Hozirgi zamonaviy websaytlarda zaiflik topish ikkita usuli bor:
- XSS, SQLi uchun himoya o'ta kuchaygan hozirgi paytda. Birinchi usuli shu himoyalarni aylanib o'ta olish.

- Oldingi websaytlarda bitta ma'lumot baza serveri va bitta alohida server bo'lgan bo'lsa hozir 3-4-5ta tizimdan birdaniga foydalanib web dastur ko'tarishadi. Shu tizimlar o'rtasida har xil zaifliklar kelib chiqishi mumkin masalan web cache etc yoki HTTP request smuggling'ga o'xshagan. Ikkinchi yo'li shunaqa 'yangi chiqqan zaiflik'larni topish.

Yana 1 yildan keyin bu postga qarab ehh tajribasiz deyishim aniq, qayerdur noto'g'ri ketgan bo'lishi mumkin, bu qayerdadur yozilmagan shaxsiy tajriba.

O'zbekistonda Kiber Xavfsizlik haqida shu sohada o'qiyotgan oddiy talaba sifatida fikrim.

Davlat kiber xavfsizlik bo'yicha saviyasini undagi xavfsizlik tizimlari ko'rsatib beradi adashmasam, Masalan Germaniya, Angliyada davlat tizimlarini tekshirish uchun RDP dasturlari bor.

Bunda xavfsizlik hodimlari Bug Bounty'ga o'xshab zaiflik topib berishadi davlatga tizimlaridan, lekin oddiy rahmat olishadi. To'g'ri hechnarsa bermasa nima keragi bor deyishadi, lekin katta foydasi borligini ularda bemalol ko'rsak bo'ladi! Biz o'zimizni ITHub (IT davlati) qilmoqchimiz lekin aynan shu sohada ancha oqsayabmiz.Pastroq tushamiz - tashkilotlar. Amerika misolida ko'rsak ular tashkilotlarga o'zlari kiber xavfsizlik bo'yicha talablar beradi va hamma shu talablarni bajarishi kerak. Hatto o'zlari xavfsizlik bo'yicha muhim tizimlar ko'tarib, o'zlari tekinga o'qitishni ham yo'lga qo'yishgan. Bizda bo'lsa talablar faqatgina 1ta moddada qo'shib o'tilgan halos.

Shu yerda, talablar bo'lmasa, hechkim xavfsizlikni tushunmasa qo'shimcha mablag' ajratishni xohlamaydi. Natijada tashkilotlar o'rtasida xavfsizlik yomon bo'lgan xizmatlar ko'payadi. Bu xizmatlarda bo'lsa butun davlat, aholining eng kerakli ma'lumotlari, mablag'lari bo'ladi.

Talab, qiziqish, mablag' bo'lmagandan keyin kiber xavfsizlik uchun ish joylari kamayadi, rostdan davlatimizda ish joylari judaa kam, yashirib o'tirmaslik kerak.
Tanishlarim kiber xavfsizlik bo'yicha tashkilot ochishni rejalashtiryabdi, faqat boshqa rivojlangan dalvatda, o'zini davlatida emas. Sababi xavfsizlik hechkimga qiziq emas.

Ko'zga ko'ringan yangilik bo'lsa tahminan $150,000 mablag' bilan yaxshi loyixalar uchun tashkillanyotgan 'President Tech Award' bo'lyabdi, eng yaxshi loyixa bo'lsa online ovoz berish orqali tanlanadi. Huddi OpenBudget'ga o'xshab ovoz toplanadi..

Umuman agar davlatimizga kiber urush boshlansa, bir haftada tugasa kerak butun davlat .. Buni mendan kattalaram gapirgan) Insop berib qolar.

E'tibor bersak dasturlash tillarini ishga tushirgani alohida o'zini IDE'si bo'ladi, masalan python kodlarni yo'q joydan ishga tushirmaymiz, Linux terminalda python alohida tortvolib, keyin kodlarni ishlatamiz:

\# python etc.pyJavascript kodlar ham shunaqa, faqat terminalda javascript kodni ishga tushirib ko'rganmisiz? Umuman hayolga kelmagan bo'lsa kerak a?
Ishga tushirishni iloji bor, masalan Node.js yordamida:

\# node etc.jsNode.js ni tarixi uzun hullas bu yaqinda chiqqan narsa deylik, unda JS ni oldin qanday ishga tushirishgan?
- Browser orqali, to'g'rida! JS kodni serverdan browserga jo'natsak ishlayveradi.
Demak Browserlar JS ni ishga tushirish uchun qanaqadur joy. Shu yerda XSS ni eslasak, Bu zaiflikda xaker foydalanuvchi Browserida JS kod ishga tushirardiku.. Demak XSS orqali Browserda xohlagancha kod ishga tushiramiz, Browserni bo'lsa o'sha kodlar boshqaradi.

Masalan:
Yangi duplicate oyna ochish: window.open()Hozirgi oyna haqida ma'lumot: window.location()window , funksiya() lar JS dasturchilarga tanish a? Hullas shunaqa qilib Browserni boshqarish mumkin.

Xulosa:
XSS zaifligi bilan cookie o'girlashdan tashqari, foydalanuvchini browserini boshqarsa bo'ladi (sandbox yoki shunga o'xshash browser himoyalarini hisobga olmasa).Boshqarish deganda istisnolar bilan aytsak selfi olish, ba'zida RCE gacha yetkazsa bo'ladi.

Shunaqa narsalarni Offensive JS darsligiga qo'shamiz, tayyor turinglar )

Cloud!

Tarmoq xavfsizligi haqida chiqarilgan har qanaqa darsliklarda agar cloud haqida dars mavzu bo'lmasa eskirgan deb atashyabdi, oddiy pentest yoki security engineering sohasida ham Cloud haqida bilim bo'lsa yaxshi bo'lardi deb qo'shib qo'yishyabdi.

Shuning uchun hozirdan Cloud tizimlari haqida o'rganish kelajak uchun yaxshi narsa..