Автоматический взлом сайтов

Какой-то аргумент уровня олигофрена. Если тестируют не продакшн сервер, а тот, где развернут тестовый хост, то каковы должны быть действия? Допустим, софт генерирует по 10 запросов в секунду, проверяя на SQL инъекции, XSRF, XSS и прочее. Вы в это время смотрите файл логов on-the-fly и вносите хот-фиксы в ваше приложение быстрее, чем сканер успеет прощупать дыру?

Если кто-то запустил тест, остается только налить себе кофе и смотреть что у них выйдет. Рыпаться бесполезно.

И да, если запустить тест и не предупредить владельца, то вряд ли он вообще узнает что его сайт тестили. Можно, конечно, по каким-то флагам (например тест на SQL палиться по комментам в запросе и кавычкам) определять попытки взлома и в админке показать уведомление. Но беда в том, что в интернете так много сканнеров а дыры, что вы просто будете не успевать закрывать эти уведомления. Кто те логи смотрит то. Их смотрят раз в неделю-две, и то параноики. В остальных случаях, постфактум, чтобы провести инвестигейшн, и наказать виновных, или узнать почему сервак упал.

то что вы описали ниже - достаточно простая и типичная задача с кучей рутинной работы ;)

Да там кода от силы 5% работы.

Там реально ад был расшифровать потребности.

Ну и специфика, специфика, специфика.

А выудить специфику бизнеспроцессов плохоорганизованной иностранной торговой сети (с многоуровневой франшизообразной структурой, собственным небольшим производством и т.п.) - по скайпу, из топманагеров с гуманитарным складом ума - та еще задача.

Именно. У меня на боевых бывает отдельный лог чисто фактов атаки, без расшифровки, где чисто колво исключений в разрезе по типу, в час.

Закончил разбор полетов).

Таки не даром.

Действительно ляп нашел. Действительно не значительный, поскольку и до него и после него по пару эшелонов, но сам факт.

Вот такой ляп пропустили:

if(strpos($folder, '/')) throw new \drysys\core\route\RouteForbiddenException();

Пропустили потому что после оно все равно фильтруется, да и доступно только root-admin, но тем не менее ляп адский.

По горячим следам нашел в коде еще пару случаев где такая же лажа.

По результатам разборов психанул и добавил сахарную функцию haveStr($str, $needle).