Archiwa tagu: testy penetracyjne

Przewodnik po certyfikatach z zakresu cyberbezpieczeństwa wraz z rankingiem — aktualizacja 2026 (era AI)

przez | |
1 komentarz
Certyfikaty cyberbezpieczeństwa 2026 — ranking, ceny i era AI (zaktualizowany przewodnik)

Dwa lata temu opublikowałem ranking certyfikatów z cyberbezpieczeństwa — i od tamtej pory sporo się posypało. CASP+ formalnie nie istnieje, OSCP dostał termin ważności, darmowy egzamin ISC2 przestał być darmowy, a AI zaczęło domykać juniorom drzwi do branży. Powtórzyłem moją analizę ogłoszeń na Indeed po dwóch latach: niektóre certyfikaty urosły o ponad 200%, inne spadły o połowę. 💥 W zaktualizowanym przewodniku znajdziesz ranking 6 poziomów, aktualne ceny wszystkich 21 certyfikatów i twarde dane o tym, co zmieniło AI. Sprawdź, zanim wydasz kilkaset dolarów na papier, który rynek właśnie przestaje czytać. Continue reading →

Jak rabuję banki (i inne podobne miejsca) + konkurs

przez | |
12 komentarzy
jak rabuje banki

Uwaga: Niniejsza recenzja powstała we współpracy z wydawnictwem Helion, które dostarczyło mi książkę „Jak rabuję banki” do oceny. Konkurs W ramach współpracy z Helionem mam do rozdania wśród czytelników bloga 3 egzemplarze książki „Jak rabuję banki”. Aby wziąć udział w konkursie podziel się w komentarzu najciekawszym zabezpieczeniem lub środkiem ochrony,… Continue reading →

Ukryte dane w plikach – czyli jak metadane mogą przydać się podczas testów penetracyjnych

przez | |
2 komentarze
ukryta miniaturka w metadanych

Wiele formatów plików, oprócz przedstawiania treści, takich jak JPEG pokazujący wykonane zdjęcie, może zawierać metadane. Te ukryte informacje mogą być nieocenione podczas śledztw OSINT-owych oraz testów penetracyjnych. Przyjrzymy się kilku przypadkom oraz narzędziom przydatnym w ekstrakcji tych pozornie ukrytych informacji. Nieczyszczenie Metadanych z Zdjęć Minęły już czasy, gdy znane portale… Continue reading →

Najbardziej przydatne wtyczki do Burp Suite

przez | |
Dodaj komentarz
Burp Suite hacker

Niniejszy wpis jest uzupełnieniem mojej prezentacji w ramach The Hack Summit 2023, gdzie przedstawię, jak za pomocą kilku wtyczek do Burp Suite można przyspieszyć i ułatwić przeprowadzanie testów penetracyjnych aplikacji webowych. Poniżej znajduje się zestawienie najbardziej przydatnych wtyczek do Burp Suite, z których sam korzystam. Część z nich nie jest… Continue reading →

Co może nam powiedzieć zbadanie czasu odpowiedzi serwera?

przez | |
3 komentarze
proces logowania użytkownika

Przyjmując założenie, że serwer podejmuje działania na podstawie określonego warunku, analizujmy sytuację, w której serwer wykonuje obliczenia w zależności od wyniku tego warunku i następnie przekazuje odpowiedź użytkownikowi. W obu przypadkach, czyli zarówno gdy obliczenia są wykonywane, jak i gdy nie są, serwer zwraca odpowiedź użytkownikowi. Warto zauważyć, że w… Continue reading →

JWT Re-auth – automatyczne odświeżanie sesji

przez | | ,
Dodaj komentarz
jwt re-auth

Burp Suite nie radzi sobie z automatycznym odświeżaniem sesji, jeśli taka sesja jest przechowywana w nagłówku, a nie w plikach cookie. Jest to istotne z uwagi na to, że często tokeny JWT (JSON Web Tokens) mają krótki czas życia, co wynika z konieczności zapewnienia bezpieczeństwa przetwarzanych danych. W efekcie, próba… Continue reading →

Param-miner — odkryj ukryte parametry

przez | | ,
Dodaj komentarz
param miner

Najczęstszym punktem wstrzyknięcia złośliwych treści do aplikacji są wartości parametrów przekazywanych do niej. Aby poznać, jakie parametry używa dana aplikacja, należy przeprowadzić fazę rekonesansu, czyli testować różne funkcjonalności i zauważać, jakie parametry są wtedy przesyłane. Jednakże, jeśli nie ma się dostępu do pełnej dokumentacji technicznej lub kodu źródłowego, a funkcjonalności… Continue reading →

DOM Invader – automatyzacja wyszukiwania DOM XSS wraz z prototype pollution

przez | | ,
Dodaj komentarz
Prototype pollution

Chociaż nie jestem fanem przeglądarki wbudowanej w Burp Suite to ma ona chociaż jedną zaletę, dla której warto z niej czasami skorzystać. Jest nim wprowadzone w zeszłym roku rozszerzenie – „DOM Invader”. Służy ono do szybkiego i prostego wyszukiwania podatności typu DOM XSS. To, co w nim jest przełomowe, to… Continue reading →

Co w pentestach piszczy – przykłady, narzędzia, porady. The Hack Summit 2021

przez | |
Dodaj komentarz
Co w pentestach piszczy - przykłady, narzędzia, porady. The Hack Summit 2021

„Co w pentestach piszczy – przykłady, narzędzia, porady” – prezentacja, którą miałem przyjemność przedstawić w ramach konferencji The Hack Summit 2021. Znajduje się w niej trochę statystyk z testów penetracyjnych, narzędzi, przykładów znalezionych podatności oraz porad jak sobie z nimi radzić.

Turbo Intruder w testowaniu Race Condition

przez | | ,
1 komentarz
Race condition wielowątkowość

Czy wiesz, że będąc wystarczająco szybkim, możesz wykorzystać lukę, której przy zachowaniu „standardowej” prędkości wysyłania żądań http do serwera nie udałoby się zidentyfikować? Czasami przy szukaniu błędów bezpieczeństwa trzeba zmierzyć się w wyścigu z kodem programisty i serwerem. Race Condition jest typem błędu wynikającym między innymi ze starego podejścia do… Continue reading →