Кибербитва Standoff 15 давно прошла, но мы не договорили

Самое время напомнить, какие команды стали лучшими среди атакующих, а значит — попадут на Standoff 17 в мае 2026 года без отбора 😎

— DreamTeam
— FR13NDS & RHACKERS
— Dataeli&only_f4st
— Cyb7rC0d3#
— cR4․sh

Еще несколько команд пройдут на кибербитву по итогам отбора на Standoff Hackbase. Какими будут его условия, напишем ближе к делу.

На этом месте (или даже раньше) самые внимательные спросят: «В смысле — Standoff 17? Вы цифру не пропустили?» 🤔

Ничего не пропустили. Мы хотим привлекать новые сильные команды и формировать классное интернациональное комьюнити. Поэтому кибербитва Standoff 16 пройдет в октябре и будет международной.

На нее мы приглашаем иностранные команды, которые «прогуляли» предыдущую кибербитву. Пятерка лучших тоже попадет на весеннюю Standoff 17 (там и увидитесь).

❕ Участников команд из топ-20 рейтинга Standoff 15 мы пригласим на международную кибербитву в качестве менторов. Расскажем подробнее в одном из ближайших постов.

Коротко о Standoff 16:

📅 6–8 октября
💻 Онлайн
🔴 До 25 атакующих команд
🔵 До 10 команд защитников

P. S. Как организаторы оставляем за собой право пригласить на осеннюю кибербитву любую команду без отбора — по wildcard.

🔍 Как найти баги в API: 12 проверенных способов

Это далеко не все возможные техники, но именно они чаще всего приводят к результату на практике:

1️⃣ Blind XSS через заголовки: приложения могут логировать ваши данные различными способами, поэтому проверяйте XSS-пэйлоад в HTTP-заголовках (X-Forwarded-For, Referrer, User-Agent и других)

2️⃣ Устаревшие API: /api/v2 → /api/v1, /api/v2 → /api/, api-v2.example.com → api-v1.example.com или api.example.com

3️⃣ SSRF: заменяйте любой URI в запросах на контролируемый вами ресурс через Proxy Interceptor Match & Replace Rule и ждите входящие соединения

4️⃣ Поиск эндпоинтов: используйте GitHub, Google/Yandex дорки, анализируйте JavaScript, Swagger API или другую документацию

5️⃣ CSRF: удалите или замените anti-CSRF токен, меняйте Content-Type и метод запроса

6️⃣ Эксплуатация JWT: ищите слабые алгоритмы подписи, пробуйте манипулировать с токенами

7️⃣ Обход 401/403: попробуйте получить доступ ко вложенному пути (/admin 401 → /admin/system-resources 200), добавьте спецсимволы или измените методы запроса

8️⃣ Неправильная настройка CORS: проверьте правильность настроек CORS и убедитесь, что API позволяет отправлять запросы из любого источника с использованием учётных данных

9️⃣ Тестирование race conditions: проверяйте так называемые high-value транзакции — загрузка файлов, размещение заказов, платежи, переводы

1️⃣0️⃣ XXE: измените Content-Type с application/json на application/xml и проверьте на наличие XXE

1️⃣1️⃣ NoSQL инъекция: манипулируйте параметрами и добавляйте MongoDB (или любой другой NoSQL БД) пэйлоад для обхода ограничений

1️⃣2️⃣ Обход загрузки файлов: пробуйте загрузить файлы с нестандартными расширениями или без них, используйте известные методы обхода (null byte, magic byte и другие)