Bug or Defect?

Друзі доброго ранку - як у вас справи?

Тут стартує прикольна IT-конференція.
Я дуже сподіваюсь, що вийде на неї потрапити (якщо, звісно, буде світло), бо теми реально цікаві і хочеться послухати.

Думаю, буде корисно: тим, хто зараз шукає роботу або тим, хто вже працює, але відчуває, що застряг і не росте

Іноді такі івенти добре вправляють голову і дають правильний напрямок.

https://neoversity.com.ua/it-career-conf?utm_source=p&utm_medium=paid&utm_campaign=conf&utm_content=inst&utm_term=lebiga18.12

Note: не реклама - іду сам і вам раджу.

Потім сподіваюсь розкажете шо там було бо якщо не попаду буде грусно(
Обняв🤗🤗🤗

Motivaaaaaation 👀

Всім гарного вечора і спокійного)
Обняв🤗
Сильні💛

Доброго дня друзі, як ваш день?
Мені сьогодні з ранку дали світло це інша міра задоволення)

Так я помьятаю що обіцяв - бачу бачу шо ви мені пишете де ше такі пости) вони є і будуть)

Так що я маю вам сказать сьогодні про самі горячі теми - SQL vs NoSQL - а шо я буду говорити - Гортайте слайди друзі)

Всім гарного дня і настрою
Обняв 🤗🤗🤗

Доброго вечора банда - як ви?)
Друзі, ну от скажіть - не круто ж придумали?

Натрапив на пост від Microsoft:
https://www.microsoft.com/en-us/msrc/blog/2025/12/in-scope-by-default

Суть проста, але дуже сильна.
Microsoft зробили підхід “in-scope by default” - тобто всі нові AI-фічі та сервіси автоматично вважаються в зоні відповідальності з точки зору безпеки, навіть якщо про це окремо не сказали.

Зараз реально усі розуміють
AI зʼявляється всюди → вразливостей стає більше → атаки складніші → помилки дорожчі.
І замість підходу “спочатку зробимо, а потім подумаємо про security”, вони одразу кажуть:
безпека - за замовчуванням, а не “як встигнемо”.

Мені особисто дуже подобається, коли великі компанії думають не тільки про фічі й хайп, а й про користувачів і наслідки.
Особливо зараз, коли AI заходить у все підряд.

Коротше, хороший приклад того, як має виглядати дорослий підхід до security у 2025+.

це саме про чітке розуміння шо треба дуже і дуже розбиратися в прайвесі)

Гарного вам вечора а головне спокійного - думаю буде цікаво почитати на нічЬ)
Обняв 🤗🤗🤗

Друзі привіт, як ваш день?
Сподіваюсь ви в безпеці, день вже до кінця добігає, заварюйте чай і читайте, бо без нього TLS взагалі виглядає як чорна магія.

Протоколи для QA - TLS

Що я маю вам сказати одразу:
TLS - це не “просто замочок у браузері”.
Це окремий протокол, який вирішує як саме клієнт і сервер домовляються про безпечне спілкування.

І дуже часто, коли:
“API не працює”,
“мобілка не конектиться”,
“у браузері ок, а в апці ні” -
це не бекенд і не фронт.
Це TLS.

Працює вроді складно але просто)
Клієнт приходить і каже:
- я підтримую такі версії TLS
- такі шифри
- ось мій ClientHello

Сервер відповідає:
- ок, беремо ось цю версію
- ось цей cipher
- ось сертифікат

Далі йде перевірка сертифіката, ключів і тільки потім реальні дані.

І якщо десь тут не зійшлись - з’єднання навіть не почнеться.

Типові куа-проблеми з TLS, які бачать реально не всі:

- У браузері працює, а в мобільній апці ні
- На старих девайсах не відкривається
- curl працює, Postman - ні (або навпаки)
- Падає тільки на конкретному регіоні
- Помилка типу handshake failed без деталей

Чому саме так:
- різні TLS-версії (1.0 / 1.2 / 1.3)
- різні набори cipher suites
- старі Android / iOS не підтримують нові шифри
- сервер заблокував “слабкі” алгоритми
- firewall або proxy лізе в TLS і ламає все

Окремий кайф це в TLS 1.3:
- менше раундів
- швидший handshake
- менше логів і менше “зрозуміло що відбувається”

Для користувача - швидше.
а от для куа - інколи складніше дебажити.

КУА реально повинен вміти
- розуміти різницю між TLS і HTTPS
- знати, що сертифікат ≠ TLS
- вміти перевірити версію TLS і cipher
- не плутати “network issue” з “handshake issue”

Що я хочу до вам донести
TLS - це рівень до API.
Якщо він не встав - ніякий REST, GraphQL чи WebSocket не врятує.

І дуже часто “рандомні” баги - це просто різні клієнти, які по-різному домовляються про безпеку.

Всім гарного вечора і стабільних handshakes.

Обняв🤗🤗🤗

Note: сподіваюсь діаграмка вам дасть розуміня більше чучуть)

Це я сьогодні)

Це вам підняти настрій на вечер - я думаю кожен попадав в таку сітуейшен))

Привіт друзі, як ви?

Сьогодні хочу поділитись штукою, яка реально має бути під рукою у всіх, хто хоч трохи лізе в security, API або просто глибше тестує веб.

IntruderPayloads - це репозиторій з готовими payload’ами для Burp Suite Intruder. Думаю, Burp ви і так юзаєте, а от нормальні пейлоуди часто кожен збирає по шматках сам. Тут це вже зробили за вас.

По суті, це велика база payload’ів під різні типи перевірок і вразливостей. Не “стріляти навмання”, а системно ганяти тести.

З корисного це реально
– payload’и для рекогносцировки і збору інформації
– пошук точок входу в апку (де реально можна щось інжектити)
– визначення технологій, фреймворків, серверів
– пошук прихованих URL, API, адмінок
– робота з кодами помилок і нестандартними відповідями
– перевірки SSL/TLS конфігів
– і ще купа всього під різні кейси

це допомагає дивитись на апку не тільки як “expected / actual”, а як на поверхню атаки. Навіть без пентест-ролі ви починаєте краще розуміти, де можуть бути реальні ризики і чому деви або сек’юріті кажуть “це небезпечно”.

Репо тут:
https://github.com/1N3/IntruderPayloads

Рекомендую просто зберегти собі. Навіть якщо зараз не юзаєте - момент, коли воно знадобиться, точно буде.

Сильні 💛💛💛

Друзі доброго ранку!☀️

Як ви? сподіваюсь ви всі в безпеці і ваші близкі, Одеса ми тримаймося, все 3 добу нема світла не на годинку) але зарядні станції роблять свою справу

Як в цілому ваші вихідні?

Хочу вам щось сказати - можливо я вже казав але це постійно гостра тема - особливо моїх учнів

Ранкові історії QA
Хочу сьогодні сказати одну просту, але дуже важливу річ для тих, хто тільки заходить у КУА або вже в процесі, але боїться співбесід.

Я це бачу постійно, майже на кожному курсі.
Люди вчать теорію, читають статті, дивляться відео - і все ніби ок. Але як тільки заходить мова про співбесіду, одразу стоп.

«Я ще не готовий(а).
«А раптом спитають щось, чого я не знаю».
«Теорія слабка, практики мало».

Вчора якраз була така розмова з учнем. - так как нема світла ми чучуть побалакали по телефону) Каже:
- Я боюся йти на співбесіди.

Я питаю:
- Ну чого саме?
- Ну якщо попливу? Якщо не знатиму відповідь?

І от тут головне, що я йому сказав, і що хочу донести вам.

Саме заради цього і треба ходити на співбесіди.

Ніхто не приходить на першу співбесіду впевненим.
Ніхто не народжується з готовим досвідом.
Практика починається не з оферу, а з першої розмови з рекрутером.

Кожна співбесіда - це не іспит, це тренування.
Десь не відповів - ок, тепер знаєш, що підтягнути.
Десь поплив - значить, знайшов свою слабку точку.
Десь нормально пояснив - плюс до впевненості.

Як я раджу готуватись, якщо практики ще мало:
Ходіть на співбесіди навіть якщо в описі «1–2 роки досвіду».
Це часто просто фільтр. Якщо ти можеш логічно пояснити, як тестуєш, як думаєш і як шукаєш баги - цього вже достатньо, щоб тебе почули я вам правду скажу у мене є реальні приклади учнів які отримували офер без досвіду - де було вимога 1 рік

І так Після кожної співбесіди робіть собі рев’ю.
Запишіть питання, де було складно.
Розберіть їх вдома.
Поверніться до них через кілька днів.

Збирайте свою базу знань.
Не курси, не сертифікати - а свою.
Питання зі співбесід, кейси, SQL-запити, типові баги, ситуації з реальних проектів.
Це реально працює.

І найголовніше.
Відмова - це не поразка.
Це просто ще один крок до тієї співбесіди, де ви раптом зрозумієте:
«Стоп… а я ж це знаю. І це теж».

Страх співбесід - це страх невідомого.
А кожна наступна робить вас спокійнішими, впевненішими і сильнішими як QA.

Тому простий ранковий план:
Випили каву.
Відправили резюме.
Пішли на співбесіду.

Навіть якщо здається, що ще не готові.
Саме так і стають готовими - питайте я постійно відкрити до питань - так можу відповідати з затримкаю) але буду.

Всім гарного дня і настрою друзі
Сильні 💛💛💛
Обняв 🤗🤗🤗

Друзі, привіт! Як ваш день?
Добрався до розбору свіженького пула - і він прямо класика жанру для всіх, хто хоч раз боровся з мережами в офісі чи вдома.

і так шо я маю вам сказать

Чому не (A) ping 10.0.0.1
Ping - це перевірити один конкретний хост.
Один.
А не всю мережу.
Тут задача: побачити всіх сусідів, а не перевірити, чи живе роутер.
Ping не пробіжить нам підмережу, не покаже список активних пристроїв, нічого.

Чому не (B) ssh 10.0.0.1
SSH - це не інструмент для сканування, а для підключення.
Та й щоб підключитись, треба знати логін/пароль - ви ж не будете ламатись у всі квартири підряд. Це точно не перший крок.

Чому не (D) url http://10.0.0.1
Це взагалі перевірка веб-сервера.
А у нас задача мережевої діагностики, а не HTTP.

Якщо у хоста немає веб-сервера - запит просто нічого не дасть.
І навіть якщо є - це покаже лише один пристрій, а не всіх.

Ну чому всеж правильна відповідь (C) nmap -sn 10.0.0.0/24

Бо це і є нормальний спосіб перевірити: він реально хто живий у мережі, які IP відповідають, а які пристрої активні прямо зараз.

nmap -sn робить ping-scan по всій підмережі й повертає список реальних пристроїв, без зайвих деталей і без сканування портів.

Це реально найшвидший і найчистіший метод для такої задачі.

Який мін поінт до вас)
Це дуже базовий, але важливий навик для КУА чи будь-кого, хто хоче розуміти, що відбувається в мережі.

правило таке:
коли треба знайти всіх у мережі → завжди починаємо з nmap -sn.

Хто вгадав - респект, мислення в правильному напрямку.
Хто ні - тепер знаєте, як правильно робити первинну діагностику.

Всім гарного вечора і настрою!
Сильні💛💛💛

Доброго ранку друзі, як ви?

а у мене вчора і сьогодні просто запара нереальна(

Ранкові історії QA) це мені тільки везе? чи у вас теж таке буває??

PM каже:
- Там дрібний фікс, взагалі не переживайте, сьогодні треба закрити срочно)

і теж Dev додає:
- Я просто додав пару ковичок у SQL, Copilot підсказав… все має працювати.

А я такий наівний запускаю smoke - і бачи, що “пара ковичок” знесла не тільки функцію, а й сусідні ендпоінти.
Пів системи лежить. Частина запитів падає по syntax error, частина - по timeout, бо бекенд навіть не може зібрати квері.

І ти в цей момент реально розумієш:
в КУА не існує “дрібного фікса”, особливо коли дев шарив SQL на рівні “ну воно ж працювало вчора”.

Бувало у вас таке?
Коли дев каже “тривіальний фікс”, а ти через 5 хвилин стоїш з блокером і розгрібаєш історію одного відсутнього апострофа.

Всім гарного дня і настрою) сподіваюсь сьогодні буде без пригод далі)

Обняв 🤗🤗🤗