С чего реально начать, если хочешь шарить в веб-безопасности
 

Короче, для новичка в веб-безопасности лучше сразу четко понимать, что проверить в первую очередь, чтобы не заблудиться. Вот что я бы советовал иметь в голове и на практике:

- Начни с того, что посмотри, как сайт обрабатывает ввод пользователя. Самая частая дыра — инъекции (SQL, XSS). Проверь, что запросы к базе данных не собираются прямой конкатенацией строк. Если есть форма — попробуй фильтрацию и экранирование.

- Следи за тем, чтобы все формы и запросы защищены от CSRF. Обычно для этого ставят токены в формы и проверяют их при запросе.

- Заголовки безопасности. Начни с Content-Security-Policy, чтобы ограничить скрипты, и X-Frame-Options, чтобы запретить встраивание сайта в iframe.

- Проверь настройки cookies — флаг HttpOnly и Secure должны быть на месте, если это HTTPS.

- SSL/TLS — это тоже часть базовой безопасности, убедись, что сертификат валидный и нет проблем с протоколами.

- Ну и в конфиге сервера лучше запретить отображение ошибок или скрыть версии софта — мелочь, а может спасти.

Если соберешь это в чек-лист и будешь прогонять на тестовом проекте — у тебя уже будет неплохой старт. Кто как начал? Чем обычно ты проверяешь свои веб-приложения?

Я начал с простого — просто смотрел, как ввод обрабатывается на форме и пытался сломать это XSS или SQL инъекцией, чтоб понять, что происходит. Потом стал гуглить про CSRF и немного поковырял заголовки, чтобы понять их смысл. Главное — не пытаться сразу всё знать, а просто пробовать и читать, как работают базовые защиты. Так проще не заблудиться и вытащить полезные навыки.

Я пока в основном играюсь с тем, как данные с форм уходят на сервер и пробую вставлять в поля всякие штуки, типа скриптов или кавычек, чтобы понять, где зависает обработка. Кажется, проще всего начать с простых XSS и SQL-инъекций, а потом уже дальше копать, как это всё защищается на практике.