Безопасность веб-приложений и API на практике

🧭 Отправная точка

API возвращает 200 OK, токен пользователя действителен, тело ответа соответствует схеме. Но пользователь получил данные чужого заказа: сервис установил его личность и пропустил проверку прав на конкретный объект.

Исправление такой ошибки нужно проверить с двух сторон. Посторонний пользователь должен получить отказ, а владелец — по-прежнему видеть свой заказ. Для этого недостаточно проверить код ответа: важно сопоставить результат с правилами доступа и фактическим поведением приложения.

На курсе вы будете исследовать безопасность учебного веб-приложения на FastAPI. В нём есть HTTP API, база SQLite, работа с файлами и взаимодействие с внутренним сервисом. Вы научитесь воспроизводить опасное поведение в локальной среде, находить причину в коде, вносить исправления и закреплять результат тестами.

🎯 Цель курса — научиться проводить ограниченный аудит веб-приложения и API: проверять границы доступа и обработки данных, подтверждать уязвимости наблюдаемыми результатами и исправлять их без нарушения штатных сценариев.

⚙️ Что вы будете делать

• 🔎 Составлять модель угроз. Определите, какие данные и операции нужно защищать, кто имеет к ним доступ и где проходят границы доверия. На основе устройства учебного приложения подготовите проверяемые гипотезы и план безопасных проверок.

• 🔐 Проверять аутентификацию и авторизацию. Исследуете хранение паролей, токены, сессии и восстановление доступа. Разберёте права на уровне объектов, функций и отдельных полей. В частности, проверите BOLA — доступ к чужому объекту при действительном токене пользователя — и напишете тесты для разрешённых и запрещённых операций.

• 🧩 Исследовать обработку недоверенных данных. Воспроизведёте учебные ошибки в SQL-запросах, вызовах команд оболочки, выводе в браузере, загрузке файлов и обработке путей. Разберёте SSRF — нежелательные исходящие запросы от имени сервера — и проверку ответов внешних сервисов. Для каждого случая определите, где требуется защита, и повторите исходную проверку после исправления.

• 🧪 Закреплять безопасность тестами и настройками. Проверите конфигурацию, секреты, обработку ошибок, журналы, ограничения ресурсов и повторные чувствительные операции. Разберёте состав зависимостей и предупреждения сканеров, освоите статический и динамический анализ. Добавите регрессионные тесты и проверки в CI.

🔥 Чем отличается курс

Вся практика связана с одним учебным приложением. Вы будете исследовать его HTTP-запросы, код и связанные компоненты, а затем проверять исправления в том же окружении. Это помогает проследить причину ошибки от входных данных до конкретной проверки или операции.

Для каждого подтверждённого дефекта вы сохраните исходный запрос и ответ, сформулируете причину и проверите минимальное изменение. После исправления повторите тот же небезопасный сценарий и обычную разрешённую операцию. Так можно убедиться, что защита работает и приложение сохраняет нужную функциональность.

Важная часть работы — отличать подтверждённую проблему от предположения. Например, предупреждение сканера зависимости требует проверки применимости к вашему приложению. Для инъекций важен путь недоверенных данных до исполняемой операции, для SSRF — фактическое назначение запроса и обработка перенаправлений, для авторизации — место принятия решения о доступе. Вы будете опираться на воспроизводимые результаты, а не только на название уязвимости.

Курс охватывает также ошибки конфигурации и бизнес-логики. Слишком подробные сообщения об ошибках и журналы могут раскрывать чувствительные сведения; отсутствие ограничений позволяет многократно вызывать дорогие или значимые операции. Вы проверите эти ситуации и научитесь выбирать защиту с учётом конкретного поведения сервиса.

Все проверки выполняются в специально подготовленной локальной лаборатории. Вы будете работать с учебными пользователями и синтетическими данными, не обращаясь к чужим сайтам или рабочей инфраструктуре. Границы проверок, допустимые операции и ограничения нагрузки задаются заранее.

📚 Дополнительные бесплатные материалы

• 📄 IDOR: как пользователь получает доступ к чужим данным
• 📄 JWT-токены: что это, как устроены Access и Refresh Token
• 📄 Prompt Injection через инструменты AI-агента: как возникает атака
• 📄 OpenAPI 3.1: пример YAML-спецификации REST API с нуля
• 📄 SSL и TLS: в чём разница, как работает HTTPS и сертификаты

🎯 Итоговый аудит

В финале вы получите новую версию знакомого приложения и самостоятельно проведёте ограниченный аудит. Определите допустимые цели и проверки, изучите поведение сервиса, подтвердите обнаруженные проблемы и расставите приоритеты с учётом их влияния и доказательств.

Затем исправите причины подтверждённых ошибок, повторите первоначальные запросы, проверите разрешённые действия и добавите регрессионные тесты. Завершите работу целевыми и общими проверками приложения.

Итогом станут исправленный учебный проект и технический отчёт: границы аудита, исходные наблюдения, подтверждённые проблемы, внесённые изменения, результаты повторных проверок и оставшиеся риски. Отчёт должен позволять другому инженеру воспроизвести выводы и понять пределы проведённой проверки.

🧪 Поддержка

🤝 Вопросы по материалам курса можно задавать в комментариях Stepik. Разбирая сложную ситуацию, приложите название урока, свои действия и полученный результат — так проще понять причину ошибки и предложить следующий шаг.

✅ Практические работы проверяет преподаватель. Вы получаете обратную связь по выполненному заданию: что соответствует требованиям, что стоит исправить и на что обратить внимание при повторной проверке.

🚀 О XNova

XNova — практические курсы и учебные проекты для разработчиков, тестировщиков и инженеров. Мы разбираем технологии на работающих примерах: с кодом, наблюдаемым результатом и объяснением инженерных решений.

🔗 xnova.dev — другие курсы и материалы XNova.

📬 Контакты и сообщество

Продолжить знакомство с XNova, следить за новыми материалами или задать организационный вопрос можно здесь:

• 📣 Telegram-канал: @xnova_dev — анонсы курсов, статьи и новости проекта.
• 💬 Написать XNova: @xnova_contact — контакт для вопросов о курсах и проекте.
• ✉️ Почта: contact@xnova.dev — если удобнее написать письмом.
• 💻 GitHub: xnova-tech — открытые учебные проекты и примеры.

🔒 Доступ к разделам

⚠️ Важно! Модули курса открываются постепенно. Чтобы перейти к следующему модулю, необходимо набрать определённое количество баллов в текущем. Это вынужденная мера. Выполнять все задания не требуется, достаточно выполнить основную часть.