Как взломать сервис, в котором используется десериализация данных
Привет! Я Артемий Богданов, эксперт по практической безопасности Start X. Сегодня я расскажу, как небезопасная десериализация может привести к взлому сервиса.
Сериализация и последующая десериализация бывают нужны, когда необходимо сохранить объект в строку, а затем в точности восстановить его одной командой, даже если это объект сложной структуры.
Выглядит полезно, но серьезно угрожает безопасности: хакеры могут внедрять вредоносный код, модифицировать данные, например, количество бонусов в интернет-магазине, украсть конфиденциальные сведения и много чего еще.
В этой статье мы рассмотрим уязвимый сервер глазами хакера, найдем слабые места и заполучим reverse-shell. На примере взлома сервиса доставки еды вы увидите, как отсутствие должной защиты может привести к серьезным последствиям — от утечки личных данных до полного захвата сервера.
Читать далееИсточник: Хабрахабр
Похожие новости
- Это ты на фото? SMS-RAT. Методы обфускации
- Опыт настройки МСЭ и кибербезопасности на промышленных объектах
- Технический долг в ИТ: главные причины и скрытые риски
- Spark_news: X5 разыгрывает один миллион рублей в честь своего 20-летия
- VPN режут, Штрафы за утечки растут, НО доступ к нашим телефонам продаётся как ни в чём не бывало
- На словах ты WAF простой: на что смотреть заказчику во время пилотного тестирования WAF-решений
- Telegram «вернул» стену
- Безопасность ИИ: как перестать бежать анализировать каждое новое ПО и перейти к системному подходу
- [Перевод] Как Cursor с Claude Opus снёс продакшен базу данных за 9 секунд
- Мерчандайзинг в интерфейсах: Как ваши привычки стали врагом номер один