🕷 BugBountyRu

Прямо сейчас ;)

👍12👎3

1.44K views10:04

🕷 BugBountyRu

0:32

This media is not supported in your browser

VIEW IN TELEGRAM

🚀

Использование Eyeballer для анализа скриншотов

Наткнулись на большой скоуп в багбаунти и не можете раскидать найденные хосты по категориям? Eyeballer сделает это за вас и найдет интересные цели из огромного набора веб-хостов.

Продолжайте использовать свой любимый инструмент для создания скриншотов (EyeWitness, GoWitness или другой), а затем пропустите их через Eyeballer.

С помощью машинного обучения инструмент проанализирует скрины экрана и отсортирует по категориям, включая:

👀 Легаси страницы
👀 Страницы входа
👀 Кастомные HTTP-ответы 404
👀 Веб-приложения
👀 Припаркованные домены

Попробуйте прямо сейчас 👉 GitHub

#техники #разведка

Please open Telegram to view this post

VIEW IN TELEGRAM

👍6

1.71K views14:50

🕷 BugBountyRu

Forwarded from Информационная опасность

👍12

1.45K views10:42

🕷 BugBountyRu

У нас такого нет, 100% выплата багхантеру, без комиссий.

101👍5

1.62K views21:15

🕷 BugBountyRu

Интересно, это предупредильная мера или?

1.36K views15:28

🕷 BugBountyRu

🕷

Автоматизируем фаззинг с ffufai

Если вы активно используете ffuf для фаззинга директорий и файлов, попробуйте ИИ-помощник ffufai для автоматизации процесса.

➡️

Что умеет:

⭕️ Анализирует URL и заголовки
⭕️ Предлагает релевантные расширения для фаззинга на основе ИИ (GPT или Claude)
⭕️ Экономит время на подбор расширений и помогает находить скрытые точки входа

Инструмент полностью совместим с ffuf и работает с привычными параметрами — ничего не нужно менять в вашем воркфлоу.

👉

Попробуйте на следующем багбаунти-проекте

#инструменты #разведка

Please open Telegram to view this post

VIEW IN TELEGRAM

👍4👎2

2.31K views19:00

🕷 BugBountyRu

🕷

Эксплуатация Vary в дикой природе

Заголовок HTTP-ответа Vary указывает, какие части запроса нужно учитывать при создании ключа кэша. Это помогает предотвратить атаки вроде cache poisoning.

В некоторых кейсах значения заголовка Vary могут указывать, доверяет ли приложение пользовательскому вводу или отражает его в ответе.

➡️ Начальный запрос:

GET / HTTP/1.1  
Host: redacted.com

➡️ Ответ сервера:

HTTP/1.1 200 OK  
Server: Apache/2.4.37  
Vary: X-Forwarded-Host, Origin  
Content-type: text/html; charset=utf-8  
Connection: close  
Content-Length: 11512

Как видно, в ответе есть заголовок Vary, в котором указаны X-Forwarded-Host и Origin. Используем эту информацию, чтобы проверить, доверяет ли приложение пользовательскому вводу:

GET / HTTP/1.1  
Host: redacted.com  
X-Forwarded-Host: example.com

➡️ Ответ сервера:

HTTP/1.1 200 OK  
Server: Apache/2.4.37  
Vary: X-Forwarded-Host, Origin  
Content-type: text/html; charset=utf-8  
Connection: close  
Content-Length: 11509

<!DOCTYPE html>
<html>
...
<script src="https://example.com/assets/js/vendor/jquery-ui.custom.min.js"></script>
...
</html>

Что это значит? Сервер доверяет X-Forwarded-Host — он напрямую попадает в HTML. Это открывает возможность использовать X-Forwarded-Host для поиска аномального поведения.

Если в некоторых ответах X-Forwarded-Host используется без добавления в Vary, то кэш можно потенциально отравить.

Это может привести:

— К SSRF, если заголовок прокидывается внутрь backend-запросов.
— Отравлению кэша, если Vary не всегда прописан или используется неправильно.
— Desync-атакам, особенно в сочетании с другими отражёнными заголовками.

#техники

Please open Telegram to view this post

VIEW IN TELEGRAM

1👍13

3.01K views19:10

🕷 BugBountyRu

🕷

Поиск и эксплуатация SSRF: пошаговый гайд

Когда сервер сам начинает ходить по адресам, которые вы ему подсовываете — это и есть Server-Side Request Forgery.

⬆️

Вот как выжать из этого максимум:

1️⃣Найдите точки входа. Ищите, где приложение делает запросы: предпросмотр ссылок, загрузка/выгрузка файлов, вебхуки, PDF-генерация и т. д.

Если обрабатывается HTML — можно внедрить вредоносный URL и заставить сервер сходить за вашим пэйлоадом.

2️⃣Анализируйте ошибки. Отправляйте некорректные URL и смотрите на ответы: Connection refused, Invalid hostname, коды 4xx/5xx. Это поможет понять, делает ли сервер внешние запросы.

3️⃣Нацеливайтесь на внутренние ресурсы: пробуйте IP из приватных диапазонов: 127.0.0.1, 10.x.x.x, 192.168.x.x.

Там могут быть админки, dev-сервисы, внутренние API. И да, не забывайте про сканирование портов.

4️⃣Изучите metadata-сервисы. В облачных окружениях можно получить доступ к чувствительным данным:

🔘AWS: http://169.254.169.254/latest/meta-data
🔘Azure: http://169.254.169.254/metadata/instance

Там часто хранятся токены, ключи и данные об окружении.

5️⃣Обходите фильтры и WAF. Если приложение фильтрует IP или схемы, пробуйте обойти:

🔘

http://127%2E0%2E0%2E1

🔘

http://2130706433

🔘

http://[::]:80
🔘или редиректы через внешние серверы.

6️⃣Проверяйте blind SSRF. Даже без видимого ответа можно получить данные через OOB-каналы:

🔘Burp Collaborator

🔘

webhook.site

Blind SSRF отлично работает в связке с DNS или HTTP-логами.

#техники

Please open Telegram to view this post

VIEW IN TELEGRAM

1👍7

1.38K views06:02

🕷 BugBountyRu

🕷️ В программе VK Bug Bounty громкие апдейты

В программу добавлены «Сервисы Знакомств VK», куда войдут два приложения:

💜 VK Знакомства
💜 ОК Знакомства

Максимальное вознаграждение — 1 млн рублей.

👉

Описание программы

#новости

Please open Telegram to view this post

VIEW IN TELEGRAM

👍6

1.55K viewsedited 12:03

🕷 BugBountyRu

🕷️ Использование Burp для обхода скрытых полей HTML-формы

Скрытые поля HTML-формы — распространённый механизм передачи данных от клиента в немодифицированном виде. Если поле помечено как скрытое, оно не отображается на клиентской стороне.

Тем не менее, имя и значение этого поля сохраняются в форме и отправляются на сервер.

Для перехвата и модификации таких форм используйте Burp Proxy:

✅Unhide hidden form fields
✅Prominently highlight unhidden fields

В примере описано, как эта фича потенциально могла автоматически изменить ответ и отобразить скрытые поля. Как следствие, обойти контроль на стороне клиента в e-commerce приложении, изменить цену товара и приобрести его по сниженной цене.

#советы

Please open Telegram to view this post

VIEW IN TELEGRAM

1👍9

1.76K views10:46

🕷 BugBountyRu

Жиза.

👍14

1.59K views14:08

🕷 BugBountyRu

0:11

This media is not supported in your browser

VIEW IN TELEGRAM

🚀

Использование Burp Bambdas для выполнения скриншотов экрана

Вы, возможно, слышали о Lambdas. Но слышали ли вы о Bambdas? Это фича Burp Suite для кастомизации непосредственно из UI с использованием небольших сниппетов Java.

Martin Doyhenard из PortSwigger набросал простой экшн для того, чтобы сделать жизнь багхантера проще. Он делает скрины и добавляет к ним комментарии, не выходя из Burp.

👉

Загрузите с GitHub или импортируйте напрямую в Bambda

#инструменты

Please open Telegram to view this post

VIEW IN TELEGRAM

👍4

1.48K views16:43

🕷 BugBountyRu

🕷 Свежий взгляд на поиск секретов в Git-репозиториях

Даже если вы удалили секреты из репозитория командой git rm, его данные могут оставаться в истории, пока не будет запущена сборка мусора — git gc. Многие публичные репозитории хранят в .git/objects удалённые данные, и их можно восстановить.

Исследователь заработал на методологии поиска секретов круглую сумму, а мы делимся с вами упрощенным гайдом⬇️

✅Клонируем целевой репозиторий
✅Выводим все Git-объекты (например, с помощью git rev-list --objects --all), чтобы найти «висячие» блобы и восстановленные файлы
✅Ищем секреты в удалённых коммитах, осиротевших ветках и stash-контенте

mkdir -p unreachable_blobs && git fsck --unreachable --dangling --no-reflogs --full - | grep 'unreachable blob' | awk '{print $3}' | while read h; do git cat-file -p "$h" > "unreachable_blobs/$h.blob"; done

❗️

Целевые типы файлов:

▪️Сертификаты и ключи (id_rsa, .pem, .crt, ...)
▪️Дампы баз данных (db, .sqlite, .bak, ...)
▪️Архивы и конфиги
▪️Компилированные файлы вроде .pyc, которые тоже могут содержать много интересного

⚙️

Использованные инструменты:

▪️

file — определение типов файлов

▪️

binwalk — извлечение встроенных данных из бинарников

▪️

trufflehog — обнаружение и проверка утечек (API-ключи, токены и т. д.)

▪️

strings, grep, xz, hexdump — ручной анализ содержимого

Большинство полезных данных можно восстановить из бинарных файлов, которые были загружены в репозиторий и затем удалены без очистки истории. Поэтому помните:

▪️Git-объекты не удаляются до тех пор, пока не будет выполнен git gc
▪️Публичные репозитории открывают всю историю
▪️Простое удаление файла не стирает его данные из .git/objects

❗️

Частые ошибки, приводящие к утечкам:

▪️Коммит секретов и их последующее удаление без отзыва ключей
▪️Удаление через GitHub UI или git rm без понимания, что Git сохраняет старые данные
▪️Игнорирование того, что теги, форки и ссылки на коммиты могут сохранять чувствительные данные

#кейсы

Please open Telegram to view this post

VIEW IN TELEGRAM

👍8

1.87K views06:59

🕷 BugBountyRu

Forwarded from AI Security Lab

Хотите попрактиковаться в навыке подбора джейлбрейков для взлома AI? С 5 мая до 1 июля проводится соревнование для подбора промпт-атак Hackaprompt 2.0. 30 мая открывается трек по тестированию агентных систем на стойкость к атакам.

Кто взломает больше агентов? 🚀

Please open Telegram to view this post

VIEW IN TELEGRAM

HackAPrompt

HackAPrompt 2.0

The largest AI Red-Teaming Hackathon, Ever.

1.29K views09:04

🕷 BugBountyRu

💣КИБЕРДОМ ИЩЕТ РОБОХАКЕРОВ!
БУДЕМ ЛОМАТЬ РОБОТОВ! 💣

Ты знаешь, как обойти защиту умных машин?
Умеешь находить уязвимости там, где другие видят только железо, код и провода?
Тогда тебя ждут на масштабном ивенте по кибербезу робототехники!

Почему это круто?
✔ Реальные роботы – не симуляция, а настоящие железные цели.
✔ Хардкорные задачи – взлом ПО, перехват управления, обход защиты.
✔ Уникальная возможность показать свои навыки и найти новые знакомства.

Что мы ждем от тебя?
🔹 Исследовательский опыт во взломе робототехники.
🔹 Готовность исследовать реальные системы управления робототехникой и находить неочевидные баги.
🔹 Желание показать себя и прокачать скиллы.

Ищем самых лучших! Если ты готов принять вызов – пиши в тг @eyudna

👍4

1.19K views19:30

🕷 BugBountyRu

🕷

Как найти и проэксплуатировать Blind XSS

Blind XSS отличается тем, что вредоносный скрипт выполняется в компонентах, недоступных атакующему — например, во внутренней админке или панели поддержки, доступной только админу/сотрудникам.

Зачастую для срабатывания пэйлоада нужен пользователь с «другими» привилегиями. И да, обычный alert() тут не поможет. Примеры пэйлоада ☝️

🧰 Инструменты для поиска и эксплуатации blind XSS

Чтобы поймать «отстук» от внедренного пэйлоада, потребуется внешний контролируемый эндпоинт, который будет слушать и обрабатывать обратные вызовы.

Использовать готовые инструменты (Burp Collaborator, requestbin) или развернуть на своем сервере (ezXSS, XSSHunter) — дело ваше. Последний можно поднять за пару минут:

$ docker-compose up -d postgresdb
$ docker-compose up xsshunterexpress

🔍

Где искать blind XSS?

▪️Формы обратной связи (особенно когда компания не полагается на сторонних вендоров для этой функции)

▪️Аналитические системы (UTM параметры, referrer, заголовки запроса)

▪️Блоги и справочная документация (логирование поисковых запросов)

▪️Сообщения об ошибках и исключениях (URL, заголовки, cookies)

▪️Счета и накладные (поля адреса, имя плательщика)

💡 Всегда вставляйте в пэйлоад уникальную строку или ключевое слово — так потом проще будет понять, откуда пришел запрос и что именно сработало.

💡 Попробуйте намеренно вызвать исключение или ошибку и внедрить пэйлоад в любое возможное поле, которое может быть проанализировано и обработано позже (URL, User-Agent, файлы cookie, username/email, заголовок X-Forwarded-For и другие).

👉

Погрузиться подробнее:

🔗

Статья «Слепая простота» от Луки Сафонова

🔗

Гайд от Intigriti + настройка XSSHunter

#советы #инструменты

Please open Telegram to view this post

VIEW IN TELEGRAM

👍6

1.39K viewsedited 08:50

🕷 BugBountyRu

This media is not supported in your browser

VIEW IN TELEGRAM

🕷

Запутались в десятках вкладок Burp Repeater во время поиска багов?

Сгруппируйте их по смыслу и вернитесь позже — с чистой головой и новыми идеями 💡

#советы #инструменты

Please open Telegram to view this post

VIEW IN TELEGRAM

👍7

1.41K views06:59

🕷 BugBountyRu

🤔

Чтобы находить криты, важно мыслить как бизнес

1️⃣ Каждое приложение имеет свой «сундук с сокровищами». У телекомов — номера телефонов. У SaaS — данные тенанта.

Понимая, что для компании критично, вы можете бить туда, где больно.

2️⃣ Баги часто рождаются не в фичах, а в пересечениях. Например: «инвайт пользователя» + «автоназначение роли админа» = повышение привилегий.

Смотрите на флоу в связке, а не поодиночке.

3️⃣ Задавайте себе вопросы как атакующий:

— А если отложить вызов?
— А если пропустить шаг?
— А если скомбинировать два эндпоинта?

Создавайте истории атак, а не просто чек-лист с OWASP.

4️⃣ Перед тем как тыкать кавычки — спланируйте атаку:

— Обход аутентификации?
— Повторное использование токена?
— Путаница сессий?
— ...

5️⃣ Тыкать наобум ≠ тестировать, поэтому верифицируйте свои гипотезы последовательно.

Контекст + упорство дают результат.

#советы

Please open Telegram to view this post

VIEW IN TELEGRAM

1👍7

1.43K views07:02

🕷 BugBountyRu

🕷

Белые списки IP-адресов? Давай, до свидания! Знакомьтесь с инструментом Newtowner

В современных облачных окружениях белые списки часто оказывается неэффективным способом защиты. Команда Assetnote это доказала, направляя трафик через доверенные облачные сервисы и конкретные регионы, что привело к обходу сетевых ограничений.

⚡️ Почему это актуально?

Компании нередко разрешают целые IP-диапазоны по рекомендациям вендоров и SaaS-провайдеров. Например, GitLab рекомендует открывать доступ ко всему региону GCP для shared-раннеров.

Newtowner — инструмент, который поможет автоматизировать тестирование, имитируя трафик из различных дата-центров и регионов мира.

🛠 Что умеет:

▪️Запускает тестовые запросы из GitHub Actions, GitLab CI, Bitbucket pipelines, AWS API Gateway или AWS EC2.
▪️Сравнивает ответы серверов при запросах из локальной сети и облачных окружений.

🔍 Результаты тестирования:

При сканировании более 18 млн хостов AWS (us-east-1) выявлены различия в поведении более 7000 хостов при запросах изнутри и снаружи AWS, что демонстрирует распространённость проблемы.

💡 Применение на практике:

▪️Обход входящих ограничений (например, Mutual TLS, IP-ограничения).
▪️Использование при тестировании SSRF и атак с внешними взаимодействиями (OOB).

#советы #инструменты

Please open Telegram to view this post

VIEW IN TELEGRAM

Please open Telegram to view this post

VIEW IN TELEGRAM

👍5

2.4K views07:16

🕷 BugBountyRu

🕷

Фаззинг в багбаунти: как с Burp Suite, только через CLI

Многие используют популярный инструмент ffuf для веб-фаззинга, но знаете ли вы о его ограничениях? Он использует Go-библиотеки net/http и net/url, которые не позволяют добиться фаззинга сырых запросов.

Из-за этого запросы могут искажаться, заголовки переупорядочиваться, а нестандартные конструкции не отправляться точно так, как нужно — особенно когда речь идет об обходе WAF.

💡 Решение — использовать форк ffuf под названием uff, который приносит в CLI всю мощь фаззинга и поддерживает:

#️⃣Основные флаги и возможности ffuf

#️⃣Фаззинг сырых запросов и абсолютного URI: как в Burp Suite или Caido

#️⃣Точные HTTP-заголовки: никаких изменений, можно даже с пробелами или без двоеточия — идеально для cache poisoning и request smuggling

#️⃣

-request: отправка запросов из файла, без изменения порядка заголовков, пропущенных некорректных битов и т. д.

#️⃣

-no-content-length: полный контроль над телом запроса, что помогает ловить странное поведение серверов

➡️

Простой пример:

echo hi | uff -c -u http://example.com -w - -opaque "http://127.0.0.1/FUZZ"

👇

GET http://127.0.0.1/hi HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Safari/537.36
Accept-Encoding: gzip

P. S. Uff дает больше гибкости и точности в фаззинге, устраняя ограничения оригинального ffuf и адаптируясь к современным задачам. Он отлично подойдет для тестирования API, поиска скрытых эндпоинтов/параметров, экспериментов с нестандартными HTTP-запросами.

#техники #инструменты

Please open Telegram to view this post

VIEW IN TELEGRAM

👍9

1.61K views14:12

About

Blog

Apps

Platform