Разборы задач, лабораторий и собственных проектов.
| Классы | Контекст | |
|---|---|---|
| Предсказуемый UUIDv1 как ключ от чужой банковской ячейки | IDOR, предсказуемый идентификатор | SolarCTF 2026, web. clock_seq и MAC-адрес в UUIDv1 зафиксированы на бэкенде, утечка времени открытия — секундная |
| Забытая векторная инструкция как примитив записи в физическую память ядра | обход привилегий ядра, реверс ABI без заголовков, кастомные инструкции RISC-V | Кубок CTF России 2026, pwn/reverse. QEMU RISC-V, подделка PTE через недокументированную векторную инструкцию |
| От абсолютного пути в имени файла до RCE через pickle в celery beat | path traversal, отсутствие проверки владения, небезопасная десериализация | Кубок CTF России 2026, web. Flask/SQLite/Celery, цепочка из четырёх находок до RCE |
| Template injection через ключи map → SSRF → IDOR | template injection, SSRF, IDOR | Кубок CTF России 2025, web. Go/Fiber + headless Chrome. Санитизация покрывала значения и пропускала имена полей |
| GOAD Light: от null-сессии до корня леса | AD, AS-REP Roasting, Kerberoasting, SeImpersonatePrivilege, обход Defender, SID History |
Восемь шагов, ни одного CVE |
| GOAD Light тихо: та же цепочка с оглядкой на детект | OPSEC, выбор протокола, темп запросов | Что из этого увидит защитник и где я засветился |
| Приведение в порядок небольшого интернет-магазина | secrets management, XSS, CSP, сокращение поверхности | Django/nginx/PostgreSQL, разбор по классам |
Играю в команде PrishliPohavaTeam: SolarCTF 2026 — 6 место, Кубок CTF России 2026 — 11 место.
CC BY 4.0 — пользуйтесь со ссылкой.