Пока подводят итоги года, подведу итоги своих 2.2 годов, ощущавшихся как 5 лет 🎅

Почему? Потому что 2.2 года назад я закончил 3 курса колледжа, и по воле случая, ушёл в академический отпуск, попав в самостоятельное инфобезное плавание.

Уходя в академ, я был весьма average студентом, который лишь на 3 курсе впервые запустил Linux и только спустя неделю запомнил как выходить из vim'а.

Что успело произойти за время академа

— 1 год
- провёл свыше 30 лекций студентам (и не только)
- проработал год куратором группы студентов безопасников (пообещав себе больше никогда этим не заниматься)
— 2 год
- понял как самообучаться (как-нибудь напишу пост об этом)
- попал на стажировку в DeteAct и успешно пропустил её, поставив в приоритет Школу ИБ от Яндекса
- провалил собеседование в бизон
- делал CTF таски (порой п‌р‌о‌к‌л‌я‌т‌ы‌е‌ ‌ ) для Codeby
- выбил бесплатные проходки на PHDays 12 и OFFZONE
- нашёл свои первые баги на багбаунти
- перешёл с Python на Go, выпустив subchase
- успешно прошёл собеседование и устроился пентестером в бизон
- выиграл свой первый хакатон
- выступил с докладом Offensive DevTools
- поучаствовал в Standoff Hacks
- избавился от игровой зависимости, продав консоль и удалив все аккаунты (потратил в играх 6.000+ часов)
- отчислился из колледжа по собственному желанию

По пунктам - всё круто и радужно, одни победы, но в этих 2 годах было невероятное количество стресса и изоляции. Преподавательство и кураторство приводило к нервным срывам. При отборе на стажировку были панические атаки. При попытках бросить игры и перенаправить энергию в ИБ, я терял "игровых друзей", которых знал 6+ лет.

Впрочем, я ни о чём не жалею. Я рад, что сменил свой маршрут жизни, и нашёл то, ради чего хочу просыпаться каждый день. В моей жизни появились поддерживающие люди, наполняющие энергией. Впереди только круче, сложнее, и от того эпичнее!

Желаю тебе, в новом году, найти то, ради чего захочешь просыпаться каждый день. Чтобы баги видел издалека, сканеры не ошибались, а фаззеры не клали сайты 💻

#newyear #me

К чему вся эта стата из жизни автора?

К тому, что не надейся на чудо в новому году, а начни ебашить, создавая своё чудо. Будет сложно, больно, но каждая победа будет better than anything else you can imagine.

Не хватает мотивации? Создай канал и пиши туда, что изучил. Порой будешь вспоминать "блин, у меня же канал есть, надо бы что-то запостить" и будешь вкатываться во флоу ресерчей, а там уже разберешься.

Всё, давай до следующего года, и чтоб в конце следующего года тоже написал "этот год был круче и сложнее всех предыдущих, но я ни о чём не жалею и горжусь собой" 👏

👁 Курс на мисконфиги. Как поймать проблемный CORS на проде

На новогодних праздниках, вместо поедания мандаринов, решил совместно с SidneyJob, провести исследование поведений браузеров при мисконфигурации CORS.

Разобрали как работает SOP и CORS, посмотрели возможные мисконфиги и способы их эксплуатации, провели несколько экспериментов, и даже вспомнили, как работают регулярки.

Мы даже сделали для этого отдельную лабу! В ней ты сможешь создавать свои PoC'и при мисконфигурация CORS'a и сразу же кидать на них ссылки уже в отчёте.

Всё получившееся собрали вместе и выпустили как нашу первую статью на xakep.ru. Приятного чтения!

https://xakep.ru/2024/01/18/cors-cheatsheet/

#web #client_side #research