любопытный, хуле

Я знаю одну базу, которая должна вот-вот появиться скоро и там должно быть на вас все, иначе она плохая.... но это было бы еще хуже ;)

Ээээ

Привет, подскажите то что одиночный  "../" в url возвращает на папку назад, но в рамках корневой папки сайта(не full path traversal), это "expected behavior" ?

Смотря к чему это может привести

Тут вопрос скорее теоретический, т.е есть какой-то  стандарт, который определяет и разрешает обрабатывать так реквест ?

Ну это нормально, если ты не можешь получить доступ к тому, к чему не должен был

По идее это может помочь обойти правила, к примеру /.env и /images/../.env, но уверен что это действительно так отправляется, а не браузер преобразовывает?

Господа. Интересно кто как работает в уловиях веб пывна если цель - компания и ее активы. А в активах порядка 2к доменных имен. К каждому домену собирать поддомены и проверять весь скоп по понятным причинам - спорная затея. Кто как в подобном выкручивается?

Аккуратно согласовываем скоуп на этапе согласовывания скоупа

такого этапа нет. как и оценки со стороны компании об "важных активах" по списку

Принято, а как вы тогда цену на этот конкретный проект определили?

это уже другой вопрос)) но отбросим формальный пентест проект и представим что это багхант)

Это предельно важный вопрос, от него зависит глубина теста

Если это багхант и нет требований к равномерности тестирования - тогда я бы делал так:
1. собрать поддомены
2. eyewitness чтобы сделать скрины на всём вебе
3. пара дней, чтобы определить приоритеты
4. тестируем только то, что в приоритете

сорян за повтор, спросил в соседнем чате, но хочется просить и тут:
Кто нить в DefectDojo шарит? Вопрос такой: допустим, есть тулза, которая проходит код, лупит результаты в DD, там они ставятся в статус Active. На следующий день, тулза опять проходит код, находит теже ошибки, ставит в тот же статус.
Вопрос номер 1: если я сменю статус с Active на false positive - буду ли я и дальше получать шмат фолсов в Active по проблемам, которые я уже проверил?
Вопрос номер 2: если я буду получать по первому вопросу дубли, то что делать и как быть?
Вопрос номер 3: если я поставлю ошибку в фолс позитив, станут ли дубли залупленных ошибок тоже фолсами?
Прост не понятно, почему я получаю дубли

а как результаты загружаете? там есть два метода - import и reimport. У них разное поведение.
Мы использовали реимпорт и пришлось дописывать его логику, потому что он не всегда выявлял уже созданные в DD уязвимости и поэтому заводил новые -  а потом процесс дедупликации в DD их закрывал)

а можно глянуть где то как дописали? )

по идее можно использовать import в разные тесты или энгейджменты и потом дедупликация. Но если старые файндинги не будут удаляться, то это очень сильно раздует базу