Здравствуйте, дорогие читатели! Это моя первая и надеюсь, что не последняя, публикация на Habr. Буду очень рад возможной конструктивной критике и обратной связи. Эта статья стала итогом...

Здравствуйте, дорогие читатели! Это моя первая и надеюсь, что не последняя, публикация на Habr. Буду очень рад возможной конструктивной критике и обратной связи. Эта статья стала итогом моего первого раунда реального пентестирования на живом сайте, поэтому спешу поделиться опытом. Раньше занимался только разработкой, поэтому это был крайне интересным опытом. Людям, которые только хотят вливаться в пентестирование или идти в него из разработки, как я, эта статья может быть крайне полезна. А более профессиональные пентестеры и программисты, возможно, смогут чутка похихикать с неё и узнать себя в начале карьерного пути. В общем, надеюсь, что статья не оставит вас равнодушной. Не буду тянуть и приятного прочтения!

TL;DR. Теперь кратко и по делу. Нашёл на одном сайте (легально, с разрешения владельца, само собой) 500-ю ошибку от одного HTTP‑заголовка. Сначала подумал — баг десериализации, может, RCE. Потом сел, собрал стенд, намерил — и находка усохла до аккуратного «500 вместо 400». По дороге я один раз испугался, что уронил чужой прод (оказалось — перепутал окна терминала). В общем, я заспойлерил всё в самом начале, но история от этого, надеюсь, вышла не менее интересная.

Минимальное воспроизведение, которое можно запустить самому: https://github.com/Artpardsur/next‑rsc-400-repro

Начнём с того как я вообще оказался на этом «4-м дне пентестирования». 500-ка не свалилась с неба: ей предшествовали три дня, за которые я не нашёл ни одной серьёзной дыры. И это важная часть истории — именно поэтому, когда наконец мелькнул 500-й код, меня так потянуло сделать из неё целую сенсацию вселенского масштаба.

Всё началось с тестового задания. Знакомый — глава ИБ‑компании — дал мне добро проверить его боевой сайт, за что ему крайне благодарен. Для меня это был шанс показать себя, так что хотелось не просто прогнать сканер, а сработать на совесть: тихо и не спеша, по одному запросу. Тем более что сайт был непростой — на периметре Cloudflare, за ним SOC с ИИ, honeypot’ы и система, которая на шумный скан автоматически шлёт abuse‑жалобу провайдеру атакующего. Один неосторожный nmap — и сгорел бы мой VPN‑адрес. «Громко» было нельзя чисто физически.

День 1 — разведка. Пассивно: заголовки, сертификаты, DNS, публичная документация. Стек — Next.js и headless‑CMS за Cloudflare. В задании была приписка «найти PHP» — и это оказалось первой проверкой на вшивость: PHP на сайте не было вообще, я убедился в этом четырьмя независимыми способами (сканеры, CT‑логи, заголовки, клиентский JS). Будь я понаивнее — пошёл бы перебирать /shell.php и угодил бы ровно в honeypot. Ещё полдня я искал реальный IP origin‑сервера за Cloudflare — Censys, Shodan, crt.sh, история DNS. Не нашёл нигде. Вывод первого дня: инфраструктуру спрятали грамотно.

День 2 — первый аккуратный активный пентест. robots.txt, sitemap, API с легально полученным токеном. И тут я впервые упёрся носом в стекло: один чуть «грязный» запрос — и Cloudflare отдал 403, до приложения даже не дошло. Урок был не про сайт, а про меня: пока я сижу на неразрешённом IP, я тестирую не приложение владельца, а его Cloudflare. Я остановился и согласовал правила игры, вместо того чтобы вслепую менять адреса, — слепая ротация IP выглядит как настоящая атака, и защита владельца так её и прочитала бы.

День 3 — верификация. Вот тут я копал всерьёз: открытый прокси‑эндпоинт (единственная реальная находка дня — без аутентификации и без лимита), проверка на SSRF (нет), на обход авторизации в API (нет), на инъекции в CMS (нет), прощупал даже телеграм‑бота с LLM внутри на prompt‑injection — тот оказался парсером, а не исполнителем, чисто. К вечеру картина сложилась неуютная: сайт просто хорошо сделан. Отчёт вырисовывался честный и скучный — «критичных уязвимостей нет, пара замечаний по харденингу». Для настоящего пентеста это нормальный результат. Но внутри свербело: задание‑то тестовое, хочется принести что‑то весомее, чем «у вас всё в порядке».

День 4. И вот на фоне трёх дней сплошного «всё крепко» я тыкаю битым заголовком в динамическую страницу — и получаю 500. После семидесяти двух часов идеальных 200-к и 403-к серверная ошибка ударила по нервам как джекпот! Я прям ликовал и подумал в тот момент: «Наконец‑то что‑то настоящее». Ровно здесь и начинается самое опасное — желание, чтобы находка оказалась крупной, было у меня в тот момент максимальным за всю неделю. Дальше — о том, как я с этим желанием справлялся.

Боевой сайт на Next.js. Обычный GET отдаёт 200. А вот такой запрос: