Публичный database.log
Служебный файл раскрывает имя пользователя базы и детали внутренней архитектуры.
Исправление: убрать лог из web-root, закрыть доступ, исключить секреты и служебные данные из журналов.ATTACK PATH // Интерактивная игра
Почувствуйте себя атакующим.
Без последствий.
Пройдите цепочку от IP-адреса до данных и посмотрите, как технические ошибки превращаются в понятный бизнес-риск.
7 этапов
5–7 минут
3 находки
Цель203.0.113.42
СтатусБрифинг
Найдено рисков0
00
Перед активными действиями
Сначала — разрешение
ЗаказчикACME Portal
Цель203.0.113.42
РазрешеноWeb + PostgreSQL
ЗапрещеноDoS, удаление данных
Что это значит для бизнеса
Пентест начинается с договора и границ. Это защищает рабочую систему, данные и самого заказчика от неожиданных последствий.
01
Внешняя разведка
Какие сервисы смотрят в интернет?
recon@exzuperi:~
$ цель: 203.0.113.42
готов к безопасному сканированию…
С чего начнём?
Что это значит для бизнеса
Открытый порт похож на незапертую дверь в здании. Сам по себе он ещё не означает взлом, но показывает поверхность, которую нужно проверить.
02
Поиск скрытого контента
Что веб-сервер оставил снаружи?
fuzz@exzuperi:~
$ готовим словарь путей…
Что это значит для бизнеса
Фаззинг перебирает вероятные адреса страниц. Так находятся забытые панели, резервные копии и служебные файлы, на которые нет ссылок в меню.
03
Раскрытие служебной информации
Лог рассказал лишнее
GET /database.log 200 OK
2026-09-01 09:14:02 db connection retry host=127.0.0.1 port=5432 db_name=portal db_user=postgres warning: default credentials policy not applied
Находка 01 · MediumПубличный служебный лог раскрывает устройство системы и имя пользователя БД
Что это значит для бизнеса
Пароля в файле нет, но атакующий получил важную подсказку. Такие мелочи сокращают количество догадок и помогают собрать полноценную цепочку.
04
Проверка контроля доступа
Можно ли доверять роли из браузера?
ACME
Тестовая учётная запись выдана заказчиком
Перехваченный запросPOST /login
Войдите с исходным значением, затем проверьте, что изменится при выборе другой роли.
Что это значит для бизнеса
Пользователь может изменить всё, что отправляет браузер. Сервер обязан сам проверять права на каждое действие.
05
Развитие цепочки
Мы ничего не забыли?
На первом этапе был ещё один открытый сервис, а в логе нашлась подсказка. Подключитесь к базе.
DB
Подсказка: иногда имя стандартной учётной записи совпадает с паролем.
Что это значит для бизнеса
Одна ошибка редко живёт отдельно. Утечка имени, открытая база и слабый пароль вместе дают атакующему прямой доступ к данным.
06
Подтверждение влияния
Что доступно в базе?
psql portal
CONNECTED PostgreSQL 15 · database: portal
portal=#
| username | role | mfa |
|---|---|---|
| admin.acme | admin | off |
| sales.demo | user | off |
| support.demo | user | on |
Нажмите на запрос. LIMIT 3 ограничивает выборку тремя записями, OFFSET 0 начинает с первой строки. Сортировка по username задаёт порядок.
Что это значит для бизнеса
Цель проверки — подтвердить влияние безопасным способом и остановиться. Для отчёта достаточно минимального доказательства, данные выгружать целиком не нужно.
Миссия завершена
Из мелких ошибок получилась критичная цепочка
По отдельности проблемы выглядели терпимо. Вместе они позволили перейти от обычного посетителя к административной панели и базе пользователей.
РискКритичный
Находки3
Цепочка6 шагов
ВлияниеДоступ к данным
Подмена параметра role
Сервер доверяет роли из запроса и выдаёт административные права обычному пользователю.
Исправление: определять роль на сервере и проверять авторизацию для каждого административного действия.PostgreSQL доступен с типовым паролем
Открытый порт и пара postgres/postgres позволяют подключиться к базе извне.
Исправление: закрыть 5432 на периметре, сменить пароль, ограничить источники подключения и проверить журналы доступа.
Резюме для руководителя
Атакующему достаточно публичного сайта и нескольких последовательных проверок, чтобы получить доступ к данным пользователей. Приоритет: немедленно закрыть внешний доступ к PostgreSQL и сменить учётные данные, затем исправить серверную проверку ролей и удалить служебный лог.
В игре цепочка собрана за несколько минут. В реальном проекте проверяются десятки гипотез, роли, интеграции и бизнес-сценарии.