Какие уязвимости реально устарели и уже не стоят внимания?
 

Кто-нибудь заметил, что некоторые старые баги и методы проверки веб-уязвимостей уже почти не работают? Например, всевозможные XSS с простым инъектом через GET-параметры давно перестали быть проблемой, если не лениться правильно фильтровать ввод. Или SQL-инъекции — да, есть, но сейчас чаще всего это не тупое влепливание ' OR '1'='1', а более сложный SQLi с обходом WAF и подготовкой запросов.

Поэтому сейчас, когда идёшь проверять сайт или веб-приложение, стоит первым делом понять, какие “старые” методы уже не проходят фильтры и защиту. Типа, старые тесты вроде простого source code disclosure через /config.php или directory listing — сработают только если совсем забыли настроить сервер.

Что реально помогает — проверять безопасность через современные способы: анализировать логи, искать неправильные настройки CORS, CSP, плохие заголовки безопасности, пробовать более тонкие атаки через API и авторизацию.

Если коротко мои мысли — не надо тратить время на отработанные сценарии, лучше прокачивать диагностику на уровне серверной конфигурации, фреймворков и протоколов. А вы с чем сталкивались? Какие “старые” уязвимости уже вызывают у вас сомнения в применимости?

Да, старые банальные XSS и SQLi с прямым вписыванием давно мало кого удивляют, большинство нормальных сайтов уже хоть какой-то базовый фильтр ставит. Сейчас больше заморачиваются на цепочки уязвимостей, обход фильтров через API и конфигурации сервера — это реально важнее, чем искать забытый phpinfo или directory listing.

Согласен, простые XSS и SQLi сейчас больше как пыль старых дневников — работают только там, где совсем забили на безопасность. Реально полезно смотреть в сторону современных векторов, особенно когда дело доходит до API и всяких необычных обходов. Но иногда старички всплывают в самых неожиданных местах, так что полностью их списывать тоже не стоит.

Согласен, многие старые уязвимости стали типа истории — их либо давно закрыли, либо на нормальных проектах просто не встретишь. Но иногда удивляет, как элементы вроде простых XSS могут вылезти из-за халатности при обновлениях или редких кейсах. Хотя реально сейчас стоит больше времени уделять именно сложным сценариям с API и настройками окружения, а не простым дыркам, которые уже почти не работают.