#books
#web
#cybersecurity

Название: «Безопасность веб-приложений. Исчерпывающий гид для начинающих разработчиков.»
Автор: Таня Янка
Год: 2023

Исчерпывающее руководство по безопасности программного обеспечения.

Поддерживать безопасность своих продуктов — одна из первостепенных задач любой современной IT-компании. В этой книге вы найдете пошаговые инструкции по тому, как спроектировать безопасную архитектуру веб-сайтов и приложений и защищать ее на всех этапах производства и реализации. Более того, автор даст ответы на самые распространенные вопросы об информационной безопасности и расскажет о лучших практиках гигантов технологической индустрии, например, Microsoft и Google.

Для кого эта книга:
• специалисты по информационной безопасности;
• практикующие разработчики программного обеспечения;
• инженеры приложений;
• руководители IT-проектов;
• специалисты по тестированию.

Таня Янка, также известная как SheHacksPurple — основательница сообщества и онлайн-академии We Hack Purple, цель которых — научить разработчиков создавать безопасное программное обеспечение. Таня занимается программированием и работает в сфере информационных технологий более 20 лет, в ее послужной список входят такие технологические корпорации, как Microsoft, Adobe и Nokia.

Скачать.

#cybersecurity
#ethical_hacking

Кибербезопасность и закон: Что нужно знать этичному хакеру?

Здравствуйте, дорогие друзья.

Кибербезопасность становится всё более важной темой в современном мире, где технологии проникают в каждый аспект нашей жизни. Этичные хакеры играют ключевую роль в обнаружении и устранении уязвимостей в информационных системах, но их деятельность находится на стыке с законом. Понимание законодательства, регулирующего кибербезопасность, необходимо не только для соблюдения правил, но и для защиты самих хакеров от юридических последствий.

Подробнее: https://timcore.ru/2024/03/13/kiberbezopasnost-i-zakon-chto-nuzhno-znat-jetichnomu-hakeru/

#cybersecurity
#vulnerability

Актуальные уязвимости на 2024 год

Информационная безопасность — это динамичная область, и новые уязвимости постоянно обнаруживаются, в то время как старые продолжают представлять угрозу, если не принимаются соответствующие меры по их устранению.

Подробнее: https://timcourse.ru/aktualnye-uyazvimosti-na-2024-god/

#cybersecurity
#vulnerability
#idor

Объяснение уязвимости IDOR, и защита от этой уязвимости

Уязвимость IDOR (Insecure Direct Object References) возникает, когда приложение не проверяет должным образом права доступа пользователя к объектам, на которые он пытается получить доступ. Это может позволить злоумышленнику получить доступ к данным, к которым он не должен иметь доступ, просто изменив параметры запроса.

Подробнее: https://timcourse.ru/obyasnenie-uyazvimosti-idor-i-zashhita-ot-etoj-uyazvimosti/

#cybersecurity
#vulnerability

Объяснение уязвимости — Missing Function Level Access Control, и защита от нее

Уязвимость «Missing Function Level Access Control» (Отсутствие контроля доступа на уровне функций) возникает, когда приложение не проверяет, имеет ли пользователь право выполнять определенные функции или действия. Это может позволить неавторизованным пользователям получить доступ к функциям, которые должны быть доступны только определенным группам пользователей, таким как администраторы или модераторы.

Подробнее: https://timcourse.ru/obyasnenie-uyazvimosti-missing-function-level-access-control-i-zashhita-ot-nee/

Мой сетап: macOS + Parrot 🦜. Чистая работа в грязном мире


Многие спорят, что лучше: Kali, BlackArch или вообще голый Debian с кастомными скриптами. А я скажу так: лучший инструмент — тот, с которым ты сливаешься воедино. Моя боевая станция уже который год — это связка из двух миров. 💻 + VM.


🧠 Хост-машина: MacBook (macOS)


Это мой “чистый” контур. Командный центр. Почему он?
• UNIX-ядро: Родной zsh, ssh, grep, `awk`… всё под рукой без всяких WSL-костылей. Удобно для быстрой разведки, работы с текстом, написания отчётов.
• Стабильность и железо: Просто работает. Отличный экран, батарея, которая тащит весь день на выезде, и тишина. Никаких воющих кулеров на ровном месте.
• Софт: Софт для кодинга, дизайна, монтажа — всё на высшем уровне. Отчёт для “белых воротничков” должен выглядеть солидно. 😉


🔥 Гостевая ОС: Parrot Security OS (на VMware Fusion)
А вот это — моя “грязная” зона. Лаборатория, полигон и арсенал в одной коробке. 💀
• Изоляция: Главный принцип. Весь атакующий софт, все пейлоады, все следы остаются внутри виртуалки. Засветил IP? Уронил сервис? Поймал ответку от Blue Team? Снёс виртуалку, развернул чистый снапшот за 2 минуты. Хост остаётся девственно чистым.
• Инструментарий: Parrot мне нравится больше Kali. Он как-то… душевнее, что ли. И легче. Плюс, отличные инструменты для анонимности “из коробки” вроде Anonsurf. Все нужные тулзы на месте, от Metasploit и Burp до Wireshark и Ghidra.
• Гибкость: Нужно поднять кастомный веб-сервер для фишинга? Запустить responder в локалке? Просканить /24 подсеть? Всё это делается в виртуалке, не засирая хостовую систему.


⚙ Как это работает вместе?
Связка проста: на маке — разведка, анализ, работа с документами. Как только нахожу точку входа — переключаюсь на Parrot в полноэкранном режиме, и понеслась. Ctrl+Cmd и ты уже в другом мире. Общие папки и буфер обмена настроены для быстрого переноса данных. Это как иметь два разных компьютера, соединённых телепортом.


Итог: надёжный, стерильный командный пункт на macOS и одноразовый, но мощный штурмовой модуль на Parrot. Для меня — идеальный баланс. 🛡💥


#pentest #infosec #cybersecurity #macos #parrotsec #hacker #redteam #сетап@timcore_hacking

Один день из жизни баг-хантера. Погружение в программу Минцифры. 🔥

Всем привет! Сегодня был тот самый день, когда чувствуешь себя настоящим кибер-детективом. Решил поучаствовать в bug bounty программе от Минцифры на платформе Standoff 365, и это оказалось то ещё приключение.

Сначала: Секретный пропуск 🕵‍♂ Первое, что бросилось в глаза — требование отправлять с каждым запросом уникальный HTTP-заголовок. Эдакий VIP-пропуск для исследователя. Сразу чувствуешь серьёзность программы. Никаких случайных сканов, только целенаправленная работа.

Битва с окружением: Когда твой Mac против тебя 💻 Казалось бы, что может быть проще, чем запустить пару утилит? Но моя связка macOS + UTM + Parrot Security решила устроить мне настоящий CTF. Часы ушли на то, чтобы заставить Go правильно компилировать нужные инструменты (`subfinder`, httpx, nuclei`). Проклятая ошибка `cgo с отсутствующим sys/cdefs.h преследовала меня, как навязчивый баг. Решилось всё только хардкорным сносом системного Go и установкой свежей версии вручную, а добил я проблему волшебным CGO_ENABLED=0. Классика!

Первый запуск: Есть контакт! 🚀 И вот, спустя N часов отладки, мой автоматизированный конвейер наконец-то завёлся. Запустил nuclei на главную цель do.gosuslugi.ru с лимитом в 30 запросов/сек, как того требуют правила. Сканирование шло почти час, WAF явно сопротивлялся и тормозил запросы, но…

Зацепки: Маленькая победа 🎯 И вот оно — Matched: 1! Сердце замерло в ожидании RCE, но нет. Находка оказалась информационной — устаревший заголовок X-XSS-Protection. Конечно, это не критическая уязвимость, но это зацепка. Это намёк от системы, что админы могли упустить что-то ещё.

Вишенка на торте — под конец скана сайт просто перестал у меня открываться. Бесконечная загрузка. Похоже, WAF всё-таки обиделся на мою активность и вежливо попросил мой IP на выход. Что ж, это тоже результат! Значит, меня заметили.

Что дальше? Работа только начинается. Автоматика своё дело сделала, теперь время для ручной работы и моего любимого Burp Suite. Зацепки есть, идеи тоже. Будем копать глубже!

#bugbounty #hacking #cybersecurity #pentest #infosec #standoff365 #минцифры #it #хакер@timcore_hacking

#bug_bounty
#xss

3,000$ Bug Bounty Rewards from Microsoft Forms: Reflected XSS Vulnerability

https://www.youtube.com/watch?v=pjbaZYEYQV8

🎯 Дневник хакера
03.10.2025

Сегодня поохотился на баунти в крупной программе (NDA, не светим 🤫)

📊 РЕЗУЛЬТАТЫ
⏱ 5 часов работы
🐛 3 уязвимости
💰 50-85k ₽ потенциал
🎁 ЧТО НАШЁЛ

#1 SSL/TLS Misconfiguration
→ Сервер не отдаёт сертификат
→ 30-40k ₽

#2 FTP Banner Disclosure
→ Раскрывает софт + версию
→ 15-30k ₽

#3 DNS Infrastructure Leak
→ Testing/staging в public DNS
→ 5-15k ₽

💡 ИНСАЙТ
Не нужны 0day, чтобы зарабатывать на баунти. Банальные misconfiguration’ы дают 12k+ ₽/час 🔥

📈 ДАЛЬШЕ

Завтра:
→ Отправить репорты
→ Payment widget analysis
→ API IDOR hunting
Потенциал: +200-400k ₽ 💎

90 дней NDA | Full write-up после disclosure

#bugbounty #cybersecurity #ethicalhacking

⚡ SSRF → RCE: chain-атака на реальной цели

Привет, хакеры! 💻 Сегодня расскажу про мой любимый тип атак — chains (цепочки). Когда одна уязвимость сама по себе не критична, но в комбинации с другой превращается в полный pwn сервера.

https://vk.com/@hacker_timcore-ssrf-rce-chain-ataka-na-realnoi-celi

#дневникхакера #ssrf #rce #bugbounty #chainattack #aws #pentest #websecurity #ethicalhacking #redteam #exploit #cybersecurity #infosec #criticalvuln

📝Дневник хакера | 08.10.2025

Сегодня был продуктивный день в багхантинге 🔥💰

Целый день посвятил пентесту одной крупной системы (из-за NDA не могу раскрывать детали — кто понял, тот понял 😏). Скажу только, что цель была серьёзная, а поверхность атаки — огромная.

Что делал:
Reconnaissance 🔍 Начал с классики — nmap, subfinder, проверка robots.txt и sitemap. Собрал инфу о технологиях, нашёл несколько интересных API endpoints. Админы молодцы, инфраструктуру прикрыли неплохо.

Information Disclosure ⚙ Пытался найти .env, .git, backup-файлы — все стандартные векторы. Результат: всё закрыто. Directory listing отключен, конфиги спрятаны. Зато проверил Bitrix CMS — искал SQL Injection, XSS, но защита на высоте 👍

API Testing 💻 Перешёл на тестирование API. Тут было интереснее! Нашёл пару багов:

1⃣ Missing Authentication на критичном API endpoint (MEDIUM severity, CVSS 5.3) — детали по NDA, но суть в том, что доступ к чувствительным данным был без авторизации. Написал подробный PoC, отправил репорт. Потенциальная выплата: 50,000 - 150,000 ₽ 💵

2⃣ Missing Security Headers на главном домене (LOW-MEDIUM severity, CVSS 4.3) — отсутствуют все критичные HTTP-заголовки (X-Frame-Options, CSP, HSTS и т.д.). Это открывает дверь для Clickjacking, MIME-sniffing и других атак на клиентскую сторону. Потенциальная выплата: 30,000 - 100,000 ₽ 💸

Итого за день потенциально: 80,000 - 250,000 ₽! 🤑🎯

Результат дня 📊
✅ 2 уязвимости найдено и отправлено
✅ Несколько векторов закрыто (хорошо пропатчено)
✅ Составил план на завтра — буду копать глубже в поддомены

Что понял:
Даже если с первого взгляда всё выглядит защищённым, всегда есть места, где можно найти лазейку. Главное — методичность и терпение. А ещё curl и grep — мои лучшие друзья 💪😎

P.S.
Завтра продолжу — планирую Certificate Transparency для поиска скрытых поддоменов и тесты на CORS misconfiguration. Если найду что-то интересное — обязательно расскажу (насколько позволит NDA 🤫).

Bug hunting — это не про везение, это про упорство! И да, иногда это ещё и про хорошие выплаты 😉💰

#bugbounty #cybersecurity #pentesting #hacking #infosec #redteam #bugbountyhunter #дневникхакера #bugbountytips

🔐 Дневник Хакера | 10.10.2025

Сегодняшний день был продуктивным — провёл углублённое тестирование на защищённость в рамках bug bounty программы.

🎯 Цель: Федеральная система (детали под NDA)
⏱ Время: 6 часов чистой работы
🔧 Инструменты: ffuf, curl, Burp Suite, custom scripts

📈 Процесс:
1️⃣ Разведка: сканирование субдоменов, endpoints, технологий
2️⃣ Анализ: изучение архитектуры, поиск точек входа
3️⃣ Тестирование: проверка различных векторов атак
4️⃣ Эксплуатация: подтверждение найденных уязвимостей
5️⃣ Документирование: написание профессионального отчёта

🎯 Статистика:
• HTTP-запросов: 1,000+
• Endpoints протестировано: 50+
• Данных собрано: 40 MB
• Файлов создано: 91
• Уязвимостей найдено: 3 (1 Critical, 2 Medium)

💡 Что было интересного:
Нашёл нестандартный способ обхода защиты, который позволил получить доступ к защищённым ресурсам. Классический пример того, как whitelist'ы без должной валидации могут стать уязвимостью.

📝 Отправил отчёт в Standoff365, жду триажа.

💰 Потенциальная выплата: до 150,000₽

Детали опубликую после разрешения программы и исправления уязвимости владельцем.

Совет дня: Всегда проверяйте не только "что блокируется", но и "что пропускается". Иногда whitelist опаснее blacklist'а.

#bugbounty #pentesting #cybersecurity #ethical_hacking #infosec #web_security #ДневникХакера

🔥 Дневник Хакера | День 1: Новая Bug Bounty программа
13 октября 2025

Сегодня приступил к новой Bug Bounty программе — gambling платформа (NDA, название не раскрываю). Выплаты от $100 до $5000 в USDT за найденные уязвимости. Звучит как хороший способ провести неделю, правда? 😎

Разведка (Reconnaissance Phase)
Начал классически — с пассивной разведки. Запустил subfinder и amass для поиска субдоменов. Результат немного разочаровал — минимальная инфраструктура видна извне. Но это нормально, многие компании держат attack surface минималистичной.
Первая проблема: DNS resolver на VM лёг. Пришлось фиксить /etc/resolv.conf и прописывать Google DNS (8.8.8.8). Классика жанра 😅

Вторая проблема: Гео-блокировка. Таргет просто не отвечал из моей локации. Connection timeout при попытке curl. Решение — смена IP через VPN. После этого всё заработало. Интересный момент — значит у них есть compliance требования по регионам.

Первые находки

🎯 Tech Stack:
• Cloudflare WAF (ASN 13335) — ожидаемо для gambling индустрии
• Nginx — версия раскрыта в 404 ошибке (уже потенциальная информационная утечка)
• Vue.js/Vite SPA на фронте
• Интеграции: мессенджер, live chat, аналитика, метрики
🔍 Wayback Machine:
Собрал исторические URL через waybackurls. Нашёл интересные паттерны:

/referal-login/{код}/
/bonus_{название}/

Быстрый тест показал, что referral endpoint принимает ЛЮБОЙ payload с HTTP 200:

/referal-login/TESTPAYLOAD/ → 200 OK
/referal-login/../admin/ → 200 OK
/referal-login/test'OR'1'='1/ → 200 OK

Нет валидации входных данных = потенциальный XSS, SQLi или Path Traversal. Пока reflection в HTML не подтвердил, но вектор перспективный для углублённого тестирования.

💣 JavaScript Analysis:
Скачал основные JS файлы (4MB каждый — вот это bundle!). Через grep нашёл 10+ API endpoints:
Критичные векторы:
• /users/get_me/ — потенциальный IDOR на получение данных пользователей
• /users/login_{service}/ — авторизация через сторонний сервис (высокий риск auth bypass!)
• /bonus_events/create_*_bonuses/ — создание бонусов (business logic bug?)
• /api/social/login/{provider}/ — OAuth всегда интересен для CSRF/redirect атак
Интеграция с мессенджером: обнаружен бот с параметрами в URL — ещё один вектор для исследования на injection атаки.

📌 Найденные токены в клиентском коде:
• Live chat токен
• Analytics site ID
• Tracking IDs

Проверю завтра, можно ли через них получить доступ к чатам, пользовательским данным или аналитике.

План на завтра

Завтра буду тестировать:
1. Auth Bypass — попробую манипулировать параметрами аутентификации через сторонний сервис
2. Bonus Abuse — race condition на создании бонусов
3. IDOR — изменение идентификаторов пользователей в API
4. OAuth CSRF — проверка OAuth flow на отсутствие state параметра
5. Referral injection — углублённое тестирование на XSS/SQLi/Path Traversal

Статистика дня
⏱ Времени потрачено: ~2 часа
🔍 Инструменты: subfinder, amass, waybackurls, curl, grep
📂 Собрано данных: 10+ API endpoints, 50+ исторических URL
🎯 Потенциальных векторов: 5 high-priority

Мысли вслух
Gambling платформы — всегда интересная цель. Там где деньги, там всегда найдутся баги в бизнес-логике. Особенно интересует интеграция со сторонними сервисами авторизации — видел много кейсов, где подпись либо не проверялась вообще, либо проверялась криво.

Referral system тоже выглядит подозрительно. Полное отсутствие валидации input’а — это красный флаг размером с Китай. Завтра покопаю глубже с Burp Suite.

Пока что чувствую, что здесь есть минимум 1-2 бага на $750+. Auth bypass через сторонний сервис может потянуть на Critical ($1500-5000), если повезёт с PoC.

Технические детали для себя:
• Гео-блок обходится через VPN (region: EU)
• WAF Cloudflare — нужно готовить обфускацию payload’ов
• SPA архитектура — все endpoints в JS, DevTools обязателен
• Минимальная инфраструктура извне → копать вглубь, а не вширь

Продолжение следует…

💻 Stay tuned for Day 2!

#BugBounty #InfoSec #RedTeam #Pentesting #CyberSecurity #ДневникХакера #Recon

🔥 Дневник Хакера

Привет, братва! 💻 Сегодня был серьёзный заход, и, кажется, я попал в точку! 🎯
Что было:
Зашёл на одну из программ bug bounty (NDA, не могу раскрывать детали 🤫), и сразу понял — надо копать. Начал с базовой разведки: проверил инфраструктуру, просканировал домены, посмотрел на архитектуру.

Неожиданный поворот:
Пока лазил по структуре сайта, наткнулся на один endpoint, который… как бы это сказать… был слишком разговорчивым 😏 Оказалось, что там лежит полная техническая документация API. Причём не 10-20 точек входа, а ровно 995 endpoints! 🤯

И самое интересное — там были внутренние команды, которые явно не должны были быть публичными. Типа тех, что помечены как “только для internal use” 🔓

Что сделал:
✅ Проверил масштаб находки (995 точек входа — это не шутки!)
✅ Задокументировал всё по полной программе
✅ Сделал 10 скринов с терминалом (выглядело как из фильма про хакеров 😎)
✅ Написал детальный отчёт на 3 страницы
✅ Отправил в программу

Severity: High (по моей оценке 🎯)

Потенциал: Если примут на заявленном уровне — это может быть очень хорошо 💰 Программа платит прилично за такие находки.

Что дальше:
Теперь жду ответа (по правилам до 5 рабочих дней). А пока планирую копать глубже — эта находка открыла мне глаза на всю структуру системы. Благодаря этим 995 endpoints теперь знаю ВСЕ точки входа для дальнейшего тестирования. Чувствую, что могу найти что-то посерьёзнее (тип Critical) 🕵️

Уроки дня:

1️⃣ Всегда проверяй очевидные вещи — иногда самое ценное лежит на поверхности
2️⃣ Документация — твой друг. Особенно если она случайно публичная 😏
3️⃣ Терпение и методичность > хаотичный брутфорс
4️⃣ Скрины и подробный отчёт = профессионализм
5️⃣ Масштаб имеет значение: 995 endpoints vs 10 — это разные severity!

Мысли вслух:

Если примут как High — будет огонь! 🔥 Если понизят до Medium — ну что ж, тоже неплохо. Если отклонят — напишу апелляцию с аргументами, у меня есть чем крыть 😎

А пока продолжаю изучать найденное. У меня теперь есть карта всей системы — как у искателя сокровищ 🗺️💎 Следующий шаг — искать IDOR и authorization bypass на этих 995 точках входа. Это может выстрелить в Critical!

Статистика дня:
⏱️ Время на поиск: ~2 часа
📊 Найдено endpoints: 995
📝 Отправлено отчётов: 1
🎯 Severity: High
💰 Ожидание: 5 рабочих дней

P.S. Да, я знаю про NDA. Поэтому никаких названий компаний, доменов или деталей. Но поверьте, это интересная история 😉

#дневникхакера #bugbounty #infosec #cybersecurity #pentest #хакинг #безопасность #этичныйхакинг #redteam #bugbountyhunter #highseverity #APIsecurity

🔥 Дневник Хакера | Когда WAF — это не стена, а приглашение

Привет, хакеры! 💻 Сегодня был абсолютно ОГНЕННЫЙ день в баг-баунти! 🚀 Продолжаю копать ту самую программу, о которой писал в прошлый раз (NDA, поэтому без деталей 🤫).

Краткое напоминание:
Несколько дней назад нашёл серьёзный баг — раскрытие API документации с 995 endpoints. Отправил отчёт, severity оценил как High. Теперь жду ответа (должны ответить в течение 5 рабочих дней).

📊
А сегодня случилось МАГИЯ: ✨

Продолжил копать ту же систему, и… нашёл способ обойти их Web Application Firewall! 🔓💥
Вот как это работало:
• Система защищена WAF (серьёзный корпоративный уровень защиты)
• Через обычный домен — всё блокируется, как и должно быть
• НО! В скоупе программы указаны IP-адреса backend-серверов 👀
• Подключился напрямую к IP с подменой Host заголовка…
• И БАМ! 💣 WAF полностью обошёлся, получил доступ к тем же 684 KB API документации!

Что это значит:
Это уже отдельная уязвимость класса Security Control Bypass! Даже если первый баг исправят, обход WAF через прямой доступ к IP — это критичная проблема сама по себе. Атакующий может:
• Игнорировать все правила фильтрации
• Обходить rate limiting
• Избегать обнаружения системами мониторинга
• Проводить атаки напрямую на backend 🎯
Что сделал:
✅ Проверил концепцию (PoC работает на 100%)
✅ Сравнил файлы — идентичные, 684 KB каждый
✅ Задокументировал всё с командами и выводами
✅ Написал детальный отчёт на 4 страницы
✅ Отправил в программу как второй баг

Severity: High (моя оценка 🎯)

Статистика на текущий момент:
📊 Отправлено отчётов: 2
🎯 Средняя severity: High
⏱️ Общее время на оба: ~4 часа работы
💰 Потенциальная выплата: если оба примут как High — это будет очень хорошо 😎

Уроки сегодняшнего дня:
1️⃣ Всегда проверяй IP-адреса из скоупа — иногда они там не просто так
2️⃣ WAF — это не всегда непробиваемая стена — бывают misconfiguration
3️⃣ Host header может быть твоим другом — если backend не валидирует источник
4️⃣ Один баг может привести к другому — продолжай копать то, что уже нашёл
5️⃣ Терпение и методичность — не бросай таргет после первой находки

Мысли вслух:
Чувствую себя как после хорошей CTF-задачки 😄 Волнуюсь, конечно — второй отчёт может быть посчитан как duplicate первого (хотя это разные уязвимости!). Но я максимально детально описал, почему это отдельная проблема. Если примут оба — будет просто космос! 🌟

А пока жду ответов (по первому должны ответить через пару дней). Время показывает, что методичный подход работает лучше хаотичного сканирования. Знание скоупа + понимание архитектуры = профит! 💎

#дневникхакера #bugbounty #infosec #cybersecurity #pentest #wafbypass #securitybypass #хакинг #безопасность #этичныйхакинг #redteam #bugbountyhunter #highseverity #APIsecurity #securitymisconfiguration