HabrMar 31

Анатомия фаззинг-атак: как сканируют сервера в 2026 году (разбор 20 000 строк логов Nginx)

Привет, Хабр! В прошлой статье я рассказывал, что с недавнего времени я развлекаюсь в мире highload тем что создаю для себя и своих близких мессенджер ( Plumb ). И несмотря на то, что клиент для него собран практически из цифровой изоленты, которую хорошенько искупали в бочонке с красками — он на удивление стабильно работает (и мессаджинг, и звонки) даже в текущих непростых реалиях. В той статье я предложил Хабру попытаться сломать сервер моего мессенджера. Было потно, но мы выстояли. Спасибо всем, кто участвовал! Но сегодня я хочу поговорить о другом. На примере одной реальной массированной автоматизированной атаки на мой сервер хочу показать как боты и специализированное ПО пытаются атаковать ваши веб-приложения и серверы в 2026 году. Эта реальная атака - идеальный, хрестоматийный пример того, как именно сегодня сканируют современную инфраструктуру . Никакой магии, только голые логи, разбор векторов и механика защиты. Поехали.

https://habr.com/ru/articles/1017294/

#nginx #ratelimit #fuzzing

Анатомия фаззинг-атак: как сканируют сервера в 2026 году (разбор 20 000 строк логов Nginx)

Привет, Хабр! В прошлой статье я рассказывал, что с недавнего времени я развлекаюсь в мире highload тем что создаю для себя и своих близких мессенджер ( Plumb ). И несмотря на то, что клиент для него...

Хабр
HabrMar 26

Начинаем в багбаунти: как найти ошибки в бизнес‑логике

Всем привет! Меня зовут Роман. В ИТ я больше семи лет: начинал с разработки, а теперь занимаюсь AppSec и параллельно пробую себя в багхантинге. Сейчас вхожу в топ-25 рейтинга на Standoff Bug Bounty. Здесь я выступаю как начинающий исследователь багов и буду рад поделиться своими наработками. Сегодня обсудим уязвимости бизнес‑логики — сложные и часто недооцененные ошибки, способные привести к серьезному ущербу. Разберем, как их находить, почему они опасны и что делает охоту за ними в багбаунти такой увлекательной. Погнали!

https://habr.com/ru/companies/pt/articles/1014346/

#bug_bounty #broken_access_control #race_condition #jwt #dos #standoff #bugs #api #fuzzing #auth_bypass

Начинаем в багбаунти: как найти ошибки в бизнес‑логике

Всем привет! Меня зовут Роман. В ИТ я больше семи лет: начинал с разработки, а теперь занимаюсь AppSec и параллельно пробую себя в багхантинге. Сейчас вхожу в топ-25 рейтинга на Standoff Bug Bounty....

Хабр
💾 Paweł ŁukasikMar 20
New personal record: 2 characters crash a .NET library. That's the entire input. Two chars. #fuzzing #dotnet
Show threaddefnullMar 14

I would have never found this myself, because I would have had no reason to look for it. It's a single character typo in a regular expression that has no effect on the intended functionality, but leads to catastrophic backtracking when fed with malicious input. Why typo? Because the same pattern is used twice, and only one of them was bad.

The library has 100% test coverage, including malicious input scenarios. But for this kind of issues you'd need a fuzzer. Maybe I should look into #fuzzing?

Advanced Fuzzing LeagueMar 13
AFL++ v4.40c release - best performance ever - optimal hidden coverage instrumentation, FrameShift, LLVM 22 support, IJON fixes, a lot of minor and bigger enhancements! #fuzzer #fuzzing https://github.com/AFLplusplus/AFLplusplus/releases/tag/v4.40c
Release v4.40c · AFLplusplus/AFLplusplus

Version ++4.40c (release) afl-fuzz: FrameShift integrated and enabled by default, disable with AFL_FRAMESHIFT_DISABLE and configure effort via AFL_FRAMESHIFT_MAX_OVERHEAD. In extensive fuzzbench ...

GitHub
Show threaddanzinFeb 28

labeille runs test suites from popular PyPI packages against a JIT-enabled CPython build and catches crashes: segfaults, assertion failures, etc.

If all of requests, flask, attrs, etc. pass their tests under the JIT, that shows the JIT is working. If one crashes, there's a bug with a reproducer. We've found one crash so far: https://github.com/python/cpython/issues/145197

This requires curating a local package registry with repo URLs, install and test commands, etc.

#Python #CPython #JIT #fuzzing #labeille #testing

JIT: segfault from invalid frame in `_PyFrame_GetFunction` · Issue #145197 · python/cpython

Crash report What happened? It's possible to segfault a patched JIT build by running ipython's test_completer.py with pytest: pytest tests/test_completer.py Necessary patch diff --git a/Include/int...

GitHub
danzinFeb 28

I've been working on a new Python tool: labeille. Its main purpose is to look for CPython JIT crashes by running real world test suites.

https://github.com/devdanzin/labeille

But it's grown a feature that might interest more people: benchmarking using PyPI packages.

How does that work?

labeille allows you to run test suites in 2 different configurations. Say, with coverage on and off, or memray on and off. Here's an example:

https://gist.github.com/devdanzin/63528343df98779b5fedf657bf8286cd

#Python #labeille #fuzzing #JIT #PyPI #benchmarking

Rev. caffinepwrd ☕Feb 22

Trumpairport.com was registered 2/21/2022. There's a blank page with Google analytics. The site is hosted on Wix. DNS for email is not configured.

I'll spend some time fuzzing DNS to see if there are any clues. Maybe try fuzzing urls to see if anything else is there.

#uspol #uspolitics #osint #fuzzing

AddisonFeb 21
Wanna learn more about #fuzzing? The AFL++ community has moved to Zulip: https://fuzz.zulipchat.com

Come join us! #LeaveDiscord
Awesome Fuzzing

Zulip for the AFL++ and broader fuzzing community.

Zulip
postmodernFeb 18

Can anyone recommend me blog posts or talks on setting up your own fuzzing cluster? I'm curious whether fuzzing aficionados still use regular processes on bare metal for performance, or have they embraced containers and Kubernetes (or Docker Swarm, or Rancher, or Nomad)? I suspect containers must add some degree of latency, but make deploying new test harnesses much easier. Also, is it cheaper to setup your cluster "in the cloud", or host your own fuzzing cluster on your own hardware?

#fuzzing #cluster