Приветствую всех читающих.
Провёл успешную BB-Code / CSS-инъекцию на сайте https://3.grouple.co и всех связанных с этим сайтом проектах.
Инъекция отлично работает на их форуме, в комментариях под главами, на всех их сайтах для чтения манги, ранобэ и другого контента.
Форма комментария такая же когда я взламывал litmir.club такой же инъекцией
Сделал я это несколько дней назад но пост сделать рук не доходило.
Провёл успешную BB-Code / CSS-инъекцию на сайте https://3.grouple.co и всех связанных с этим сайтом проектах.
Инъекция отлично работает на их форуме, в комментариях под главами, на всех их сайтах для чтения манги, ранобэ и другого контента.
Форма комментария такая же когда я взламывал litmir.club такой же инъекцией
Сделал я это несколько дней назад но пост сделать рук не доходило.
Приветствую всех читающих, на связи Ви. Разобрал то как устроен сетевой протокол и socket.io-события сайта bunker-online.com.
Началось всё с обычного анализа фронтенда. С помощью ResourcesSaver я сохранил клиентские исходники сайта и начал смотреть, какие API-запросы и socket-события использует сама игра. Довольно быстро стало понятно, что большая часть сетевой логики находится прямо на стороне клиента: создание комнат, подключение игроков, действия ведущего, часть админских событий и карта разрешений.
После чего в процессе проверки обнаружились уже более практичные проблемы.
Отдельно я проверил лимиты на регистрацию аккаунтов и создание комнат. Явных сильных ограничений обнаружить не удалось, аккаунты и комнаты можно создавать повторно без заметного ограничения просто используя смену прокси. При наличии автоматизации это позволяет массово плодить аккаунты, создавать большое количество игровых комнат и засорять сервис.
Ещё одна проблема связана с гостевым подключением. Чужие комнаты можно заполнять гостевыми аккаунтами. Гостевой вход не требует полноценной регистрации, а строгого ограничения на подключение к комнате я не увидел. В результате комнату можно забить ботами и сорвать нормальную игру конкретным пользователям.
Это уже не просто нагрузка на общий список комнат, а отдельный вектор против любой публичной игровой сессии.
Для атаки не нужен доступ к аккаунтам игроков: достаточно просто знать id комнаты в которой проходит игра.
А где взять этот id? В открытом API: https://bunker-online.com/api/allGames/
То есть публичные комнаты можно получить напрямую из API, после чего использовать их идентификаторы для подключения гостей. Довольно иронично, протокол открыт, список комнат открыт, гостевой вход открыт, а строгих ограничений на массовое использование этих механик я не увидел.
Итог простой: отсутствие лимитов на регистрацию, создание комнат и гостевое подключение уже превращает эти открытые механики в реальный риск для сервиса и игроков, ведь это всё можно легко автоматизировать
Началось всё с обычного анализа фронтенда. С помощью ResourcesSaver я сохранил клиентские исходники сайта и начал смотреть, какие API-запросы и socket-события использует сама игра. Довольно быстро стало понятно, что большая часть сетевой логики находится прямо на стороне клиента: создание комнат, подключение игроков, действия ведущего, часть админских событий и карта разрешений.
После чего в процессе проверки обнаружились уже более практичные проблемы.
Отдельно я проверил лимиты на регистрацию аккаунтов и создание комнат. Явных сильных ограничений обнаружить не удалось, аккаунты и комнаты можно создавать повторно без заметного ограничения просто используя смену прокси. При наличии автоматизации это позволяет массово плодить аккаунты, создавать большое количество игровых комнат и засорять сервис.
Ещё одна проблема связана с гостевым подключением. Чужие комнаты можно заполнять гостевыми аккаунтами. Гостевой вход не требует полноценной регистрации, а строгого ограничения на подключение к комнате я не увидел. В результате комнату можно забить ботами и сорвать нормальную игру конкретным пользователям.
Это уже не просто нагрузка на общий список комнат, а отдельный вектор против любой публичной игровой сессии.
Для атаки не нужен доступ к аккаунтам игроков: достаточно просто знать id комнаты в которой проходит игра.
А где взять этот id? В открытом API: https://bunker-online.com/api/allGames/
То есть публичные комнаты можно получить напрямую из API, после чего использовать их идентификаторы для подключения гостей. Довольно иронично, протокол открыт, список комнат открыт, гостевой вход открыт, а строгих ограничений на массовое использование этих механик я не увидел.
Итог простой: отсутствие лимитов на регистрацию, создание комнат и гостевое подключение уже превращает эти открытые механики в реальный риск для сервиса и игроков, ведь это всё можно легко автоматизировать
bunker-online.com.zip
8.8 MB
Исходники и 1000+ аккаунтов в формате: email:password:nickname
tarot
Photo
Дополнение к посту с уязвимостями chess.com
HTML и CSS инъекция на сайте chess.com в любом разделе где есть комментария. Естественно у них есть санитизация но открытый API позволяет внедрять пользовательские теги и кастомные стили благодаря чему можно изменять визуальное отображение страницы
HTML и CSS инъекция на сайте chess.com в любом разделе где есть комментария. Естественно у них есть санитизация но открытый API позволяет внедрять пользовательские теги и кастомные стили благодаря чему можно изменять визуальное отображение страницы
🤡1🤣1
Приветствую дамы и господа, на связи Ви.
Я устроил атаку на приложение для знакомств Дерьмолет (Мимолет). Достаточно оказалось вскрыть их приложение через перехватчик траффика и дешманский эмулятор.
Нормальной ожидаемой защиты от автоматизации нету, отсутствует капча при запросе кода или верификации, лимита запросов на эндпоинте отправки писем подтверждении почти что нет.
У дерьмопрограммистов была нулевая валидация временных почтовых доменов. Система с радостью жрала одноразовые, сгенерированные и откровенно мусорные адреса без проверки MX-записей и чёрных списков. Когда я уже хорошенько потоптался по их бэкенду, эти пидорасы под напором моей мощи в панике запретили почти все временные домены, оставив только @gmail.com. Только вот забыли, что временные ящики с доменом Google существуют. А фильтрацию по точкам и плюсам в локальной части адреса они даже не рассматривали ведь дегенераты ебаные делят один крошечный мозг на весь свой коллектив!
Я устроил атаку на приложение для знакомств Дерьмолет (Мимолет). Достаточно оказалось вскрыть их приложение через перехватчик траффика и дешманский эмулятор.
Нормальной ожидаемой защиты от автоматизации нету, отсутствует капча при запросе кода или верификации, лимита запросов на эндпоинте отправки писем подтверждении почти что нет.
У дерьмопрограммистов была нулевая валидация временных почтовых доменов. Система с радостью жрала одноразовые, сгенерированные и откровенно мусорные адреса без проверки MX-записей и чёрных списков. Когда я уже хорошенько потоптался по их бэкенду, эти пидорасы под напором моей мощи в панике запретили почти все временные домены, оставив только @gmail.com. Только вот забыли, что временные ящики с доменом Google существуют. А фильтрацию по точкам и плюсам в локальной части адреса они даже не рассматривали ведь дегенераты ебаные делят один крошечный мозг на весь свой коллектив!
🔥4
tarot
Приветствую дамы и господа, на связи Ви. Я устроил атаку на приложение для знакомств Дерьмолет (Мимолет). Достаточно оказалось вскрыть их приложение через перехватчик траффика и дешманский эмулятор. Нормальной ожидаемой защиты от автоматизации нету, отсутствует…
Антиспам системы в чатах буквально нету, они не имеют никаких задержек, свежесозданный аккаунт может мгновенно начать веерную рассылку сообщений и медиафайлов по всем доступным чатам. Их сервер даже не отслеживает паттерны одинаковых сообщений и аномально высокую активность.
Капч нет. Валидации загружаемых файлов нет. Интеллектуальной модерации нет. Мне понадобилось около десяти минут, чтобы написать авторегистратор на временных почтах, который спокойно спамит сообщения.
Защиты от эмуляторов в этом чаде говна и мочи тоже нет. Любой студент первого курса после пары по мобильной разработке вскрыл бы это говноприложение за вечер. Удивительно лишь то, что до меня никто не удосужился.
Вот тут начинается самое уморительное. Создатель этой цифровой кучи фекалий некий омега-худой манямирочный фаршмак с кривой челюстью, который искренне верит, что если намазать ебало мужским семенем, то автоматически можно стать специалистом по кибербезопасности. После того как его "продукт" развалился от первого же лёгкого касания, он со всех ног побежал к своей аудитории ебырей просить помощи. Классика жанра, сначала выпустил говно в Google Play, потом искренне удивился, что кто-то это говно открыл и понюхал.
Так почему в фаллослете, его дерьмприложухе даже проверки запросов через сигнатуры нет? Что творилось в крошечном черепе вайбкодерской мартышки, когда она выкладывала это в общий доступ? Думал, что руки настоящих программистов не дотянуться до сие дерьма? Хоть бы элементарное шифрование тел запросов сделал, идиот ебучий. Нет, оставил всё в открытом виде, как будто это не приложение, а публичный туалет без дверей.
CWE-799, CWE-770, CWE-20, CWE-434, CWE-345, CWE-311
На этом точка на дерьмприложении блондина-хуесоса поставлена, двигаемся дальше.
Капч нет. Валидации загружаемых файлов нет. Интеллектуальной модерации нет. Мне понадобилось около десяти минут, чтобы написать авторегистратор на временных почтах, который спокойно спамит сообщения.
Защиты от эмуляторов в этом чаде говна и мочи тоже нет. Любой студент первого курса после пары по мобильной разработке вскрыл бы это говноприложение за вечер. Удивительно лишь то, что до меня никто не удосужился.
Вот тут начинается самое уморительное. Создатель этой цифровой кучи фекалий некий омега-худой манямирочный фаршмак с кривой челюстью, который искренне верит, что если намазать ебало мужским семенем, то автоматически можно стать специалистом по кибербезопасности. После того как его "продукт" развалился от первого же лёгкого касания, он со всех ног побежал к своей аудитории ебырей просить помощи. Классика жанра, сначала выпустил говно в Google Play, потом искренне удивился, что кто-то это говно открыл и понюхал.
Так почему в фаллослете, его дерьмприложухе даже проверки запросов через сигнатуры нет? Что творилось в крошечном черепе вайбкодерской мартышки, когда она выкладывала это в общий доступ? Думал, что руки настоящих программистов не дотянуться до сие дерьма? Хоть бы элементарное шифрование тел запросов сделал, идиот ебучий. Нет, оставил всё в открытом виде, как будто это не приложение, а публичный туалет без дверей.
CWE-799, CWE-770, CWE-20, CWE-434, CWE-345, CWE-311
На этом точка на дерьмприложении блондина-хуесоса поставлена, двигаемся дальше.
❤1
tarot
Антиспам системы в чатах буквально нету, они не имеют никаких задержек, свежесозданный аккаунт может мгновенно начать веерную рассылку сообщений и медиафайлов по всем доступным чатам. Их сервер даже не отслеживает паттерны одинаковых сообщений и аномально…
Какой-то белобрысый-хуесос или криворукий дерьмокодер с фаллослета (видимо, диплом покупал в ларьке в шаурмичной у метро) заботливо оставил открытым - https://mimolet.org/admin.
И теперь у любого любопытного есть полный бандл со всеми методами админа, прямо как ключи от сейфа с чужими трусами. И в одном из этих методов администратора, где тянут профиль пользователя, пидорасята с нежностью коллекционируют каждую капельку конфиденциальной информации, начиная с голого IP.
И теперь у любого любопытного есть полный бандл со всеми методами админа, прямо как ключи от сейфа с чужими трусами. И в одном из этих методов администратора, где тянут профиль пользователя, пидорасята с нежностью коллекционируют каждую капельку конфиденциальной информации, начиная с голого IP.
tarot
Какой-то белобрысый-хуесос или криворукий дерьмокодер с фаллослета (видимо, диплом покупал в ларьке в шаурмичной у метро) заботливо оставил открытым - https://mimolet.org/admin. И теперь у любого любопытного есть полный бандл со всеми методами админа, прямо…
3.CUpO83Zo.js
198.2 KB
UPDATE [2026-10-06]: Неудачная попытка закрыть страницу администратора который до авторизации выдавал бандл с методами админа в API со стороны пидорасят провалилась из за чего я обновил и залил файл https://mimolet.org/_app/immutable/nodes/3.CUpO83Zo.js
Приветствую всех читающих, на связи Ви. На этот раз мне попался сайт для чтения манги и манхвы wamanga.ru . С безопасностью всё оказалось печально.
Сервер принимал объект пользователя целиком без проверки разрешенных полей. В результате удалось назначить себе роль админа и максимальные значения уровня и опыта.
После этого открылись функции админа: управление мангой, просмотр пользователей и настройки сайта.
В настройках обнаружилась возможность внедрения произвольных HTML-блоков на публичные страницы. Недостаточная обработка содержимого позволила разместить собственную разметку, видимую посетителям.
Также отсутствовала нормальная валидация. поле имени принимало огромные строки с HTML-тегами и произвольными символами.
API редактирования манги не имел должных ограничений из за чего я написал скрипт для массового изменения записей каталога, заменив информацию о произведениях на свою.
Основные проблемы: Broken Access Control, Mass Assignment, Stored HTML Injection, отсутствие валидации и Rate Limiting.
Сервер принимал объект пользователя целиком без проверки разрешенных полей. В результате удалось назначить себе роль админа и максимальные значения уровня и опыта.
После этого открылись функции админа: управление мангой, просмотр пользователей и настройки сайта.
В настройках обнаружилась возможность внедрения произвольных HTML-блоков на публичные страницы. Недостаточная обработка содержимого позволила разместить собственную разметку, видимую посетителям.
Также отсутствовала нормальная валидация. поле имени принимало огромные строки с HTML-тегами и произвольными символами.
API редактирования манги не имел должных ограничений из за чего я написал скрипт для массового изменения записей каталога, заменив информацию о произведениях на свою.
Основные проблемы: Broken Access Control, Mass Assignment, Stored HTML Injection, отсутствие валидации и Rate Limiting.
🤬16❤4👍3