Security-лаба для Vue + webedge-db

Обучение по безопасности обычно засчитывает лабу по writeup, так что можно «решить» её, ни разу не выполнив эксплойт, — а общие академии не покрывают специфику Vue/webedge-db.

Чаще всего обучение безопасности засчитывает лабу по writeup, так что можно пройти, описав эксплойт, который ни разу не выполнил. А общие академии учат против общих приложений, а не против точного стека, на котором мы строим. Hackbox это академия безопасности под стек Vue 3 + webedge-db, где лаба считается только когда эксплойт реально срабатывает.

Локальная академия под стек Vue 3 + webedge-db + Tailwind, где лаба засчитывается только когда эксплойт реально срабатывает: XSS и `javascript:` URL по-настоящему исполняются в браузере (beacon ловит alert/print и `window.__hackbox.fire()`), SSRF идёт через мок внутренней сети с настоящим резолвером URL и egress-allowlist, а IDOR, over-posting, JWT alg=none, prototype pollution и прочее автодетектятся по реальному результату запроса; попытки, сессии и подсказки пишутся в webedge-db, а Vitest покрывает детекторы.

Локальная академия по образцу лучших практических курсов: пути обучения, карта тем, брифы лаб, таймер сессии, подсказки, блокнот, экспорт отчёта в markdown, mystery-режим, практический экзамен и Hall of Fame. Но суть это solved-by-exploit: XSS и javascript: URL по-настоящему исполняются в браузере (beacon ловит alert/print и window.__hackbox.fire()), SSRF идёт через мок внутренней сети с настоящим резолвером URL и egress-allowlist, перепроверяемым на каждом хопе, а IDOR, over-posting, JWT alg=none, prototype pollution и прочее автодетектится из реального результата запроса.

Сделано на Vue 3, webedge-db, Security labs.

Vue 3 (script setup) + webedge-db + Tailwind v4; схема для попыток лаб, сессий и прогресса ученика; часть лаб имеет свои таргет-приложения, остальные делят рендерер с тем же реальным автодетектом; Vitest покрывает security-хелперы, чекеры, целостность каталога, движок автодетекта эксплойта, мок-сеть SSRF и e2e-прогоны таргетов; развёрнуто на Cloudflare Pages с нашим бэкендом.

Каждая категория OWASP Top 10 (2021) закрыта хотя бы одной лабой, подтверждаемой реальным воспроизводимым эксплойтом, а не совпадением ключевых слов в отчёте — цель это Vue- и webedge-db-слабости самого стека.

Академия безопасности, где нельзя пройти лабу, которую реально не взломал, нацеленная прямо на стек Vue + webedge-db, который мы выпускаем — так что практика против наших собственных реальных слабых мест, а не против учебника.