News Grower

Независимое покрытие AI, стартапов и технологий.

Habr 13.04.2026 12:10 Инструменты разработки Рост Горячо

Начинаем в багбаунти: file upload — больше, чем просто картинка

Привет, Хабр! На связи Олег Уланов (aka brain), багхантер и ведущий подкаста «Начинаем в багбаунти». Кстати, по итогам 2025 года стал топ-1 площадки Standoff Bug Bounty. Этот материал мы подготовили вместе с Дмитрием Прохоровым, пентестером из PT SWARM (в мире багхантинга Дима известен как ratel_xx...

Погода сигнала

Рост

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Автор: olegbrain (Positive Technologies) Оригинальный источник
Начинаем в багбаунти: file upload — больше, чем просто картинка

Привет, Хабр! На связи Олег Уланов (aka brain), багхантер и ведущий подкаста «Начинаем в багбаунти». Кстати, по итогам 2025 года стал топ-1 площадки Standoff Bug Bounty. Этот материал мы подготовили вместе с Дмитрием Прохоровым, пентестером из PT SWARM (в мире багхантинга Дима известен как ratel_xx). В статье речь пойдёт о поиске уязвимостей через загрузку файлов. Вы узнаете, как устроен механизм multipart/form-data, какие защитные механизмы ставят разработчики и как их обходить. Я покажу на практике, что можно сделать с расширениями файлов, Content-Type, magic bytes, а заодно затрону эксплойты типа race condition, zip-слайп и нестандартные векторы вроде загрузки .htaccess. Статья подойдёт для начинающих багхантеров, поэтому даже если у вас мало опыта смело заглядывайте под кат!

Оставайтесь в сигнале

Следить за темой «Начинаем в багбаунти: file upload — больше, чем просто картинка»

Следите не только за этой публикацией, но и за её продолжением: новыми материалами, соседними источниками и развитием сюжета.

Сначала отправим письмо для подтверждения, а дальше — только содержательные дайджесты.

Карта темы

Понять тему за минуту

Быстрый вход в историю: почему она важна сейчас, кто в ней участвует и куда идти дальше за контекстом.

Почему это важно сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.
У истории уже есть 6 связанных материала, поэтому отсюда легко перейти к продолжению темы.
Сюжет постоянно вращается вокруг Aka Brain, Bounty, and Brain, поэтому страницы сущностей дадут самый быстрый контекст.
Habr уже выпустил ещё 4 продолжения по этой теме.

Карта темы

Открыть живую карту этой истории

Посмотрите, какие сущности, линии сюжета, источники и follow-up материалы формируют эту историю прямо сейчас.

Нажимайте на узлы

Сущность Линия сюжета Материал Хаб Источник

Story timeline

Продолжить следить за темой

Короткая линия событий и follow-up материалов, чтобы быстро понять ход темы.

16.04.2026 10:57 Habr

Промпты Nano Banana для фото и изображений: Бесплатно для Нано Банана Про

Создание безупречного визуала в Nano Banana — это не вопрос везения, а результат правильной коммуникации с нейросетью. В отличие от прост...

16.04.2026 10:43 Habr

Пошаговая инструкция установки MTProto прокси через Service Node + VLESS

Если вы когда-нибудь пытались поднять прокси для Telegram на сервере, то знаете, что такое «мессенджер не грузит». В этой инструкции я пр...

16.04.2026 10:36 Habr

Накрутка поведенческих факторов для роста позиций — реально ли за день занять топ 1 Яндекса

Знаете, можно много долго спорить о том, что вот там умеют делать, а наши ничего не умеют. Но подход Яндекса к формированию поисковой выд...

16.04.2026 10:36 CNews Security

Чувашская Республика запускает программу по поиску уязвимостей на BI.Zone Bug Bounty

Компания BI.Zone сообщила о том, что Чувашская Республика запускает программу по поиску уязвимостей на BI.Zone Bug Bounty....

16.04.2026 10:35 Habr

Тени истории. Ренессанс – революция, подарившая миру главный инструмент шпионов

Вторая статья цикла о криптографии, в котором мы рассказываем, как человечество училось прятать и расшифровывать секреты — от древних мет...

13.04.2026 12:10 Habr

Начинаем в багбаунти: file upload — больше, чем просто картинка

Привет, Хабр! На связи Олег Уланов (aka brain), багхантер и ведущий подкаста «Начинаем в багбаунти». Кстати, по итогам 2025 года стал топ...

Насколько можно опираться

Сигнал и надёжность Habr

Источник работает в быстрый ритме: 100% последних материалов попадают в горячее окно, а 8% дают выраженный поисковый сигнал.

Рискованный

Надёжность

10

Свежесть

22

Источников в сюжете

2

Похожие статьи

Еще материалы, которые пересекаются по тегам, источнику или категории.

Промпты Nano Banana для фото и изображений: Бесплатно для Нано Банана Про
Рост Горячо

Промпты Nano Banana для фото и изображений: Бесплатно для Нано Банана Про

Создание безупречного визуала в Nano Banana — это не вопрос везения, а результат правильной коммуникации с нейросетью. В отличие от простых моделей прошлого, этот инструмент спо...

Погода сигнала

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Почему сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.

Пошаговая инструкция установки MTProto прокси через Service Node + VLESS
Пик Горячо Рост в поиске

Пошаговая инструкция установки MTProto прокси через Service Node + VLESS

Если вы когда-нибудь пытались поднять прокси для Telegram на сервере, то знаете, что такое «мессенджер не грузит». В этой инструкции я предлагаю рассмотреть подробную, пошаговую...

Погода сигнала

Сейчас это одна из самых сильных точек сигнала: тема тянет поиск, внимание или редакционный приоритет.

Почему сейчас

Тема уже растёт в поиске: импульс 963 и 27 внешнего сигнала.

Накрутка поведенческих факторов для роста позиций — реально ли за день занять топ 1 Яндекса
Рост Горячо

Накрутка поведенческих факторов для роста позиций — реально ли за день занять топ 1 Яндекса

Знаете, можно много долго спорить о том, что вот там умеют делать, а наши ничего не умеют. Но подход Яндекса к формированию поисковой выдачи мне всегда импонировал больше, нежел...

Погода сигнала

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Почему сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.

Рост Горячо

Чувашская Республика запускает программу по поиску уязвимостей на BI.Zone Bug Bounty

Компания BI.Zone сообщила о том, что Чувашская Республика запускает программу по поиску уязвимостей на BI.Zone Bug Bounty....

Погода сигнала

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Почему сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.

Еще материалы от Habr

Свежие публикации и продолжение темы от той же редакции.

Открыть страницу источника
Промпты Nano Banana для фото и изображений: Бесплатно для Нано Банана Про
Рост Горячо

Промпты Nano Banana для фото и изображений: Бесплатно для Нано Банана Про

Создание безупречного визуала в Nano Banana — это не вопрос везения, а результат правильной коммуникации с нейросетью. В отличие от простых моделей прошлого, этот инструмент спо...

Погода сигнала

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Почему сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.

Пошаговая инструкция установки MTProto прокси через Service Node + VLESS
Пик Горячо Рост в поиске

Пошаговая инструкция установки MTProto прокси через Service Node + VLESS

Если вы когда-нибудь пытались поднять прокси для Telegram на сервере, то знаете, что такое «мессенджер не грузит». В этой инструкции я предлагаю рассмотреть подробную, пошаговую...

Погода сигнала

Сейчас это одна из самых сильных точек сигнала: тема тянет поиск, внимание или редакционный приоритет.

Почему сейчас

Тема уже растёт в поиске: импульс 963 и 27 внешнего сигнала.

Накрутка поведенческих факторов для роста позиций — реально ли за день занять топ 1 Яндекса
Рост Горячо

Накрутка поведенческих факторов для роста позиций — реально ли за день занять топ 1 Яндекса

Знаете, можно много долго спорить о том, что вот там умеют делать, а наши ничего не умеют. Но подход Яндекса к формированию поисковой выдачи мне всегда импонировал больше, нежел...

Погода сигнала

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Почему сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.

Тени истории. Ренессанс – революция, подарившая миру главный инструмент шпионов
Рост Горячо

Тени истории. Ренессанс – революция, подарившая миру главный инструмент шпионов

Вторая статья цикла о криптографии, в котором мы рассказываем, как человечество училось прятать и расшифровывать секреты — от древних методов до современных алгоритмов. Сегодня ...

Погода сигнала

Импульс быстро усиливается, поэтому это хороший ранний вход в тему.

Почему сейчас

Это один из самых свежих сюжетов, у которого ещё только формируется продолжение.

Дополнительное покрытие этой темы

Похожие публикации и близкие по смыслу материалы по этой же теме.

Безопасный file upload в Go: 7 атак на загрузку файлов и как мы их закрывали
Пик Тёпло Рост в поиске

Безопасный file upload в Go: 7 атак на загрузку файлов и как мы их закрывали

«Сделай форму загрузки PDF» – звучит как задача на полчаса. Claude/GPT напишет handler, мы добавим accept=".pdf" на фронте, multer на бэке – и вот у нас работающий upload. Можно...

Погода сигнала

Сейчас это одна из самых сильных точек сигнала: тема тянет поиск, внимание или редакционный приоритет.

Почему сейчас

Тема уже растёт в поиске: импульс 919 и 27 внешнего сигнала.