Мой сетап: macOS + Parrot 🦜. Чистая работа в грязном мире


Многие спорят, что лучше: Kali, BlackArch или вообще голый Debian с кастомными скриптами. А я скажу так: лучший инструмент — тот, с которым ты сливаешься воедино. Моя боевая станция уже который год — это связка из двух миров. 💻 + VM.


🧠 Хост-машина: MacBook (macOS)


Это мой “чистый” контур. Командный центр. Почему он?
• UNIX-ядро: Родной zsh, ssh, grep, `awk`… всё под рукой без всяких WSL-костылей. Удобно для быстрой разведки, работы с текстом, написания отчётов.
• Стабильность и железо: Просто работает. Отличный экран, батарея, которая тащит весь день на выезде, и тишина. Никаких воющих кулеров на ровном месте.
• Софт: Софт для кодинга, дизайна, монтажа — всё на высшем уровне. Отчёт для “белых воротничков” должен выглядеть солидно. 😉


🔥 Гостевая ОС: Parrot Security OS (на VMware Fusion)
А вот это — моя “грязная” зона. Лаборатория, полигон и арсенал в одной коробке. 💀
• Изоляция: Главный принцип. Весь атакующий софт, все пейлоады, все следы остаются внутри виртуалки. Засветил IP? Уронил сервис? Поймал ответку от Blue Team? Снёс виртуалку, развернул чистый снапшот за 2 минуты. Хост остаётся девственно чистым.
• Инструментарий: Parrot мне нравится больше Kali. Он как-то… душевнее, что ли. И легче. Плюс, отличные инструменты для анонимности “из коробки” вроде Anonsurf. Все нужные тулзы на месте, от Metasploit и Burp до Wireshark и Ghidra.
• Гибкость: Нужно поднять кастомный веб-сервер для фишинга? Запустить responder в локалке? Просканить /24 подсеть? Всё это делается в виртуалке, не засирая хостовую систему.


⚙ Как это работает вместе?
Связка проста: на маке — разведка, анализ, работа с документами. Как только нахожу точку входа — переключаюсь на Parrot в полноэкранном режиме, и понеслась. Ctrl+Cmd и ты уже в другом мире. Общие папки и буфер обмена настроены для быстрого переноса данных. Это как иметь два разных компьютера, соединённых телепортом.


Итог: надёжный, стерильный командный пункт на macOS и одноразовый, но мощный штурмовой модуль на Parrot. Для меня — идеальный баланс. 🛡💥


#pentest #infosec #cybersecurity #macos #parrotsec #hacker #redteam #сетап@timcore_hacking

Свежак подъехал! Wireshark 4.4.8 уже на проводе 🦈🔥

Бро, бросай свои дела, время обновить главный инструмент для ковыряния пакетов. Выкатили новую версию Wireshark. Да, это не революция, а плановый патч, но ты же знаешь, дьявол в деталях.

Что внутри? В основном, фиксы. Закрыли пачку уязвимостей, которые могли положить твой анализатор при вскрытии кривого дампа. Ну и по мелочи подлатали баги, чтобы не крашилось в самый ответственный момент, когда ты уже почти вытащил креды из трафика.

Помнишь, как у нас на одном из пентестов старый Wireshark падал на кастомном протоколе? Вот чтобы такого не было, разрабы и пашут. Меньше падений — больше пойманных пакетов и сэкономленных нервов.

Так что не ленись. Сноси старую версию, ставь новую. Чистый анализатор — залог успешного перехвата.

Качаем, обновляемся и снова в бой! 👇

https://www.wireshark.org/download.html

#wireshark #pentest #infosec #network #hacking #анализтрафика #безопасность #redteam@timcore_hacking

Один день из жизни баг-хантера. Погружение в программу Минцифры. 🔥

Всем привет! Сегодня был тот самый день, когда чувствуешь себя настоящим кибер-детективом. Решил поучаствовать в bug bounty программе от Минцифры на платформе Standoff 365, и это оказалось то ещё приключение.

Сначала: Секретный пропуск 🕵‍♂ Первое, что бросилось в глаза — требование отправлять с каждым запросом уникальный HTTP-заголовок. Эдакий VIP-пропуск для исследователя. Сразу чувствуешь серьёзность программы. Никаких случайных сканов, только целенаправленная работа.

Битва с окружением: Когда твой Mac против тебя 💻 Казалось бы, что может быть проще, чем запустить пару утилит? Но моя связка macOS + UTM + Parrot Security решила устроить мне настоящий CTF. Часы ушли на то, чтобы заставить Go правильно компилировать нужные инструменты (`subfinder`, httpx, nuclei`). Проклятая ошибка `cgo с отсутствующим sys/cdefs.h преследовала меня, как навязчивый баг. Решилось всё только хардкорным сносом системного Go и установкой свежей версии вручную, а добил я проблему волшебным CGO_ENABLED=0. Классика!

Первый запуск: Есть контакт! 🚀 И вот, спустя N часов отладки, мой автоматизированный конвейер наконец-то завёлся. Запустил nuclei на главную цель do.gosuslugi.ru с лимитом в 30 запросов/сек, как того требуют правила. Сканирование шло почти час, WAF явно сопротивлялся и тормозил запросы, но…

Зацепки: Маленькая победа 🎯 И вот оно — Matched: 1! Сердце замерло в ожидании RCE, но нет. Находка оказалась информационной — устаревший заголовок X-XSS-Protection. Конечно, это не критическая уязвимость, но это зацепка. Это намёк от системы, что админы могли упустить что-то ещё.

Вишенка на торте — под конец скана сайт просто перестал у меня открываться. Бесконечная загрузка. Похоже, WAF всё-таки обиделся на мою активность и вежливо попросил мой IP на выход. Что ж, это тоже результат! Значит, меня заметили.

Что дальше? Работа только начинается. Автоматика своё дело сделала, теперь время для ручной работы и моего любимого Burp Suite. Зацепки есть, идеи тоже. Будем копать глубже!

#bugbounty #hacking #cybersecurity #pentest #infosec #standoff365 #минцифры #it #хакер@timcore_hacking

🧷 Дневник хакера: нашел очередную уязвимость. Фаззинг: шаблоны, ID и сотни профилей

Сходу: нашёл баг. Не крит через shell, но очень громкий через структуру.

Баг не в коде. Баг в логике. А значит — фаззинг по правилам.

📂 Цель была простая: гос-сервис с архивом профилей, ничего почти не принимает, только отдаёт HTML.

🔧 Что сделал?
1. Скачал sitemap.xml — 24+ МБ, десятки тысяч URL.
2. Вытащил FIO-шаблоны (`surname-name-patronymic_ID.html`)
3. Нашёл predictable структуру: всё строится по ID + FIO
4. Засунул шаблоны в свой скрипт и сделал фаззинг:
• idor_hunter_safe.py — автофазз на топовые FIO
• idor_fio_mode.py — точечный перебор по конкретному шаблону
• batch_fio_runner.py — фаззинг по списку из топ-FIO (с логами & CSV)
5. Протестировал RPS, обошёл защиту заголовком X-BugBounty:...
6. Собрал 99+ нестиндексированных страниц, которые открываются, но не должны быть доступны напрямую.

⚙ Инструменты, которые падали в бой:
• httpx — для разведки по сабдоменам
• ffuf — директории с 200/403 рядом с /cms
• curl + tqdm для ID-брута
• bs4 + html.parser для парса профилей
• csv.DictWriter() — твой лучший друг при багрепорте
• И да, конечно, nano, less, grep — как без них

🤖 Что получилось?
• URL-паттерн предсказуем
• Sitemap не защищает от enumeration
• Контент отдаётся без авторизации
• Профили доступны, но ничем не метятся

🧾 Дальше:
📤 Отчёт отправил. Буду ждать верификации.

Если придёт “accepted” — бахну серию:
• как писать фаззинг по FIO-ID
• как серверы выдают 200 OK, даже когда не должны
• как настраивать respectful scan & логгер

🧠 Фаззинг — это не всегда «сломал». Иногда это: «понял, как думает back, и прошёл мимо авторизации, не тронув код».

#bugbounty #infosec

📓 Дневник хакера. Почему мне заходит багбаунти, и я в этом залипаю 💻🧠

Багбаунти — это как шутер, где у каждого сайта своя карта, приколы и баги вместо патронов.

Только тут ты не фраги собираешь, а CVSS, PoC и бабки.
Вот почему я в это погружён по уши:

🧠 1. Прокачка REAL-навыков
Учишься по туториалу — знаешь XSS.
Ломаешь багбаунти — начинаешь думать, как живой фреймворк, как real-world API.
Каждый отчёт учит чему-то новому: где-то WAF обошёл, где-то SSRF закрутил через PDF парсинг.
Это реальный опыт, не песочница.

🕹 2. Настоящий вызов.
Это не “нажал F12 и всё видно”.
Это:
• Анализ кода вслепую
• Сбор endpoints из JS
• Перехват сессий, tokens, cookies через все возможные лазейки
• Поиск upload’а в API 60-го уровня
Каждый сайт — это новый CTF. Только ставки выше.

📅 3. Гибкость — как у фриланса, но по-настоящему
Работаю когда хочу. Утром — WebGoat, вечером — ffuf на живых целях.
Никаких менеджеров, тикетов, «давайте обсудим в Zoom».
Есть только ты, http-запрос и /upload?file=.

💰 4. Ты монетизируешь мозг — без рамок
Можно тратить вечер на какой-нибудь погодный API и вдруг вытащить IDOR с доступом к чужим аккам.
Бах — и это High severity с выплатой.
Когда твоя внимательность монетизируется — это вообще другой уровень мотивации.

🔐 5. Делать мир чуть безопаснее
Знаешь, это как быть digital-снайпером: ты ловишь баг — разраб затыкает его до того, как на него наткнется кто-то со злыми намерениями.

Ты очистил ещё один кусок интернета.

Маленький, но свой.

Итог:
Для кого-то это хобби. А для меня — это стиль мышления.
Не просто искать дыры. А понимать, атаковать этично, расти с каждым багом.


#BugBounty #ДневникХакера #InfoSec #RedTeamVibes #PentestЖизни

📓 Дневник хакера. Как я вкатился в багбаунти: 3 дня до первой уязвимости, 3 месяца до первой $1000

Стукнуло мне как-то: «А чё, если попробовать багбаунти?»

Скачал Burp, поставил ffuf, залил кофе — и понеслась.

Первую уязвимость нашёл за 3 дня.
Не RCE, но Info Disclosure через хитрый endpoint. Тогда казалось, будто флаг на Evereste поставил.

⏳ Через 3 месяца — бахнул баг на Medium severity (authorization bypass через IDOR).
Первая $1000 прилетела на счёт.

И с того момента я понял: хантить баги можно не только в CTF, но и в проде — этично, легально и с профитом.

📍 Пока что я считаю себя начинающим багхантером — нет ещё 0day в запасе и триаж ручками не автоматизировал.

Но кайфует душа от самого процесса:

— разбор логики
— лазер фокус на целевые запросы
— поиск XSS в adminpanel.min.js?v=oblivion

И момент, когда нашёл… когда оформляешь PoC… ах. Это не сравнить.
Сложно?
Да.
Затягивает?
Ещё как.

Никакой магии, только внимательность, терпение и Burp Suite.

#BugBounty #НачалоИстории #InfoSec #ХакаюНоПоЛюбви #БлогХакера #PentestЖизни

📓 Дневник хакера: баги в фазе квантовой неопределённости ⚡🐾

Сегодня утром пришёл апдейт по одному из моих репортов:
CORS‑misconfiguration на одном из сервисов признали… но без ценности.
Комментарий в стиле: “да, CORS открыт, но данные — рандом и не страшно”.
И, конечно, вишенка на торте — дубликат: такой же баг уже упал к ним пару отчётов назад.

Остальные три моих репорта сейчас в статусе “в работе у вендора” 🕵️♀️:

там серьёзнее мяско, и если полетят фиксы — будет пара P1/P2 в копилку.

🔧 Стэк за сегодня: баш‑скрипты для автоматической проверки старых payload’ов, пайтон для парсинга ответов, и вечная любовь — Burp Suite для ручного добивания.

Чувство такое: баги живут в режиме квантового кота Шрёдингера — пока тикет открыт, они вроде и есть, и нет 😈

💭 Мораль: репортишь — всегда держи скрины и логи. Сегодня это просто “информативно”, а завтра — цепочка для критичного эксплойта.

#bugbounty #дневникхакера #pentest #bash #python #burpsuite #websec #cors #infosec #redteam

#bug_bounty
#xss

3,000$ Bug Bounty Rewards from Microsoft Forms: Reflected XSS Vulnerability

https://www.youtube.com/watch?v=pjbaZYEYQV8

🔥 ДНЕВНИК ХАКЕРА | 06.10.2025

Сегодня нашёл критикал в крупной российской системе биометрии 🎯

Что делал:

• Просканировал 10 IP + 17 доменов через subfinder/nmap 🔍
• Нашёл SPA личного кабинета с 2MB JS-кода 📱
• Реверсил минифицированный JS и нашёл API endpoints 🧩

Находка:
Endpoint OAuth-авторизации через ЕСИА (Госуслуги) раскрывает client_secret в открытом виде! 🚨
Это секретный ключ всей OAuth-интеграции, который по стандарту RFC 6749 НИКОГДА не должен попадать на клиент. С таким ключом можно:

✅ Авторизоваться от имени системы
✅ Получать токены пользователей Госуслуг
✅ Компрометировать всю интеграцию

CVSS: 9.3 (Critical) ⚠️

Статистика:
📊 ~300 запросов за 6 часов
📋 20+ протестированных endpoints
💰 Ожидаю 500k-1M₽ за находку
Lesson learned: Всегда анализируйте JS в SPA — там часто лежат API endpoints, токены и секреты! 🔑

Репорт отправлен, жду триаж. Детали раскрою после фикса 📝

#bugbounty #critical #oauth #infosec #whitehathacker #pentest 🔐💻

⚡ SSRF → RCE: chain-атака на реальной цели

Привет, хакеры! 💻 Сегодня расскажу про мой любимый тип атак — chains (цепочки). Когда одна уязвимость сама по себе не критична, но в комбинации с другой превращается в полный pwn сервера.

https://vk.com/@hacker_timcore-ssrf-rce-chain-ataka-na-realnoi-celi

#дневникхакера #ssrf #rce #bugbounty #chainattack #aws #pentest #websecurity #ethicalhacking #redteam #exploit #cybersecurity #infosec #criticalvuln