В последнее время стал замечать, что многие старые способы взлома сайтов и веб-приложений просто не дают результата. SQL-инъекции в их классическом виде, старый XSS, CSRF — вроде ещё популярны в теории, но на практике всё чаще защищено, а где нет — уже скорее редкость. Устал казаться, что некоторые методы просто живут в конспектах, а реально с ними ничего не нарыть.

Поделюсь тем, что сам проверял: старые баги типа RCE через неподходящие старые PHP-версии почти исчезли, так как все давно обновили. Тоже с кучей банальных дырок в конфигурации — их давно всем разжёвывали и фиксируют быстро. Перестала работать классика вроде directory traversal в известных CMS — либо закрыли, либо давно не актуально. При этом появились новые нюансы с API, с OAuth, с JSON-инъекциями — вот там стоит копать.

Поэтому сейчас при аудитах первым делом проверяю, действительно ли старый баг воспроизводится, а если да — скорее всего, это какой-то забытый локальный проект или реально «заброшенный» сайт. Если нет — переходить к новым методам.
В общем, ощущение, что нужно постоянно фильтровать всю базу знаний, иначе время зря теряешь на отработанные темы.

Кто что помнит из уязвимостей, которые перестали приносить пользу? Или может, наоборот, еще что-то старое цепляет у вас?