Разведка

Начинаем с того, что видит браузер: заголовки, куки, скрытые формы.

curl -i https://target.example/

Эксплуатация

Типичная ошибка — доверие к параметру, который меняет пользователь.

Выводы

Всегда валидируйте входные данные на сервере и не храните секреты в клиенте.