Как из одной ссылки собрать полный взлом сервера

AvitoTech совместно с SPbCTF организовали соревнование по спортивному хакингу HoneyBadger CTF. Участники должны были найти в системе уязвимость и через неё добраться до спрятанных данных. Владимир Аламов, Security Champions Community Lead в AvitoTech, разбирает одно из самых сложных заданий турнира. В нём нужно пройти целую цепочку: из одной системы достать сразу три спрятанных ключа. Начинается всё с безобидного импорта резюме по ссылке, а заканчивается запуском своего кода на чужом сервере. Смотрим, как раскрутить взлом шаг за шагом и добраться до флагов. 00:00 — Что за сервис будем ломать 03:34 — С чего начинается взлом 09:02 — Как из одной дыры пробраться в облако 20:20 — Запускаем свой код на чужом сервере 33:41 — Где были дыры и как их избежать 41:00 — Ответы на вопросы AvitoTech — это команда инженеров Авито. Подпишитесь на наш канал, соцсети и блоги, чтобы узнавать больше о технологиях Авито 👇🏻 ВК: https://vk.com/avitotech Телеграм: https://clc.to/6ORfrw Хабр: https://habr.com/ru/company/avito Гитхаб: https://github.com/avito-tech RuTube: https://rutube.ru/channel/30462632/ Дзен: https://dzen.ru/avitotech Сайт: https://clc.to/l5ZqRA