1-Click ATO Via Host Header Injection: Exploiting Password Reset Poisoning.

InfoSec Write-ups2 Hot5 min4 d agoAI

How I Got My Highest Payout

Mục tiêu của cuộc kiểm tra là một portail ứng dụng nơi người dùng đăng ký, điền vào một biểu mẫu cực lớn và sau đó nhận được một file PDF chứa toàn bộ thông tin đã nộp, bao gồm các con số thu nhập. Trong quá trình kiểm tra, tác giả phát hiện một lỗi truy cập trực tiếp đối tượng (IDOR) cho phép truy cập vào PDF của người dùng khác mà không cần xác thực. Lỗi này được khai thác để lấy dữ liệu tài chính nhạy cảm từ các biểu mẫu đã gửi, tạo ra một rủi ro lộ thông tin cá nhân lớn. Do mức độ nghiêm trọng và tác động tiềm ẩn đến quyền riêng tư, chương trình bug bounty đã trao cho tác giả mức thưởng cao nhất mà anh từng nhận được. Kinh nghiệm này nhấn mạnh việc kiểm tra kỹ các cơ chế tạo file PDF và kiểm soát truy cập đối tượng là cần thiết để tránh rò rỉ dữ liệu trong các ứng dụng xử lý biểu mẫu lớn.

Bài này chia sẻ kỹ thuật khai thác lỗ hổng trong ứng dụng tạo PDF giúp lập trình viên hiểu rõ hơn về bảo mật web.

#authorization #web-security #jwt Source

freeCodeCamp17 Hot41 min26 d agoAI

CSRF from Scratch: Browser Mechanics, Attacks, and Spring Security Implementation [Full Handbook]

Bài viết giải thích cơ chế hoạt động của CSRF trong trình duyệt, cách thức tấn công và triển khai bảo vệ bằng Spring Security, cung cấp hướng dẫn toàn diện từ cơ bản đến nâng cao.

Lập trình viên Spring Security nên đọc bài này để hiểu rõ cơ chế CSRF từ cơ bản đến triển khai thực tế, giúp bảo vệ ứng dụng chống lại tấn công giả mạo yêu cầu từ các trang web khác mà không cần phải biết chi tiết về cơ chế bảo mật web.

#security #java #web-security Source

The New Stack1 Hot6 min1 mo agoAI

“The beast needs a cage”: Why PortSwigger’s agentic pentesting is kept safe behind bars

PortSwigger ra mắt Burp AT, công cụ pentesting sử dụng AI agent đề xuất hành động nhưng được kiểm soát chặt chẽ bởi lớp deterministic nhằm đảm bảo phạm vi và phê duyệt.

Lập trình viên phát triển ứng dụng an ninh mạng nên đọc bài này để hiểu cách Burp AT kết hợp trí tuệ nhân tạo với kiểm tra bảo mật một cách an toàn, minh bạch và có thể kiểm soát, giúp tối ưu hóa quy trình phát hiện lỗ hổng mà không đe dọa đến tính toàn vẹn hệ thống.

#security #ai-agents #web-security Source

Codemotion1 Hot12 min1 mo agoAI

HTTP QUERY: the method that was missing between GET and POST

Phương thức QUERY không chỉ đơn thuần là bổ sung cú pháp mà giải quyết sự bất nhất trong cấu trúc HTTP tồn tại từ khi Web ra đời.

Là người phát triển web, bạn cần hiểu về QUERY vì nó giải quyết một vấn đề cơ bản trong thiết kế HTTP—tránh sự bất cân đối giữa các phương thức như GET và POST khi xử lý dữ liệu truyền qua URL, giúp xây dựng API và ứng dụng web hiệu quả hơn.

#architecture #graphql #web-security Source

Hackaday0 Hot2 min18 d agoAI

ShieldFont: Bludgeoning AI Scrapers That Disrespect Robots.txt

ShieldFont là kỹ thuật chống scraping mới sử dụng phương pháp thay thế ligature dựa trên từ điển, khiến khoảng 25% từ trên trang hiển thị bình thường với người dùng nhưng trở thành văn bản vô nghĩa đối với các scraper AI khi phân tích HTML thô. Kỹ thuật này nhắm vào các scraper AI bỏ qua robots.txt, nhưng cũng ảnh hưởng đến trình đọc màn hình và lập chỉ mục tìm kiếm hợp pháp.

Lập trình viên phát triển hệ thống chống scrapers hoặc bảo vệ dữ liệu của doanh nghiệp nên đọc bài này để hiểu cách hiệu quả chống lại các công cụ AI tự động vi phạm quy định robots.txt bằng kỹ thuật thay thế ligature, đồng thời đánh giá tác động của nó đối với tính bảo mật và khả năng truy cập của người dùng.

#cloudflare #crawling #web-security Source

The Next Web0 Hot3 min1 mo agoAI

Dead internet theory becomes measurable fact as AI agents flood the web

Các công ty an ninh mạng xác nhận phần lớn lưu lượng web hiện nay do bot tạo ra, trong đó hoạt động của AI agent tăng gần 8.000%, thay đổi đáng kể nền kinh tế internet.

Lập trình viên nên đọc bài này để hiểu cách AI agents và bots thay đổi cơ sở hạ tầng web, từ đó cập nhật kiến thức về cách bảo vệ ứng dụng, tối ưu hiệu suất và phát triển các giải pháp mới trong thời đại số hóa.

#ai-agents #cloudflare #web-security Source

Flavio Copes0 Hot6 min27 d agoAI

The HTTP security headers every site should send

Các tiêu đề bảo mật HTTP quan trọng gồm HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy và Permissions-Policy, cùng giá trị khởi điểm hợp lý để ngăn chặn tấn công, rò rỉ dữ liệu và kiểm soát quyền truy cập.

Một lập trình viên nên đọc bài này để hiểu cách bảo vệ ứng dụng web của mình khỏi các cuộc tấn công phổ biến như CSRF, XSS, clickjacking và lỗ hổng do cấu hình sai header HTTP gây ra, đồng thời tìm hiểu cách triển khai các header an toàn hiệu quả.

#security #web-security Source

Vercel0 Hot1 min18 d agoAI

Encrypted Client Hello (ECH) is now supported on Vercel CDN

Vercel CDN đã hỗ trợ Encrypted Client Hello (ECH) cho các tên miền quản lý bởi Vercel DNS, giúp mã hóa hostname trong quá trình bắt tay TLS mà không cần cấu hình gì thêm.

Lập trình viên phát triển ứng dụng web nên đọc bài này để hiểu cách ECH cải thiện bảo mật TLS bằng cách bảo vệ thông tin hostname trong giao thức handshake, giúp tránh các cuộc tấn công như DNS rebinding và tăng cường an toàn cho ứng dụng của họ.

#vercel #web-security Source

1-Click ATO Via Host Header Injection: Exploiting Password Reset Poisoning.

Recommended for you

Bình luận

How I Got My Highest Payout

CSRF from Scratch: Browser Mechanics, Attacks, and Spring Security Implementation [Full Handbook]

“The beast needs a cage”: Why PortSwigger’s agentic pentesting is kept safe behind bars

HTTP QUERY: the method that was missing between GET and POST

ShieldFont: Bludgeoning AI Scrapers That Disrespect Robots.txt

Dead internet theory becomes measurable fact as AI agents flood the web

The HTTP security headers every site should send

Encrypted Client Hello (ECH) is now supported on Vercel CDN

One account, the whole ecosystem

8syncdev.com

Courses

Coding practice

IELTS

ZUS — AI IDE

mind0

AcoLeads