ukaguzi wa kishambulizi

Si ukaguzi mmoja. Ni nidhamu.

Mtu yeyote anaweza kufanya ukaguzi wa usalama mara moja na kupiga picha ya skrini ya kijani. Jambo gumu zaidi ni kuendelea kushambulia upya mfumo wako mwenyewe unapokua, na kupata jibu lile lile kila mara. Awamu ya hivi karibuni: ukaguzi wa mawakala 50, marekebisho yake yakatolewa, kisha ukaguzi upya wa kishambulizi wa mitazamo 14 uliofanywa kando, ambapo kila ugunduzi ulilazimika kustahimili mkosoaji kabla ya kuhesabiwa. Kinachosimama, kinasimama.

kile ambacho ukaguzi wa hivi karibuni ulishughulikia

Wigo, mbinu na mipaka kwanza. Idadi ya mawakala baadaye.

Kutoka kwenye ukaguzi wa hivi karibuni wa kiini, wa tarehe 25 Septemba 2026. Idadi ya mawakala inaonyesha jinsi ukaguzi ulivyokuwa na shughuli nyingi, si jinsi ulivyokuwa mzuri, kwa hiyo hiki ndicho ukaguzi huu ulifanya hasa.

Msimbo: Kifurushi cha kiini, faili 162 na mistari 17,362, katika commit moja isiyobadilika, pamoja na msimbo wa gateway unaohitajika kujua kama kila njia iko hai.
Ufikiaji: Chanzo kamili, na hifadhidata mpya iliyojengwa kutoka kwa migrations. Si hifadhidata ya uzalishaji; mipangilio ya uzalishaji pekee iliwekwa alama kuwa haijathibitishwa na nikaikagua mwenyewe baadaye.
Mbinu: Wakaguzi wanne kila mmoja alisoma safu moja kikamilifu. Kiongozi alisoma upya kila tokeo dhidi ya faili, na aliendesha kila dai la muda au la mfumo wa ruwaza, kabla halijahesabiwa.
Ukali: HIGH inamaanisha dharura iliyokosekana au kunyimwa huduma kwenye njia hai, uvujaji kati ya wapangaji, au pesa zilizopotea. Kati inamaanisha kinga inayoshindwa kwa kuacha wazi, salio lililoundwa bila msingi, au data iliyodondoshwa kimyakimya. Kila tokeo pia huwekwa alama hai au fiche: linafikika katika uzalishaji leo, au la.
Kutokubaliana: Tokeo ambalo kiongozi hakuweza kulirudia liliondolewa au kuwekwa alama kuwa halijathibitishwa, halikujumuishwa kwenye wastani.
Matokeo: Matokeo 2 ya HIGH na 13 ya kiwango cha kati. Yote yalirekebishwa siku hiyo hiyo, kila moja na jaribio lililoshindwa kwenye msimbo wa zamani, na mkusanyiko kamili wa majaribio uliendeshwa upya katika CI.
Haikujumuishwa: Usahihi wa takriban mistari 7,000 ya maandishi ya usalama yaliyotafsiriwa, hifadhidata ya uzalishaji, usanidi wa seva ya wavuti, na matokeo 17 ya kiwango cha chini ambayo bado yako wazi.

Uliendeshwa na wakaguzi wa AI niliowaelekeza, si uhakikisho huru wa mtu wa tatu.

mdundo

Ilishambuliwa tena, raundi baada ya raundi. Kila tokeo la kati ya wapangaji hapa chini lilipatikana na ukaguzi, halikuripotiwa na mteja, na lilirekebishwa.

jipya zaidi

Ukaguzi upya wa mitazamo 14 wa marekebisho ya mwisho, uwindaji wa ukwepaji uliobaki + hitilafu za kurudi nyuma kwa kila rekebisho, kila ugunduzi ukikanushwa na wakala huru. Kesi 2 ndogo za pembezoni zilinusurika, zote zikarekebishwa; hakuna kitu cha kuvuka wapangaji, hakuna uvunjifu wa pesa au utawala.

kabla yake

Ukaguzi wa mawakala 50 → marekebisho madogo ya PR 9 katika mishono ya hifadhi (kalenda, chaneli, mkazi anayejiendesha, uchumi wa wapangaji, GDPR/PECR): yote yametolewa, yamejaribiwa, yamewekwa kazini upya.

kabla ya hapo

Ukaguzi wa mawakala 44, matokeo 9, 3 ya kiwango cha juu (likiwemo uvujaji wa mazungumzo kati ya tenants): yote yamerekebishwa; na uchambuzi wa upanuzi wa mawakala 30 ulioibua hitilafu halisi kama athari ya pembeni ya grounding.

Julai 2026

Ukaguzi wa mawakala 80, pande 14: ukaguzi kamili wa mwanzo kabisa, uliofanywa kwa kanuni ya kukanusha: hakuna kasoro iliyohesabiwa hadi wakala tofauti ashindwe kuikanusha. Marekebisho matatu yalitolewa kutokana nao, likiwemo kiingizaji cha tovuti chenye ugumu wa quadratic kilichoandikwa upya kuwa uchanganuzi wa mstari wenye kikomo. Ni tofauti na, na ulitangulia, ukaguzi wa mawakala 50 ulio hapo juu.

na mapema zaidi

mizunguko ya kishambulizi ya jukwaa zima na Studio nzima, ule mkuu, na kadhaa kabla yake: kumbukumbu inayoendelea kwenye git.

✓ rasilimali muhimu zaidi zilishikiliwa kila raundi, utengano · pesa · utawala · SSRF · vikoa vya tokeni

tatu kati ya zile halisi

HIGH Uvujaji wa mazungumzo kati ya wapangaji

Kumbukumbu ya gumzo ilihifadhiwa kwa ufunguo wa mtumaji, si wa mpangaji, hivyo mgeni aliyetuma ujumbe kwa biashara mbili kupitia jukwaa angeweza kuona mazungumzo ya biashara moja yakijitokeza ndani ya maelekezo ya nyingine. Imerekebishwa: historia huhifadhiwa kwa ufunguo wa biashara kwenye tabaka la uhifadhi, pamoja na jaribio linaloshindwa ikiwa ufunguo wa zamani utarudi. Uligunduliwa na ukaguzi, haukuripotiwa na mteja.

HIGH Mtoa huduma anayemaliza salio la mwitaji

Katika uchumi wa zana kati ya wapangaji, mtoa huduma angeweza kupandisha bei ya zana iliyoruhusiwa baada ya mpigaji kuanza kuitumia na kumaliza salio lake. Imerekebishwa: mpigaji anakubali bei kwa kila wito, inafunga ikishindwa, bila ridhaa hakuna malipo, na inatekelezwa kabla hata kredti moja haijahamishwa.

JUU Dharura nyuma ya kipimo

Ukaguzi wa malipo uliendeshwa kabla ya ukaguzi wa dharura, hivyo mteja aliye katika dhiki akituma ujumbe kwa biashara iliyoishiwa salio alipata "haipatikani" badala ya nambari ya msaada wa dharura. Imerekebishwa: dharura huhudumiwa bure, kabla ya kila kikomo na malipo, kwenye kila sehemu inayomhudumia mteja.

Mitazamo inajumuisha utengaji · uthibitishaji · injection · pesa · utawala · uhifadhi wa nafasi · chaneli · mkazi anayejiendesha · haki za data (GDPR/PECR) · kizalishaji cha tovuti · frontend · ops. Hukumu, kila raundi: hakuna kasoro muhimu (critical) iliyosalia; utengaji wa wapangaji na eneo la XSS vilirudi safi; hakuna ukwepaji wa uthibitishaji ulio hai: kila kasoro iliyothibitishwa ilirekebishwa na kusambazwa upya.

Endesha tena ukaguzi mkuu moja kwa moja →

takwimu za kweli

Kila takwimu, ikiwa tayari imeambatishwa na tahadhari yake.

Wajenzi wengi hutia chumvi. Ningependa uamini sehemu zilizo halisi kuliko kuvutiwa na sehemu zisizo halisi.

1mjenzi* si timu

3,389majaribio yanapita* CI, 2026-10-01, si uthibitisho rasmi

6 → 0ukaguzi · hatari kuu zilizosalia* umeendeshwa na mimi mwenyewe, si mtu wa tatu; sifuri za kiwango cha critical kufikia 2026-09-25, kifurushi cha kiini

0uvunjaji unaojulikana kati ya wapangaji katika mazingira ya uzalishaji* hakuna vilivyoripotiwa; uvujaji mmoja uligunduliwa katika ukaguzi na kurekebishwa, tazama hapa chini

1mfano wa uzalishaji* kwa kuchagua, upanuzi bado si somo

Mfumo ni mwaminifu kwa sababu mtu aliyeubuni ni mwaminifu. Nilihakikisha hilo tangu mwanzo, limejengwa ndani, halikubandikwa baadaye.

mwaliko

Takwimu zinasimama. Tahadhari zimejumuishwa.

Ukitaka mjenzi anayeshambulia kazi yake mwenyewe kwa nguvu hivi kabla mtu yeyote hajaomba, na anaendelea kufanya hivyo kadri mfumo unavyokua, tuzungumze.

Wasiliana nami →