Статические веб-приложения находят применение в самых разных сферах: от блогов и одностраничных лендингов до документации по продуктам и API.
И хотя они не обрабатывают пользовательский ввод и в целом устойчивы к инъекциям, списывать их со счётов при анализе безопасности точно не стоит.
🔓 Даже у «простых» сайтов бывают неожиданные дыры. Вот топ-3 самых распространённых багов в статических сайтах:
1️⃣ Открытые бэкапы (часто случайно размещённые в корне)
2️⃣ Незащищённые административные панели и порталы
3️⃣ Устаревшие версии веб-серверов с известными уязвимостями
💡 Чек-лист для быстрого анализа:
• Брутфорс забытых директорий, панелей, бэкапов, конфигов и файлов
• Анализ
robots.txt и sitemap.xml — возможный источник интересных путей• Анализ JavaScript-файлов и комментариев в исходниках — может раскрыть скрытые эндпоинты
• Проверка заголовков ответа на наличие информации о версии веб-сервера
P. S. Не стоит недооценивать «простые» сайты. Даже без логики на сервере они могут содержать чувствительную информацию — от исходников до ключей и административных точек входа.