SlideShare a Scribd company logo
1 of 22
Безопасность AJAX ,[object Object],Капранов Алексей программист, Рамблер [email_address]
Цель доклада НТТР ,[object Object],[object Object],[object Object],[object Object]
Цель доклада Натовские Танки Торопятся в Россию ,[object Object],[object Object],[object Object],[object Object]
[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Веб надо защищать
Полимеры ,[object Object],[object Object],[object Object]
Новая цель — пользователь ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
По данным Sokr.Ru: ,[object Object]
Картинка с http://myappsecurity.blogspot.com/
Hey, Jacks ,[object Object],[object Object],[object Object],[object Object]
XSS (Cross Site Scripting) ,[object Object],[object Object],[object Object],setTimeout loop + remote reqs JS-код Браузер злодей.com/control.cgi
 
XSS ,[object Object],[object Object],[object Object],[object Object]
CSRF (X Site Request Forgery) ,[object Object],[object Object],[object Object],[object Object],[object Object]
CSRF ,[object Object],[object Object],[object Object],[object Object],[object Object]
CSRF ,[object Object],[object Object],[object Object]
All your cookies are belong to us ,[object Object],[object Object],[object Object],TRACE / HTTP/1.1 Cookies: XHR сервер ИЛИ squid
Фишинг ,[object Object],[object Object],[object Object]
 
Javascript is the new shellcode ,[object Object],[object Object],[object Object]
О чём не рассказано ,[object Object],[object Object],[object Object],[object Object]
Примеры ,[object Object],[object Object]
Вопросы?

More Related Content

What's hot

Андрей Луцкович (Фродекс): Мошенничество в системах ДБО
Андрей Луцкович (Фродекс): Мошенничество в системах ДБОАндрей Луцкович (Фродекс): Мошенничество в системах ДБО
Андрей Луцкович (Фродекс): Мошенничество в системах ДБОExpolink
 
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...Expolink
 
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)Kristina Pomozova
 
безопасность веб приложений сегодня. дмитрий евтеев. зал 4
безопасность веб приложений сегодня. дмитрий евтеев. зал 4безопасность веб приложений сегодня. дмитрий евтеев. зал 4
безопасность веб приложений сегодня. дмитрий евтеев. зал 4rit2011
 
Безопасность веб-приложений сегодня
Безопасность веб-приложений сегодняБезопасность веб-приложений сегодня
Безопасность веб-приложений сегодняDmitry Evteev
 
Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...
Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...
Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...Expolink
 
Вирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишингВирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишингSergey Borisov
 
Mythbusters - Web Application Security
Mythbusters - Web Application SecurityMythbusters - Web Application Security
Mythbusters - Web Application SecurityMikhail Shcherbakov
 
Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & Farming
Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & FarmingСергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & Farming
Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & FarmingKazHackStan
 
5 встреча — Информационная безопастность (А. Свириденков)
5 встреча — Информационная безопастность (А. Свириденков)5 встреча — Информационная безопастность (А. Свириденков)
5 встреча — Информационная безопастность (А. Свириденков)Smolensk Computer Science Club
 
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...Expolink
 
РИФ 2016, Борьба с воровством мобильного трафика
РИФ 2016, Борьба с воровством мобильного трафикаРИФ 2016, Борьба с воровством мобильного трафика
РИФ 2016, Борьба с воровством мобильного трафикаТарасов Константин
 
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.revisium
 
Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины SiteSecure
 
Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"
Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"
Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"Expolink
 
Rigf2012 lyamin ANYONYMOUS uncovered
Rigf2012 lyamin ANYONYMOUS uncoveredRigf2012 lyamin ANYONYMOUS uncovered
Rigf2012 lyamin ANYONYMOUS uncoveredAlexander Lyamin
 
Безопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальностьБезопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальностьrevisium
 

What's hot (19)

Андрей Луцкович (Фродекс): Мошенничество в системах ДБО
Андрей Луцкович (Фродекс): Мошенничество в системах ДБОАндрей Луцкович (Фродекс): Мошенничество в системах ДБО
Андрей Луцкович (Фродекс): Мошенничество в системах ДБО
 
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
 
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
 
безопасность веб приложений сегодня. дмитрий евтеев. зал 4
безопасность веб приложений сегодня. дмитрий евтеев. зал 4безопасность веб приложений сегодня. дмитрий евтеев. зал 4
безопасность веб приложений сегодня. дмитрий евтеев. зал 4
 
Безопасность веб-приложений сегодня
Безопасность веб-приложений сегодняБезопасность веб-приложений сегодня
Безопасность веб-приложений сегодня
 
Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...
Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...
Информзащита. RISSPA. Евгений Климов. "Защита от целевых атак и угроз "нулево...
 
Вирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишингВирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишинг
 
Mythbusters - Web Application Security
Mythbusters - Web Application SecurityMythbusters - Web Application Security
Mythbusters - Web Application Security
 
Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & Farming
Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & FarmingСергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & Farming
Сергей Белов (Россия), Mail.ru. Temple of Bug Bounty: Leveling & Farming
 
5 встреча — Информационная безопастность (А. Свириденков)
5 встреча — Информационная безопастность (А. Свириденков)5 встреча — Информационная безопастность (А. Свириденков)
5 встреча — Информационная безопастность (А. Свириденков)
 
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
Доктор Веб. Вячеслав Медведев. "Антивирусная защита почтовых серверов и шлюзо...
 
РИФ 2016, Борьба с воровством мобильного трафика
РИФ 2016, Борьба с воровством мобильного трафикаРИФ 2016, Борьба с воровством мобильного трафика
РИФ 2016, Борьба с воровством мобильного трафика
 
Вебинар WebPromoExperts. Безопасность сайта. Дмитрий Снопченк…
Вебинар WebPromoExperts. Безопасность сайта. Дмитрий Снопченк…Вебинар WebPromoExperts. Безопасность сайта. Дмитрий Снопченк…
Вебинар WebPromoExperts. Безопасность сайта. Дмитрий Снопченк…
 
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
 
Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины
 
Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"
Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"
Solar Security. Андрей Прозоров. "Тренды и угрозы в сфере ИБ"
 
Rigf2012 lyamin ANYONYMOUS uncovered
Rigf2012 lyamin ANYONYMOUS uncoveredRigf2012 lyamin ANYONYMOUS uncovered
Rigf2012 lyamin ANYONYMOUS uncovered
 
дмитрий угрюмов
дмитрий угрюмовдмитрий угрюмов
дмитрий угрюмов
 
Безопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальностьБезопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальность
 

Similar to безопасность Ajax приложений александр капранов

Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...Badoo Development
 
Методы обхода Web Application Firewall
Методы обхода Web Application FirewallМетоды обхода Web Application Firewall
Методы обхода Web Application FirewallDmitry Evteev
 
WAF наше все?!
WAF наше все?!WAF наше все?!
WAF наше все?!Dmitry Evteev
 
Pt devteev-risspa
Pt devteev-risspaPt devteev-risspa
Pt devteev-risspayaevents
 
Пост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновениеПост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновениеbeched
 
Periculum est in mora
Periculum est in moraPericulum est in mora
Periculum est in moraFDConf
 
Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"Andrew Mayorov
 
Risspa domxss
Risspa domxssRisspa domxss
Risspa domxssyaevents
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийDmitry Evteev
 
Анализ защищенности интернет-проектов
Анализ защищенности интернет-проектовАнализ защищенности интернет-проектов
Анализ защищенности интернет-проектовDmitry Evteev
 
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхАнализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхDmitry Evteev
 
Eugene Lisitsky Web Sockets
Eugene Lisitsky Web SocketsEugene Lisitsky Web Sockets
Eugene Lisitsky Web Socketsguest092df8
 
Hakr 5 14-myjurnal.ru
Hakr 5 14-myjurnal.ruHakr 5 14-myjurnal.ru
Hakr 5 14-myjurnal.ruVasya Pupkin
 
Мониторинг веб-проектов: штаб оперативного реагирования и аналитический центр
Мониторинг веб-проектов: штаб оперативного реагирования и аналитический центрМониторинг веб-проектов: штаб оперативного реагирования и аналитический центр
Мониторинг веб-проектов: штаб оперативного реагирования и аналитический центрsportgid
 
Js Http Request дмитрий котеров
Js Http Request   дмитрий котеровJs Http Request   дмитрий котеров
Js Http Request дмитрий котеровMedia Gorod
 

Similar to безопасность Ajax приложений александр капранов (20)

PT MIFI Labxss
PT MIFI LabxssPT MIFI Labxss
PT MIFI Labxss
 
PT MIFI Labxss
PT  MIFI LabxssPT  MIFI Labxss
PT MIFI Labxss
 
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
 
Методы обхода Web Application Firewall
Методы обхода Web Application FirewallМетоды обхода Web Application Firewall
Методы обхода Web Application Firewall
 
WAF наше все?!
WAF наше все?!WAF наше все?!
WAF наше все?!
 
Pt devteev-risspa
Pt devteev-risspaPt devteev-risspa
Pt devteev-risspa
 
Пост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновениеПост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновение
 
Periculum est in mora
Periculum est in moraPericulum est in mora
Periculum est in mora
 
Web Threats
Web ThreatsWeb Threats
Web Threats
 
Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"
 
Periculum est in mora
Periculum est in moraPericulum est in mora
Periculum est in mora
 
Risspa domxss
Risspa domxssRisspa domxss
Risspa domxss
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложений
 
Анализ защищенности интернет-проектов
Анализ защищенности интернет-проектовАнализ защищенности интернет-проектов
Анализ защищенности интернет-проектов
 
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхАнализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
 
Eugene Lisitsky Web Sockets
Eugene Lisitsky Web SocketsEugene Lisitsky Web Sockets
Eugene Lisitsky Web Sockets
 
Hakr 5 14-myjurnal.ru
Hakr 5 14-myjurnal.ruHakr 5 14-myjurnal.ru
Hakr 5 14-myjurnal.ru
 
Мониторинг веб-проектов: штаб оперативного реагирования и аналитический центр
Мониторинг веб-проектов: штаб оперативного реагирования и аналитический центрМониторинг веб-проектов: штаб оперативного реагирования и аналитический центр
Мониторинг веб-проектов: штаб оперативного реагирования и аналитический центр
 
Yii rit 2010
Yii rit 2010Yii rit 2010
Yii rit 2010
 
Js Http Request дмитрий котеров
Js Http Request   дмитрий котеровJs Http Request   дмитрий котеров
Js Http Request дмитрий котеров
 

More from Media Gorod

Iidf market watch_2013
Iidf market watch_2013Iidf market watch_2013
Iidf market watch_2013Media Gorod
 
E travel 2013 ufs-f
E travel 2013 ufs-fE travel 2013 ufs-f
E travel 2013 ufs-fMedia Gorod
 
Travel shop 2013
Travel shop 2013Travel shop 2013
Travel shop 2013Media Gorod
 
Kozyakov pay u_e-travel2013
Kozyakov pay u_e-travel2013Kozyakov pay u_e-travel2013
Kozyakov pay u_e-travel2013Media Gorod
 
13909772985295c7a772abc7.11863824
13909772985295c7a772abc7.1186382413909772985295c7a772abc7.11863824
13909772985295c7a772abc7.11863824Media Gorod
 
As e-travel 2013
As   e-travel 2013As   e-travel 2013
As e-travel 2013Media Gorod
 
Ishounkina internet research-projects
Ishounkina internet research-projectsIshounkina internet research-projects
Ishounkina internet research-projectsMedia Gorod
 
Orlova pay u group_290813_
Orlova pay u group_290813_Orlova pay u group_290813_
Orlova pay u group_290813_Media Gorod
 
Ep presentation (infographic 2013)
Ep presentation (infographic 2013)Ep presentation (infographic 2013)
Ep presentation (infographic 2013)Media Gorod
 
Iway slides e-travel_2013-11_ready
Iway slides e-travel_2013-11_readyIway slides e-travel_2013-11_ready
Iway slides e-travel_2013-11_readyMedia Gorod
 
Data insight e-travel2013
Data insight e-travel2013Data insight e-travel2013
Data insight e-travel2013Media Gorod
 
Электронное Правительство как Продукт
Электронное Правительство как ПродуктЭлектронное Правительство как Продукт
Электронное Правительство как ПродуктMedia Gorod
 
Lean мышление / Специфика Lean Startup
Lean мышление / Специфика Lean StartupLean мышление / Специфика Lean Startup
Lean мышление / Специфика Lean StartupMedia Gorod
 
Глобальный взгляд на мобильный мир (Nielsen)
 Глобальный взгляд на мобильный мир (Nielsen) Глобальный взгляд на мобильный мир (Nielsen)
Глобальный взгляд на мобильный мир (Nielsen)Media Gorod
 
Как россияне используют смартфоны (Nielsen)
 Как россияне используют смартфоны (Nielsen) Как россияне используют смартфоны (Nielsen)
Как россияне используют смартфоны (Nielsen)Media Gorod
 
Мобильный интернет в России (MailRuGroup)
Мобильный интернет в России (MailRuGroup) Мобильный интернет в России (MailRuGroup)
Мобильный интернет в России (MailRuGroup) Media Gorod
 

More from Media Gorod (20)

Itogi2013
Itogi2013Itogi2013
Itogi2013
 
Moneytree rus 1
Moneytree rus 1Moneytree rus 1
Moneytree rus 1
 
Iidf market watch_2013
Iidf market watch_2013Iidf market watch_2013
Iidf market watch_2013
 
E travel 2013 ufs-f
E travel 2013 ufs-fE travel 2013 ufs-f
E travel 2013 ufs-f
 
Travel shop 2013
Travel shop 2013Travel shop 2013
Travel shop 2013
 
Kozyakov pay u_e-travel2013
Kozyakov pay u_e-travel2013Kozyakov pay u_e-travel2013
Kozyakov pay u_e-travel2013
 
13909772985295c7a772abc7.11863824
13909772985295c7a772abc7.1186382413909772985295c7a772abc7.11863824
13909772985295c7a772abc7.11863824
 
As e-travel 2013
As   e-travel 2013As   e-travel 2013
As e-travel 2013
 
Ishounkina internet research-projects
Ishounkina internet research-projectsIshounkina internet research-projects
Ishounkina internet research-projects
 
E travel13
E travel13E travel13
E travel13
 
Orlova pay u group_290813_
Orlova pay u group_290813_Orlova pay u group_290813_
Orlova pay u group_290813_
 
Ep presentation (infographic 2013)
Ep presentation (infographic 2013)Ep presentation (infographic 2013)
Ep presentation (infographic 2013)
 
Iway slides e-travel_2013-11_ready
Iway slides e-travel_2013-11_readyIway slides e-travel_2013-11_ready
Iway slides e-travel_2013-11_ready
 
Data insight e-travel2013
Data insight e-travel2013Data insight e-travel2013
Data insight e-travel2013
 
Электронное Правительство как Продукт
Электронное Правительство как ПродуктЭлектронное Правительство как Продукт
Электронное Правительство как Продукт
 
Lean мышление / Специфика Lean Startup
Lean мышление / Специфика Lean StartupLean мышление / Специфика Lean Startup
Lean мышление / Специфика Lean Startup
 
Глобальный взгляд на мобильный мир (Nielsen)
 Глобальный взгляд на мобильный мир (Nielsen) Глобальный взгляд на мобильный мир (Nielsen)
Глобальный взгляд на мобильный мир (Nielsen)
 
Как россияне используют смартфоны (Nielsen)
 Как россияне используют смартфоны (Nielsen) Как россияне используют смартфоны (Nielsen)
Как россияне используют смартфоны (Nielsen)
 
Мобильный интернет в России (MailRuGroup)
Мобильный интернет в России (MailRuGroup) Мобильный интернет в России (MailRuGroup)
Мобильный интернет в России (MailRuGroup)
 
Meta Mass Media
Meta Mass MediaMeta Mass Media
Meta Mass Media
 

безопасность Ajax приложений александр капранов