Свежак подъехал! Wireshark 4.4.8 уже на проводе 🦈🔥

Бро, бросай свои дела, время обновить главный инструмент для ковыряния пакетов. Выкатили новую версию Wireshark. Да, это не революция, а плановый патч, но ты же знаешь, дьявол в деталях.

Что внутри? В основном, фиксы. Закрыли пачку уязвимостей, которые могли положить твой анализатор при вскрытии кривого дампа. Ну и по мелочи подлатали баги, чтобы не крашилось в самый ответственный момент, когда ты уже почти вытащил креды из трафика.

Помнишь, как у нас на одном из пентестов старый Wireshark падал на кастомном протоколе? Вот чтобы такого не было, разрабы и пашут. Меньше падений — больше пойманных пакетов и сэкономленных нервов.

Так что не ленись. Сноси старую версию, ставь новую. Чистый анализатор — залог успешного перехвата.

Качаем, обновляемся и снова в бой! 👇

https://www.wireshark.org/download.html

#wireshark #pentest #infosec #network #hacking #анализтрафика #безопасность #redteam@timcore_hacking

Один день из жизни баг-хантера. Погружение в программу Минцифры. 🔥

Всем привет! Сегодня был тот самый день, когда чувствуешь себя настоящим кибер-детективом. Решил поучаствовать в bug bounty программе от Минцифры на платформе Standoff 365, и это оказалось то ещё приключение.

Сначала: Секретный пропуск 🕵‍♂ Первое, что бросилось в глаза — требование отправлять с каждым запросом уникальный HTTP-заголовок. Эдакий VIP-пропуск для исследователя. Сразу чувствуешь серьёзность программы. Никаких случайных сканов, только целенаправленная работа.

Битва с окружением: Когда твой Mac против тебя 💻 Казалось бы, что может быть проще, чем запустить пару утилит? Но моя связка macOS + UTM + Parrot Security решила устроить мне настоящий CTF. Часы ушли на то, чтобы заставить Go правильно компилировать нужные инструменты (`subfinder`, httpx, nuclei`). Проклятая ошибка `cgo с отсутствующим sys/cdefs.h преследовала меня, как навязчивый баг. Решилось всё только хардкорным сносом системного Go и установкой свежей версии вручную, а добил я проблему волшебным CGO_ENABLED=0. Классика!

Первый запуск: Есть контакт! 🚀 И вот, спустя N часов отладки, мой автоматизированный конвейер наконец-то завёлся. Запустил nuclei на главную цель do.gosuslugi.ru с лимитом в 30 запросов/сек, как того требуют правила. Сканирование шло почти час, WAF явно сопротивлялся и тормозил запросы, но…

Зацепки: Маленькая победа 🎯 И вот оно — Matched: 1! Сердце замерло в ожидании RCE, но нет. Находка оказалась информационной — устаревший заголовок X-XSS-Protection. Конечно, это не критическая уязвимость, но это зацепка. Это намёк от системы, что админы могли упустить что-то ещё.

Вишенка на торте — под конец скана сайт просто перестал у меня открываться. Бесконечная загрузка. Похоже, WAF всё-таки обиделся на мою активность и вежливо попросил мой IP на выход. Что ж, это тоже результат! Значит, меня заметили.

Что дальше? Работа только начинается. Автоматика своё дело сделала, теперь время для ручной работы и моего любимого Burp Suite. Зацепки есть, идеи тоже. Будем копать глубже!

#bugbounty #hacking #cybersecurity #pentest #infosec #standoff365 #минцифры #it #хакер@timcore_hacking

#bug_bounty
#bug_hunting

Как автоматизировать поиск багов в Bug Bounty?

Слушай, старина, ты и я знаем, что 90% времени в баг баунти — это тупая, монотонная разведка. Перебирать субдомены, тыкать в порты, фаззить директории… Рутина убивает. А пока мы этим занимаемся, какой-нибудь шустрый малец уводит из-под носа XSS-ку на главном домене, потому что он запустил скрипт и пошел пить смузи. Хватит это терпеть. Наша задача — построить конвейер, который будет просеивать весь этот мусор за нас и приносить на блюдечке только то, где пахнет жареным.

Подробнее: https://timcourse.ru/kak-avtomatizirovat-poisk-bagov-v-bug-bounty/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#typosquatting

Фишинг через опечатки в домене (Typosquatting)

На почту прилетело письмо якобы от нашего любимого sberbank.ru, но глаз зацепился за домен отправителя: sberbanк.ru. Видишь? Кириллическая «к» вместо латинской «k». Классический гомоглиф. Сайт-клон, один в один слизанный с оригинала, с зелёным замочком от Let’s Encrypt, чтобы юзеры не напрягались.

Подробнее: https://timcourse.ru/fishing-cherez-opechatki-v-domene-typosquatting/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#forensics
#iot

IoT-шпионы в доме: как умные гаджеты сдают хозяев с потрохами (и как их приручить)

Слушайте сюда, любители комфорта. Вы купили умную колонку, чтобы она ставила вам расслабляющий джаз по вечерам. Вы нацепили фитнес-браслет, чтобы считать шаги до холодильника и обратно. Вы установили умный замок, чтобы не таскать с собой ключи, как пещерный человек. Поздравляю, вы только что добровольно окружили себя целой армией потенциальных свидетелей, которые никогда не лгут, не забывают и с радостью поделятся вашими секретами с такими, как я.
Cкажу вам одно: самые болтливые свидетели — это не люди. Это ваши жестянки с лампочками.

Подробнее: https://timforensics.ru/iot-shpiony-v-dome-kak-umnye-gadzhety-sdayut-hozyaev-s-potrohami-i-kak-ih-priruchit/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#forensics
#osint

Глубокие фейки под прицелом: как OSINT разоблачает поддельные видео и фото

Поехали. Думаете, ваши глаза вас не обманывают? Поздравляю, вы — идеальная жертва для цифровых кукловодов 2025 года. Пока вы лайкаете очередное «шокирующее» видео с политиком, я уже вижу в нем столько швов, что хватило бы на пальто Франкенштейна.
Сейчас я научу вас отличать правду от очень качественной лжи. Но без гарантий. Эта игра в кошки-мышки становится все сложнее, и мыши скоро начнут носить шкуры кошек.

Подробнее: https://timforensics.ru/glubokie-fejki-pod-priczelom-kak-osint-razoblachaet-poddelnye-video-i-foto/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog

Кусочек из книги:

Глава 0. Enter the Matrix: Введение в ментальность CTF
0.1. Что такое CTF и почему это лучше, чем спать

Забудь про скучные лекции, корпоративные тренинги и сертификаты, которые нужны только HR-ам. CTF – это не просто три буквы. Это наш цифровой спортзал, наш спарринг-партнер и, если честно, наш наркотик. Capture The Flag. Захват Флага. Вся суть в этих двух словах.

Представь себе игру. Но не ту, где ты гоняешь эльфов. Здесь вместо замков — сервера. Вместо мечей — эксплойты. Вместо сокровищ — флаги. Флаг — это просто доказательство твоего проникновения. Кусок текста в определенном формате, например, flag{th1s_is_s3cr3t_pwned_by_basement_dweller}. Ты нашел его, скопировал, вставил в специальное поле на сайте соревнования — получил очки. Все. Просто и жестоко. Твоя подпись кровью на стене взломанного сервера.

Эти сервера, эти веб-приложения, эти программы — их специально сделали уязвимыми. Это песочница, лаборатория. Место, где ты можешь (и должен) делать самые грязные вещи, не боясь, что к тебе в шесть утра придут хмурые ребята в масках. Здесь твой nmap -A -p- не DDoS-атака, а разведка. Твой SQL-инжект — не кража данных, а элегантное решение.

Почему это лучше, чем спать? Потому что сон для слабаков, которые не познали радость шелла с правами root в три часа ночи. Сон не тренирует твой мозг так, как это делает CTF. Каждая таска (задание) — это головоломка, обернутая в код. Она заставляет тебя думать не так, как обычный пользователь или даже программист. Она заставляет тебя думать как хищник. Искать аномалии, отклонения от логики, слабости. Твой мозг после пары бессонных ночей на CTF начинает работать по-другому. Ты смотришь на обычный сайт и видишь не картинки и текст, а потенциальные точки входа, параметры в URL, которые можно покрутить, и заголовки, которые можно подменить.

Теперь о форматах. Это не просто «ломай всё». Есть правила, есть стили. Как в драке: есть боксерский ринг, а есть подворотня.

Формат 1: Jeopardy (Классика, или «Интеллектуальный тир»)

• Что это? Самый распространенный формат. Представь себе доску с категориями: Web, Pwn (бинарная эксплуатация), Reverse, Crypto, Forensics, Stego, Misc (всякая дичь). В каждой категории — набор тасков разной сложности. Решил простенький таск на 100 очков — открылся посложнее на 200. И так далее. Играешь в своем темпе.
• Как выглядит? Ты, твоя команда (если есть) и список заданий. Никто тебя не трогает, ты никого не трогаешь. Чистая дуэль между тобой и заданием, которое придумал какой-то хитрый ублюдок. Ты можешь часами сидеть над одной таской, пить литрами кофе, ненавидеть весь мир, а потом, в один момент, приходит озарение. Эврика! Ты нашел ту самую одну строчку в коде, тот самый кривой алгоритм, ту самую дыру.
• Азарт. Азарт здесь в гонке по очкам. Ты видишь скорборд, видишь, как другие команды вырываются вперед. Ты решаешь сложную таску, которую до тебя никто не решил, и твоя команда взлетает на несколько позиций. Это чистое, дистиллированное удовольствие от решения сложной задачи.
• Боль. Боль — это «кроличья нора». Когда ты тратишь 8 часов на раскопку идеи, которая оказывается ложной. Когда эксплойт не работает, потому что ты ошибся в одном байте смещения. Когда ты уверен, что нашел уязвимость, а это просто «фича» от автора, чтобы пустить тебя по ложному следу. Это выжигает изнутри, но закаляет характер.
• Слава. Слава в Jeopardy — это уважение. Когда ты берешь таску, над которой бьются топовые команды, и решаешь её. Твой никнейм в списке решивших — это как медаль. Все знают, чего это стоило.

Формат 2: Attack-Defense (Мясорубка, или «Добро пожаловать в ад»)

• Что это? Вот это, братишка, настоящая война. Каждой команде выдается идентичный образ виртуальной машины или сети. На ней крутятся несколько сервисов (веб-магазин, какая-то API, чат — что угодно). И все они дырявые

Приветствую, дорогие друзья!

Почти завершил написание книги: «Основы CTF: Практическое руководство из окопов».

Предзаказ открыт.

🔥 Забудь всё, чему тебя учили. Здесь не будет белых перчаток. 🔥
Надоела теория, которая не работает в бою? Устал часами смотреть на таск и не знать, с чего начать? Хочешь не просто читать райтапы, а писать свои?

Я почти написал книгу, которую хотел бы иметь сам, когда начинал свой путь. Без воды, без академической нудятины. Только хардкор, только практика.
«Основы CTF: Практическое руководство из окопов» — это концентрат боли, опыта и рабочих команд. Это твой личный арсенал для захвата флагов.

Что под обложкой? Только мясо:

🧠 Глава 0. Enter the Matrix: Вправим мозги на место. Научишься думать как атакующий, а не как юзер. Поймешь, где грань между CTF и статьей УК РФ (кратко, но важно).

🛠 Глава 1. Арсенал в подвале: Соберем твой боевой сетап. Kali, tmux, zsh, nmap, Burp Suite, Ghidra, pwntools — настроим всё, что нужно для долгой и продуктивной ночи.

💣 Глава 2. Web’s Most Wanted: Ломаем веб в промышленных масштабах.
• SQLi: от классики ' OR 1=1 — - до слепых инъекций.
• XSS: крадем куки админа, а не просто выводим alert(1).
• LFI/RFI: читаем ../../../../etc/passwd с помощью php://filter.
• SSTI: получаем RCE через {{ self.__init__.__globals__... }}.

💻 Глава 3. Черный ящик: Реверс и Pwn.
• Разбираем бинари в Ghidra.
• Эксплуатируем классический Buffer Overflow с помощью pwntools. Никакой магии, чистая техника.

🔑 Глава 4. Игры разума: Криптография для практика.
• Быстро отсеиваем Base64/ROT13.
• Ломаем хеши с помощью Hashcat, используя rockyou.txt как профи.

🕵 Глава 5. Цифровой Шерлок: Форензика и OSINT.
• Копаемся в дампах памяти с Volatility.
• Анализируем трафик в Wireshark.
• Извлекаем флаги из картинок с помощью steghide и zsteg.

Почему нужно брать сейчас?

Это предзаказ. Это значит, ты не только получаешь книгу одним из первых, но и экономишь.
💰 Цена по предзаказу: 700 рублей.⏳ Цена после релиза: 1000 рублей.
Твоя экономия — 300 рублей. Это пара чашек хорошего кофе, которые точно пригодятся во время ночной катки.

Готов перестать быть зрителем и начать действовать?
Оформляй предзаказ. Количество копий по этой цене ограничено духом «Try Harder».

➡ ОФОРМИТЬ ПРЕДЗАКАЗ ЗА 700₽ ⬅(пиши по контакту в тг: @timcore1)

После оплаты ты попадешь в список предзаказа и получишь книгу в день релиза.

Хватит читать. Пора ломать.«Try Harder» — это не лозунг, это диагноз. Погнали.

Хотите бесплатно прокачать свои знания в самых востребованных IT-сферах? Тогда этот пост для вас! Я собрал подборку своих авторских блогов, где делюсь актуальной информацией, практическими кейсами и ценным опытом.

Сохраняйте, чтобы не потерять!

Ваши точки роста в мире IT:
• 🌐 timcore.ru
Здесь вы найдете всё обо всём в IT. Это ваша база знаний по этичному хакингу, программированию и другим ключевым направлениям.
• 🐞 timcourse.ru/blog
Хотите стать баг-хантером? Этот блог для вас. Погрузитесь в мир поиска уязвимостей с подробными разборами и реальными примерами.
• 🤖 timrobot.ru/articles
Для тех, кто готов к настоящему хардкору. Изучайте разработку эксплойтов и создавайте собственных роботов.
• 🔍 timforensics.ru/blog
Станьте цифровым детективом. В этом блоге всё о форензике (цифровой криминалистике) и OSINT (разведке по открытым источникам).
• 🧠 timneuro.ru/blog
Будущее уже здесь. Узнавайте первыми о новостях в мире искусственного интеллекта, а также о методах взлома нейросетей.

Подписывайтесь, изучайте и делитесь с друзьями!

#IT #Кибербезопасность #Программирование #ИскусственныйИнтеллект #AI #Форензика #OSINT #BugBounty #БагХантинг #ЭтичныйХакинг #Разработка #БесплатноеОбучение #ITблог@timcore_hacking

🎯 Один день охотника за уязвимостями

Пока кто-то листает фид, я сегодня снова заряжал свой мозг на поиск уязвимостей в госпрограмме баг-баунти от Минцифры через Standoff 365.

Результат? Свой сканер багов. Да-да, написал собственный инструмент, и не просто скрипт, а боевую железку с фильтрами, анализом и уважением к скоупу.

💻 Что делал:
🌐 Настроил AutoScope — свой кастомный тул для анализа авторизационных багов (в духе Autorize, только мой)
⚙️ Пропатчил его:
фильтрацию HTML мусора (`<!doctype html>` + `404 OK`)
поддержку rate-limit (30 RPS, как просит программа)
обработку Set-Cookie, сравнение кодов ответа и длин тела
🧠 Перебрал целевое API:
do.gosuslugi.ru/api/user/context
.../profile, /documents, /common/context, /v1/me
🚫 Все оказались затычками или фронтом с 404 замаскированным под 200-псевдоответ
✔️ Сделал жёсткий фильтр скоупа — теперь тул сканит только цели из программы, ничего лишнего

🤖 В процессе:
Научил тулку саму отличать: где JSON, а где рендер обложки
Проверил миллион fake vs real headers (cookie/authorization)
Логировал различия веса ответов, статус-кодов, утечку по ключевым словам (`fio`, snils, birth, passport, etc.)

💥 Что нашёл?
✅ Пока багов на payout нет, но:
зафиксировал правильную реакцию на фейки
увидел кучу “псевдо-API” работающих как SPA-заглушки
💡 идентифицировал ключевые API, которые фронт вызывает только при входе юзера → эти и пойдут в бой завтра

🎯 Что дальше
Завтра:
инвентарь живых XHR через Burp
отбор auth-only endpoints
PoC через AutoScope
и, возможно, один красивый IDOR-бага для багрепорта 😉

🏴☠️ Развивать собственные инструменты + охотиться по госпрограмме = кайф уровня Pentest + Dev + 100 XP.

🧷 Дневник хакера: нашел очередную уязвимость. Фаззинг: шаблоны, ID и сотни профилей

Сходу: нашёл баг. Не крит через shell, но очень громкий через структуру.

Баг не в коде. Баг в логике. А значит — фаззинг по правилам.

📂 Цель была простая: гос-сервис с архивом профилей, ничего почти не принимает, только отдаёт HTML.

🔧 Что сделал?
1. Скачал sitemap.xml — 24+ МБ, десятки тысяч URL.
2. Вытащил FIO-шаблоны (`surname-name-patronymic_ID.html`)
3. Нашёл predictable структуру: всё строится по ID + FIO
4. Засунул шаблоны в свой скрипт и сделал фаззинг:
• idor_hunter_safe.py — автофазз на топовые FIO
• idor_fio_mode.py — точечный перебор по конкретному шаблону
• batch_fio_runner.py — фаззинг по списку из топ-FIO (с логами & CSV)
5. Протестировал RPS, обошёл защиту заголовком X-BugBounty:...
6. Собрал 99+ нестиндексированных страниц, которые открываются, но не должны быть доступны напрямую.

⚙ Инструменты, которые падали в бой:
• httpx — для разведки по сабдоменам
• ffuf — директории с 200/403 рядом с /cms
• curl + tqdm для ID-брута
• bs4 + html.parser для парса профилей
• csv.DictWriter() — твой лучший друг при багрепорте
• И да, конечно, nano, less, grep — как без них

🤖 Что получилось?
• URL-паттерн предсказуем
• Sitemap не защищает от enumeration
• Контент отдаётся без авторизации
• Профили доступны, но ничем не метятся

🧾 Дальше:
📤 Отчёт отправил. Буду ждать верификации.

Если придёт “accepted” — бахну серию:
• как писать фаззинг по FIO-ID
• как серверы выдают 200 OK, даже когда не должны
• как настраивать respectful scan & логгер

🧠 Фаззинг — это не всегда «сломал». Иногда это: «понял, как думает back, и прошёл мимо авторизации, не тронув код».

#bugbounty #infosec

🎯 Дневник хакера: Баг не приняли, а +100 баллов дали.
Значит, баг скорее жив, чем мёртв 😎

Фаззил архивный сайт. Предсказуемые URL по FIO + ID.
Нашёл пропущенные страницы, которых нет в индексе.
Собрал 99 live-профилей

Запаковал отчёт → лог, CSV, фаззинг, описание.

Ответ?
🚪 “Информативно. Импакта нет.”

Но! 👇

🏆 +100 очков в рейтинг багхантеров.

💬 Мой код не влез во vuln DB, но влез в карму системы.

📨 Скрин отказа выше.
🎁 А баллы всё равно начислили.
📍 Значит, отчёт зачли. Просто не признали как vuln.

🧠 Что вынес:
• Уязвимости — субъективны. Факт доступа ≠ факт оценки.
• Фаззинг — это не только результат, но и процесс.
• Скрипты готовы → и если появится новая цель с FIO-ID логикой… ты уже знаешь, кто туда постучится первым.

#bugbounty #standoff365 #информативноно100 #ctfирал
#идордуши #хакерскийдневник #ловлюбагичерезструктуру

📓 Хакерский дневник

Моей найденной уязвимости присвоили идентификатор с международным именем.
CWE-307 — это не просто тикет, это признание! 😈

📚 Прямо как в OWASP Топ, только теперь в моём репорте 😎

#bugbounty #cwe307

📓 Дневник хакера. Почему мне заходит багбаунти, и я в этом залипаю 💻🧠

Багбаунти — это как шутер, где у каждого сайта своя карта, приколы и баги вместо патронов.

Только тут ты не фраги собираешь, а CVSS, PoC и бабки.
Вот почему я в это погружён по уши:

🧠 1. Прокачка REAL-навыков
Учишься по туториалу — знаешь XSS.
Ломаешь багбаунти — начинаешь думать, как живой фреймворк, как real-world API.
Каждый отчёт учит чему-то новому: где-то WAF обошёл, где-то SSRF закрутил через PDF парсинг.
Это реальный опыт, не песочница.

🕹 2. Настоящий вызов.
Это не “нажал F12 и всё видно”.
Это:
• Анализ кода вслепую
• Сбор endpoints из JS
• Перехват сессий, tokens, cookies через все возможные лазейки
• Поиск upload’а в API 60-го уровня
Каждый сайт — это новый CTF. Только ставки выше.

📅 3. Гибкость — как у фриланса, но по-настоящему
Работаю когда хочу. Утром — WebGoat, вечером — ffuf на живых целях.
Никаких менеджеров, тикетов, «давайте обсудим в Zoom».
Есть только ты, http-запрос и /upload?file=.

💰 4. Ты монетизируешь мозг — без рамок
Можно тратить вечер на какой-нибудь погодный API и вдруг вытащить IDOR с доступом к чужим аккам.
Бах — и это High severity с выплатой.
Когда твоя внимательность монетизируется — это вообще другой уровень мотивации.

🔐 5. Делать мир чуть безопаснее
Знаешь, это как быть digital-снайпером: ты ловишь баг — разраб затыкает его до того, как на него наткнется кто-то со злыми намерениями.

Ты очистил ещё один кусок интернета.

Маленький, но свой.

Итог:
Для кого-то это хобби. А для меня — это стиль мышления.
Не просто искать дыры. А понимать, атаковать этично, расти с каждым багом.


#BugBounty #ДневникХакера #InfoSec #RedTeamVibes #PentestЖизни

📓 Дневник хакера. Как я вкатился в багбаунти: 3 дня до первой уязвимости, 3 месяца до первой $1000

Стукнуло мне как-то: «А чё, если попробовать багбаунти?»

Скачал Burp, поставил ffuf, залил кофе — и понеслась.

Первую уязвимость нашёл за 3 дня.
Не RCE, но Info Disclosure через хитрый endpoint. Тогда казалось, будто флаг на Evereste поставил.

⏳ Через 3 месяца — бахнул баг на Medium severity (authorization bypass через IDOR).
Первая $1000 прилетела на счёт.

И с того момента я понял: хантить баги можно не только в CTF, но и в проде — этично, легально и с профитом.

📍 Пока что я считаю себя начинающим багхантером — нет ещё 0day в запасе и триаж ручками не автоматизировал.

Но кайфует душа от самого процесса:

— разбор логики
— лазер фокус на целевые запросы
— поиск XSS в adminpanel.min.js?v=oblivion

И момент, когда нашёл… когда оформляешь PoC… ах. Это не сравнить.
Сложно?
Да.
Затягивает?
Ещё как.

Никакой магии, только внимательность, терпение и Burp Suite.

#BugBounty #НачалоИстории #InfoSec #ХакаюНоПоЛюбви #БлогХакера #PentestЖизни

📓 Дневник хакера: 5 из 5 🎯

Сегодня в рамках одной из публичных bug bounty‑программ (одна крупная финтех-компания) удалось отстрелить пять уязвимостей за сессию.

Подробности, код и скриншоты сейчас под NDA — условия программы жёсткие, поэтому никаких раскрытий до оф. фикса.

🔍 Форматы находок:
• 💥 IDOR (доступ к чужим данным при смене ID)
• 📂 Открытые служебные директории и конфиги (.git/.env/backup)
• 🌐 CORS‑misconfig (ACAO на произвольный Origin)
• 🔀 Open Redirect (302 на внешний домен)
• 📜 Уязвимые фронтовые библиотеки (jQuery 1.10.2)

Все PoC собраны, логи сохранены, баги отправлены в триаж.
Жду мержей в багтрекере и утренних криков «кто деплоил это в прод?!» 🤭

На память себе: даже в 2025‑м классика вроде “/profile/{id}” и старого jQuery продолжает приносить 🍪 и 💰. Главное — смотреть под капот чуть глубже, чем остальные.

#bugbounty #дневникхакера #pentest #hackerlife #websec@timcore_hacking

📓 Дневник хакера: мой баг‑баунти арсенал 🔥💻

Я в баунти играю без «волшебных коробочек» — пишу своё.

Стэк языков, с которыми охочусь на баги:

🐚 Bash — ядро всего, автоматизация пайплайнов
🐍 Python — быстрая разработка сканеров и PoC
🌐 JavaScript — DOM‑XSS, клиентские PoC
🦫 Go — быстрые HTTP‑инструменты и фаззеры
🦀 Rust — high‑perf сканеры и эксперименты
🐘 PHP — реверс старых веб‑сервисов и RCE‑PoC
💠 C — нативные эксплойты и бинарная магия
💎 Ruby — Metasploit и кастомные модули
⚙ Assembly — ковыряю ELF/PE до костей
🔐 PowerShell — Windows AD, post‑exploitation
🌀 Zsh — улучшенный bash‑workflow, комбо с алиасами

Тулзы: ❤ Burp Suite, httpx, ffuf, curl, grep, awk, sed.

Мой пайплайн:
1⃣ Сбор поддоменов и фильтрация alive‑хостов.
2⃣ Автоматический тест на XSS / Redirect / CORS / IDOR через bash/python.
3⃣ Ручной разбор/дожим багов в Burp Suite.
4⃣ Отправка в багтрекер → 💰 или 🔒.

Только код, только хардкор.

#bugbounty #дневникхакера #security #websec #bash #python #javascript #go #rust #php #c #ruby #assembly #powershell #zsh #burpsuite #hacktheplanet

📓 Дневник хакера: баги в фазе квантовой неопределённости ⚡🐾

Сегодня утром пришёл апдейт по одному из моих репортов:
CORS‑misconfiguration на одном из сервисов признали… но без ценности.
Комментарий в стиле: “да, CORS открыт, но данные — рандом и не страшно”.
И, конечно, вишенка на торте — дубликат: такой же баг уже упал к ним пару отчётов назад.

Остальные три моих репорта сейчас в статусе “в работе у вендора” 🕵️♀️:

там серьёзнее мяско, и если полетят фиксы — будет пара P1/P2 в копилку.

🔧 Стэк за сегодня: баш‑скрипты для автоматической проверки старых payload’ов, пайтон для парсинга ответов, и вечная любовь — Burp Suite для ручного добивания.

Чувство такое: баги живут в режиме квантового кота Шрёдингера — пока тикет открыт, они вроде и есть, и нет 😈

💭 Мораль: репортишь — всегда держи скрины и логи. Сегодня это просто “информативно”, а завтра — цепочка для критичного эксплойта.

#bugbounty #дневникхакера #pentest #bash #python #burpsuite #websec #cors #infosec #redteam

📓 Дневник хакера. XSS-охота

Сегодня был день тяжёлой артиллерии и скриптов‑добытчиков.
Погрузился с утра в XSS‑охоту, вооружённый своими кастомными тулзами:

🛠 Скрипты в бою:
• drill.sh — разведка по трём фронтам (XSS, GraphQL, Open Redirect).
• promo-xss-check.sh — точечный удар по промо‑лендингам.
• xss-cloner_v1.1.sh — поиск клонов уязвимого шаблона.
• xss-pattern-hunter_v2.sh — умный фильтр HTML‑дампов с автопоиском свежей добычи.

🔍 Что нашёл:
• Подтвердил жирную DOM‑based XSS.
• Остальные поддомены оказались чистыми по паттерну (в статике).

📸 Процесс:
1. Сначала промо сломалось по классике — payload javascript:alert() уже висел на кнопке.
2. Потом попробовал найти клонов — схема сработала, но уязвимость локализована.
3. Плюс набросал пару новых автоскриптов для ускорения следующих охот на XSS.

💣 Вывод дня:

Один точный баг лучше сотни пустых сканов.
На старом фронте всегда найдётся место для свежего payload’а, если знать, куда его сунуть.
На завтра план — либо добить headless‑чекер для динамических XSS, либо переключиться на GraphQL/IDOR.

#bugbounty #xss #pentest #дневникхакера