Temat · 46 art.

Pentest i AppSec

Testy penetracyjne i bezpieczeństwo aplikacji: web, API, mobile, logika biznesowa, bezpieczne programowanie, hardening oraz dowody potrzebne do naprawy.

FIELD NOTES

INDEKS TEMATU

Najnowsze analizy

46 WPISÓW

29 lipca 2026 · 13 min czytania

Błędy w MOL Move pozwalały zmienić konto w pracownika

Błędy kontroli pól w MOL Move umożliwiały zmianę roli, e-maila i danych lojalnościowych. Analizujemy fakty, przyczynę i proces disclosure.

25 lipca 2026 · 18 min czytania

Bezpieczeństwo webhooków: podpisy, replay i SSRF

Webhooki mają dwie strony i dwie powierzchnie ataku. Jak weryfikować podpisy, blokować replay, projektować idempotencję i nie zbudować SSRF na życzenie.

25 lipca 2026 · 18 min czytania

Bezpieczny upload plików: od walidacji do izolacji

Dlaczego walidacja rozszerzenia niczego nie załatwia: nazwy, typy, serwowanie, parsery, archiwa i limity. Docelowy wzorzec uploadu oraz metodyka testu.

25 lipca 2026 · 18 min czytania

IDOR i BOLA: testowanie autoryzacji obiektów

Dlaczego autoryzacja na poziomie obiektu psuje się najczęściej: warianty IDOR, mity o UUID, wzorce naprawy, metodyka testu i detekcja w logach.

25 lipca 2026 · 18 min czytania

SQL injection w erze ORM: gdzie nadal powstaje

Parametryzacja nie chroni identyfikatorów, a ORM ma furtki. Gdzie SQLi żyje dziś: sortowanie, raporty, warianty ślepe i drugorzędne. Obrona i detekcja.

25 lipca 2026 · 17 min czytania

SSTI: wstrzyknięcie do szablonu po stronie serwera

Czym różni się SSTI od XSS, dlaczego sandbox silnika szablonów nie jest granicą bezpieczeństwa oraz jak testować, naprawiać i wykrywać tę klasę błędów.

25 lipca 2026 · 17 min czytania

XXE: bezpieczeństwo parserów XML w praktyce

Jak encje zewnętrzne zamieniają parser XML w czytnik plików i klienta HTTP. Gdzie XML wchodzi niezauważony, jak wyłączyć DTD, testować i wykrywać XXE.

14 lipca 2026 · 9 min czytania

GitHub dodaje AI security review: co naprawdę trafia do pull requestu

GitHub uruchomił wykrycia AI w code scanning i komendę /security-review. Wyjaśniamy wymagania, ograniczenia i bezpieczny sposób wdrożenia w zespole.

14 lipca 2026 · 8 min czytania

GitHub wyłącza SHA-1 w HTTPS: czego nauczył brownout z 14 lipca

18-godzinny test GitHub ujawnił stare klienty TLS przed ostatecznym wyłączeniem SHA-1 15 września. Jak znaleźć ryzyko w Git, API, CI/CD i integracjach.

12 lipca 2026 · 26 min czytania

Testy penetracyjne aplikacji webowych: kompletny przewodnik

Jak wygląda profesjonalny pentest aplikacji webowej: zakres, OWASP, metodyka, raport, retest, cena i wybór wykonawcy. Przewodnik dla firm.

11 lipca 2026 · 16 min czytania

OWASP ASVS 5.0 — poziomy, wymagania i wdrożenie w firmie

OWASP ASVS 5.0 w praktyce: poziomy L1–L3, dobór wymagań, dowody, umowy, testy i proces wdrożenia standardu w bezpiecznym SDLC firmy.

11 lipca 2026 · 15 min czytania

Pentest API REST, GraphQL i OAuth — pełna checklista

Jak wykonać pentest API? Praktyczna checklista REST, GraphQL, OAuth, JWT, BOLA, role, limity, logika biznesowa, raport i retest krok po kroku.

11 lipca 2026 · 14 min czytania

Pentest aplikacji mobilnej Android i iOS — przewodnik

Jak wygląda pentest aplikacji mobilnej? Omawiamy zakres Android i iOS, MASVS, MASTG, testy API, przygotowanie, raport, retest i checklistę.

11 lipca 2026 · 14 min czytania

Red Team vs pentest: różnice, koszt i właściwy wybór

Red Team czy pentest? Porównujemy cel, zakres, czas, koszt, raport i wymagany poziom dojrzałości, aby pomóc wybrać właściwy test dla firmy.

11 lipca 2026 · 14 min czytania

Test penetracyjny — cena i koszt pentestu w 2026 roku

Ile kosztuje test penetracyjny? Sprawdź widełki cenowe, czynniki wyceny, przykładowe zakresy i sposób porównania ofert pentestu w Polsce.

9 lipca 2026 · 11 min czytania

Content Security Policy — wdrożenie CSP krok po kroku

Content Security Policy ogranicza skutki XSS. Zobacz, jak wdrożyć CSP Report-Only, nonce, strict-dynamic, raportowanie i politykę produkcyjną.

9 lipca 2026 · 11 min czytania

OAuth 2.0 bezpiecznie — najważniejsze zasady RFC 9700

RFC 9700 porządkuje bezpieczeństwo OAuth 2.0. Wyjaśniamy PKCE, redirect URI, rotację tokenów, audience i bezpieczne wdrożenie krok po kroku.

8 lipca 2026 · 10 min czytania

VDP vs bug bounty — jak bezpiecznie przyjmować zgłoszenia

Vulnerability Disclosure Program i bug bounty to różne procesy. Wyjaśniamy safe harbor, scope, triage, SLA, nagrody i uruchomienie programu.

7 lipca 2026 · 9 min czytania

Języki memory-safe: plan migracji do Rust i nie tylko

Języki memory-safe ograniczają klasy błędów pamięci. Zobacz, jak wybrać komponenty, mierzyć ryzyko i bezpiecznie planować migrację do Rust.

7 lipca 2026 · 12 min czytania

Pentest chmury AWS, Azure i GCP: zakres oraz zasady

Jak zaplanować pentest chmury bez naruszenia zasad dostawcy? Zakres IAM, storage, sieci, Kubernetes, serverless, logi i bezpieczne reguły testu.

6 lipca 2026 · 12 min czytania

Secure by Design według CISA: praktyczne wdrożenie

Secure by Design przenosi odpowiedzialność za bezpieczeństwo na producenta. Poznaj zasady CISA, mierniki i plan wdrożenia w zespole produktu.

4 lipca 2026 · 9 min czytania

Darmowy skaner bezpieczeństwa strony — sprawdź w kilka sekund

Darmowy skaner bezpieczeństwa stron: HTTPS, nagłówki, cookies, SPF/DMARC, podatności bibliotek weryfikowane w OSV i więcej. Raport pod własnym, udostępnialnym linkiem.

4 lipca 2026 · 11 min czytania

HTTP/2 Rapid Reset: jak jeden frame wywołał rekordowy atak DDoS

Rapid Reset (CVE-2023-44487) wykorzystuje multipleksowanie HTTP/2 do ataków L7 o rekordowej sile. Tłumaczymy mechanizm strumieni, RST_STREAM i obronę.

4 lipca 2026 · 11 min czytania

Jak czytać wynik skanu bezpieczeństwa i naprawić problemy

Przeskanowałeś stronę i widzisz ocenę oraz listę problemów — co dalej? Tłumaczymy każdy typ znaleziska i pokazujemy, jak konkretnie go naprawić.

4 lipca 2026 · 12 min czytania

Nagłówki bezpieczeństwa HTTP: kompletny przewodnik dla firm

HSTS, CSP, X-Frame-Options, Permissions-Policy, CORS i flagi ciasteczek — które nagłówki bezpieczeństwa wdrożyć, jak je poprawnie ustawić i jak zweryfikować.

4 lipca 2026 · 11 min czytania

Test penetracyjny, audyt bezpieczeństwa czy skan podatności — co wybrać?

Pentest, audyt i skan podatności to trzy różne rzeczy, często mylone. Wyjaśniamy, czym się różnią, ile kosztują i którą usługę wybrać do swojej sytuacji.

3 lipca 2026 · 12 min czytania

OSINT: co atakujący wie o Twojej firmie, zanim uderzy

Zanim padnie pierwszy atak, przestępca robi rozpoznanie. Pokazujemy, co OSINT ujawnia o Twojej firmie z publicznych źródeł i jak zmniejszyć swój cyfrowy ślad.

2 lipca 2026 · 12 min czytania

eBPF: supermoc jądra Linuxa, która działa dla obrońcy i atakującego

eBPF pozwala uruchamiać programy w jądrze Linuxa bez modułów — napędza nowoczesny monitoring i sieć, ale bywa też narzędziem rootkitów. Technicznie i o hardeningu.

2 lipca 2026 · 13 min czytania

Jak przygotować się do testu penetracyjnego

Dobrze przygotowany pentest daje więcej wartości za te same pieniądze. Jak wygląda proces, co ustalić przed startem i jak czytać raport.

30 czerwca 2026 · 11 min czytania

Kerberoasting: jak atakujący łamią konta usługowe w Active Directory

Zwykłe konto w domenie wystarczy, by pobrać bilet Kerberos i łamać hasło konta usługowego offline. Tłumaczymy TGS-REP, RC4 vs AES i skuteczną obronę.

29 czerwca 2026 · 10 min czytania

DNS rebinding: jak strona WWW atakuje Twoją sieć lokalną

DNS rebinding omija politykę tego samego pochodzenia i pozwala stronie w przeglądarce sięgnąć do routera, IoT czy panelu admina w LAN. Mechanizm i skuteczna obrona.

27 czerwca 2026 · 11 min czytania

Modelowanie zagrożeń: jak znaleźć luki, zanim zrobi to atakujący

Threat modeling to najtańszy sposób na wykrycie błędów projektowych — zanim trafią do kodu. Wyjaśniamy metodę STRIDE, diagramy przepływu danych i praktyczne podejście.

5 czerwca 2026 · 11 min czytania

Bezpieczeństwo WordPress: 10 kroków dla właściciela strony

WordPress napędza większość stron w sieci i jest głównym celem ataków. Dziesięć praktycznych kroków, które zabezpieczą Twoją stronę bez wiedzy programistycznej.

30 maja 2026 · 7 min czytania

Bezpieczeństwo API: OWASP API Top 10 w praktyce

API to dziś najczęstszy cel ataków na aplikacje. Omawiamy najważniejsze klasy podatności z OWASP API Top 10 — z BOLA na czele — i jak ich unikać.

18 maja 2026 · 7 min czytania

OWASP Top 10: najczęstsze podatności aplikacji web

Przewodnik po OWASP Top 10 dla zespołów, które chcą rozumieć realne ryzyka — od błędnej kontroli dostępu, przez injection, po SSRF.

9 maja 2026 · 17 min czytania

Niebezpieczna deserializacja: od danych do RCE

Niebezpieczna deserializacja w Java, .NET i Pythonie: naucz się rozpoznawać granice zaufania, testować bezpiecznie i usuwać przyczynę RCE.

8 maja 2026 · 7 min czytania

Bezpieczeństwo Active Directory: co sprawdzamy

Active Directory to najczęstszy cel po wejściu do sieci. Omawiamy typowe ścieżki ataku — Kerberoasting, nadmiarowe uprawnienia — i jak je zamknąć.

5 maja 2026 · 16 min czytania

Prototype pollution w JavaScript: testy i obrona

Prototype pollution w JavaScript i Node.js: zobacz źródła skażenia, groźne gadżety, bezpieczną metodykę testów oraz skuteczny hardening aplikacji.

4 maja 2026 · 16 min czytania

Race condition w aplikacjach: testy TOCTOU

Race condition i TOCTOU w aplikacjach webowych: poznaj bezpieczne testy współbieżności, wiarygodne dowody oraz skuteczne wzorce naprawcze.

18 kwietnia 2026 · 21 min czytania

Pentest sieci wewnętrznej i test segmentacji: metodologia

Techniczny pentest sieci LAN, VLAN i stref bezpieczeństwa: macierz przepływów, test segmentacji, Active Directory, detekcja i hardening.

10 kwietnia 2026 · 9 min czytania

Hardening serwerów Linux: od czego naprawdę zacząć

Praktyczny przewodnik po utwardzaniu serwerów Linux — bez kopiowania stuelementowych checklist, za to z naciskiem na działania o największym efekcie.

8 kwietnia 2026 · 18 min czytania

Izolacja tenantów SaaS: techniczny pentest

Jak testować izolację tenantów SaaS w API, bazie, cache, kolejkach, storage i panelu administracyjnym. Metodyka pentestu bez ryzyka wycieku danych.

7 kwietnia 2026 · 22 min czytania

Pentest gRPC i Protobuf: autoryzacja i streaming

Techniczna metodyka pentestu gRPC i Protobuf: reflection, HTTP/2, mTLS, metadata, interceptory, schematy, streaming, limity, detekcja i hardening.

6 kwietnia 2026 · 21 min czytania

Pentest WebSocket: sesje, Origin i autoryzacja

Techniczna metodyka pentestu WebSocket: handshake, CSWSH, Origin, cookies, tokeny, autoryzacja wiadomości, subskrypcje, limity, detekcja i hardening.

5 kwietnia 2026 · 21 min czytania

Web Cache Poisoning i Deception: pentest CDN

Jak bezpiecznie testować web cache poisoning i cache deception: cache key, normalizacja URL, CDN, Vary, prywatne odpowiedzi, detekcja i hardening.

3 kwietnia 2026 · 20 min czytania

HTTP Request Smuggling: techniczny test desync

Jak bezpiecznie testować HTTP Request Smuggling, CL.TE, TE.CL, HTTP/2 downgrade i desynchronizację proxy. Metodyka, detekcja i hardening.

BR / CO DALEJ

Chcesz przygotować zespół na te zagrożenia?

Przekładamy bieżące zagrożenia na szkolenia dopasowane do ról, bezpieczne ćwiczenia i jasny sposób zgłaszania problemów. Darmowa Akademia pozostaje ścieżką do samodzielnej nauki.

Zobacz szkolenia pracowników Otwórz darmową Akademię

NDA · jasny zakres · bezpośrednia komunikacja