Уязвимости веб-приложений

SQL-инъекция возникает, когда недоверенный ввод склеивается в запрос, позволяя изменить его структуру — обойти аутентификацию, выгрузить данные, выполнить команды. Защита — параметризованные запросы: данные идут отдельно от SQL, и ввод не меняет запрос. Минимальные права снижают ущерб.

XSS внедряет на страницу JavaScript атакующего, исполняемый в браузере жертвы: кража сессий или действия от её имени. Основная защита — контекстное экранирование вывода недоверенных данных, усиленное Content Security Policy. Флаги httpOnly/secure снижают кражу cookie, но не XSS.

OS command injection — domain подставляется в shell-строку при shell=True, и спецсимволы shell выполняют произвольные команды (RCE). Фикс: shell=False со списком аргументов (ввод — один аргумент) и проверка имени хоста.

CSRF заставляет браузер вошедшей жертвы отправить подделанный изменяющий запрос. POST /pay уязвим, только если сессия в cookie, отправляемой кросс-сайтово автоматически, нет анти-CSRF токена и у cookie нет SameSite. Токены и SameSite=Lax закрывают это.

Path traversal (обход каталога) — fileName склеивается в путь без проверки, поэтому ../ выходит за пределы open-media/ и читает произвольные файлы. Фикс: нормализовать итоговый путь и проверить, что он внутри базовой директории, либо белый список имён.

SSRF заставляет сервер запросить выбранный атакующим URL, дотягиваясь до внутренних сервисов или метаданных облака, недоступных клиенту. Чёрные списки localhost обходят альтернативными записями IP, открытым редиректом, TOCTOU и DNS rebinding. Защита — сверять итоговый резолвленный IP с белым списком.

SQL-инъекция — text() выполняет склеенную f-строку как есть, не параметризуя её, поэтому table_name внедряет произвольный SQL. Слепая: ответа с данными нет, выполнение подтверждают лишь по времени. Фикс: связанные параметры и белый список.

Небезопасная десериализация — readObject создаёт произвольные выбранные атакующим классы из недоверенных байтов, поэтому цепочка гаджетов выполняет код при десериализации (RCE). Фикс: не десериализовать недоверенный ввод; JSON со схемой или белый список.

DOM XSS: любое окно может прислать {type:'go_to_link', url:'javascript:alert(1)'}, и обработчик выполнит это через location.assign, запустив скрипт. Два изъяна: нет белого списка event.origin и нет проверки схемы URL. Фикс: проверять e.origin по доверенному списку, затем принимать только http/https URL (отклонять javascript:/data:) перед переходом.

Local File Read — readfile($url) отдаёт любой путь, поэтому обёртка php://filter читает произвольные файлы. Проверка mime обходится, так как цепочка фильтров перекодирует начальные байты, пока getimagesize() не примет их за картинку, либо через TOCTOU. Фикс: белый список источников, запрет php://, одно скачивание, переэнкод.

NoSQL-инъекция из-за неверной обработки типа — username не приводится к строке, поэтому атакующий шлёт объект из операторов MongoDB, меняющий семантику запроса и обходящий поиск. Фикс: привести к строке и искать по явному полю вместо передачи сырого объекта запроса.

Да — literal() это лазейка для сырого SQL; ORM НЕ параметризует текст внутри него. Подстановка :firstName — это лишь строковая замена, и на устаревшей версии особый firstName (и lastName, равный :firstName) выходит из literal и внедряет SQL. Фикс: никогда не помещать пользовательский ввод рядом с literal(); полагаться на параметризованные операторы where ORM и обновить библиотеку.

Серверная инъекция в шаблон (SSTI) — name становится частью исходника шаблона, а escapeHTML нейтрализует только HTML, не синтаксис шаблона. Выражение ${...} компилируется и исполняется на сервере, давая RCE. Фикс: передавать name как данные в фиксированный шаблон, а не в текст.

Обход каталога через alias из-за отсутствия завершающего слэша у location. Раз у /assets нет завершающего слэша, nginx дописывает к alias часть URI после /assets как есть, поэтому /assets../app/db.php превращается в /var/www/webapp/app/db.php — на уровень выше static/. Фикс: добавить завершающий слэш и к location, и к alias.

Ссылка с target="_blank" даёт открытой странице ссылку window.opener на вашу, и та может перенаправить её на фишинговую копию (reverse tabnabbing). rel="noopener" обрывает эту ссылку. rel="noreferrer" дополнительно убирает заголовок Referer, скрывая URL источника.

Гонка TOCTOU: чтение-проверка-запись не атомарны, поэтому тысячи параллельных запросов читают один баланс, все проходят проверку >= и каждый списывает — атакующий тратит куда больше, чем есть. Фикс: сделать атомарным — транзакция с построчной (пессимистичной) блокировкой или один условный апдейт (UPDATE ... SET balance = balance - :amt WHERE balance >= :amt).

xlsx/docx — ZIP-архивы из XML, поверхность атаки большая. Атаки: Zip Slip — путь в архиве выходит за каталог распаковки; XXE — внешние сущности в XML дают доступ к файлам/SSRF; CSV-инъекция — ячейка =cmd|... исполняется при открытии; макросы; CVE библиотеки. Защита — валидация путей, отключение внешних сущностей и макросов, песочница.