Бесплатные ресурсы по веб-безопасности для QA и разработчиков

QA-специалистам и разработчикам важно разбираться в веб-безопасности, чтобы тестировать продукты на более глубоком уровне. Ниже собрана подборка бесплатных ресурсов, которые помогут развить навыки в практическом и игровом формате.

1. Интерактивные тренажёры

▫️PortSwigger Web Security Academy — интерактивные лаборатории по OWASP Top10, SQLi, XSS, CSRF, OAuth, SSRF. Хорошо подходит для практики с BurpSuite.
https://portswigger.net/web-security

▫️OWASP Juice Shop — «уязвимое» приложение со сотнями задач, полезное для практики в тестировании.
https://owasp.org/www-project-juice-shop/

▫️Hack The Box (Free tier) — несколько бесплатных сценариев для практики.
https://www.hackthebox.com/

▫️TryHackMe (Free rooms) — подходит для начинающих, есть комнаты по SQLi, XSS, directory traversal и другим уязвимостям.
https://tryhackme.com/

2. Курсы и видео

▫️Cybrary — Web Application Security for Beginners. Базовая теория с примерами.
https://www.cybrary.it/

▫️OWASP — официальный канал на YouTube — короткие видео с разбором OWASP Top 10.
https://www.youtube.com/user/OWASPGLOBAL

▫️Stanford Online / edX — Computer and Network Security (audit mode бесплатно) — фундаментальная теория безопасности (доступно для аудита через платформы Stanford Online и edX).
https://online.stanford.edu/

3. Практика и CTF / wargames

▫️Root Me — большая коллекция задач по вебу и криптографии.
https://www.root-me.org/en/

▫️OverTheWire — известные wargames для отработки базовых навыков.
https://overthewire.org/

▫️bWAPP — локальный тренажёр с сотнями уязвимостей (LFI, RFI, SQLi, XSS и др.).
http://www.itsecgames.com/

Все перечисленные ресурсы предназначены исключительно для обучения и легальной практики. Использовать их следует только в безопасной среде, не тестируя реальные сервисы без разрешения владельцев.