Хакер | Этичный хакинг с Михаилом Тарасовым (Timcore)
1.64K subscribers
942 photos
53 videos
85 files
3.4K links
Обучение:

- Pentesting
- Социальная инженерия
- Проникновение
- Защита
- Работа с эксплойтами
- Аудит безопасности Обратная связь: admin@timcore.ru @timcore1
Download Telegram
🎯 Дневник Хакера | Accepted — или когда терпение окупается

Привет, хакеры! 💻 Сегодня случилось то, ради чего мы все это делаем — получил ACCEPTED в крупной bug bounty программе! 🔥🎉

Что было:
Несколько дней назад нашёл серьёзную уязвимость — публичное раскрытие полной схемы API Gateway с 995 endpoints. Написал детальный отчёт, приложил скриншоты, описал impact, рекомендации по исправлению. Отправил и начал ждать… ⏱️

По правилам программы они должны ответить в течение 5 рабочих дней. И вот сегодня пришёл ответ! 📧

Что ответили:

“Подробная информация по данному отчёту была передана команде безопасности. Спасибо за ваш интерес к информационной безопасности! Ждем от вас новых отчетов.”

ЭТО ПРИНЯТИЕ!

Не rejected, не duplicate, не informative — ACCEPTED и передан на обработку! 🎯

Что это значит:
🔥 Уязвимость подтверждена
🔥 Отчёт передан команде безопасности для исправления
🔥 Severity будет определён в ближайшие 15 дней
🔥 Выплата придёт примерно через месяц после принятия

Моя оценка severity: High (по шкале программы это серьёзный уровень)
Почему High, а не Medium/Low:

1️⃣ Масштаб: 995 endpoints, а не 10-20
2️⃣ Раскрыты internal commands (помечены как “внутренняя команда”)
3️⃣ Полная карта API с бизнес-логикой и схемами данных
4️⃣ Attack surface mapping для дальнейших атак (IDOR, SQLi, Auth Bypass)
5️⃣ Конфиденциальная архитектурная информация системы

Уроки из этого опыта:
Терпение — ключ к успеху — не всегда баги находятся за 5 минут
Качество > Количество — лучше один детальный отчёт, чем 10 поверхностных
Документация = профессионализм — скрины, команды, PoC, рекомендации
Понимание impact — объясни ПОЧЕМУ это опасно, а не просто ЧТО нашёл
Следование правилам — использовал X-BugBounty header, соблюдал rate limit

Что дальше:
Сегодня также попробовал отправить второй отчёт (нашёл способ обойти их WAF через прямой доступ к IP-адресу), но его закрыли как duplicate первого. Хотя я считаю что это разные уязвимости — готовлю апелляцию с аргументами. Посмотрим что ответят 🤔

Но даже если второй не примут — первый отчет с accepted уже большая победа! 🏆

Статистика на данный момент:
📊 Отправлено отчётов: 2
Accepted: 1
На рассмотрении/апелляции: 1
⏱️ Время до первого accepted: ~3 дня
🎯 Expected severity: High

Что планирую дальше:

Пока ждём severity и выплату, продолжу копать эту же программу. У меня теперь есть полная карта API (995 endpoints), и я знаю структуру системы. Следующий шаг — искать IDOR или authorization bypass на этих endpoint’ах. Может быть найду что-то Critical! 💣

P.S. Да, я по-прежнему соблюдаю NDA 😉 Никаких названий, конкретных доменов или технических деталей, которые могут идентифицировать систему. Но опытом и процессом важно делиться!

P.P.S. Для тех кто только начинает в bug bounty — не сдавайтесь после первых rejected’ов! Это нормально. Изучайте программы, читайте правила, пишите качественные отчёты. Рано или поздно придёт тот самый Accepted 🎯

#дневникхакера #bugbounty #infosec #cybersecurity #accepted #pentest #хакинг #безопасность #этичныйхакинг #redteam #bugbountyhunter #highseverity #APIsecurity #milestone