u0435\u0447\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u043e \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0438 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438, \u0434\u043e\u043b\u044e \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e.<\/p>\n
\u0418 \u0432\u0441\u0435 \u0436\u0435 \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u2014 \u0441\u0430\u043c\u044b\u0439 \u0445\u0440\u0443\u043f\u043a\u0438\u0439 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438. \u0414\u043e\u043f\u043e\u043b\u043d\u044f\u0439\u0442\u0435 \u0435\u0433\u043e \u0442\u0435\u043c, \u0447\u0442\u043e \u0432 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u0435 \u0443\u0436\u0435 \u0435\u0441\u0442\u044c: OpenAPI-\u0441\u0445\u0435\u043c\u043e\u0439, HAR \u0438\u0437 e2e-\u0442\u0435\u0441\u0442\u043e\u0432 \u043d\u0430 Playwright \u0438\u043b\u0438 Cypress (\u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u043f\u0440\u043e\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0435\u0432), \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u043e\u043c \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0439.<\/p>\n
\u041f\u0440\u0438\u043c\u0435\u0440: OWASP Juice Shop<\/h4>\n
OWASP Juice Shop<\/a> \u2014 SPA \u043d\u0430 Angular \u0441 REST API \u0438 \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u044b\u043c\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438, \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430. \u0412 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u0435 2026 \u0433\u043e\u0434\u0430 \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u043c\u044b \u043f\u0440\u043e\u0433\u043d\u0430\u043b\u0438 \u043f\u043e Juice Shop 20.2.0 \u0434\u0432\u0430 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0441 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0435\u0439, \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0440\u0430\u0437\u0443 \u043a\u0430\u0436\u0434\u044b\u0439: PT BlackBox 3.3 \u0432\u0445\u043e\u0434\u0438\u043b \u0447\u0435\u0440\u0435\u0437 \u0444\u043e\u0440\u043c\u0443 \/#\/login<\/code>, ZAP 2.17 \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 Authenticated scan \u0441 AJAX Spider.<\/p>\n
\n
\n\n\n\n\n\n\n\n\n
\n
\n<\/td>\n
\n
PT BlackBox 3.3<\/strong><\/p>\n<\/td>\n
\n
OWASP ZAP 2.17<\/strong><\/p>\n<\/td>\n<\/tr>\n
\n
\u0412\u0440\u0435\u043c\u044f \u0441\u043a\u0430\u043d\u0430<\/p>\n<\/td>\n
\n
22 \u043c\u0438\u043d\u0443\u0442\u044b<\/p>\n<\/td>\n
\n
120 \u043c\u0438\u043d\u0443\u0442<\/p>\n<\/td>\n<\/tr>\n
\n
\u0417\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043a \u0441\u0442\u0435\u043d\u0434\u0443<\/p>\n<\/td>\n
\n
12 064<\/p>\n<\/td>\n
\n
\u043e\u043a\u043e\u043b\u043e 71 \u0442\u044b\u0441.<\/p>\n<\/td>\n<\/tr>\n
\n
\u0421\u0447\u0435\u0442\u0447\u0438\u043a \u043e\u0442\u0447\u0435\u0442\u0430<\/p>\n<\/td>\n
\n
48 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0439, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u044b\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u043d\u0438\u044f \u043e\u0434\u043d\u043e\u0433\u043e \u0442\u0438\u043f\u0430<\/p>\n<\/td>\n
\n
14 \u0433\u0440\u0443\u043f\u043f \u0430\u043b\u0435\u0440\u0442\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n
\n
\u0412\u044b\u0441\u043e\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c<\/p>\n<\/td>\n
\n
3: SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f, SSRF, XXE<\/p>\n<\/td>\n
\n
1: SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f<\/p>\n<\/td>\n<\/tr>\n
\n
\u0421\u0440\u0435\u0434\u043d\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c<\/p>\n<\/td>\n
\n
3: \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432, DNS rebinding, HTTP \u0431\u0435\u0437 TLS<\/p>\n<\/td>\n
\n
5: \u043d\u0435\u0442 CSP, Cross-Domain Misconfiguration, JWT \u0432 localStorage, \u043d\u0435\u0442 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 clickjacking, Session ID \u0432 URL<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n
\u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u043e \u0441\u0447\u0435\u0442\u0447\u0438\u043a\u0430\u0445. ZAP \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u0443\u0435\u0442 \u0430\u043b\u0435\u0440\u0442\u044b, PT BlackBox \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u043a\u0430\u0436\u0434\u043e\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435, \u0442\u0430\u043a \u0447\u0442\u043e \u00ab48 \u043f\u0440\u043e\u0442\u0438\u0432 14\u00bb \u043e \u0447\u0438\u0441\u043b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0433\u043e\u0432\u043e\u0440\u0438\u0442. \u0423\u0440\u043e\u0432\u043d\u0438 \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u0432\u0437\u044f\u0442\u044b \u0438\u0437 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u0441\u0430\u043c\u0438\u0445 \u0441\u043a\u0430\u043d\u0435\u0440\u043e\u0432, \u0438 \u0432 \u043b\u043e\u0431 \u0438\u0445 \u0442\u043e\u0436\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u043d\u0435 \u0441\u0442\u043e\u0438\u0442: \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043a\u0430\u043d\u0435\u0440 \u0440\u0430\u0441\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0440\u043e\u0432\u043d\u0438 \u043f\u043e-\u0441\u0432\u043e\u0435\u043c\u0443. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 CSP \u0435\u0441\u0442\u044c \u0432 \u043e\u0431\u043e\u0438\u0445 \u043e\u0442\u0447\u0435\u0442\u0430\u0445, \u043d\u043e ZAP \u043e\u0442\u043d\u043e\u0441\u0438\u0442 \u0435\u0433\u043e \u043a \u0441\u0440\u0435\u0434\u043d\u0435\u043c\u0443 \u0443\u0440\u043e\u0432\u043d\u044e, \u0430 PT BlackBox \u2014 \u043a \u043d\u0438\u0437\u043a\u043e\u043c\u0443, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 \u0441\u0440\u0435\u0434\u043d\u0435\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0443 PT BlackBox \u0435\u0433\u043e \u043d\u0435\u0442. \u0427\u0435\u0441\u0442\u043d\u0435\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438: \u043a\u0442\u043e \u0447\u0442\u043e \u043d\u0430\u0448\u0435\u043b \u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b.<\/p>\n
SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e \u0432 \u043f\u043e\u0438\u0441\u043a\u0435, GET \/rest\/products\/search?q=<\/code>, \u043d\u0430\u0448\u043b\u0438 \u043e\u0431\u0430: \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0431\u0435\u0437 \u0432\u0445\u043e\u0434\u0430 \u0438 \u0432\u0438\u0434\u0435\u043d \u0432 JavaScript-\u0431\u0430\u043d\u0434\u043b\u0435. SSRF \u0432 POST \/profile\/image\/url<\/code> \u0438 XXE \u0432 POST \/file-upload<\/code> \u0435\u0441\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043e\u0442\u0447\u0435\u0442\u0435 PT BlackBox, \u0438 \u043e\u0431\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u044b \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0435\u0439. \u041d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u2014 \u043d\u0430 \u0444\u043e\u0442\u043e\u0441\u0442\u0435\u043d\u0435, POST \/rest\/memories<\/code>.<\/p>\n
\u041d\u0435\u043c\u0430\u043b\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438 \u0441\u043f\u0440\u044f\u0442\u0430\u043d\u0430 \u0437\u0430 \u043b\u043e\u0433\u0438\u043d\u043e\u043c. PT BlackBox \u0441\u043e\u0431\u0440\u0430\u043b 20 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043a API, \u043c\u0435\u043d\u044f\u044e\u0449\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0435 (POST, PUT, DELETE), \u0438 \u0434\u043e \u043c\u043d\u043e\u0433\u0438\u0445 \u0438\u0437 \u043d\u0438\u0445 \u0434\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u043c\u043e\u0436\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0435\u0440\u0435\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u043f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430: \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0430 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043a\u0430\u0440\u0442\u044b (\/api\/Cards<\/code>), \u0430\u0434\u0440\u0435\u0441 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438, \u043e\u0442\u0437\u044b\u0432 \u043e \u0442\u043e\u0432\u0430\u0440\u0435, \u0444\u043e\u0442\u043e\u0441\u0442\u0435\u043d\u0430 (\/rest\/memories<\/code>), \u0430\u0432\u0430\u0442\u0430\u0440 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 (\/profile\/image\/url<\/code>), \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043a \u0436\u0430\u043b\u043e\u0431\u0435 (\/file-upload<\/code>), \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 2FA. \u0421\u043a\u043e\u043b\u044c\u043a\u043e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0448\u0435\u043b ZAP, \u043f\u043e \u0435\u0433\u043e \u043e\u0442\u0447\u0435\u0442\u0443 \u043d\u0435 \u043f\u043e\u043d\u044f\u0442\u044c: \u0432 \u043d\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u0430\u043b\u0435\u0440\u0442\u044b \u0438 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430, \u0430 \u0441\u043f\u0438\u0441\u043a\u0430 \u0432\u0441\u0435\u0445 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043d\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u043e 120 \u043c\u0438\u043d\u0443\u0442\u0430\u043c \u0438 71 \u0442\u044b\u0441. \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043d\u0435\u043b\u044c\u0437\u044f \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e ZAP \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0432\u043f\u0443\u0441\u0442\u0443\u044e: \u043e\u043d \u043c\u043e\u0433 \u043f\u043e\u043a\u0440\u044b\u0442\u044c \u0438 \u0431\u043e\u043b\u044c\u0448\u0435 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438, \u043f\u0440\u043e\u0441\u0442\u043e \u0431\u0435\u0437 \u043d\u0430\u0445\u043e\u0434\u043e\u043a. \u0427\u0442\u043e\u0431\u044b \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0447\u0435\u0441\u0442\u043d\u043e, \u043d\u0443\u0436\u043d\u043e \u0432\u044b\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0438\u0437 \u043e\u0431\u043e\u0438\u0445 \u0441\u043a\u0430\u043d\u0435\u0440\u043e\u0432 \u0441\u043f\u0438\u0441\u043a\u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0438 \u0441\u0432\u0435\u0440\u0438\u0442\u044c \u0438\u0445 \u0441 \u043e\u0434\u043d\u0438\u043c \u044d\u0442\u0430\u043b\u043e\u043d\u043e\u043c.<\/p>\n
ZAP \u0443\u043c\u0435\u0435\u0442 \u043e\u0431\u0445\u043e\u0434\u0438\u0442\u044c SPA, \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u0438 \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 CI. \u041d\u0430\u0448 \u043f\u0440\u043e\u0433\u043e\u043d \u2014 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0441\u0442\u0435\u043d\u0434\u0435, \u0438 \u0432\u044b\u043d\u043e\u0441\u0438\u0442\u044c \u043f\u043e \u043d\u0435\u043c\u0443 \u043f\u0440\u0438\u0433\u043e\u0432\u043e\u0440 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0443 \u043d\u0435 \u0441\u0442\u043e\u0438\u0442. \u0421\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0439\u0442\u0435 \u043d\u0430 \u0441\u0432\u043e\u0438\u0445 \u0441\u0442\u0435\u043d\u0434\u0430\u0445: \u043f\u0440\u043e\u0448\u0435\u043b \u043b\u0438 \u0441\u043a\u0430\u043d\u0435\u0440 \u0432\u0445\u043e\u0434, \u043a\u0430\u043a\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0438 \u043f\u0443\u0442\u0438 \u043d\u0430\u0448\u0435\u043b, \u043a\u0430\u043a\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0443\u0448\u043b\u043e. \u0418 \u043f\u0440\u0438\u043a\u0438\u043d\u044c\u0442\u0435, \u043a\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0442\u044c \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438 \u0432\u0445\u043e\u0434\u0430.<\/p>\n
\u0410\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f<\/h4>\n
\u0411\u0435\u0437 \u0432\u0445\u043e\u0434\u0430 \u0441\u043a\u0430\u043d\u0435\u0440 \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u0443\u044e \u0447\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f. \u0421\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0431\u044b\u0432\u0430\u044e\u0442 \u0438 \u0442\u0430\u043c, \u043d\u043e \u0432\u0441\u0435, \u0447\u0442\u043e \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430, \u2014 \u043b\u0438\u0447\u043d\u044b\u0439 \u043a\u0430\u0431\u0438\u043d\u0435\u0442, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0440\u043e\u0444\u0438\u043b\u044f, \u0430\u0434\u043c\u0438\u043d\u043a\u0430 \u2014 \u043e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0437\u0430 \u0431\u043e\u0440\u0442\u043e\u043c. \u0410 \u0432\u0445\u043e\u0434 \u0432 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0440\u0435\u0434\u043a\u043e \u0441\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u043a \u0444\u043e\u0440\u043c\u0435 \u0441 \u043b\u043e\u0433\u0438\u043d\u043e\u043c \u0438 \u043f\u0430\u0440\u043e\u043b\u0435\u043c: \u044d\u0442\u043e SSO \u0441 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u0430\u043c\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0438\u0439 IdP, \u0432\u044b\u0431\u043e\u0440 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438, CSRF-\u0442\u043e\u043a\u0435\u043d\u044b \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u0448\u0430\u0433\u0435. \u0421\u043a\u0430\u043d\u0435\u0440 \u0434\u043e\u043b\u0436\u0435\u043d \u0443\u043c\u0435\u0442\u044c \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442\u044c \u0442\u0430\u043a\u043e\u0439 \u0432\u0445\u043e\u0434 \u043f\u043e \u0448\u0430\u0433\u0430\u043c. \u0414\u0430\u0436\u0435 \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0444\u043e\u0440\u043c\u0443 \u0432 SPA \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u043d\u0430\u0434\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c: \u0432 HTML, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0442\u0434\u0430\u0435\u0442 Rocket.Chat<\/a>, \u0444\u043e\u0440\u043c\u044b \u0432\u0445\u043e\u0434\u0430 \u043d\u0435\u0442, \u0435\u0435 \u0440\u0438\u0441\u0443\u0435\u0442 JavaScript.<\/p>\n
\"Rocket.Chat:<\/p>\n
Rocket.Chat<\/a>: \u0432 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c HTML \u0444\u043e\u0440\u043c\u044b \u0432\u0445\u043e\u0434\u0430 \u043d\u0435\u0442, \u0435\u0435 \u0440\u0438\u0441\u0443\u0435\u0442 JavaScript<\/figcaption><\/div>\n<\/figure>\n
\u0415\u0449\u0435 \u0441\u0435\u0441\u0441\u0438\u044f \u043c\u043e\u0436\u0435\u0442 \u0438\u0441\u0442\u0435\u0447\u044c \u043f\u043e\u0441\u0440\u0435\u0434\u0438 \u0441\u043a\u0430\u043d\u0430, \u0438 \u0442\u043e\u0433\u0434\u0430 \u043e\u0441\u0442\u0430\u0442\u043e\u043a \u0441\u043a\u0430\u043d\u0430 \u043f\u0440\u043e\u0439\u0434\u0435\u0442 \u0431\u0435\u0437 \u0432\u0445\u043e\u0434\u0430. PT BlackBox \u043f\u043e\u043a\u0430 \u043d\u0435 \u0443\u043c\u0435\u0435\u0442 \u044d\u0442\u043e \u0437\u0430\u043c\u0435\u0447\u0430\u0442\u044c \u0438 \u0432\u0445\u043e\u0434\u0438\u0442\u044c \u0437\u0430\u043d\u043e\u0432\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u043b\u0443\u0447\u0448\u0435 \u0437\u0430\u0434\u0430\u0442\u044c \u0441\u0440\u043e\u043a \u0436\u0438\u0437\u043d\u0438 \u0441\u0435\u0441\u0441\u0438\u0438 \u0431\u043e\u043b\u044c\u0448\u0435, \u0447\u0435\u043c \u0434\u043b\u0438\u0442\u0441\u044f \u0441\u043a\u0430\u043d.<\/p>\n
\u0421 \u0440\u043e\u043b\u044f\u043c\u0438 \u0441\u0432\u043e\u044f \u0438\u0441\u0442\u043e\u0440\u0438\u044f. \u0421\u043a\u0430\u043d \u043f\u043e\u0434 \u043a\u0430\u0436\u0434\u043e\u0439 \u0440\u043e\u043b\u044c\u044e \u043f\u043e\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0435\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438, \u043d\u043e \u043d\u0430\u0440\u0443\u0448\u0435\u043d\u0438\u0439 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0442\u0430\u043a \u043d\u0435 \u043d\u0430\u0439\u0442\u0438. \u041c\u043e\u0436\u0435\u0442 \u043b\u0438 \u043e\u0434\u043d\u0430 \u0440\u043e\u043b\u044c \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0447\u0443\u0436\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0447\u0443\u0436\u043e\u0439 \u043e\u0431\u044a\u0435\u043a\u0442, PT BlackBox \u043f\u043e\u043a\u0430 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442. \u042d\u0442\u043e \u043e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0437\u0430 \u0430\u0432\u0442\u043e\u0442\u0435\u0441\u0442\u0430\u043c\u0438 \u043d\u0430 \u043c\u0430\u0442\u0440\u0438\u0446\u0443 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0438 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u043e\u043c.<\/p>\n
\u041d\u0430\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0430\u0436\u0435\u043d \u0432\u0445\u043e\u0434, \u043c\u044b \u0443\u0432\u0438\u0434\u0435\u043b\u0438, \u043a\u043e\u0433\u0434\u0430 \u0441\u0440\u0430\u0432\u043d\u0438\u043b\u0438 PT BlackBox 3.2 \u0438 3.3 \u043d\u0430 \u043e\u0434\u043d\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438 Juice Shop. \u041d\u043e\u0432\u044b\u0439 \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u043f\u043e\u0434\u043d\u044f\u043b \u0447\u0438\u0441\u043b\u043e \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u0441 7 \u0434\u043e 10, \u043d\u043e\u0432\u0430\u044f \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f \u043f\u043e\u0432\u0435\u0440\u0445 \u043d\u0435\u0433\u043e \u2014 \u0441 10 \u0434\u043e 48. SSRF \u0438 XXE \u0438\u0437 \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0432\u044b\u0448\u0435 \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u043e \u0432\u0445\u043e\u0434\u043e\u043c.<\/p>\n
\u0421\u043a\u0430\u043d \u0434\u043e\u043b\u0436\u0435\u043d \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u0442\u044c\u0441\u044f<\/h4>\n
\u0423 \u0434\u0436\u043e\u0431\u044b \u0432 CI \u0435\u0441\u0442\u044c \u0442\u0430\u0439\u043c\u0430\u0443\u0442, \u0443 \u0441\u0442\u0435\u043d\u0434\u0430 \u2014 \u0440\u0435\u0441\u0443\u0440\u0441\u044b. \u0421\u043a\u0430\u043d\u0435\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u0445\u043e\u0434\u0438\u0442 SPA \u0431\u0435\u0441\u043a\u043e\u043d\u0435\u0447\u043d\u043e, \u0432 CI \u0431\u0435\u0441\u043f\u043e\u043b\u0435\u0437\u0435\u043d: \u0435\u043c\u0443 \u043d\u0443\u0436\u043d\u044b \u0443\u0441\u043b\u043e\u0432\u0438\u0435 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0438 \u043b\u0438\u043c\u0438\u0442\u044b. \u041d\u0430\u0448 \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f, \u043a\u043e\u0433\u0434\u0430 \u0432 \u0433\u0440\u0430\u0444\u0435 \u043e\u0431\u0445\u043e\u0434\u0430 \u043d\u0435 \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0445 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0439, \u0438\u043b\u0438 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c\u043e\u043c\u0443 \u043b\u0438\u043c\u0438\u0442\u0443 \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u2014 \u0432 \u0437\u0430\u043c\u0435\u0440\u0430\u0445 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u044f \u0432\u044b\u0448\u0435 \u0431\u044b\u0432\u0430\u043b\u043e \u0438 \u0442\u043e \u0438 \u0434\u0440\u0443\u0433\u043e\u0435. \u0412\u0435\u0441\u044c \u0441\u043a\u0430\u043d Juice Shop \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430\u043c\u0438 \u0437\u0430\u043d\u044f\u043b 22 \u043c\u0438\u043d\u0443\u0442\u044b.<\/p>\n
\u041e\u0434\u043d\u0430 \u0438\u0437 \u043b\u043e\u0432\u0443\u0448\u0435\u043a \u0432\u0438\u0434\u043d\u0430 \u0432 \u043e\u0442\u0447\u0435\u0442\u0435 ZAP \u043f\u043e Juice Shop: \u0431\u043e\u043b\u044c\u0448\u0435 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u044b \u0443\u043d\u0438\u043a\u0430\u043b\u044c\u043d\u044b\u0445 URL \u0432 \u043d\u0430\u0445\u043e\u0434\u043a\u0430\u0445 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u043d\u0430 \u043e\u043f\u0440\u043e\u0441 Socket.io<\/a>. \u0412 \u0440\u0435\u0436\u0438\u043c\u0435 long polling \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b t=<\/code> \u0438 sid=<\/code> \u043c\u0435\u043d\u044f\u044e\u0442\u0441\u044f, \u0438 \u043a\u0430\u0436\u0434\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u043d\u043e\u0432\u044b\u043c URL. \u041f\u043e\u0447\u0435\u043c\u0443 ZAP \u043f\u0440\u043e\u043f\u0443\u0441\u0442\u0438\u043b SSRF \u0438 XXE, \u043f\u043e \u043e\u0442\u0447\u0435\u0442\u0443 \u043d\u0435 \u043f\u043e\u043d\u044f\u0442\u044c: \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0443\u0448\u043b\u043e \u043d\u0430 \u043e\u043f\u0440\u043e\u0441, \u0442\u0430\u043c \u043d\u0435 \u0432\u0438\u0434\u043d\u043e. \u0415\u0441\u043b\u0438 \u0433\u043e\u043d\u044f\u0435\u0442\u0435 ZAP \u043f\u043e SPA \u0441 \u0432\u0435\u0431-\u0441\u043e\u043a\u0435\u0442\u0430\u043c\u0438, \u043f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u043d\u043e\u0440\u043c\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e URL \u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f.<\/p>\n
\u0415\u0449\u0435 \u0441\u043a\u0430\u043d\u0435\u0440 \u0434\u043e\u043b\u0436\u0435\u043d \u0443\u0437\u043d\u0430\u0432\u0430\u0442\u044c \u0434\u0443\u0431\u043b\u0438\u043a\u0430\u0442\u044b \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u0438 \u043e\u0434\u043d\u043e\u0442\u0438\u043f\u043d\u044b\u0435 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u044b, \u043d\u0435 \u043f\u0435\u0440\u0435\u0433\u0440\u0443\u0436\u0430\u0442\u044c \u0441\u0442\u0435\u043d\u0434 \u0438 \u043d\u0435 \u0442\u0440\u043e\u0433\u0430\u0442\u044c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0448\u043b\u044e\u0442 \u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0443, \u043f\u0440\u043e\u0432\u043e\u0434\u044f\u0442 \u043f\u043b\u0430\u0442\u0435\u0436 \u0438\u043b\u0438 \u0447\u0442\u043e-\u0442\u043e \u0443\u0434\u0430\u043b\u044f\u044e\u0442. \u0418 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0434\u043e\u043b\u0436\u0435\u043d \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u044c\u0441\u044f, \u0438\u043d\u0430\u0447\u0435 \u043f\u043e\u0440\u043e\u0433 \u0432 gate \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u043b\u043e\u0442\u0435\u0440\u0435\u044e.<\/p>\n
\u0427\u0435\u043c \u0434\u043e\u043a\u0430\u0437\u0430\u043d\u0430 \u043d\u0430\u0445\u043e\u0434\u043a\u0430<\/h4>\n
\u041d\u0430\u0445\u043e\u0434\u043a\u0438 \u0431\u044b\u0432\u0430\u044e\u0442 \u0440\u0430\u0437\u043d\u043e\u0439 \u0441\u0438\u043b\u044b. \u0411\u0430\u043d\u043d\u0435\u0440 \u0441 \u043d\u043e\u043c\u0435\u0440\u043e\u043c \u0432\u0435\u0440\u0441\u0438\u0438 \u2014 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0432\u043e\u0434 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c. \u0414\u043e\u043a\u0430\u0437\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e \u2014 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438: \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f \u0441\u043a\u0440\u0438\u043f\u0442 (XSS), \u043f\u0440\u0438\u0448\u0435\u043b \u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 (\u0441\u043b\u0435\u043f\u0430\u044f SSRF), \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b\u0441\u044f \u0444\u0430\u0439\u043b (XXE).<\/p>\n
\u0412 Juice Shop XXE \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b\u0430\u0441\u044c \u0442\u0430\u043a: \u0441\u043a\u0430\u043d\u0435\u0440 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u043b \u0432 POST \/file-upload<\/code> XML \u0441 \u0432\u043d\u0435\u0448\u043d\u0435\u0439 \u0441\u0443\u0449\u043d\u043e\u0441\u0442\u044c\u044e, \u0438 \u0432 \u043e\u0442\u0432\u0435\u0442\u0435 \u043f\u0440\u0438\u0448\u043b\u043e \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u043c\u043e\u0435 \/etc\/passwd<\/code>.<\/p>\n
<?xml version=\"1.0\"?><!DOCTYPE foo [ <!ENTITY xxe SYSTEM \"file:\/\/\/etc\/passwd\"> ]><foo>&xxe;<\/foo><\/code>
<\/span><\/a><\/div><\/pre>\n
\u0421 SSRF \u043f\u043e \u043e\u0442\u0432\u0435\u0442\u0443 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0432\u0438\u0434\u043d\u043e. \u0421\u043a\u0430\u043d\u0435\u0440 \u043f\u0435\u0440\u0435\u0434\u0430\u043b \u0432 POST \/profile\/image\/url \u0441\u0441\u044b\u043b\u043a\u0443 \u043d\u0430 \u0441\u0432\u043e\u0439 OAST-\u0434\u043e\u043c\u0435\u043d, \u0438 \u043d\u0430\u0445\u043e\u0434\u043a\u0443 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b \u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 \u0441\u0442\u0435\u043d\u0434\u0430. \u041e\u0442\u0441\u044e\u0434\u0430 \u0438 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435: \u0435\u0441\u043b\u0438 \u0443 \u0441\u0442\u0435\u043d\u0434\u0430 \u043d\u0435\u0442 \u0432\u044b\u0445\u043e\u0434\u0430 \u0434\u043e OAST-\u0434\u043e\u043c\u0435\u043d\u0430 \u0441\u043a\u0430\u043d\u0435\u0440\u0430, \u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0435 \u0434\u043e\u0439\u0434\u0435\u0442 \u0438 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442.<\/p>\n
\u0412 \u043e\u0442\u0447\u0435\u0442\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441, \u043f\u043e\u043b\u0435\u0437\u043d\u0430\u044f \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0430, \u043e\u0442\u0432\u0435\u0442 \u0438, \u0435\u0441\u043b\u0438 \u043d\u0443\u0436\u043d\u043e, \u0441\u043e\u0431\u044b\u0442\u0438\u0435 \u043d\u0430 OAST-\u0441\u0435\u0440\u0432\u0435\u0440\u0435. \u0422\u043e\u0433\u0434\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0435\u0442 \u043d\u0430\u0445\u043e\u0434\u043a\u0443 \u0441\u0430\u043c \u0438 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442 \u0432\u0435\u0440\u0438\u0442\u044c \u0441\u043a\u0430\u043d\u0435\u0440\u0443 \u043d\u0430 \u0441\u043b\u043e\u0432\u043e.<\/p>\n
\u0413\u0434\u0435 DAST \u0432 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440\u0435<\/h3>\n
\u0427\u0435\u043c \u0431\u043b\u0438\u0436\u0435 \u043a \u043f\u0440\u043e\u0434\u0443, \u0442\u0435\u043c \u0448\u0438\u0440\u0435 \u0441\u043a\u0430\u043d:<\/p>\n
\n
\n\n\n\n\n\n\n
\n
\u0413\u0434\u0435<\/strong><\/p>\n<\/td>\n
\n
\u0427\u0442\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c<\/strong><\/p>\n<\/td>\n<\/tr>\n
\n
\u0420\u0435\u0432\u044c\u044e-\u0441\u0442\u0435\u043d\u0434 \u043d\u0430 MR<\/p>\n<\/td>\n
\n
\u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u043d\u044b\u0439 \u0441\u043a\u0430\u043d \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0438\u043b\u0438 \u0432\u044b\u0431\u0440\u0430\u043d\u043d\u044b\u0445 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u0432<\/p>\n<\/td>\n<\/tr>\n
\n
Stage, \u0440\u0435\u043b\u0438\u0437-\u043a\u0430\u043d\u0434\u0438\u0434\u0430\u0442<\/p>\n<\/td>\n
\n
\u041f\u043e\u043b\u043d\u044b\u0439 \u0441\u043a\u0430\u043d \u0441 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u043f\u043e\u0434 \u0432\u0441\u0435\u043c\u0438 \u0440\u043e\u043b\u044f\u043c\u0438<\/p>\n<\/td>\n<\/tr>\n
\n
\u041f\u0440\u043e\u0434 \u0438 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440<\/p>\n<\/td>\n
\n
\u0420\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u044b\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0441 \u0441\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u043d\u044b\u043c\u0438 \u043b\u0438\u043c\u0438\u0442\u0430\u043c\u0438 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f\u043c\u0438 \u0434\u043b\u044f \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u0441 \u0434\u0430\u043d\u043d\u044b\u043c\u0438<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n
\u041f\u0440\u043e\u0434 \u0441\u043a\u0430\u043d\u0438\u0440\u0443\u044e\u0442 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e, \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u0432 \u043d\u0435\u043c \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u043c\u0435\u043d\u044f\u043b\u043e\u0441\u044c. \u041a\u043e\u0434 \u0442\u043e\u0442 \u0436\u0435, \u043d\u043e \u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0442\u043e, \u0447\u0442\u043e \u043e \u043d\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u043e: \u043d\u043e\u0432\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u044e\u0442 \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u043e, \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043d\u0430 \u043d\u0438\u0445 \u043f\u0440\u0438\u0445\u043e\u0434\u044f\u0442 \u0432 \u0431\u0430\u0437\u0443 \u0437\u043d\u0430\u043d\u0438\u0439 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e \u043e\u0442 \u0440\u0435\u043b\u0438\u0437\u043e\u0432 \u0441\u0430\u043c\u043e\u0433\u043e \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430. TrueConf \u0438\u0437 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u0432\u044b\u0448\u0435 \u2014 \u043a\u0430\u043a \u0440\u0430\u0437 \u0442\u0430\u043a\u043e\u0439 \u0441\u043b\u0443\u0447\u0430\u0439: \u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0435 \u043c\u0435\u043d\u044f\u043b\u0441\u044f, \u0430 \u043f\u043e\u0441\u043b\u0435 \u043f\u0443\u0431\u043b\u0438\u043a\u0430\u0446\u0438\u0438 \u0446\u0435\u043f\u043e\u0447\u043a\u0438 \u0435\u0433\u043e \u0441\u0442\u0430\u043b\u043e \u043c\u043e\u0436\u043d\u043e \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u0433\u043e\u0442\u043e\u0432\u044b\u043c \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u043e\u043c. \u0412\u0447\u0435\u0440\u0430\u0448\u043d\u0438\u0439 \u0447\u0438\u0441\u0442\u044b\u0439 \u043e\u0442\u0447\u0435\u0442 \u043e \u0442\u0430\u043a\u0438\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u0445 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0441\u043a\u0430\u0436\u0435\u0442. \u0417\u0430\u043e\u0434\u043d\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u044b\u0439 \u0441\u043a\u0430\u043d \u043b\u043e\u0432\u0438\u0442 \u043f\u0440\u0430\u0432\u043a\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0432\u043d\u0435\u0441\u043b\u0438 \u043d\u0430 \u043f\u0440\u043e\u0434\u0435 \u0440\u0443\u043a\u0430\u043c\u0438, \u0432 \u043e\u0431\u0445\u043e\u0434 CI.<\/p>\n
\u0421\u0443\u0437\u0438\u0442\u044c \u0441\u043a\u0430\u043d \u043f\u043e\u043c\u043e\u0433\u0430\u044e\u0442 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u0438 API-\u0441\u0445\u0435\u043c\u0430 \u0441\u0435\u0440\u0432\u0438\u0441\u0430. \u0421\u043e \u0441\u043a\u0430\u043d\u043e\u043c \u043f\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f\u043c \u0435\u0441\u0442\u044c \u043f\u043e\u0434\u0432\u043e\u0445: \u0434\u0438\u0444\u0444 OpenAPI \u043f\u043e\u043a\u0430\u0436\u0435\u0442, \u0447\u0442\u043e \u043f\u043e\u043c\u0435\u043d\u044f\u043b\u0441\u044f \u043a\u043e\u043d\u0442\u0440\u0430\u043a\u0442, \u043d\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e, \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u0430\u043d\u043d\u0443\u044e \u043f\u0440\u0438 \u0442\u043e\u0439 \u0436\u0435 \u0441\u0445\u0435\u043c\u0435, \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u0442. \u0422\u0430\u043a \u0447\u0442\u043e \u043f\u043e\u043b\u043d\u043e\u0433\u043e \u0441\u043a\u0430\u043d\u0430 \u043f\u0435\u0440\u0435\u0434 \u0440\u0435\u043b\u0438\u0437\u043e\u043c \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u043d\u044b\u0439 \u0441\u043a\u0430\u043d \u043d\u0430 MR \u043d\u0435 \u043e\u0442\u043c\u0435\u043d\u044f\u0435\u0442.<\/p>\n
\u0427\u0442\u043e\u0431\u044b \u044d\u0442\u0430\u043f \u043f\u0440\u0438\u0436\u0438\u043b\u0441\u044f, \u043d\u0443\u0436\u043d\u044b \u0447\u0435\u0442\u044b\u0440\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u0430.<\/p>\n
    \n
  1. \n
    \u0421\u043a\u0430\u043d\u0438\u0440\u0443\u0439\u0442\u0435 \u043e\u0431\u0440\u0430\u0437, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u0435\u0434\u0435\u0442 \u0432 \u043f\u0440\u043e\u0434: \u00abbuild once, promote\u00bb. \u0418 \u043f\u043e\u043c\u043d\u0438\u0442\u0435 \u043f\u0440\u043e \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u2014 \u0442\u043e\u0442 \u0436\u0435 \u043e\u0431\u0440\u0430\u0437 \u0437\u0430 \u0434\u0440\u0443\u0433\u0438\u043c \u043f\u0440\u043e\u043a\u0441\u0438 \u0438 \u0441 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u0432\u0435\u0434\u0435\u0442 \u0441\u0435\u0431\u044f \u0438\u043d\u0430\u0447\u0435.<\/p>\n<\/li>\n
  2. \n
    \u041d\u0435 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0439\u0442\u0435 \u0441\u0440\u0430\u0437\u0443. \u041f\u0435\u0440\u0432\u044b\u0435 \u043d\u0435\u0434\u0435\u043b\u0438 \u044d\u0442\u0430\u043f \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435: \u0441\u043c\u043e\u0442\u0440\u0438\u0442\u0435, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0438 \u043a\u0430\u043a\u0438\u0445 \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u043e\u043d \u043f\u0440\u0438\u043d\u043e\u0441\u0438\u0442. \u041f\u043e\u0440\u043e\u0433 \u2014 \u043f\u043e\u0442\u043e\u043c.<\/p>\n<\/li>\n
  3. \n
    \u0411\u043b\u043e\u043a\u0438\u0440\u0443\u0439\u0442\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e \u0442\u043e\u043c\u0443, \u0447\u0435\u043c\u0443 \u0434\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0435. \u041f\u043e\u0440\u043e\u0433 \u00ab\u0435\u0441\u0442\u044c High\u00bb \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u044d\u0442\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u044f\u0442\u0441\u044f. \u041d\u0430 Juice Shop \u043e\u043d \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0431\u044b \u043d\u0430 SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e, SSRF \u0438 XXE, \u0430 \u0437\u0430\u043c\u0435\u0447\u0430\u043d\u0438\u044f \u043a CSP \u0435\u0433\u043e \u0431\u044b \u043d\u0435 \u0442\u0440\u043e\u043d\u0443\u043b\u0438. \u0423 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u0432\u043b\u0430\u0434\u0435\u043b\u0435\u0446 \u0438 \u0441\u0440\u043e\u043a \u043f\u0435\u0440\u0435\u0441\u043c\u043e\u0442\u0440\u0430, \u0438\u043d\u0430\u0447\u0435 \u043f\u043e\u0440\u043e\u0433 \u043d\u0430\u0447\u043d\u0443\u0442 \u043e\u0431\u0445\u043e\u0434\u0438\u0442\u044c.<\/p>\n<\/li>\n
  4. \n
    \u0421\u0432\u043e\u0434\u0438\u0442\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0432 \u043e\u0434\u043d\u043e \u043c\u0435\u0441\u0442\u043e. SARIF \u0438\u0437 DAST \u043a\u043b\u0430\u0434\u0438\u0442\u0435 \u0432 \u0442\u0443 \u0436\u0435 ASOC\/ASPM, \u0447\u0442\u043e \u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b SAST \u0438 SCA, \u0438 \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0439\u0442\u0435 \u043a \u0441\u0435\u0440\u0432\u0438\u0441\u0443 \u0438 \u0432\u0435\u0440\u0441\u0438\u0438 \u0441\u0431\u043e\u0440\u043a\u0438. \u0421\u043a\u043b\u0435\u0438\u0432\u0430\u0442\u044c \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u043b\u043e\u0435\u0432 \u043c\u043e\u0436\u043d\u043e, \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0433\u0434\u0430 \u043f\u043e\u043d\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u044d\u0442\u043e \u043e\u0434\u043d\u0430 \u0438 \u0442\u0430 \u0436\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c.<\/p>\n<\/li>\n<\/ol>\n
    \u041a\u0430\u043a \u0432\u0441\u0442\u0440\u043e\u0438\u0442\u044c \u0432 CI\/CD<\/h3>\n
    \u0414\u043b\u044f CI \u0435\u0441\u0442\u044c \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 BlackBox-CI-CD-script<\/a>. \u041e\u043d \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043d\u0430 Python \u0438 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 API \u0441\u043a\u0430\u043d\u0435\u0440\u0430: \u0441\u043e\u0437\u0434\u0430\u0435\u0442 \u0441\u0430\u0439\u0442 \u0432 \u0441\u043a\u0430\u043d\u0435\u0440\u0435, \u0435\u0441\u043b\u0438 \u0435\u0433\u043e \u0435\u0449\u0435 \u043d\u0435\u0442, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043a\u0430\u043d, \u0436\u0434\u0435\u0442 \u043e\u043a\u043e\u043d\u0447\u0430\u043d\u0438\u044f, \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u043e\u0442\u0447\u0435\u0442, \u043f\u0435\u0447\u0430\u0442\u0430\u0435\u0442 JSON \u0441\u043e \u0441\u0432\u043e\u0434\u043a\u043e\u0439 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043a\u043e\u0434 \u0432\u044b\u0445\u043e\u0434\u0430 \u0434\u043b\u044f gate. \u0420\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0438 \u0441 \u043e\u0431\u043b\u0430\u043a\u043e\u043c, \u0438 \u0441 on-prem.<\/p>\n
    \u041d\u0438\u0436\u0435 \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u043f\u0440\u0438\u043c\u0435\u0440 \u0434\u043b\u044f GitLab CI. \u0414\u0436\u043e\u0431\u0430 deploy_stage \u0432\u044b\u043a\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0435\u043d\u0434, \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f \u0441\u043a\u0430\u043d\u0438\u0440\u0443\u0435\u0442 \u0435\u0433\u043e \u0441\u043e \u0432\u0445\u043e\u0434\u043e\u043c \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0438 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u043e\u0442\u0447\u0435\u0442.<\/p>\n
    \"\u041f\u0430\u0439\u043f\u043b\u0430\u0439\u043d<\/p>\n
    \u041f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0441 \u043d\u0430\u0448\u0435\u0433\u043e \u0441\u0442\u0435\u043d\u0434\u0430 \u0432 GitLab: \u0441\u043a\u0430\u043d \u043e\u0431\u0440\u0430\u0437\u0430, \u0434\u0435\u043f\u043b\u043e\u0439 \u0441\u0442\u0435\u043d\u0434\u0430, DAST-\u0441\u043a\u0430\u043d PT BlackBox<\/figcaption><\/div>\n<\/figure>\n
    ptbb_dast_scan:  stage: dast  needs: [deploy_stage]  image: python:3.11-slim  timeout: 2h  variables:    PTBB_CI_REF: \"3.3\"                       # \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u043c \u0432\u0435\u0440\u0441\u0438\u044e \u0441\u043a\u0440\u0438\u043f\u0442\u0430    PYTHONPATH: \"\/opt\/blackbox-ci\/python-deps\"  before_script:    - apt-get update -qq && apt-get install -y -qq --no-install-recommends git > \/dev\/null 2>&1    - git clone --depth 1 --branch \"${PTBB_CI_REF}\" https:\/\/github.com\/PT-BlackBox\/BlackBox-CI-CD-script.git \/opt\/blackbox-ci  script:    - mkdir -p ${CI_PROJECT_DIR}\/ptbb-reports    - |      DAST_EXIT=0      python \/opt\/blackbox-ci\/main.py \\        --blackbox-url \"${PTBB_URL}\" \\        --blackbox-api-token \"${PTBB_TOKEN}\" \\        --target-url \"${TARGET_URL}\" \\        --auto-create \\        --auth-profile \"${PTBB_AUTH_PROFILE}\" \\        --previous stop \\        --shared-link \\        --report-dir ${CI_PROJECT_DIR}\/ptbb-reports \\        --report-template html \\        --report-locale ru \\      || DAST_EXIT=$?    - |      case \"${DAST_EXIT}\" in        0) echo \"OK \u2014 scan completed\" ;;        3) echo \"WARN \u2014 score below threshold\" ;;   # \u0442\u043e\u043b\u044c\u043a\u043e \u0441 --fail-under-score        *) echo \"ERROR \u2014 code ${DAST_EXIT}\"; exit ${DAST_EXIT} ;;      esac  artifacts:    when: always    paths: [ptbb-reports\/]    expire_in: 30 days  allow_failure: true  rules:    - if: '$CI_COMMIT_BRANCH'<\/code>
    <\/span><\/a><\/div><\/pre>\n
    — PTBB_URL<\/code>, PTBB_TOKEN<\/code> \u0438 PTBB_AUTH_PROFILE<\/code> \u2014 \u0430\u0434\u0440\u0435\u0441 \u0441\u043a\u0430\u043d\u0435\u0440\u0430, API-\u0442\u043e\u043a\u0435\u043d \u0438 UUID \u043f\u0440\u043e\u0444\u0438\u043b\u044f \u0432\u0445\u043e\u0434\u0430. \u041e\u043d\u0438 \u043b\u0435\u0436\u0430\u0442 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 CI, \u0442\u043e\u043a\u0435\u043d \u2014 \u0441 \u0444\u043b\u0430\u0433\u043e\u043c Masked. \u0415\u0441\u043b\u0438 \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0435\u0449\u0435 \u0438 Protected, \u0442\u043e\u043a\u0435\u043d \u043f\u043e\u043b\u0443\u0447\u0430\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u044b\u0435 \u0432\u0435\u0442\u043a\u0438 \u0438 \u0442\u0435\u0433\u0438, \u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0434\u0436\u043e\u0431\u0443 \u043d\u0430 \u043b\u044e\u0431\u043e\u0439 \u0432\u0435\u0442\u043a\u0435. \u0422\u043e\u0433\u0434\u0430 \u043b\u0438\u0431\u043e \u0441\u043d\u0438\u043c\u0438\u0442\u0435 Protected, \u043b\u0438\u0431\u043e \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u044c\u0442\u0435 rules<\/code> \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u044b\u043c\u0438 \u0432\u0435\u0442\u043a\u0430\u043c\u0438.<\/p>\n
    — TARGET_URL<\/code> \u2014 \u0430\u0434\u0440\u0435\u0441 \u0441\u0442\u0435\u043d\u0434\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u043a\u0430\u0442\u0438\u043b\u0430 deploy_stage<\/code>. \u0415\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u043f\u0435\u0440\u0435\u0434\u0430\u0442\u044c \u0447\u0435\u0440\u0435\u0437 dotenv-\u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442.<\/p>\n
    — GROUP_UUID<\/code> \u2014 \u0433\u0440\u0443\u043f\u043f\u0430 \u0441\u0430\u0439\u0442\u043e\u0432 \u0432 \u0441\u043a\u0430\u043d\u0435\u0440\u0435. \u0412 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0435\u0435 \u043d\u0435\u0442: \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u0430\u043c \u0447\u0438\u0442\u0430\u0435\u0442 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0443\u044e CI \u0441 \u0442\u0430\u043a\u0438\u043c \u0438\u043c\u0435\u043d\u0435\u043c, \u0435\u0441\u043b\u0438 \u043e\u043d\u0430 \u0437\u0430\u0434\u0430\u043d\u0430. \u0415\u0441\u043b\u0438 \u0443 \u0443\u0447\u0435\u0442\u043a\u0438 \u043e\u0434\u043d\u0430 \u0433\u0440\u0443\u043f\u043f\u0430, \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043d\u0435 \u043d\u0443\u0436\u043d\u0430, \u0435\u0441\u043b\u0438 \u0433\u0440\u0443\u043f\u043f \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u2014 \u0431\u0435\u0437 \u043d\u0435\u0435 \u0441\u043a\u0440\u0438\u043f\u0442 \u0437\u0430\u0432\u0435\u0440\u0448\u0438\u0442\u0441\u044f \u0441 \u043e\u0448\u0438\u0431\u043a\u043e\u0439.<\/p>\n
    — --auto-create<\/code> \u0437\u0430\u0432\u043e\u0434\u0438\u0442 \u0441\u0430\u0439\u0442 \u0432 \u0441\u043a\u0430\u043d\u0435\u0440\u0435, \u0435\u0441\u043b\u0438 \u0441\u0430\u0439\u0442\u0430 \u0441 \u0442\u0430\u043a\u0438\u043c \u0430\u0434\u0440\u0435\u0441\u043e\u043c \u0435\u0449\u0435 \u043d\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 UUID \u0441\u0430\u0439\u0442\u0430 \u0434\u0436\u043e\u0431\u0435 \u0437\u043d\u0430\u0442\u044c \u043d\u0435 \u043d\u0443\u0436\u043d\u043e. \u041e\u0431\u043b\u0430\u0447\u043d\u043e\u043c\u0443 \u0441\u043a\u0430\u043d\u0435\u0440\u0443 \u0441\u0442\u0435\u043d\u0434 \u0434\u043e\u043b\u0436\u0435\u043d \u0431\u044b\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0438\u0437 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0430, \u0430 \u0432\u043b\u0430\u0434\u0435\u043d\u0438\u0435 \u0441\u0430\u0439\u0442\u043e\u043c \u043d\u0443\u0436\u043d\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u0442\u044c, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0435 \u0441\u0442\u0435\u043d\u0434\u044b \u0441\u043a\u0430\u043d\u0438\u0440\u0443\u044e\u0442 on-prem.<\/p>\n
    — --auth-profile<\/code> \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u043a \u0441\u0430\u0439\u0442\u0443 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u0432\u0445\u043e\u0434\u0430 \u043f\u0435\u0440\u0435\u0434 \u0441\u043a\u0430\u043d\u043e\u043c. \u041f\u0440\u043e\u0444\u0438\u043b\u044c \u043e\u0434\u0438\u043d \u0440\u0430\u0437 \u0437\u0430\u0432\u043e\u0434\u044f\u0442 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442 \u0432 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 \u0441\u043a\u0430\u043d\u0435\u0440\u0430: \u043a\u0430\u043a \u043f\u0440\u043e\u0439\u0442\u0438 \u0432\u0445\u043e\u0434 \u0438 \u043a\u0430\u043a \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u0441\u0435\u0441\u0441\u0438\u044f \u0436\u0438\u0432\u0430 (\u043d\u0430 \u043c\u043e\u043c\u0435\u043d\u0442 \u0441\u0442\u0430\u0440\u0442\u0430). \u0411\u0435\u0437 \u043f\u0440\u043e\u0444\u0438\u043b\u044f \u0441\u043a\u0430\u043d\u0435\u0440 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e, \u0447\u0442\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e \u0431\u0435\u0437 \u0432\u0445\u043e\u0434\u0430. \u0414\u043b\u044f \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u0444\u043e\u0440\u043c\u044b \u0432\u0445\u043e\u0434\u0430 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043c\u043e\u0436\u043d\u043e \u043d\u0435 \u0437\u0430\u0432\u043e\u0434\u0438\u0442\u044c: --auth-data<\/code> \u0432\u043e\u0437\u044c\u043c\u0435\u0442 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0438\u0437 \u0444\u0430\u0439\u043b\u0430, \u0430 \u043f\u0430\u0440\u043e\u043b\u044c \u2014 \u0438\u0437 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 AUTH_PASSWORD<\/code>.<\/p>\n
    — --previous stop<\/code> \u0440\u0435\u0448\u0430\u0435\u0442, \u0447\u0442\u043e \u0434\u0435\u043b\u0430\u0442\u044c, \u0435\u0441\u043b\u0438 \u0441\u0430\u0439\u0442 \u0443\u0436\u0435 \u0441\u043a\u0430\u043d\u0438\u0440\u0443\u0435\u0442\u0441\u044f: \u0438\u0434\u0443\u0449\u0438\u0439 \u0441\u043a\u0430\u043d \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442\u0441\u044f, \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442\u0441\u044f \u043d\u043e\u0432\u044b\u0439. \u041f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0441\u0442\u043e\u0438\u0442 fail<\/code>, \u0438 \u0434\u0436\u043e\u0431\u0430 \u043f\u0430\u0434\u0430\u0435\u0442. \u041d\u0430 \u043e\u0431\u0449\u0435\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u0441 stop<\/code> \u043f\u0430\u0440\u0430\u043b\u043b\u0435\u043b\u044c\u043d\u044b\u0435 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u044b \u0431\u0443\u0434\u0443\u0442 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0442\u044c \u0441\u043a\u0430\u043d\u044b \u0434\u0440\u0443\u0433 \u0434\u0440\u0443\u0433\u0430, \u0430 wait<\/code> \u0434\u043e\u0436\u0434\u0435\u0442\u0441\u044f \u043e\u043a\u043e\u043d\u0447\u0430\u043d\u0438\u044f \u0447\u0443\u0436\u043e\u0433\u043e \u0441\u043a\u0430\u043d\u0430.<\/p>\n
    — --shared-link<\/code> \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0441\u044b\u043b\u043a\u0443 \u043d\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0432 JSON, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u043a\u0440\u0438\u043f\u0442 \u043f\u0435\u0447\u0430\u0442\u0430\u0435\u0442 \u0432 \u043b\u043e\u0433 \u0434\u0436\u043e\u0431\u044b. \u041f\u043e \u044d\u0442\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u043e\u0442\u043a\u0440\u043e\u0435\u0442 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a \u0431\u0435\u0437 \u0443\u0447\u0435\u0442\u043a\u0438 \u0432 \u0441\u043a\u0430\u043d\u0435\u0440\u0435.<\/p>\n
    — --report-dir<\/code>, --report-template<\/code> \u0438 --report-locale<\/code> \u0437\u0430\u0434\u0430\u044e\u0442 \u043f\u0430\u043f\u043a\u0443, \u0444\u043e\u0440\u043c\u0430\u0442 \u0438 \u044f\u0437\u044b\u043a \u043e\u0442\u0447\u0435\u0442\u0430. \u041f\u0430\u043f\u043a\u0430 \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 \u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u044b \u0434\u0436\u043e\u0431\u044b. \u0414\u043b\u044f DefectDojo \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 ASOC \u0432\u043c\u0435\u0441\u0442\u043e html<\/code> \u043d\u0443\u0436\u0435\u043d sarif<\/code>.<\/p>\n
    — \u0415\u0441\u043b\u0438 \u0443 on-prem-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0441\u0430\u043c\u043e\u043f\u043e\u0434\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442, \u043f\u0435\u0440\u0435\u0434 \u0432\u044b\u0437\u043e\u0432\u043e\u043c main.py<\/code> \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u0435 export SSL_CERT_FILE=\"$PTBB_CA_CERT\"<\/code>, \u0433\u0434\u0435 PTBB_CA_CERT<\/code> \u2014 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f CI \u0442\u0438\u043f\u0430 File \u0441 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u043c CA: \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 CA \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442, \u0430 --ignore-ssl<\/code> \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u0430 \u0446\u0435\u043b\u0438\u043a\u043e\u043c.<\/p>\n
    \u0421\u043a\u0440\u0438\u043f\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441\u043e\u043e\u0431\u0449\u0430\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043a\u043e\u0434\u043e\u043c \u0432\u044b\u0445\u043e\u0434\u0430, \u0430 \u0431\u043b\u043e\u043a case<\/code> \u0432 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u0440\u0435\u0448\u0430\u0435\u0442, \u0447\u0442\u043e \u0441 \u043d\u0438\u043c \u0434\u0435\u043b\u0430\u0442\u044c:<\/p>\n
    — 0<\/code> \u2014 \u0441\u043a\u0430\u043d \u0437\u0430\u0432\u0435\u0440\u0448\u0438\u043b\u0441\u044f. \u0414\u0436\u043e\u0431\u0430 \u0437\u0435\u043b\u0435\u043d\u0430\u044f.<\/p>\n
    — 3<\/code> \u2014 \u043e\u0431\u0449\u0430\u044f \u043e\u0446\u0435\u043d\u043a\u0430 \u043e\u0442\u0447\u0435\u0442\u0430 \u043d\u0438\u0436\u0435 \u043f\u043e\u0440\u043e\u0433\u0430. \u042d\u0442\u043e\u0442 \u043a\u043e\u0434 \u0431\u044b\u0432\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u0444\u043b\u0430\u0433\u043e\u043c --fail-under-score<\/code>, \u043e \u043d\u0435\u043c \u043d\u0438\u0436\u0435. \u0412 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 \u043d\u0430 \u043d\u0435\u043c \u0434\u0436\u043e\u0431\u0430 \u043b\u0438\u0448\u044c \u043f\u0438\u0448\u0435\u0442 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u0435 \u0438 \u043e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0437\u0435\u043b\u0435\u043d\u043e\u0439.<\/p>\n
    — 1<\/code> \u0438 \u043b\u044e\u0431\u043e\u0439 \u0434\u0440\u0443\u0433\u043e\u0439 \u043a\u043e\u0434 \u2014 \u0441\u0431\u043e\u0439: \u0441\u043a\u0430\u043d \u043d\u0435 \u0434\u043e\u0448\u0435\u043b \u0434\u043e \u043a\u043e\u043d\u0446\u0430, \u0441\u043a\u0430\u043d\u0435\u0440 \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d, \u0442\u043e\u043a\u0435\u043d \u043d\u0435 \u043f\u043e\u0434\u043e\u0448\u0435\u043b. \u0414\u0436\u043e\u0431\u0430 \u043f\u0430\u0434\u0430\u0435\u0442, \u043d\u043e \u0438\u0437-\u0437\u0430 allow_failure: true<\/code> GitLab \u043f\u043e\u043c\u0435\u0447\u0430\u0435\u0442 \u0435\u0435 \u0436\u0435\u043b\u0442\u044b\u043c, \u0430 \u043d\u0435 \u043a\u0440\u0430\u0441\u043d\u044b\u043c, \u0438 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0438\u0434\u0435\u0442 \u0434\u0430\u043b\u044c\u0448\u0435.<\/p>\n
    \u0412 \u0442\u0430\u043a\u043e\u043c \u0432\u0438\u0434\u0435 \u044d\u0442\u0430\u043f \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442: \u0440\u0435\u043b\u0438\u0437 \u043f\u0440\u043e\u0439\u0434\u0435\u0442, \u0434\u0430\u0436\u0435 \u0435\u0441\u043b\u0438 \u0441\u043a\u0430\u043d \u0441\u043b\u043e\u043c\u0430\u043b\u0441\u044f.<\/p>\n
    \u0427\u0442\u043e\u0431\u044b \u044d\u0442\u0430\u043f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u043b \u0440\u0435\u043b\u0438\u0437, \u0434\u043e\u0431\u0430\u0432\u044c\u0442\u0435 \u0432 \u0432\u044b\u0437\u043e\u0432 --fail-under-score 7<\/code>. \u0421\u043a\u0430\u043d\u0435\u0440 \u0441\u0442\u0430\u0432\u0438\u0442 \u043e\u0442\u0447\u0435\u0442\u0443 \u043e\u0431\u0449\u0443\u044e \u043e\u0446\u0435\u043d\u043a\u0443 \u043e\u0442 1 \u0434\u043e 10: \u0447\u0435\u043c \u043c\u0435\u043d\u044c\u0448\u0435 \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u043d\u0430\u0445\u043e\u0434\u043e\u043a, \u0442\u0435\u043c \u043e\u043d\u0430 \u0432\u044b\u0448\u0435. TrueConf \u0441 RCE \u0438\u0437 \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u0432\u044b\u0448\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b 1. \u0415\u0441\u043b\u0438 \u043e\u0446\u0435\u043d\u043a\u0430 \u043d\u0438\u0436\u0435 \u043f\u043e\u0440\u043e\u0433\u0430, \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u0435\u0440\u043d\u0435\u0442 3<\/code>. \u041f\u043e\u0440\u043e\u0433 1 \u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043d\u0438\u043a\u043e\u0433\u0434\u0430: \u043d\u0438\u0436\u0435 \u0435\u0434\u0438\u043d\u0438\u0446\u044b \u043e\u0446\u0435\u043d\u043a\u0438 \u043d\u0435 \u0431\u044b\u0432\u0430\u0435\u0442. \u0421\u0435\u043c\u0435\u0440\u043a\u0430 \u0432\u0437\u044f\u0442\u0430 \u0434\u043b\u044f \u043f\u0440\u0438\u043c\u0435\u0440\u0430 \u2014 \u043f\u043e\u0434\u0431\u0435\u0440\u0438\u0442\u0435 \u043f\u043e\u0440\u043e\u0433 \u043f\u043e \u0441\u0432\u043e\u0435\u0439 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0435. \u0417\u0430\u0442\u0435\u043c \u043f\u043e\u043f\u0440\u0430\u0432\u044c\u0442\u0435 \u043f\u0440\u0438\u043c\u0435\u0440: \u0432 \u0432\u0435\u0442\u043a\u0435 3)<\/code> \u0437\u0430\u043c\u0435\u043d\u0438\u0442\u0435 echo<\/code> \u043d\u0430 exit 3<\/code>, \u0447\u0442\u043e\u0431\u044b \u0434\u0436\u043e\u0431\u0430 \u043f\u0430\u0434\u0430\u043b\u0430, \u0443\u0431\u0435\u0440\u0438\u0442\u0435 allow_failure<\/code>, \u0447\u0442\u043e\u0431\u044b \u0435\u0435 \u043f\u0430\u0434\u0435\u043d\u0438\u0435 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u043b\u043e \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d, \u0438 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u044c\u0442\u0435 rules<\/code> \u0440\u0435\u043b\u0438\u0437\u043d\u044b\u043c\u0438 \u0432\u0435\u0442\u043a\u0430\u043c\u0438. \u041d\u0430 \u0440\u0435\u0432\u044c\u044e-\u0441\u0442\u0435\u043d\u0434\u0430\u0445 \u044d\u0442\u0430\u043f \u043b\u0443\u0447\u0448\u0435 \u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u044b\u043c.<\/p>\n
    \u0415\u0441\u0442\u044c \u0434\u0432\u0430 \u0441\u043b\u0443\u0447\u0430\u044f, \u043a\u043e\u0433\u0434\u0430 \u043a\u043e\u0434 \u0432\u044b\u0445\u043e\u0434\u0430 \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043d\u0435 \u0442\u043e, \u0447\u0435\u0433\u043e \u0436\u0434\u0435\u0448\u044c:<\/p>\n
    — \u0415\u0441\u043b\u0438 \u0443 \u043e\u0442\u0447\u0435\u0442\u0430 \u043d\u0435\u0442 \u043e\u0446\u0435\u043d\u043a\u0438 (\u0432 JSON \"score\": null<\/code>), \u043f\u043e\u0440\u043e\u0433 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0441\u044f \u0438 \u0441\u043a\u0440\u0438\u043f\u0442 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 0<\/code>. \u0422\u0430\u043a \u0431\u044b\u0432\u0430\u0435\u0442, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0441 \u0444\u043b\u0430\u0433\u043e\u043c --no-wait<\/code>: \u0441\u043a\u0440\u0438\u043f\u0442 \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u0441\u043a\u0430\u043d \u0438 \u043d\u0435 \u0436\u0434\u0435\u0442 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430.<\/p>\n
    — \u0421\u043a\u0430\u043d, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0435 \u0434\u043e\u0448\u0435\u043b \u0434\u043e \u0441\u0442\u0430\u0442\u0443\u0441\u0430 FINISHED<\/code>, \u0441\u043a\u0440\u0438\u043f\u0442 \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u0441\u0431\u043e\u0435\u043c: \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 1<\/code> \u0438 \u043d\u0435 \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u0435\u0442 \u043e\u0442\u0447\u0435\u0442 \u0432 ptbb-reports\/<\/code>, \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u0441\u043a\u0430\u043d \u0431\u0443\u0434\u0435\u0442 \u0432 \u043b\u043e\u0433\u0435 \u0434\u0436\u043e\u0431\u044b. \u0422\u0430\u043a \u0431\u044b\u0432\u0430\u0435\u0442, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043a\u043e\u0433\u0434\u0430 \u0441\u043a\u0430\u043d \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u0447\u0435\u0440\u0435\u0437 --previous stop<\/code>. \u0411\u0435\u0437 allow_failure<\/code> \u0442\u0430\u043a\u043e\u0439 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d \u043f\u043e\u043a\u0440\u0430\u0441\u043d\u0435\u0435\u0442, \u0445\u043e\u0442\u044f \u0434\u0435\u043b\u043e \u043d\u0435 \u0432 \u043d\u0430\u0445\u043e\u0434\u043a\u0430\u0445.<\/p>\n
    \u041d\u0430 \u0440\u0435\u0432\u044c\u044e-\u0441\u0442\u0435\u043d\u0434\u0430\u0445 \u043c\u043e\u0436\u043d\u043e \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043d\u0435 \u0432\u0441\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0432\u0438\u0441. \u0414\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0437\u0430\u0432\u0435\u0434\u0438\u0442\u0435 \u0432 \u0441\u043a\u0430\u043d\u0435\u0440\u0435 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u0441\u043a\u0430\u043d\u0430 \u0438 API-\u0441\u0445\u0435\u043c\u0443 \u044d\u0442\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0439\u0442\u0435 \u0438\u0445 UUID \u0432 --scan-profile<\/code> \u0438 --api-schema<\/code>. \u0415\u0441\u043b\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043f\u043e\u0440\u043e\u0433\u0430 \u043f\u043e \u043e\u0446\u0435\u043d\u043a\u0435 \u043c\u0430\u043b\u043e, \u0441\u0432\u043e\u0438 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u043f\u043e JSON, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0435\u0447\u0430\u0442\u0430\u0435\u0442 \u0441\u043a\u0440\u0438\u043f\u0442, \u2014 \u043a\u0430\u043a \u044d\u0442\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c, \u043e\u043f\u0438\u0441\u0430\u043d\u043e \u0432 \u0434\u043e\u043a\u0443\u043c\u0435\u043d\u0442\u0430\u0446\u0438\u0438 \u0441\u043a\u0440\u0438\u043f\u0442\u0430 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438.<\/p>\n
    \u0427\u0435\u0433\u043e DAST \u043d\u0435 \u0443\u043c\u0435\u0435\u0442<\/h3>\n
    \u0421\u043a\u0430\u043d\u0435\u0440 \u043d\u0435 \u043d\u0430\u0439\u0434\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0438 \u0431\u0438\u0437\u043d\u0435\u0441-\u043b\u043e\u0433\u0438\u043a\u0438. \u0412 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u043c\u043e\u0436\u0435\u0442 \u0431\u044b\u0442\u044c \u0431\u0430\u0433 \u0438 \u043f\u0440\u043e\u043c\u043e\u043a\u043e\u0434 \u043d\u0430 \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u044b\u0439 \u0442\u043e\u0432\u0430\u0440, \u043d\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u043a\u0430\u043d\u0435\u0440 \u044d\u0442\u0438\u0445 \u043f\u0440\u0430\u0432\u0438\u043b \u043d\u0435 \u0437\u043d\u0430\u0435\u0442: \u0434\u043b\u044f \u043d\u0435\u0433\u043e \u044d\u0442\u043e \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0443\u0441\u043f\u0435\u0448\u043d\u044b\u0439 \u0437\u0430\u043a\u0430\u0437. \u0422\u0430\u043a\u0438\u0435 \u043e\u0448\u0438\u0431\u043a\u0438 \u043b\u043e\u0432\u044f\u0442 \u0442\u0435\u0441\u0442\u044b \u0431\u0438\u0437\u043d\u0435\u0441-\u043f\u0440\u0430\u0432\u0438\u043b, \u043f\u0435\u043d\u0442\u0435\u0441\u0442 \u0438 \u043c\u043e\u0434\u0435\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0443\u0433\u0440\u043e\u0437.<\/p>\n
    \u0421\u043a\u0430\u043d\u0435\u0440 \u043f\u043b\u043e\u0445\u043e \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 API \u0441\u043e \u0441\u043b\u043e\u0436\u043d\u044b\u043c \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u043e\u043c. \u0415\u0441\u043b\u0438 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0433\u043b\u0430\u0441\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 companyId \u2192 projectId \u2192 userId<\/code>, \u0441\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u043c\u0438 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f\u043c\u0438 \u0441\u043a\u0430\u043d\u0435\u0440 \u0434\u043e \u043d\u0435\u0433\u043e \u043d\u0435 \u0434\u043e\u0431\u0435\u0440\u0435\u0442\u0441\u044f. \u0412\u0430\u043b\u0438\u0434\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0435\u0432 \u0434\u0430\u0435\u0442 HAR \u0438\u0437 e2e-\u0442\u0435\u0441\u0442\u043e\u0432, \u043d\u043e \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u0438 \u0442\u043e\u043a\u0435\u043d\u044b \u0432 \u043d\u0435\u043c \u0434\u043e\u043b\u0436\u043d\u044b \u043e\u0441\u0442\u0430\u0432\u0430\u0442\u044c\u0441\u044f \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 \u043a \u043d\u0430\u0447\u0430\u043b\u0443 \u0441\u043a\u0430\u043d\u0430.<\/p>\n
    \u0421\u043a\u0430\u043d\u0435\u0440 \u043d\u0435 \u043f\u043e\u043a\u0430\u0436\u0435\u0442, \u0447\u0442\u043e \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c \u043d\u0435\u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u043c. \u0421\u043f\u0438\u0441\u043e\u043a \u043d\u0430\u0445\u043e\u0434\u043e\u043a \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u0442\u043e\u043c, \u0447\u0442\u043e \u043d\u0430\u0448\u043b\u043e\u0441\u044c, \u043d\u043e \u043d\u0435 \u043e \u0442\u043e\u043c, \u043a\u0443\u0434\u0430 \u0441\u043a\u0430\u043d\u0435\u0440 \u043d\u0435 \u0434\u043e\u0448\u0435\u043b. \u0427\u0442\u043e\u0431\u044b \u044d\u0442\u043e \u0443\u0432\u0438\u0434\u0435\u0442\u044c, \u0441\u043e\u043f\u043e\u0441\u0442\u0430\u0432\u044c\u0442\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0438\u0437 OpenAPI \u2014 \u043c\u0435\u0442\u043e\u0434 \u043f\u043b\u044e\u0441 \u0448\u0430\u0431\u043b\u043e\u043d \u043f\u0443\u0442\u0438 \u2014 \u0441 \u0437\u0430\u043f\u0440\u043e\u0441\u0430\u043c\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u043a\u0430\u043d\u0435\u0440 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b \u043f\u043e\u0434 \u043a\u0430\u0436\u0434\u043e\u0439 \u0440\u043e\u043b\u044c\u044e, \u0438 \u043e\u0442\u043c\u0435\u0442\u044c\u0442\u0435, \u0447\u0442\u043e \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u043e \u0438\u0437 \u0441\u043a\u0430\u043d\u0430 \u0438 \u0434\u043e \u0447\u0435\u0433\u043e \u0441\u043a\u0430\u043d\u0435\u0440 \u043d\u0435 \u0434\u043e\u0431\u0440\u0430\u043b\u0441\u044f \u0438\u0437-\u0437\u0430 \u0442\u0430\u0439\u043c\u0430\u0443\u0442\u0430. \u041f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0432\u0441\u0435\u0445 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u0438 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0439 \u0442\u0430\u043a\u043e\u0435 \u0441\u0440\u0430\u0432\u043d\u0435\u043d\u0438\u0435 \u043d\u0435 \u043f\u043e\u043a\u0430\u0436\u0435\u0442, \u043d\u043e \u043e\u0442\u043c\u0435\u0442\u0438\u0442 \u043c\u0435\u0441\u0442\u0430, \u0433\u0434\u0435 \u0441\u043a\u0430\u043d\u0435\u0440 \u043d\u0435 \u0431\u044b\u043b.<\/p>\n
    \u0427\u0435\u043a-\u043b\u0438\u0441\u0442<\/h3>\n
      \n
    1. \n
      \u041d\u0430 \u0441\u0442\u0435\u043d\u0434 \u0434\u0435\u043f\u043b\u043e\u0438\u0442\u0441\u044f \u0442\u043e\u0442 \u0436\u0435 \u043e\u0431\u0440\u0430\u0437, \u0447\u0442\u043e \u043f\u043e\u0435\u0434\u0435\u0442 \u0432 \u043f\u0440\u043e\u0434, \u0430 \u0440\u0430\u0437\u043b\u0438\u0447\u0438\u044f \u0432 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u0445 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u044f \u0443\u0447\u0442\u0435\u043d\u044b.<\/p>\n<\/li>\n
    2. \n
      \u041f\u043e\u0434 \u043a\u0430\u0436\u0434\u0443\u044e \u0440\u043e\u043b\u044c \u0435\u0441\u0442\u044c \u0442\u0435\u0441\u0442\u043e\u0432\u0430\u044f \u0443\u0447\u0435\u0442\u043a\u0430, \u0441\u0435\u043a\u0440\u0435\u0442\u044b \u043b\u0435\u0436\u0430\u0442 \u0432 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 CI.<\/p>\n<\/li>\n
    3. \n
      \u041f\u0440\u043e\u0444\u0438\u043b\u044c \u0441\u043a\u0430\u043d\u0430 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d \u043e\u0434\u0438\u043d \u0440\u0430\u0437: \u0432\u0445\u043e\u0434 \u0441 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439 \u0441\u0435\u0441\u0441\u0438\u0438, \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0434\u043b\u044f \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u0432, \u0447\u0438\u0441\u043b\u043e \u043f\u0430\u0440\u0430\u043b\u043b\u0435\u043b\u044c\u043d\u044b\u0445 \u043f\u043e\u0442\u043e\u043a\u043e\u0432 \u043f\u043e\u0434 \u0440\u0435\u0441\u0443\u0440\u0441\u044b \u0441\u0442\u0435\u043d\u0434\u0430.<\/p>\n<\/li>\n
    4. \n
      \u041f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442\u0441\u044f \u0438\u0437 \u043a\u0440\u0430\u0443\u043b\u0435\u0440\u0430, OpenAPI-\u0441\u0445\u0435\u043c\u044b \u0438 HAR \u0438\u0437 e2e-\u0442\u0435\u0441\u0442\u043e\u0432.<\/p>\n<\/li>\n
    5. \n
      \u041f\u043e\u0434 \u043a\u0430\u0436\u0434\u043e\u0439 \u0440\u043e\u043b\u044c\u044e \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0435 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0441\u0432\u0435\u0440\u0435\u043d\u044b \u0441 OpenAPI, \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0438 \u043d\u0435\u0434\u043e\u0434\u0435\u043b\u0430\u043d\u043d\u043e\u0435 \u0438\u0437-\u0437\u0430 \u0442\u0430\u0439\u043c\u0430\u0443\u0442\u0430 \u043e\u0442\u043c\u0435\u0447\u0435\u043d\u044b.<\/p>\n<\/li>\n
    6. \n
      \u041d\u0430 MR-\u0441\u0442\u0435\u043d\u0434\u0430\u0445 \u2014 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u043d\u044b\u0439 \u0441\u043a\u0430\u043d \u0432 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u043e\u043d\u043d\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435, \u043d\u0430 \u0440\u0435\u043b\u0438\u0437-\u043a\u0430\u043d\u0434\u0438\u0434\u0430\u0442\u0435 \u2014 \u043f\u043e\u043b\u043d\u044b\u0439 \u0441 \u043f\u043e\u0440\u043e\u0433\u043e\u043c \u043f\u043e \u043d\u0430\u0445\u043e\u0434\u043a\u0430\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0432\u044b \u0434\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0435, \u043d\u0430 \u043f\u0440\u043e\u0434\u0435 \u0438 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0435 \u2014 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u044b\u0439.<\/p>\n<\/li>\n
    7. \n
      SARIF \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 ASOC \u0438 \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0435\u0440\u0432\u0438\u0441\u0443 \u0438 \u0432\u0435\u0440\u0441\u0438\u0438 \u0441\u0431\u043e\u0440\u043a\u0438.<\/p>\n<\/li>\n
    8. \n
      \u041f\u043e\u0441\u043b\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u043a\u043e\u0440\u043e\u0431\u043e\u0447\u043d\u043e\u0433\u043e \u041f\u041e \u2014 \u0432\u043d\u0435\u043f\u043b\u0430\u043d\u043e\u0432\u044b\u0439 \u0441\u043a\u0430\u043d.<\/p>\n<\/li>\n<\/ol>\n
      \u0412\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f<\/h3>\n
      DAST \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0442\u043e, \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u043f\u043e\u0441\u043b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438, \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u0438 \u0434\u0435\u043f\u043b\u043e\u044f. \u0411\u0435\u0437 \u043d\u0435\u0433\u043e \u043e\u0448\u0438\u0431\u043a\u0443 \u0432 Caddyfile \u0438\u043b\u0438 \u0437\u0430\u0431\u044b\u0442\u044b\u0439 \u043d\u0435\u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 TrueConf \u043f\u0435\u0440\u0432\u044b\u043c \u043d\u0430\u0439\u0434\u0435\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439.<\/p>\n
      \u041c\u0435\u0441\u0442\u043e \u0432 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440\u0435 \u2014 \u043f\u043e\u043b\u0434\u0435\u043b\u0430. \u041d\u0430 Juice Shop \u0434\u0432\u0435 \u0438\u0437 \u0442\u0440\u0435\u0445 \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, SSRF \u0438 XXE, \u043d\u0430\u0448\u043b\u0438\u0441\u044c \u0432 \u043b\u0438\u0447\u043d\u043e\u043c \u043a\u0430\u0431\u0438\u043d\u0435\u0442\u0435. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u0440\u0435\u0436\u0434\u0435 \u0447\u0435\u043c \u0432\u0435\u0440\u0438\u0442\u044c \u0437\u0435\u043b\u0435\u043d\u043e\u0439 \u0434\u0436\u043e\u0431\u0435, \u043f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435, \u0447\u0442\u043e \u0441\u043a\u0430\u043d\u0435\u0440 \u0432\u043e\u0448\u0435\u043b \u0438 \u0434\u043e\u0448\u0435\u043b \u0434\u043e \u043b\u0438\u0447\u043d\u043e\u0433\u043e \u043a\u0430\u0431\u0438\u043d\u0435\u0442\u0430, \u0430 \u043d\u0435 \u043e\u0441\u0442\u0430\u043d\u043e\u0432\u0438\u043b\u0441\u044f \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435 \u043b\u043e\u0433\u0438\u043d\u0430.<\/p>\n
      \u041f\u043e\u043f\u0440\u043e\u0431\u043e\u0432\u0430\u0442\u044c PT BlackBox \u043c\u043e\u0436\u043d\u043e \u0432 \u043e\u0431\u043b\u0430\u043a\u0435 \u043d\u0430 bbs.ptcloud.ru<\/a>, \u0430 \u0435\u0441\u043b\u0438 \u043d\u0443\u0436\u0435\u043d on-prem, \u0443\u0441\u0442\u0440\u043e\u0438\u043c \u043f\u0438\u043b\u043e\u0442. \u0410 \u0432 \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u044f\u0445 \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0438\u0442\u0435, \u043a\u0430\u043a \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u043e \u0432\u0430\u0448\u0435 DAST-\u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0438 \u0447\u0442\u043e \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u043b\u043e \u0435\u0433\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c, \u0435\u0441\u043b\u0438 \u043e\u0442\u043a\u043b\u044e\u0447\u0430\u043b\u0438.<\/p>\n<\/div>\n
      \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 https:\/\/habr.com\/ru\/articles\/1097860\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
      \u041f\u043e\u0441\u043b\u0435\u0434\u043d\u0438\u0435 \u0434\u0432\u0430 \u0433\u043e\u0434\u0430 DAST \u043d\u0430 \u0441\u0445\u0435\u043c\u0430\u0445 DevSecOps \u0440\u0438\u0441\u0443\u044e\u0442 \u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u043e: \u043f\u0440\u044f\u043c\u043e\u0443\u0433\u043e\u043b\u044c\u043d\u0438\u043a \u043f\u043e\u0441\u043b\u0435 deploy, \u0432\u043d\u0443\u0442\u0440\u0438 \u2014 ZAP \u0438\u043b\u0438 Nuclei. \u0421\u043a\u0430\u043d\u0435\u0440 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0430\u0434\u0440\u0435\u0441 \u0441\u0442\u0435\u043d\u0434\u0430, \u0432\u0435\u0440\u043d\u0443\u043b \u043e\u0442\u0447\u0435\u0442, \u0434\u0436\u043e\u0431\u0430 \u043f\u043e\u0437\u0435\u043b\u0435\u043d\u0435\u043b\u0430. \u0422\u043e\u043b\u044c\u043a\u043e \u043f\u043e \u0437\u0435\u043b\u0435\u043d\u043e\u0439 \u0434\u0436\u043e\u0431\u0435 \u043d\u0435 \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u0435\u043d\u043e. \u0421\u043a\u0430\u043d \u0432\u043f\u043e\u043b\u043d\u0435 \u043c\u043e\u0433 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u0442\u044c\u0441\u044f \u0431\u0435\u0437 \u0441\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0445 \u043d\u0430\u0445\u043e\u0434\u043e\u043a, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0434\u043e \u043d\u0438\u0445 \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435 \u0434\u043e\u0448\u0435\u043b.\u041c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u0414\u0430\u043d\u0438\u0438\u043b \u0421\u043b\u044e\u0441\u0430\u0440\u044c, \u044f \u0440\u0443\u043a\u043e\u0432\u043e\u0436\u0443 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u043e\u0439 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u043e\u0432 AppSec \u0432 Positive Technologies. \u0420\u0430\u0437\u0431\u0435\u0440\u0435\u043c, \u0447\u0442\u043e \u0432\u043d\u0443\u0442\u0440\u0438 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u044f\u043c\u043e\u0443\u0433\u043e\u043b\u044c\u043d\u0438\u043a\u0430, \u043a\u0430\u043a\u0438\u0435 \u0437\u0430\u0434\u0430\u0447\u0438 \u043e\u043d \u0440\u0435\u0448\u0430\u0435\u0442, \u0433\u0434\u0435 \u0435\u043c\u0443 \u043c\u0435\u0441\u0442\u043e \u0432 \u043a\u043e\u043d\u0432\u0435\u0439\u0435\u0440\u0435 \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0431\u0435\u0437 \u043d\u0435\u0433\u043e \u043f\u043e\u043b\u043d\u043e\u0446\u0435\u043d\u043d\u043e\u0439 \u0437\u0430\u0449\u0438\u0442\u044b \u043d\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u0441\u044f.\u0427\u0435\u0440\u0435\u0437 \u0432\u0435\u0431 \u0437\u0430\u0445\u043e\u0434\u044f\u0442 \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443, \u0438 \u0434\u0435\u043b\u0430\u044e\u0442 \u044d\u0442\u043e \u0447\u0430\u0441\u0442\u043e. \u0412 \u043d\u0430\u0448\u0435\u043c \u0441\u0432\u0435\u0436\u0435\u043c \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0432 36% \u0441\u043b\u0443\u0447\u0430\u0435\u0432 \u043d\u0430\u0447\u0438\u043d\u0430\u043b\u043e\u0441\u044c \u0441 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430 \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0435. \u0423 \u0433\u043e\u0441\u0441\u0438\u0441\u0442\u0435\u043c \u0435\u0441\u0442\u044c \u0438 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u043f\u043e\u0432\u043e\u0434: \u0441 1 \u043c\u0430\u0440\u0442\u0430 2026 \u0433\u043e\u0434\u0430 \u0434\u0435\u0439\u0441\u0442\u0432\u0443\u0435\u0442 \u043f\u0440\u0438\u043a\u0430\u0437 \u0424\u0421\u0422\u042d\u041a \u2116 117, \u0438 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0442\u0435\u043f\u0435\u0440\u044c \u043d\u0443\u0436\u043d\u043e \u0443\u0441\u0442\u0440\u0430\u043d\u0438\u0442\u044c \u0437\u0430 24 \u0447\u0430\u0441\u0430, \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432\u044b\u0441\u043e\u043a\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u2014 \u0437\u0430 7 \u0434\u043d\u0435\u0439.\u041a\u0442\u043e \u0447\u0442\u043e \u0432\u0438\u0434\u0438\u0442\u041c\u0435\u0441\u0442\u043e DAST \u0432 SSDLC\u0421\u043b\u043e\u0439\u0427\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442\u0413\u0434\u0435 \u0443\u043f\u0438\u0440\u0430\u0435\u0442\u0441\u044fSAST\u041e\u043f\u0430\u0441\u043d\u044b\u0435 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0438 \u0438 \u043f\u0443\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043a\u043e\u0434\u0435\u041d\u0435 \u0432\u0438\u0434\u0438\u0442, \u043a\u0430\u043a \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043d\u043e \u0438 \u0440\u0430\u0437\u0432\u0435\u0440\u043d\u0443\u0442\u043eSCA\u0418\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u0445 \u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445\u041d\u0443\u0436\u0435\u043d \u0441\u043e\u0441\u0442\u0430\u0432 \u041f\u041e; \u0434\u043e\u0441\u0442\u0438\u0436\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u043e\u0446\u0435\u043d\u0438\u0432\u0430\u0435\u0442 \u043d\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0438 \u043d\u0435 \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u044f\u0437\u044b\u043a\u0430DAST\u041a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043f\u043e HTTP: \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438\u041f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e, \u0434\u043e \u0447\u0435\u0433\u043e \u0434\u043e\u0448\u0435\u043b; \u0441\u0442\u0440\u043e\u043a\u0443 \u043a\u043e\u0434\u0430 \u0441 \u043f\u0440\u0438\u0447\u0438\u043d\u043e\u0439 \u043e\u0431\u044b\u0447\u043d\u043e \u043d\u0435 \u043f\u043e\u043a\u0430\u0436\u0435\u0442WAF\u0417\u0430\u043f\u0440\u043e\u0441\u044b \u0432 \u043f\u0440\u043e\u0434\u0435 \u043d\u0430 \u043f\u0440\u0438\u0437\u043d\u0430\u043a\u0438 \u0430\u0442\u0430\u043a\u0411\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0430 \u043d\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u044f\u0435\u0442 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0438 \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442, \u0447\u0442\u043e \u0435\u0435 \u043d\u0435\u0442\u0420\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0435\u0435 \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u2014 \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u0440\u043e\u043a\u0441\u0438, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u2014 \u0438\u0437 \u044d\u0442\u0438\u0445 \u0441\u043b\u043e\u0435\u0432 \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e DAST. SAST \u0438 SCA \u0441\u043c\u043e\u0442\u0440\u044f\u0442, \u0438\u0437 \u0447\u0435\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0441\u043e\u0431\u0440\u0430\u043d\u043e, DAST \u2014 \u0447\u0442\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u0432 \u0438\u0442\u043e\u0433\u0435. \u041a \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u043d\u043e\u0439 \u043d\u0430\u0445\u043e\u0434\u043a\u0435 \u043e\u043d \u043f\u0440\u0438\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u0438 \u043e\u0442\u0432\u0435\u0442, \u0442\u0430\u043a \u0447\u0442\u043e \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u0442\u044c \u0435\u0435 \u043c\u043e\u0436\u0435\u0442 \u043b\u044e\u0431\u043e\u0439 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a.\u041a\u043e\u0434 \u0435\u0441\u0442\u044c, \u043d\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043d\u0435 \u0432 \u043d\u0435\u043c\u0412\u043e\u0437\u044c\u043c\u0435\u043c \u043e\u0431\u044b\u0447\u043d\u043e\u0435 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435: SPA-\u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434 \u0438 API. \u0417\u0430\u043f\u0440\u043e\u0441\u044b \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u044b, \u043f\u0430\u0440\u043e\u043b\u0438 \u0445\u0435\u0448\u0438\u0440\u0443\u044e\u0442\u0441\u044f, \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u0432\u0435\u0436\u0438\u0435, SAST \u0438 SCA \u0437\u0435\u043b\u0435\u043d\u044b\u0435. \u0412\u0441\u0435 \u044d\u0442\u043e \u043e\u0442\u0434\u0430\u0435\u0442 Caddy, \u0438 \u043f\u0440\u0438 \u0434\u0435\u043f\u043b\u043e\u0435 \u0432 \u0435\u0433\u043e \u043a\u043e\u043d\u0444\u0438\u0433\u0435 \u043a\u043e\u0440\u0435\u043d\u044c \u0441\u0442\u0430\u0442\u0438\u043a\u0438 \u0443\u043a\u0430\u0437\u0430\u043b\u0438 \u043d\u0430 \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u0432\u044b\u0448\u0435 \u043d\u0443\u0436\u043d\u043e\u0433\u043e:app.example.ru {\u00a0\u00a0\u00a0\u00a0handle_path \/api\/* {\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0reverse_proxy backend:8080\u00a0\u00a0\u00a0\u00a0}\u00a0\u00a0\u00a0\u00a0handle {\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0root * \/srv\/app\u00a0 \u00a0 \u00a0 \u00a0 # \u0430 \u043d\u0443\u0436\u043d\u043e \/srv\/app\/dist\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0file_server\u00a0\u00a0\u00a0\u00a0}}\u0412\u043c\u0435\u0441\u0442\u043e \u0441\u0431\u043e\u0440\u043a\u0438 \u0438\u0437 dist Caddy \u0442\u0435\u043f\u0435\u0440\u044c \u0440\u0430\u0437\u0434\u0430\u0435\u0442 \u0432\u0435\u0441\u044c \u043a\u0430\u0442\u0430\u043b\u043e\u0433 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u2014 \u0441 .env, \u0433\u0434\u0435 \u043b\u0435\u0436\u0438\u0442 \u043f\u0430\u0440\u043e\u043b\u044c \u043e\u0442 \u0431\u0430\u0437\u044b, \u0438 .git \u0441 \u0438\u0441\u0442\u043e\u0440\u0438\u0435\u0439 \u043a\u043e\u0434\u0430:GET \/.env         \u2192 200  DB_PASSWORD=\u2026  SECRET_KEY=\u2026GET \/.git\/config  \u2192 200  [remote «origin»] url = \u2026\u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0430\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u044d\u0442\u043e\u0439 \u0443\u0442\u0435\u0447\u043a\u0438 \u043d\u0435\u0442. \u041e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c Caddy \u0441\u043c\u044b\u0441\u043b\u0430 \u043d\u0435\u0442 \u2014 \u043e\u0448\u0438\u0431\u043a\u0430 \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0435. \u0415\u0435 \u043c\u043e\u0436\u043d\u043e \u043f\u043e\u0439\u043c\u0430\u0442\u044c \u043d\u0430 \u0440\u0435\u0432\u044c\u044e Caddyfile, \u0435\u0441\u043b\u0438 \u0434\u043e \u043d\u0435\u0433\u043e \u0434\u043e\u0439\u0434\u0443\u0442 \u0440\u0443\u043a\u0438. DAST \u0436\u0435 \u043f\u043e\u0441\u043b\u0435 \u0434\u0435\u043f\u043b\u043e\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0437\u0430\u043f\u0440\u043e\u0441\u0438\u0442 \u044d\u0442\u0438 \u0444\u0430\u0439\u043b\u044b \u0443 \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u041d\u0430 \u043d\u0430\u0448\u0435\u043c \u0441\u0442\u0435\u043d\u0434\u0435 PT BlackBox \u043d\u0430\u0448\u0435\u043b .env \u0438 \u0447\u0435\u0442\u044b\u0440\u0435 \u0444\u0430\u0439\u043b\u0430 \u0438\u0437 .git: config, HEAD, refs\/heads\/master \u0438 logs\/refs\/heads\/master.\u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 PT BlackBox: \u0440\u0430\u0441\u043a\u0440\u044b\u0442\u0438\u0435 \u043f\u043e\u0442\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u0432\u0430\u0436\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0441 Caddy\u0418\u0437 \u0442\u043e\u0439 \u0436\u0435 \u0441\u0435\u0440\u0438\u0438: \u043e\u0442\u043b\u0430\u0434\u043e\u0447\u043d\u0430\u044f \u043a\u043e\u043d\u0441\u043e\u043b\u044c \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0430, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430\u044f \u0441\u043d\u0430\u0440\u0443\u0436\u0438; \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0435 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u044b\u0435 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b \/actuator; \u0441\u0435\u0440\u0432\u0438\u0441, \u043a \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u043c\u043e\u0436\u043d\u043e \u043f\u0440\u043e\u0439\u0442\u0438 \u043c\u0438\u043c\u043e API-\u0448\u043b\u044e\u0437\u0430; X-Forwarded-For, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u0440\u043e\u043a\u0441\u0438 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u0442 \u043e\u0442 \u043a\u043b\u0438\u0435\u043d\u0442\u0430, \u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0435\u043c\u0443 \u0432\u0435\u0440\u0438\u0442. \u041e\u0434\u0438\u043d 200 OK \u0437\u0434\u0435\u0441\u044c \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u2014 \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0443\u0436\u043d\u043e \u043d\u0430 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435.\u041a\u043e\u0433\u0434\u0430 \u043a\u043e\u0434\u0430 \u043d\u0435\u0442 \u0441\u043e\u0432\u0441\u0435\u043c: \u0441\u043a\u0430\u043d\u0438\u0440\u0443\u0435\u043c \u043f\u0435\u0440\u0438\u043c\u0435\u0442\u0440\u0421 \u043a\u043e\u0440\u043e\u0431\u043e\u0447\u043d\u044b\u043c \u041f\u041e \u2014 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u043c \u043c\u0435\u0441\u0441\u0435\u043d\u0434\u0436\u0435\u0440\u043e\u043c, CMS, VPN-\u043f\u043e\u0440\u0442\u0430\u043b\u043e\u043c \u2014 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432 \u0434\u043b\u044f SAST \u043d\u0435\u0442. SCA \u043d\u0443\u0436\u0435\u043d \u0441\u043e\u0441\u0442\u0430\u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u0430 \u0435\u0433\u043e \u0432\u0435\u043d\u0434\u043e\u0440 \u0434\u0430\u0435\u0442 \u043d\u0435 \u0432\u0441\u0435\u0433\u0434\u0430. \u041e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0441\u043d\u0430\u0440\u0443\u0436\u0438: DAST \u043d\u0430\u0439\u0434\u0435\u0442 \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e HTTP, WAF \u043c\u043e\u0436\u0435\u0442 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0438\u0442\u044c \u043f\u043e\u043f\u044b\u0442\u043a\u0438 \u0435\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c.\u041f\u0440\u0438\u043c\u0435\u0440 \u2014 TrueConf Server. \u0412 \u0430\u0432\u0433\u0443\u0441\u0442\u0435 2025 \u0433\u043e\u0434\u0430 \u041d\u0438\u043a\u0438\u0442\u0430 \u041f\u0435\u0442\u0440\u043e\u0432 \u0438\u0437 PT SWARM \u043d\u0430\u0448\u0435\u043b \u0432 \u043d\u0435\u043c \u0446\u0435\u043f\u043e\u0447\u043a\u0443 \u0438\u0437 \u0442\u0440\u0435\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439: \u043e\u0431\u0445\u043e\u0434 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 (BDU:2025-10114, CVSS 3.1 \u2014 7,5), \u0447\u0442\u0435\u043d\u0438\u0435 \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u044b\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 \u0447\u0435\u0440\u0435\u0437 Path Traversal (BDU:2025-10115, 7,5) \u0438 \u0432\u043d\u0435\u0434\u0440\u0435\u043d\u0438\u0435 \u043a\u043e\u043c\u0430\u043d\u0434 \u041e\u0421 (BDU:2025-10116, 9,8). \u0412\u043c\u0435\u0441\u0442\u0435 \u043e\u043d\u0438 \u0434\u0430\u044e\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0431\u0435\u0437 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u0438. \u042d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442, \u0432 \u0411\u0414\u0423 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u043e\u043c\u0435\u0447\u0435\u043d\u044b \u043a\u0430\u043a \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u043c\u0438. \u0412\u0435\u043d\u0434\u043e\u0440 \u0441\u043e\u043e\u0431\u0449\u0438\u043b \u043e\u0431 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f\u0445 \u0432 \u0432\u0435\u0440\u0441\u0438\u044f\u0445 5.3.7, 5.4.6 \u0438 5.5.1.\u0422\u043e\u043b\u044c\u043a\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043c\u0430\u043b\u043e \u2014 \u043d\u0430\u0434\u043e \u0443\u0431\u0435\u0434\u0438\u0442\u044c\u0441\u044f, \u0447\u0442\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0448\u043b\u043e. \u041e\u0431\u043d\u043e\u0432\u0438\u043b\u0438 \u043d\u0435 \u0442\u043e\u0442 \u0443\u0437\u0435\u043b, \u043e\u0442\u043a\u0430\u0442\u0438\u043b\u0438\u0441\u044c \u0438\u0437 \u0431\u044d\u043a\u0430\u043f\u0430, \u0437\u0430\u0431\u044b\u043b\u0438 \u043f\u0440\u043e \u0442\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u0442\u043e\u0440\u0447\u0430\u0449\u0438\u0439 \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442, \u2014 \u0432\u0441\u0435 \u044d\u0442\u043e \u0441\u043b\u0443\u0447\u0430\u0435\u0442\u0441\u044f. \u0421\u043d\u0430\u0440\u0443\u0436\u0438, \u0431\u0435\u0437 \u0430\u0433\u0435\u043d\u0442\u0430 \u0438 \u0443\u0447\u0435\u0442\u043a\u0438 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435, \u0442\u0430\u043a\u043e\u0435 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 DAST.\u041c\u044b \u043f\u0440\u043e\u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0441\u0442\u0435\u043d\u0434 \u0441 TrueConf Server 5.5.0, \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c \u043a\u043e \u0432\u0441\u0435\u043c \u0442\u0440\u0435\u043c. \u0412\u0435\u0440\u0441\u0438\u044e \u0432\u0435\u0431-\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0432\u044b\u0434\u0430\u0435\u0442 \u0441\u0430\u043c: \u0430\u0434\u043c\u0438\u043d\u043a\u0430 \u0433\u0440\u0443\u0437\u0438\u0442 \/admin-area\/bundle.js?version=5.5.0.13828~debian12. \u0421\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0438 \u0432\u0441\u0435 \u0442\u0440\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u2014 BDU:2025-10114, BDU:2025-10115 \u0438 BDU:2025-10116. \u0421\u043a\u0430\u043d \u0437\u0430\u043d\u044f\u043b \u0434\u0432\u0435 \u0441 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u043e\u0439 \u043c\u0438\u043d\u0443\u0442\u044b.\u0418\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 PT BlackBox: \u0442\u0440\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 TrueConf Server, \u0432 \u043a\u0430\u0440\u0442\u043e\u0447\u043a\u0435 \u2014 BDU:2025-10116\u041a\u043e\u0440\u043e\u0431\u043e\u0447\u043d\u043e\u0435 \u041f\u041e \u0442\u0430\u043a \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442: \u043f\u043e\u0441\u043b\u0435 \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0438 \u043f\u043e \u0440\u0430\u0441\u043f\u0438\u0441\u0430\u043d\u0438\u044e. \u0421\u043a\u0430\u043d \u043e\u0431\u0440\u0430\u0449\u0430\u0435\u0442\u0441\u044f \u043a \u0441\u0430\u043c\u0438\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u043c \u0444\u0443\u043d\u043a\u0446\u0438\u044f\u043c. \u0415\u0441\u043b\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440 \u0443\u0436\u0435 \u043e\u0442\u0447\u0438\u0442\u0430\u043b\u0441\u044f \u043e \u043f\u0430\u0442\u0447\u0435, \u0430 \u043e\u043f\u0430\u0441\u043d\u043e\u0435 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043e\u0441\u0442\u0430\u043b\u043e\u0441\u044c, \u044d\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u0432\u0438\u0434\u043d\u043e.\u0427\u0442\u043e \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u043a\u0430\u043d\u0435\u0440\u0430\u0421\u043a\u0430\u043d\u0435\u0440 \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0432 \u0434\u0432\u0430 \u0448\u0430\u0433\u0430: \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u044c \u0430\u0442\u0430\u043a\u0438 \u2014 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b, \u043c\u0435\u0442\u043e\u0434\u044b, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u2014 \u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0435\u0435. \u042d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u044b \u043e\u043d \u0431\u0435\u0440\u0435\u0442 \u0438\u0437 \u043a\u0440\u0430\u0443\u043b\u0435\u0440\u0430, API-\u0441\u0445\u0435\u043c\u044b \u0438\u043b\u0438 \u0437\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u043e\u0433\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0415\u0441\u043b\u0438 \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430 \u043d\u0435\u0442 \u043d\u0438 \u0432 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u043d\u0438\u0445, \u0441\u043a\u0430\u043d\u0435\u0440 \u0435\u0433\u043e \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0442\u0430\u043a\u043e\u043c \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0435 \u0441\u0442\u0430\u043d\u0435\u0442 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u043e\u043c (false negative), \u0438 \u043f\u043e \u043e\u0442\u0447\u0435\u0442\u0443 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c: \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u0430 \u0442\u0430\u043c \u043f\u0440\u043e\u0441\u0442\u043e \u043d\u0435\u0442.\u041f\u043e\u043a\u0440\u044b\u0442\u0438\u0435: \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 \u0432\u0435\u0431 \u2014 \u044d\u0442\u043e SPA\u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443, \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 <a href> \u0438 <form>, \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u043d\u0438\u043c \u2014 \u0438 \u0442\u0430\u043a \u043f\u043e \u043a\u0440\u0443\u0433\u0443. \u0412 SPA \u043d\u0430 React \u0438\u043b\u0438 Vue, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440 \u0432 \u043b\u0438\u0447\u043d\u043e\u043c \u043a\u0430\u0431\u0438\u043d\u0435\u0442\u0435 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442-\u043c\u0430\u0433\u0430\u0437\u0438\u043d\u0430, \u044d\u0442\u043e\u0442 \u043d\u043e\u043c\u0435\u0440 \u043d\u0435 \u043f\u0440\u043e\u0439\u0434\u0435\u0442. \u041a\u043b\u0438\u043a \u043f\u043e \u0430\u0432\u0430\u0442\u0430\u0440\u0443 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u043c\u0435\u043d\u044e, \u0432 \u043c\u0435\u043d\u044e \u2014 \u00ab\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438\u00bb, \u0442\u0430\u043c \u0432\u043a\u043b\u0430\u0434\u043a\u0438, \u0432\u043e \u0432\u043a\u043b\u0430\u0434\u043a\u0435 \u043a\u043d\u043e\u043f\u043a\u0430 \u0441\u043c\u0435\u043d\u044b \u0444\u043e\u0442\u043e, \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043e\u043d\u0430 \u0448\u043b\u0435\u0442 PUT \/api\/profile. \u0412 \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u043c DOM \u044d\u0442\u0438\u0445 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432 \u043d\u0435 \u0431\u044b\u043b\u043e, URL \u043d\u0435 \u043c\u0435\u043d\u044f\u043b\u0441\u044f, \u0437\u0430\u043f\u0440\u043e\u0441 \u0443\u0448\u0435\u043b \u0432 \u0444\u043e\u043d\u0435. \u0421\u0441\u044b\u043b\u043a\u0438, \u043f\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u0434\u043e \u043d\u0435\u0433\u043e \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0439\u0442\u0438, \u043d\u0435\u0442.\u041e\u0431\u0445\u043e\u0434\u0438\u0442\u044c \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442\u0441\u044f \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430. \u0418\u0445 \u044d\u043a\u0441\u043f\u043e\u043d\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043c\u043d\u043e\u0433\u043e, \u0430 \u043f\u043e\u043d\u044f\u0442\u044c \u043f\u043e DOM, \u043d\u043e\u0432\u043e\u0435 \u044d\u0442\u043e \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0438\u043b\u0438 \u0443\u0436\u0435 \u0432\u0438\u0434\u0435\u043d\u043d\u043e\u0435, \u043d\u0435\u043f\u0440\u043e\u0441\u0442\u043e. \u041f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u043c\u044b \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u043b\u0438 \u044d\u0442\u043e \u0432 \u0441\u0442\u0430\u0442\u044c\u0435 \u00ab\u0421\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u0442\u0440\u0430\u043d\u0438\u0446 \u043d\u0430 SPA\u00bb. \u0415\u0441\u043b\u0438 \u043a\u043e\u0440\u043e\u0442\u043a\u043e, \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0435 \u0443 \u043d\u0430\u0441 \u2014 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043a\u043e\u0432 \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0445 \u044d\u043b\u0435\u043c\u0435\u043d\u0442\u043e\u0432, \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b\u0445 \u043f\u0440\u044f\u043c\u043e \u0441\u0435\u0439\u0447\u0430\u0441. URL \u0432 \u043d\u0435\u0433\u043e \u043d\u0435 \u0432\u0445\u043e\u0434\u0438\u0442, \u043e\u0442\u043f\u0435\u0447\u0430\u0442\u043e\u043a \u0443\u0441\u0442\u043e\u0439\u0447\u0438\u0432 \u043a \u0441\u0433\u0435\u043d\u0435\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c id, \u0447\u0438\u0441\u043b\u0430\u043c \u0438 \u043a\u043e\u043e\u0440\u0434\u0438\u043d\u0430\u0442\u0430\u043c. \u0414\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u0432 \u0433\u0440\u0430\u0444\u0435 \u043e\u0431\u0445\u043e\u0434\u0430 \u2014 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0443\u0437\u043b\u044b: \u043a\u043d\u043e\u043f\u043a\u0430 \u043b\u043e\u0433\u0438\u043d\u0430 \u0435\u0441\u0442\u044c \u0432 \u043f\u044f\u0442\u0438\u0434\u0435\u0441\u044f\u0442\u0438 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u044f\u0445, \u0430 \u0443\u0437\u0435\u043b \u0443 \u043d\u0435\u0435 \u043e\u0434\u0438\u043d.\u0420\u0430\u043d\u044c\u0448\u0435 \u043d\u0430 SPA \u0431\u0435\u0437 API-\u0441\u0445\u0435\u043c\u044b \u0438 HAR \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u0432\u0438\u0434\u0435\u043b \u043f\u043e\u0447\u0442\u0438 \u043e\u0434\u043d\u0443 \u0441\u0442\u0430\u0442\u0438\u043a\u0443. \u041d\u0430 Rocket.Chat \u043e\u043d \u043d\u0435 \u043c\u043e\u0433 \u0437\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0434\u0430\u0436\u0435 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u0432\u0445\u043e\u0434\u0430, \u0438 \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0431\u044b\u043b\u043e \u043d\u0443\u043b\u0435\u0432\u044b\u043c. \u0422\u0435\u043f\u0435\u0440\u044c \u0442\u0430\u043c \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u0441\u043e\u0431\u0438\u0440\u0430\u0435\u0442 93% \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438. \u041c\u0435\u043d\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u043e\u0441\u044c \u043d\u0430 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u043c \u044d\u043a\u0437\u0435\u043c\u043f\u043b\u044f\u0440\u0435 YouTrack \u2014 65%, \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u0441\u0435\u0433\u043e \u043d\u0430 Juice Shop \u2014 97%. \u0415\u0434\u0438\u043d\u0438\u0446\u0435\u0439 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438 \u043c\u044b \u0441\u0447\u0438\u0442\u0430\u043b\u0438 \u0441\u043e\u0447\u0435\u0442\u0430\u043d\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u0430, \u043f\u0443\u0442\u0438, \u0444\u043e\u0440\u043c\u044b \u0442\u0435\u043b\u0430 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432. \u041f\u0443\u0442\u0438 \u043d\u043e\u0440\u043c\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043b\u0438, \u0447\u0442\u043e\u0431\u044b \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u044b\u0435 \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0440\u044b \u0432 URL \u043d\u0435 \u0440\u0430\u0437\u0434\u0443\u0432\u0430\u043b\u0438 \u0441\u0447\u0435\u0442. \u042d\u0442\u0430\u043b\u043e\u043d\u043e\u043c \u0441\u043b\u0443\u0436\u0438\u043b\u0438 API-\u0441\u0445\u0435\u043c\u044b \u0438 HAR, \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0435 \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u0420\u0435\u0447\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u043e \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0438 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438, \u0434\u043e\u043b\u044e \u043d\u0430\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u043e.\u0418 \u0432\u0441\u0435 \u0436\u0435 \u043a\u0440\u0430\u0443\u043b\u0435\u0440 \u2014 \u0441\u0430\u043c\u044b\u0439 \u0445\u0440\u0443\u043f\u043a\u0438\u0439 \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438. \u0414\u043e\u043f\u043e\u043b\u043d\u044f\u0439\u0442\u0435 \u0435\u0433\u043e \u0442\u0435\u043c, \u0447\u0442\u043e \u0432 \u043f\u0430\u0439\u043f\u043b\u0430\u0439\u043d\u0435 \u0443\u0436\u0435 \u0435\u0441\u0442\u044c: OpenAPI-\u0441\u0445\u0435\u043c\u043e\u0439, HAR \u0438\u0437 e2e-\u0442\u0435\u0441\u0442\u043e\u0432 \u043d\u0430 Playwright \u0438\u043b\u0438 Cypress (\u0432\u0430\u043b\u0438\u0434\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u043f\u0440\u043e\u0439\u0434\u0435\u043d\u043d\u044b\u0445 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0435\u0432), \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u043e\u043c \u0434\u0438\u0440\u0435\u043a\u0442\u043e\u0440\u0438\u0439.\u041f\u0440\u0438\u043c\u0435\u0440: OWASP Juice ShopOWASP Juice Shop \u2014 SPA \u043d\u0430 Angular \u0441 REST API \u0438 \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u044b\u043c\u0438 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438, \u0447\u0430\u0441\u0442\u044c \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430. \u0412 \u0441\u0435\u043d\u0442\u044f\u0431\u0440\u0435 2026 \u0433\u043e\u0434\u0430 \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u043c\u044b \u043f\u0440\u043e\u0433\u043d\u0430\u043b\u0438 \u043f\u043e Juice Shop 20.2.0 \u0434\u0432\u0430 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0441 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0435\u0439, \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0440\u0430\u0437\u0443 \u043a\u0430\u0436\u0434\u044b\u0439: PT BlackBox 3.3 \u0432\u0445\u043e\u0434\u0438\u043b \u0447\u0435\u0440\u0435\u0437 \u0444\u043e\u0440\u043c\u0443 \/#\/login, ZAP 2.17 \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 Authenticated scan \u0441 AJAX Spider.PT BlackBox 3.3OWASP ZAP 2.17\u0412\u0440\u0435\u043c\u044f \u0441\u043a\u0430\u043d\u043022 \u043c\u0438\u043d\u0443\u0442\u044b120 \u043c\u0438\u043d\u0443\u0442\u0417\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043a \u0441\u0442\u0435\u043d\u0434\u044312 064\u043e\u043a\u043e\u043b\u043e 71 \u0442\u044b\u0441.\u0421\u0447\u0435\u0442\u0447\u0438\u043a \u043e\u0442\u0447\u0435\u0442\u043048 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0439, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u044b\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u043d\u0438\u044f \u043e\u0434\u043d\u043e\u0433\u043e \u0442\u0438\u043f\u043014 \u0433\u0440\u0443\u043f\u043f \u0430\u043b\u0435\u0440\u0442\u043e\u0432\u0412\u044b\u0441\u043e\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c3: SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f, SSRF, XXE1: SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f\u0421\u0440\u0435\u0434\u043d\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c3: \u043d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432, DNS rebinding, HTTP \u0431\u0435\u0437 TLS5: \u043d\u0435\u0442 CSP, Cross-Domain Misconfiguration, JWT \u0432 localStorage, \u043d\u0435\u0442 \u0437\u0430\u0449\u0438\u0442\u044b \u043e\u0442 clickjacking, Session ID \u0432 URL\u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u043e \u0441\u0447\u0435\u0442\u0447\u0438\u043a\u0430\u0445. ZAP \u0433\u0440\u0443\u043f\u043f\u0438\u0440\u0443\u0435\u0442 \u0430\u043b\u0435\u0440\u0442\u044b, PT BlackBox \u0441\u0447\u0438\u0442\u0430\u0435\u0442 \u043a\u0430\u0436\u0434\u043e\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u0435, \u0442\u0430\u043a \u0447\u0442\u043e \u00ab48 \u043f\u0440\u043e\u0442\u0438\u0432 14\u00bb \u043e \u0447\u0438\u0441\u043b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435 \u0433\u043e\u0432\u043e\u0440\u0438\u0442. \u0423\u0440\u043e\u0432\u043d\u0438 \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u0442\u0430\u0431\u043b\u0438\u0446\u0435 \u0432\u0437\u044f\u0442\u044b \u0438\u0437 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 \u0441\u0430\u043c\u0438\u0445 \u0441\u043a\u0430\u043d\u0435\u0440\u043e\u0432, \u0438 \u0432 \u043b\u043e\u0431 \u0438\u0445 \u0442\u043e\u0436\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u043d\u0435 \u0441\u0442\u043e\u0438\u0442: \u043a\u0430\u0436\u0434\u044b\u0439 \u0441\u043a\u0430\u043d\u0435\u0440 \u0440\u0430\u0441\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0440\u043e\u0432\u043d\u0438 \u043f\u043e-\u0441\u0432\u043e\u0435\u043c\u0443. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u0435 CSP \u0435\u0441\u0442\u044c \u0432 \u043e\u0431\u043e\u0438\u0445 \u043e\u0442\u0447\u0435\u0442\u0430\u0445, \u043d\u043e ZAP \u043e\u0442\u043d\u043e\u0441\u0438\u0442 \u0435\u0433\u043e \u043a \u0441\u0440\u0435\u0434\u043d\u0435\u043c\u0443 \u0443\u0440\u043e\u0432\u043d\u044e, \u0430 PT BlackBox \u2014 \u043a \u043d\u0438\u0437\u043a\u043e\u043c\u0443, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0432 \u0441\u0442\u0440\u043e\u043a\u0435 \u0441\u0440\u0435\u0434\u043d\u0435\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0443 PT BlackBox \u0435\u0433\u043e \u043d\u0435\u0442. \u0427\u0435\u0441\u0442\u043d\u0435\u0435 \u0441\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0442\u044c \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438: \u043a\u0442\u043e \u0447\u0442\u043e \u043d\u0430\u0448\u0435\u043b \u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b.SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e \u0432 \u043f\u043e\u0438\u0441\u043a\u0435, GET \/rest\/products\/search?q=, \u043d\u0430\u0448\u043b\u0438 \u043e\u0431\u0430: \u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0431\u0435\u0437 \u0432\u0445\u043e\u0434\u0430 \u0438 \u0432\u0438\u0434\u0435\u043d \u0432 JavaScript-\u0431\u0430\u043d\u0434\u043b\u0435. SSRF \u0432 POST \/profile\/image\/url \u0438 XXE \u0432 POST \/file-upload \u0435\u0441\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043e\u0442\u0447\u0435\u0442\u0435 PT BlackBox, \u0438 \u043e\u0431\u0435 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u044b \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0435\u0439. \u041d\u0435\u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0430\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0430 \u0444\u0430\u0439\u043b\u043e\u0432 \u2014 \u043d\u0430 \u0444\u043e\u0442\u043e\u0441\u0442\u0435\u043d\u0435, POST \/rest\/memories.\u041d\u0435\u043c\u0430\u043b\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438 \u0441\u043f\u0440\u044f\u0442\u0430\u043d\u0430 \u0437\u0430 \u043b\u043e\u0433\u0438\u043d\u043e\u043c. PT BlackBox \u0441\u043e\u0431\u0440\u0430\u043b 20 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043a API, \u043c\u0435\u043d\u044f\u044e\u0449\u0438\u0445 \u0434\u0430\u043d\u043d\u044b\u0435 (POST, PUT, DELETE), \u0438 \u0434\u043e \u043c\u043d\u043e\u0433\u0438\u0445 \u0438\u0437 \u043d\u0438\u0445 \u0434\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u043c\u043e\u0436\u043d\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0435\u0440\u0435\u0437 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u043f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430: \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0430 \u0438 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043a\u0430\u0440\u0442\u044b (\/api\/Cards), \u0430\u0434\u0440\u0435\u0441 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438, \u043e\u0442\u0437\u044b\u0432 \u043e \u0442\u043e\u0432\u0430\u0440\u0435, \u0444\u043e\u0442\u043e\u0441\u0442\u0435\u043d\u0430 (\/rest\/memories), \u0430\u0432\u0430\u0442\u0430\u0440 \u043f\u043e \u0441\u0441\u044b\u043b\u043a\u0435 (\/profile\/image\/url), \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043a \u0436\u0430\u043b\u043e\u0431\u0435 (\/file-upload), \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 2FA. \u0421\u043a\u043e\u043b\u044c\u043a\u043e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u043f\u0440\u043e\u0448\u0435\u043b ZAP, \u043f\u043e \u0435\u0433\u043e \u043e\u0442\u0447\u0435\u0442\u0443 \u043d\u0435 \u043f\u043e\u043d\u044f\u0442\u044c: \u0432 \u043d\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u0430\u043b\u0435\u0440\u0442\u044b \u0438 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0430, \u0430 \u0441\u043f\u0438\u0441\u043a\u0430 \u0432\u0441\u0435\u0445 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0445 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043d\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u043f\u043e 120 \u043c\u0438\u043d\u0443\u0442\u0430\u043c \u0438 71 \u0442\u044b\u0441. \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u043d\u0435\u043b\u044c\u0437\u044f \u0441\u043a\u0430\u0437\u0430\u0442\u044c, \u0447\u0442\u043e ZAP \u0440\u0430\u0431\u043e\u0442\u0430\u043b \u0432\u043f\u0443\u0441\u0442\u0443\u044e: \u043e\u043d \u043c\u043e\u0433 \u043f\u043e\u043a\u0440\u044b\u0442\u044c \u0438 \u0431\u043e\u043b\u044c\u0448\u0435 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u0438, \u043f\u0440\u043e\u0441\u0442\u043e \u0431\u0435\u0437 \u043d\u0430\u0445\u043e\u0434\u043e\u043a. \u0427\u0442\u043e\u0431\u044b \u0441\u0440\u0430\u0432\u043d\u0438\u0442\u044c \u043f\u043e\u043a\u0440\u044b\u0442\u0438\u0435 \u0447\u0435\u0441\u0442\u043d\u043e, \u043d\u0443\u0436\u043d\u043e \u0432\u044b\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u0438\u0437 \u043e\u0431\u043e\u0438\u0445 \u0441\u043a\u0430\u043d\u0435\u0440\u043e\u0432 \u0441\u043f\u0438\u0441\u043a\u0438 \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0438 \u0441\u0432\u0435\u0440\u0438\u0442\u044c \u0438\u0445 \u0441 \u043e\u0434\u043d\u0438\u043c \u044d\u0442\u0430\u043b\u043e\u043d\u043e\u043c.ZAP \u0443\u043c\u0435\u0435\u0442 \u043e\u0431\u0445\u043e\u0434\u0438\u0442\u044c SPA, \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0435\u0439 \u0438 \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0432 CI. \u041d\u0430\u0448 \u043f\u0440\u043e\u0433\u043e\u043d \u2014 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u044b\u0445 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a \u043d\u0430 \u043e\u0434\u043d\u043e\u043c \u0441\u0442\u0435\u043d\u0434\u0435, \u0438 \u0432\u044b\u043d\u043e\u0441\u0438\u0442\u044c \u043f\u043e \u043d\u0435\u043c\u0443 \u043f\u0440\u0438\u0433\u043e\u0432\u043e\u0440 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0443 \u043d\u0435 \u0441\u0442\u043e\u0438\u0442. \u0421\u0440\u0430\u0432\u043d\u0438\u0432\u0430\u0439\u0442\u0435 \u043d\u0430 \u0441\u0432\u043e\u0438\u0445 \u0441\u0442\u0435\u043d\u0434\u0430\u0445: \u043f\u0440\u043e\u0448\u0435\u043b \u043b\u0438 \u0441\u043a\u0430\u043d\u0435\u0440 \u0432\u0445\u043e\u0434, \u043a\u0430\u043a\u0438\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0438 \u043f\u0443\u0442\u0438 \u043d\u0430\u0448\u0435\u043b, \u043a\u0430\u043a\u0438\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0434\u0438\u043b, \u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0443\u0448\u043b\u043e. \u0418 \u043f\u0440\u0438\u043a\u0438\u043d\u044c\u0442\u0435, \u043a\u0442\u043e \u0431\u0443\u0434\u0435\u0442 \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0438 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0442\u044c \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438 \u0432\u0445\u043e\u0434\u0430.\u0410\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u044f\u0411\u0435\u0437 \u0432\u0445\u043e\u0434\u0430 \u0441\u043a\u0430\u043d\u0435\u0440 \u0432\u0438\u0434\u0438\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u0443\u044e \u0447\u0430\u0441\u0442\u044c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f. \u0421\u0435\u0440\u044c\u0435\u0437\u043d\u044b\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0431\u044b\u0432\u0430\u044e\u0442 \u0438 \u0442\u0430\u043c, \u043d\u043e \u0432\u0441\u0435, \u0447\u0442\u043e \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u043f\u043e\u0441\u043b\u0435 \u0432\u0445\u043e\u0434\u0430, \u2014 \u043b\u0438\u0447\u043d\u044b\u0439 \u043a\u0430\u0431\u0438\u043d\u0435\u0442, \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438 \u043f\u0440\u043e\u0444\u0438\u043b\u044f, \u0430\u0434\u043c\u0438\u043d\u043a\u0430 \u2014 \u043e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u0437\u0430 \u0431\u043e\u0440\u0442\u043e\u043c. \u0410 \u0432\u0445\u043e\u0434 \u0432 \u043d\u0430\u0441\u0442\u043e\u044f\u0449\u0435\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0440\u0435\u0434\u043a\u043e \u0441\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u043a \u0444\u043e\u0440\u043c\u0435 \u0441 \u043b\u043e\u0433\u0438\u043d\u043e\u043c \u0438 \u043f\u0430\u0440\u043e\u043b\u0435\u043c: \u044d\u0442\u043e SSO \u0441 \u0440\u0435\u0434\u0438\u0440\u0435\u043a\u0442\u0430\u043c\u0438 \u0447\u0435\u0440\u0435\u0437 \u0432\u043d\u0435\u0448\u043d\u0438\u0439 IdP,…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-499785","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/499785","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=499785"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/499785\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=499785"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=499785"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=499785"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}