О курсе

Данная часть курса Hack The Box Academy, посвящённого подготовке к сертификации Certified Penetration Testing Specialist (CPTS), содержит перевод модуля 21 «Атаки на загрузку файлов». В материале рассматривается одна из критических уязвимостей веб-приложений — возможность загрузки произвольных файлов. Описываются потенциальные последствия такой уязвимости, включая выполнение произвольных команд на сервере и получение контроля над приложением. В рамках модуля разбираются различные типы фильтров, которые могут применяться для ограничения загрузки: валидация на стороне клиента, чёрные и белые списки, фильтры по типу файлов. Также рассматриваются методы эксплуатации уязвимостей загрузки и способы обхода фильтров. Отдельное внимание уделяется ограниченной загрузке файлов и другим атакам, связанным с этим функционалом. В завершение модуля предлагаются рекомендации по предотвращению подобных уязвимостей. Материал представлен в формате PDF и является частью полного курса, состоящего из 28 модулей.

Что рассматривается в программе

  • рассматриваются атаки на загрузку файлов в веб-приложениях
  • разбираются методы обхода фильтров загрузки (чёрные и белые списки, фильтры типов)
  • изучается эксплуатация уязвимостей загрузки файлов
  • описываются меры предотвращения уязвимостей загрузки файлов

Кому может быть полезен курс

  • тем, кто интересуется тестированием на проникновение и этичным хакингом
  • специалистам по информационной безопасности, желающим ознакомиться с атаками на загрузку файлов
  • новичкам в области веб-безопасности, изучающим уязвимости веб-приложений

Вопросы о программе

Какая тема рассматривается в 21-й части курса?

Модуль 21 посвящён атакам на загрузку файлов в веб-приложениях.

Какие типы фильтров загрузки файлов описываются в модуле?

В модуле рассматриваются валидация на стороне клиента, фильтры чёрного и белого списков, а также фильтры по типу файлов.

Какие последствия может иметь уязвимость загрузки произвольных файлов?

По описанию, такая уязвимость позволяет атакующим загружать вредоносные файлы, выполнять произвольные команды на сервере и потенциально получать контроль над сервером и приложениями.