Подборка уязвимых сред для прокачки навыков в кибербезопасности

Подборка уязвимых сред для прокачки навыков в кибербезопасности

(Потому что теория без практики — как код без тестов)

---

Зачем это нужно?

- 🎯 Обучение: Освойте эксплуатацию уязвимостей в контролируемой среде.

- 🔍 Тестирование сканеров: Проверьте, как ваш инструмент ищет дыры в безопасности.

- 🛡 Разработка защит: Поймите векторы атак, чтобы лучше защищать системы.

---

Категории уязвимых «песочниц»

1. Онлайн-тренажеры [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#Online)

- Виртуальные лаборатории с типовыми уязвимостями (XSS, SQLi).

- Для кого: Новичкам, кто не хочет возиться с установкой.

2. Платные решения [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#Paid)

- Профессиональные среды вроде Hack The Box, PentesterLab.

- Фишка: Реальные сценарии и CTF-задачи.

3. Уязвимые виртуальные машины [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#Vulnerable-VMs)

- Готовые образы (Metasploitable, OWASP BWA) для VMware/VirtualBox.

- Лайфхак: Запускайте в изолированной сети, чтобы не «засветить» домашний роутер.

4. Облачная безопасность [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#Cloud-Security)

- Умышленно небезопасные конфиги AWS/Azure.

- Чему научитесь: Эксплуатации S3-бакетов, IAM-ролей и Kubernetes.

5. SSO-лаборатории [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#SSO-Single-Sign-On)

- Уязвимые реализации OAuth, SAML и OpenID Connect.

- Сценарий: Подмена identity provider или кража токенов.

---

OWASP Top 10 в действии [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#OWASP-Top-10)

- SQLi: Учебные приложения с фильтрацией/без фильтрации запросов.

- XSS: Межсайтовый скриптинг для кражи куки и подмены сессий.

- XXE: Инъекции XML для чтения файлов сервера.

- Request Smuggling: Атаки на «разрыв» HTTP-запросов.

---

Технологические «мины»

- WordPress [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#WordPress): Темы и плагины с бэкдорами.

- Node.js [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#Node.js): Уязвимые REST API и шаблоны SSTI.

- Прошивки [→] (https://github.com/vavkamil/awesome-vulnerable-apps/#Firmware): Роутеры, камеры и IoT-устройства с хардкод-паролями.

---

Как начать?

1. Выберите категорию (например, Cloud Security).

2. Клонируйте репозиторий или разверните VM.

3. Запустите сканер (Burp Suite, sqlmap, Nuclei).

4. Фиксируйте находки — позже пригодятся для портфолио.

---

Главное правило: Используйте эти стенды только в изолированных средах.

➡️ Полный список: [Awesome Vulnerable Apps] (https://github.com/vavkamil/awesome-vulnerable-apps/)

*P.S. Помните: хакер — не тот, кто ломает, а тот, кто понимает, как защитить.* 🔐