Пробовал несколько вариантов, но только кусками обходить удаётся. Надо, чтоб пейлоад полностью отработал

Таргет на wordpress старой версии, но с доработанным фильтром, там не только встроенное экранирование

Когда нужно фаззить веб-приложения не только кавычками, на помощь приходят мутирующие фаззеры. На вход они получают пользовательские данные, а на выходе измененные, заведомо некорректные. Это позволяет найти различного рода уязвимости и проверить веб-приложение и используемые там библиотеки на различные исключительные ситуации.

Первый и самый известный, RadamsaRadamsa

Radamsa производит манипуляции с входными данными множеством разных неожиданных способов, включая чрезмерное повторение, инвертирование разрядов, вставку управляющих символов и т. д. Причем он годится для фаззинга как отдельных строк, так и заголовков, HTTP-запросов.

Второй, это jdamjdam

Создан он для мутации именно json строк, когда нужно сохранить структуру, чтобы пройти валидацию данных. Помимо мутаций данных (по большей части позаимствованных у radamsa) он подмешивает различную полезную нагрузку именно для поиска веб-уязвимостей - вставляет лексемы NoSQL, нагрузку для шаблонизаторов, различные функции и операторы.

Советую посмотреть форк radamsa - erlamsa https://github.com/Darkkey/erlamsa Несколько фич: считай из коробки может работать как web-сервер и тоже поддерживает json.

Огонь, спасибо. Не видел такой

што твориться)

Чекни хронотипы

Покупал очки dr erm, очень комфортно работать за компом, дня через 3 привыкаешь и прям не чувствуешь ни боли в голове ни в глазах

как в dirsearch исключать конкретный код ответа? например я не хочу, чтоб показывало всё, что с кодом 404

Юзать ффаф

И посмотреть мануал (вроде -help)

-x EXCLUDESTATUSCODES, --exclude-status=EXCLUDESTATUSCODES
                       Do not show excluded status codes, separated by comma
                       (example: 301, 500)

Спасибо большое

для скана тревис билдов на предмет secrets leak есть всякие сканеры по типу этого.
https://github.com/lc/secretz
а есть ли такое же но для jenkins?

Вопрос хороший
Знаю только для гитлаба https://github.com/PaperMtn/gitlab-watchman

я вот ничего не нашел на удивление. при этом на анонима доступ оставляют регулярно. и вытянуть из этого очевидный риск можно при помощи анализа всех билдлогов.
более того я так однажды заимел доступы в одну организацию. благо там билдлогов было не много и посмотреть получилось руками.
пойду поизучаю api и как можно сдампить все логи.

Добрый вечер, подскажите новичку, пожалуйста
Если в Java отключена подгрузка внешних DTD через ACCESS_EXTERNAL_DTD, то будет заблокирован запрос к внешнему DTD или запрос уйдет, но сущности из DTD не будут парситься?

проще говоря - есть XXE, кидаю в payload ссылку на DTD. Сервак приходит ко мне и забирает DTD, но не исполняет само содержимое, в котором например отстук на другой сервак. Соответственно отстук не приходит на второй сервак. Теперь вопрос - если отключено исполнение внешних DTD является ли нормальным поведение, когда сервак приходит за этим самым DTD или он вообще не должен ходить?

будет заблокирован запрос (но могу ошибаться)

Очки любые помогают. Взял первые попавшиеся в аптеке российского производства за 450р и на третий день стал замечать разницу как было с ними и без них.  теперь вообще без очков не могу за монитором сидеть

Встречал такое, иногда разрешена только одна энтити. Поэтому вторая уже не отрабатывает.