Ломай меня
Всем привет! Меня зовут Саша Архипов. Я работаю в хостинге, увлекаюсь безопасностью и собрал эту площадку, чтобы на практике учиться анализировать журналы и настраивать мониторинг.
Здесь стоят настоящие сайты с настоящими уязвимостями — и это сделано специально. Ломайте всё, что найдёте по ссылкам ниже: я разрешаю. Атаки и сканирование приветствуются — я смотрю, как они выглядят в логах и в SIEM.
цель открыта
Добрый магазин бабушки Ларисы
Магазин носочков на Joomla. Добрая бабушка, милые внуки и старый, уязвимый движок. Идеальная первая жертва.
Перейти в магазин →
цель открыта
WordPress-проект
«Лавка дедушки Максима» — интернет-магазин обуви на старом WordPress с уязвимыми плагинами. Работает, принимает посетителей и тоже ждёт смелых гостей с инструментами.
Перейти в лавку →
цель открыта
Бар Ржавый Дротик
«Бар Ржавый Дротик» — современный WordPress с намеренно уязвимыми плагинами. Бар для говнорей: честные наливки, ржавый юмор и полный отсутствие занавесок. Заходите с инструментами.
Перейти в бар →Обратная связь
Сломали что-то интересное, или просто хотите поговорить о безопасности и хостинге — пишите, я рад обмену опытом.
Написать в Telegram →Векторы атак: с чего начать
Названия конкретных уязвимостей и пошаговые эксплойты я не подсказываю — найти их самому и есть половина упражнения. Но направления поиска такие:
- Вордпресс: ядро и плагины. Научитесь определять версию движка и имена установленных плагинов — это первое, что делает настоящий разведчик, и часто последнее, что делает администратор.
- Джумла: версия и её история. Сверьте найденную версию с публичными базами уязвимостей — у старых версий есть сюрпризы на уровне ядра.
- Служебные эндпоинты. WordPress охотно рассказывает о себе через REST API, xmlrpc и файлы-индикаторы. Информация иногда ценнее самой атаки.
- Аккаунты по умолчанию и слабые пароли. Брутфорс до сих пор работает чаще, чем хотелось бы.
- Загрузка файлов. Плагины, принимающие загрузки от посетителей, — классический путь от гостя к полному контролю.
Частые вопросы
Это законно?
Да. Все сайты, перечисленные на этой странице, принадлежат мне и размещены намеренно уязвимыми. Разрешение на атаки дано прямо здесь, публично. Чужие ресурсы ломать не нужно и нельзя — это уже не лаборатория, а статья.
Что я получу, если взломаю?
Материально — ничего, красть тут нечего. Цель упражнения другая: отработать цепочку от разведки до полного захвата, а я посмотрю, как она выглядит в журналах и в SIEM. Удачный взлом — это скриншот и рассказ, а не данные.
Как передать найденную уязвимость?
Напишите в телеграм: что получилось, как и примерное время — ссылку найдёте внизу страницы. Если приложите скриншот, будет ещё лучше. Я сверю у себя по логам: отчёт, который ложится поверх реальных событий, — самый ценный.
Почему сайты настолько старые?
Сознательно. Версии подобраны так, чтобы на них жили настоящие, а не учебные уязвимости — ровно те же, которые до сих пор встречаются на живых серверах. Апдейт до актуальных версий убьёт лабораторию, поэтому его здесь не будет.
Нужен ли VPN или анонимайзер?
Нет, заходите с обычного адреса. Все обращения логируются — и это часть обучения: половина навыка аналитика начинается с того, чтобы увидеть в журналах самого себя.
Чего здесь делать нельзя?
Не нужно устраивать нагрузочные атаки и флуд, ломать что-то за пределами ссылок с этой страницы и пытаться добраться до серверов — за страницей стоит только мониторинг, а дальше начинается чужая инфраструктура.