#cloudflare #bypass

Сначала хотел что то написать умное, с эпитетами и красивыми речевыми оборотами, но знаю что вы все равно всю эту воду читать не будете, поэтому кратко:

Cloudflare Workers ходит в интернет с тех же IP адресов, которые часто рекомендуют добавлять в фаерволах как разрешенные, а остальные блокировать.

Итого: Если у вас есть сайт за Cloudflare, вы точно знаете его реальный IP, но мешает вам к нему обратиться правило фаервола, смело пишите Worker. Пример есть в документации и обходите WAF-Ы, воруйте, убивайте и любите гусей!

Возможно я изобрел велосипед, возможно нужно было писать в Cloudflare и получить "фифти бакс, сир, плиз...", но мне лень!

———
UPD:
1) Напрямую по IP ходить нельзя. Поднимайте на своем DNS сервере A запись на целевой IP
2) Добавьте Header "Host" к вашим запросам.

Петр Уваров, руководитель БагБаунти ВК.

Интересная статистика: на ивенте ВК ББ охрана забрала (на время) 12 газовых баллончиков и неизвестное количество других средств самообороны. Так что топовые багхантеры не только хорошо зарабывают, но и готовы защищать свои богатства.

VK Bug Bounty — 10 лет!

А это значит, что в этом году все будет иначе! Встречайте Bounty pass, ограниченные по времени ивенты с собственными тематиками и правилами.

Итак, что нас ждет в самое ближайшее время:

С 21 апреля по 21 июля стартует Bounty pass #1: Progress.

Ищите уязвимости в программах VK, присылайте отчеты о них и заполняйте шкалу прогресс-бара. На ней отображается общая сумма выплат по программам VK со всех российских багбаунти-платформ. Как только эта сумма достигнет очередной отметки, откроется новое событие для всех участников – новая программа, повышенные выплаты и многое другое.

А еще всех ждет накопительный бонус! Каждый оплачиваемый отчет, который вы сдадите в рамках Bounty pass #1: Progress, будет увеличивать вашу выплату на 5%. То есть за 3 оплачиваемых отчета вы получите плюс 15% к вознаграждению за уязвимость, а за пять – 25% соответственно.

Все подробности о новых механиках VK Bug Bounty ищите на сайте https://bugbounty.vk.company/

Привет!

Я проводил множество собесов для админов и пентестеров, менторил несколько человек по разным аспектам наступательной информационной безопасности, сам участвовал в собесах. Мне нравится как разные вопросы позволяют пролить свет на глубину знаний человека в той или иной области.

Решил создать и курировать репозиторий с вопросами по наступательной безопасности на русском языке. Почему-то я не нашел такой репозиторий сразу. На английском языке таких огромное колличество и все они имею свои плюсы и минусы.

Этот репозиторий содержит в себе компиляцию вопросов по наступательной безопасности (offensive security). Используя этот материал, можно подготовиться к предстоящему собеседованию или прикинуть какие области знаний Вами не покрыты для самостоятельного обучения. Хороший интервьюер всегда задаст более глубокий и уточняющий вопрос, а соискателю будет невероятно полезно осознавать что еще ему стоит подучить или хотя бы иметь ввиду.

Проект является личной инициативой и несет в себе исключительно альтруистические цели. Проект является открытым, каждый желающий может сделать форк или предложить изменения в существующий список вопросов мне в личку в телеге (@curiv). Порядок вопросов и их категория носят субъективный характер. Репозиторий будет наполняться с течением времени, список источников представлен в последнем разделе. Вопросы будут агрегироваться из источников, список источников также будет пополняться. Если оставите положительные реакции, то мне будет приятно ❤️

https://github.com/curiv/russian-offensive-security-questions

#pentest #interview #repository

Исчерпывающий материал по Client-Side.

https://aszx87410.github.io/beyond-xss/en/

@Sobolev_Nikita Defcon NN

Когда включаешь сканер уязвимостей #burp #acunetix #nessus

Вот мы и подошли к заветной отметке в 4 млн на шкале Bounty pass #1: Progress, а значит, что вам уже открылся очередной бонус! И это новая программа - VK Education! В ней максимальное вознаграждение - 360К рублей, проверяйте все условия на bugbounty.ru.

Еще из приятных новостей от VK: до 21 июля VK делает х2 на все уязвимости в программе "Оператор рекламных данных" и теперь можно получить до 720К рублей.
Время озолотиться!