Типичные промахи в проверке уязвимостей — что реально проверить и как
 

Сидишь, проверяешь сайт или веб-приложение на уязвимости и часто натыкаешься на одни и те же лажи. Типа запускаешь сканер, получаешь тонну отчетов, не разбираешься в них или просто пропускаешь базовые моменты. Вот пару реально рабочих пунктов, которые лучше всегда иметь в голове и не забывать:

1. Проверяйте не только автоматом. Инструменты — хорошо, но они не поймают всё. Например, XSS лучше искать руками — в тех местах, где ввод пользователя отражается в ответе без фильтрации.

2. Смотрите на конфиги сервера и приложений. Часто проблемы скрываются именно там: старые версии PHP, открытые директории, неправильные настройки CORS — это всё классика.

3. Обязательно проверяйте входные данные: фильтрация, экранирование, длину, типы. Если где-то можно засунуть JS или SQL — там почти гарантирован баг.

4. Контролируйте сессии и куки: убедитесь, что там включён HttpOnly, Secure, и куки не передаются по HTTP. Без этого атакам типа перехвата простая дорога.

5. Не забывайте про права доступа. Часто аплоад происходит с недостаточной проверкой — это подарок для любого, кто хочет загрузить чё-нить вредное.

6. Проверьте логирование и обработку ошибок. Не должно быть подробных стеков и конфиденциальных данных в выводах — это живой клад для нападений.

Чек-лист не полный, но если эти моменты завалите — дальше всё плохо. Кто что ещё добавляет в свою проверку? Или наоборот считает, что что-то из этого — перебор?

Согласен, что автоматизация сильно переоценивается. Часто сканер выдает кучу ложных срабатываний, и море времени уходит на их сортировку. Ручной просмотр — реально полезная вещь, особенно когда надо понять контекст. И про конфиги — давно заметил, что много проблем именно на уровне сервера и прав доступа, а не в коде. Логирование тоже важный момент, который часто упускают.

Все верно, автоматизация без ручной проверки — как ловить рыбу на пустом озере. Особенно когда речь о сложных баггах, где контекст важнее любых сканеров. К тому же, конфиги сервера реально часто забудут проверить, а зря — там масса потенциальных дыр. От логов и прав доступа тоже зависит многое, без этого даже самый крутой код не спасёт. В итоге хорошо, когда всё вместе — и софт, и грамотный ручной взгляд.