Bug or Defect?

Доброго вечора, друзі)Все хотів вам дати цей тул то забуваю постійно - ссьогодні попав опять то думаю треба написати то опять забуду) Що я маю вам сказать)Є один дуже серйозний і водночас корисний тул - sqlmaphttps://github.com/sqlmapproject/sqlmapЦе автоматизований інструмент для перевірки SQL Injection. це не “хакерська магія”, а нормальний технічний тул, який показує:чи реально бекенд захищає свої SQL-запити, чи тільки робить вигляд.По суті це sqlmap сам бере параметр (query / body),пробує різні payload-иі каже вам прямо: тут ок або тут потенційна діра чи тут взагалі бідаСтавиться максимально просто:git clone https://github.com/sqlmapproject/sqlmap.gitcd sqlmappython sqlmap.py -h Або якщо вже є Python: можете через таку python sqlmap.py -u "https://test-api.com/users?id=5" Для API це взагалі маст: login/ search / filters / sorting / paginationВсе, де є user input - зона ризику.Важливий момент (і це прям принципово):sqlmap використовуємо тільки- на тестових середовищах- або з офіційним дозволомДля КУА це дуже сильний буст:ви починаєте дивитись на API не тільки як “200 / 400”,а як на поверхню атаки.І баги з “minor” раптом стають “security critical”.Коротше, якщо тестуєте API і ще не крутили sqlmap -дуже рекомендую хоча б розібратись, як воно працює.Всім гарного вечораОбняв🤗

Друзі, привіт, як ваші справи? Як настрій перед Новим роком?Що я маю вам сказати. Нас уже 2k людей, яких об’єднує одна проста, але важлива річ - бажання рости і ставати сильнішими технарями. Цей канал саме про це і тільки про це. Так було і так буде далі.Я реально вдячний кожному, хто читає, пише, реагує, дискутує. Для мене це найважливіше- бачити, що моя писанина і пояснення вам корисні. Я бачу відгуки, бачу фідбек, бачу, що формат заходить. І це дуже мотивує.Цього року я давно хотів запустити YouTube - і я це зробив.А на наступний рік планів ще більше, і вони реально масштабні:- продовження і розвиток Telegram-каналу- нові відео на YouTube на різні технічні теми- новий курс для навчальної платформи, який ви теж отримаєте- і є один головний план, про який поки не буду розкривати деталіале скажу чесно - такого формату ви ще не бачили, і він буде реально корисний(і без вашої участі тут теж не обійдеться)Окремо дякую всім, хто писав і пише про персональне навчання. Вибачте, що багатьом відмовив - банально не вистачало часу. У новому році планую відкрити новий набір, тож пишіть, я всім відповім.У новому році бажаю вам:кар’єрного росту. технічного прокачування, тим, хто шукає роботу - офер, тим, у кого вже є офер і зарплата - не зупинятися і продовжувати вчитисяНа кілька святкових днів я трохи зникну, але в новому році повертаюсь з новими темами, особливо в напрямку security - там буде багато цікавого.Всіх обіймаю.🤗🤗🤗Сильні.💛💛💛Дякую, що ви на каналі.FYI: завтра нове відео на YouTube - не пропустіть, будь лазонькаааааа)https://www.youtube.com/@BugOrDefect

Ше раз доброго дня)Подумав поки є час, трошки навантажу голову? ОК?Протоколи для QA - IPv4Продовжуємо про те, без чого QA дуже швидко починає “плавати” у мережевих багах.Що я маю вам сказати.IPv4 = це база всієї мережі.Той самий фундамент, на якому живуть HTTP, HTTPS, REST, WebSocket, SSH і все інше.Якщо ви не розумієте IPv4 -усі баги типу “не конектиться”, “у мене працює, у клієнта ні”, “час від часу падає” будуть виглядати як магія.Що саме це таке страшне IPv4 IPv4 - це унікальна адреса кожного пристрою в мережі.Типу: 192.168.1.10 і 10.0.0.5 або 172.16.0.3Це як адреса квартири.Без неї пакет просто не знає, куди йти.Через IPv4 куа перестає гадати і починає бачити:- куди реально йде запит- з якої адреси він виходить- чи це локальна мережа, чи зовнішня- чи не впираємось у NAT, firewall або routingПо факту IPv4 = навігація для пакетів у мережі.Базові речі, які куа повинен знати (і так, я це теж питаю):Подивитись свою IP-адресу:ip a Або можно коротко:ip addr show Перевірити, куди йде трафік:ip route Перевірити, чи хост взагалі доступний:ping 8.8.8.8 Зрозуміти, де обривається маршрут:traceroute google.com Подивитись, з якої IP йде запит:curl ifconfig.me І після цього вже стає зрозуміло: проблема в локальній мережі чи зовні або може це DNS, routing чи firewall чи сервер недоступний чи IP просто не той ну і клієнт ходить напряму чи через NATЦе вже не “мені здається”, а конкретна картина.Що я хочу до вас донести, друзі)КУА не зобов’язаний бути мережевим інженером.Але куа зобов’язаний розуміти, як пакети ходять по IPv4.Бо без цього будь-який мережевий баг виглядає як випадковість.А з цим - як логічний ланцюжок.Всім гарного дня і стабільних IP без конфліктів.Обняв🤗FYI - Хочу нагадати про ютуб канальчик - не забувайте скоро нове відео) - буду вдячний за репост і підписочку🫣https://www.youtube.com/@BugOrDefect

Друзі, привіт - як ви?І з Різдвом вас. Хай у вас і у ваших рідних усе буде добре і спокійно.Сьогодні натрапив на одну статтю, і вона прям дуже в тему того, про що ми з вами постійно говоримо:https://thinksys.com/qa-testing/qa-trends-report-2026/Я реально раджу її почитати й просто задуматися.КУА як роль реально перероджується. І це вже не історія про “я мануальщик” або “я автомейшен”. Ця лінійність закінчилась.Зараз усе все більше з’їжджає в:- кібербезпеку- глибоку роботу з AI- інтеграцію QA в архітектуру, процеси і ризики, а не просто перевірку фічЩе цікавий момент, який мене зачепив:мануальні куа і автомейшени ніби розділились на два табори, але різниця між ними - буквально кілька відсотків. Тобто ринок ніби сам ще не вирішив, “хто важливіший”, і це дуже показово.І плюс - прогнозують, що у 2026 інвестицій у тестування стане більше.Не “бо треба”, а бо без якісного тестування, без безпеки і розуміння системи бізнес просто не виживе.Мені це виглядає як момент можливостей для куа, але тільки для тих, хто не застряг у одному інструменті чи ролі.Цікаво почути вашу думку:ви це відчуваєте на своїх проєктах, чи поки все “як раніше”?Всім гарного вечора і настрою.Обняв🤗🤗🤗Сильні💛💛💛

Друзі, привіт! Як ваш день?Добрався до розбору свіженького пула по security - і це прям класика для всіх, хто працює з робочою поштою.І так, шо я маю вам сказать.Чому не (A)“Телефон повільніший і незручний для роботи”Це правда, але це UX, а не security.Незручно ≠ небезпечно.До безпеки це взагалі не має прямого відношення.Чому не (B)“Мобільні поштові клієнти гірше шифрують дані”Не зовсім так.Сучасні мобільні клієнти працюють через TLS, OAuth і нормальні протоколи.Проблема не в шифруванні - проблема в користувачі.Чому не (D)“Смартфон швидше розряджається”Це вже зовсім повз.Акумулятор - не вектор атаки. Ну і чому ж правильна відповідь (C)“На маленькому екрані складно побачити повний URL і ознаки фішингу”Ось тут саме суть. На смартфоні URL обрізається або якось не так його видно, і домен видно не повністю, редіректи сховані - фейкові домени типу company-support.com виглядають “нормально” ну і сертифікат і деталі - взагалі нечитабельніА от фішинг живе саме в цих дрібницях.Який мін поінт до вас)Більшість security-інцидентів починаються не з хакера,а з фрази:“та я просто відкрив лист з телефона”.А Правило дійсно дуже просте - робоча пошта → краще десктоп- лінки → тільки коли бачиш повний URL- “терміново підтвердьте / перевірте” → одразу червоний прапорецьХто вибрав (C) - респект, правильне security-мислення.Хто ні - тепер знаєте, де саме пастка.Всім гарного дня і безпечних кліків. Сильні💛💛💛Note: Сьогодні ви побачите вже мене на Ютуб (Ну може завтра крайній день)

Друзі, привіт. Як ваш ранок? як вихідні?)) Давайте з ранку поки є час нагружу? ОК? Протоколи для QA - SSHПродовжуємо про те без якої КУА дуже швидко впирається в стелю.Що я маю вам сказать.SSH - Той самий протокол, який починаєш реально цінувати в момент, коли “в UI все впало”, а браузер уже нічого не показує.Що я маю вам сказатьSSH - це не про “бути адміном”, це про доступ до правди системи.Через SSH куа перестає вгадувати і починає бачити:- сервіс реально працює чи просто “зелений”- логи є чи їх нема- контейнер живий чи просто процес завис- запит доходить до сервісу чи помирає ранішеПо факту SSH = захищений канал, щоб подивитись, що система думає насправді.КУА реально повинен знати базові речи - я таки штуки питаю на спів бесіді Як зайти на сервер:ssh user@server-ipЯк подивитись, чи сервіс живий:systemctl status service-name Глянути логи:journalctl -u service-name -n 50 Перевірити, чи порт слухає:ss -lntp | grep 8080 Зробити запит прямо з сервера:curl http://localhost:8080/health І після цього вже стає зрозуміло: чого саме сервіс не стартував, стартував, але не слухає порт, впав по OOM(почитайте що це бо думаю багато не розуміє по що)- firewall зарізав трафік, ну і логіка падає ще до відповідіЦе вже не “можливо”, а конкретні факти.Що я хочу до вас донести друзі) КУА не зобов’язаний керувати сервером.Але КУА зобов’язаний уміти читати систему.Навіть базовий SSH робить вас QA, з яким говорять серйозно - і деви, і інфра.Якщо короткоSSH - це очі КУА на бекенді.Без нього ви бачите симптоми. а з ним причину.Всім гарного дня і настроюОбняв 🤗🤗🤗Note: з дня надень буде дуже крута новина)))

Друзі привіт - як ваш початок вихідного) ?Помьятаєте як 1 сервіс завалив пів мирового ринку? не на хвилини а на години? Що я зібрав для вас - ну якщо б у мене таке було на початку розуміння мережі (та ти шо яб був великою людиною))Так що я маю вам сказать сьогодні? Я тут подумав: от це ж реально той випадок, коли знання = спокій.Не “в мене не відкривається”, не “походу щось зламалось”, а чітко і по факту -пакети пішли, відповіді нема, дивимось firewall / rules / security group.Я спеціально зібрав ці штуки не як набір команд “на зубріння”, а як спосіб мислення.Бо різниці немає, це Linux firewall, nftables, cloud або enterprise-рішення -логіка всюди однакова.І коли ви таке ловите, у вас з’являється дуже приємна штука: контроль.У цей момент КУа реально перестає бути людиною, яка просто “перевірила”,і стає людиною, яка може сказати деву або інфрі:ось тут блочиться, ось тут не доходить, ось чому таймаут.Без емоцій, без “може”, без гадання.Так, це не найлегша тема.Так, спочатку здається, що “це не для QA”.Але чесно - саме тут і починається той рівень, де КУА росте дуже швидко.І саме таких людей потім шукають у командах, навіть якщо формально роль все ще “manual”.Якщо щось з цього здається складним - це нормально.Питайте, будемо розбирати разом.Я за те, щоб ви розуміли, що відбувається під капотом, а не просто тикали чекбокси.Всім гарного дня і спокійної мережі )Обняв 🤗🤗🤗Сильні 💛💛💛

Доброго вечора банда - як ви?) Друзі, ну от скажіть - не круто ж придумали?Натрапив на пост від Microsoft:https://www.microsoft.com/en-us/msrc/blog/2025/12/in-scope-by-defaultСуть проста, але дуже сильна.Microsoft зробили підхід “in-scope by default” - тобто всі нові AI-фічі та сервіси автоматично вважаються в зоні відповідальності з точки зору безпеки, навіть якщо про це окремо не сказали.Зараз реально усі розуміютьAI зʼявляється всюди → вразливостей стає більше → атаки складніші → помилки дорожчі.І замість підходу “спочатку зробимо, а потім подумаємо про security”, вони одразу кажуть:безпека - за замовчуванням, а не “як встигнемо”.Мені особисто дуже подобається, коли великі компанії думають не тільки про фічі й хайп, а й про користувачів і наслідки.Особливо зараз, коли AI заходить у все підряд.Коротше, хороший приклад того, як має виглядати дорослий підхід до security у 2025+. це саме про чітке розуміння шо треба дуже і дуже розбиратися в прайвесі) Гарного вам вечора а головне спокійного - думаю буде цікаво почитати на нічЬ)Обняв 🤗🤗🤗

Привіт друзі, як ви?Сьогодні хочу поділитись штукою, яка реально має бути під рукою у всіх, хто хоч трохи лізе в security, API або просто глибше тестує веб.IntruderPayloads - це репозиторій з готовими payload’ами для Burp Suite Intruder. Думаю, Burp ви і так юзаєте, а от нормальні пейлоуди часто кожен збирає по шматках сам. Тут це вже зробили за вас.По суті, це велика база payload’ів під різні типи перевірок і вразливостей. Не “стріляти навмання”, а системно ганяти тести.З корисного це реально– payload’и для рекогносцировки і збору інформації– пошук точок входу в апку (де реально можна щось інжектити)– визначення технологій, фреймворків, серверів– пошук прихованих URL, API, адмінок– робота з кодами помилок і нестандартними відповідями– перевірки SSL/TLS конфігів– і ще купа всього під різні кейсице допомагає дивитись на апку не тільки як “expected / actual”, а як на поверхню атаки. Навіть без пентест-ролі ви починаєте краще розуміти, де можуть бути реальні ризики і чому деви або сек’юріті кажуть “це небезпечно”.Репо тут:https://github.com/1N3/IntruderPayloadsРекомендую просто зберегти собі. Навіть якщо зараз не юзаєте - момент, коли воно знадобиться, точно буде.Сильні 💛💛💛

Друзі, привіт! Як ваш день?Добрався до розбору свіженького пула - і він прямо класика жанру для всіх, хто хоч раз боровся з мережами в офісі чи вдома.і так шо я маю вам сказать Чому не (A) ping 10.0.0.1Ping - це перевірити один конкретний хост.Один.А не всю мережу.Тут задача: побачити всіх сусідів, а не перевірити, чи живе роутер.Ping не пробіжить нам підмережу, не покаже список активних пристроїв, нічого.Чому не (B) ssh 10.0.0.1SSH - це не інструмент для сканування, а для підключення.Та й щоб підключитись, треба знати логін/пароль - ви ж не будете ламатись у всі квартири підряд. Це точно не перший крок.Чому не (D) url http://10.0.0.1Це взагалі перевірка веб-сервера.А у нас задача мережевої діагностики, а не HTTP.Якщо у хоста немає веб-сервера - запит просто нічого не дасть.І навіть якщо є - це покаже лише один пристрій, а не всіх.Ну чому всеж правильна відповідь (C) nmap -sn 10.0.0.0/24Бо це і є нормальний спосіб перевірити: він реально хто живий у мережі, які IP відповідають, а які пристрої активні прямо зараз.nmap -sn робить ping-scan по всій підмережі й повертає список реальних пристроїв, без зайвих деталей і без сканування портів.Це реально найшвидший і найчистіший метод для такої задачі.Який мін поінт до вас)Це дуже базовий, але важливий навик для КУА чи будь-кого, хто хоче розуміти, що відбувається в мережі.правило таке:коли треба знайти всіх у мережі → завжди починаємо з nmap -sn.Хто вгадав - респект, мислення в правильному напрямку.Хто ні - тепер знаєте, як правильно робити первинну діагностику.Всім гарного вечора і настрою!Сильні💛💛💛