Здравствуйте, дорогие друзья. Внимание!!!
Октябрьская распродажа классического базового видеокурса - «Этичный взлом.», 3 дня, с 9-го по 11-е октября включительно.
Скидка 84%, и итоговая цена в этот период составляет всего 4000 рублей.
Плюс бонус: 12 моих книг:
1. «Хакинг на JavaScript».
2. «Хакерские инструменты на PHP8».
3. «Заработок для хакера».
4. «Capture the Flag (CTF). VulnHub 8 райтапов».
5. «Cross Site Request Forgery».
6. «Программирование на Go для начинающих».
7. ««Программирование на С для начинающих».
8. «Прохождение CTF Мистер Робот Практический курс».
9. «Руководство по подготовке сертифицированного этичного хакера (CEH)».
10. «Уязвимость SQL-инъекция. Практическое руководство для хакеров».
11. «Уязвимость-Cross-Site-Scripting-XSS-Практическое-руководство».
12. «Программирование на PHP8 для начинающих»
Предоставляю Вашему вниманию видеокурс, который состоит из 20-ти модулей. Курс ориентирован как для начинающих этичных хакеров, так и для более опытных специалистов.
Итого продолжительность: 41 час 14 минут.
Выжимка из моего 8-ми летнего опыта.
Стоимость: 4 000 рублей.
Отзывы вот тут: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
1 модуль — Видеокурс — «Пентест с помощью Kali Linux.» — 6 часов.
2 модуль — Видеокурс — «Kali Linux для начинающих». — 7 часов.
3 модуль — Видеокурс — «Тестирование на проникновение (пентест) с помощью Nmap, OpenVAS и Metasploit». — 3 часа 30 минут.
4 модуль — Видеокурс — Уязвимости DVWA (Полное прохождение). — 3 часа 19 минут.
5 модуль — Миникурс «Хакинг систем» ~ 1 час.
6 модуль — Видеокурс — «SQL-Инъекция» — : 1 час 50 минут.
7 модуль — Видеокурс: «Курс молодого бойца. Решение CTF.» — 1 час 15 минут.
8 модуль — Миникурс. CTF. Web. Задания с Root-Me для не новичков. ~ 1 час.
9 — 18 модуль. Видеокурс: «Хакинг bWAPP (buggy web application). Эксплуатация 100+ уязвимостей.» — 8 часов
19 модуль - Электронная книга: «Хакинг с помощью искусственного интеллекта» ~ 7 часов.
20 модуль - Курс: «ChatGPT для Этичных Хакеров и Пентестеров» ~ 4 часа.
В курсе мы рассмотрим инструменты для начинающего пентестера, и пройдемся по основным векторам атак на системы. Также взглянем и попрактикуемся с уязвимостями веб-приложения DVWA, и познакомимся с SQL-инъекциями. Также мы примем участие в CTF-соревнованиях на начальном и среднем уровне. Далее будет разбор 10-ти
категорий уязвимостей, по методологии OWASP Top-10. И в завершении Вы изучите два модуля по Искусственному интеллекту.
Итого продолжительность: 41 час 14 минут.
Стоимость: 4000 рублей.
Отзывы о курсе вот здесь: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
Содержание вот тут: https://timcore.ru/kurs-jeticheskij-vzlom/
Для приобретения пишите по контакту: @timcore1
Октябрьская распродажа классического базового видеокурса - «Этичный взлом.», 3 дня, с 9-го по 11-е октября включительно.
Скидка 84%, и итоговая цена в этот период составляет всего 4000 рублей.
Плюс бонус: 12 моих книг:
1. «Хакинг на JavaScript».
2. «Хакерские инструменты на PHP8».
3. «Заработок для хакера».
4. «Capture the Flag (CTF). VulnHub 8 райтапов».
5. «Cross Site Request Forgery».
6. «Программирование на Go для начинающих».
7. ««Программирование на С для начинающих».
8. «Прохождение CTF Мистер Робот Практический курс».
9. «Руководство по подготовке сертифицированного этичного хакера (CEH)».
10. «Уязвимость SQL-инъекция. Практическое руководство для хакеров».
11. «Уязвимость-Cross-Site-Scripting-XSS-Практическое-руководство».
12. «Программирование на PHP8 для начинающих»
Предоставляю Вашему вниманию видеокурс, который состоит из 20-ти модулей. Курс ориентирован как для начинающих этичных хакеров, так и для более опытных специалистов.
Итого продолжительность: 41 час 14 минут.
Выжимка из моего 8-ми летнего опыта.
Стоимость: 4 000 рублей.
Отзывы вот тут: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
1 модуль — Видеокурс — «Пентест с помощью Kali Linux.» — 6 часов.
2 модуль — Видеокурс — «Kali Linux для начинающих». — 7 часов.
3 модуль — Видеокурс — «Тестирование на проникновение (пентест) с помощью Nmap, OpenVAS и Metasploit». — 3 часа 30 минут.
4 модуль — Видеокурс — Уязвимости DVWA (Полное прохождение). — 3 часа 19 минут.
5 модуль — Миникурс «Хакинг систем» ~ 1 час.
6 модуль — Видеокурс — «SQL-Инъекция» — : 1 час 50 минут.
7 модуль — Видеокурс: «Курс молодого бойца. Решение CTF.» — 1 час 15 минут.
8 модуль — Миникурс. CTF. Web. Задания с Root-Me для не новичков. ~ 1 час.
9 — 18 модуль. Видеокурс: «Хакинг bWAPP (buggy web application). Эксплуатация 100+ уязвимостей.» — 8 часов
19 модуль - Электронная книга: «Хакинг с помощью искусственного интеллекта» ~ 7 часов.
20 модуль - Курс: «ChatGPT для Этичных Хакеров и Пентестеров» ~ 4 часа.
В курсе мы рассмотрим инструменты для начинающего пентестера, и пройдемся по основным векторам атак на системы. Также взглянем и попрактикуемся с уязвимостями веб-приложения DVWA, и познакомимся с SQL-инъекциями. Также мы примем участие в CTF-соревнованиях на начальном и среднем уровне. Далее будет разбор 10-ти
категорий уязвимостей, по методологии OWASP Top-10. И в завершении Вы изучите два модуля по Искусственному интеллекту.
Итого продолжительность: 41 час 14 минут.
Стоимость: 4000 рублей.
Отзывы о курсе вот здесь: https://vk.com/topic-44038255_49120521
И вот тут: https://timcore.ru/otzyvy-o-moej-rabote/
Содержание вот тут: https://timcore.ru/kurs-jeticheskij-vzlom/
Для приобретения пишите по контакту: @timcore1
🔐 Дневник Хакера | 10.10.2025
Сегодняшний день был продуктивным — провёл углублённое тестирование на защищённость в рамках bug bounty программы.
🎯 Цель: Федеральная система (детали под NDA)
⏱ Время: 6 часов чистой работы
🔧 Инструменты: ffuf, curl, Burp Suite, custom scripts
📈 Процесс:
1️⃣ Разведка: сканирование субдоменов, endpoints, технологий
2️⃣ Анализ: изучение архитектуры, поиск точек входа
3️⃣ Тестирование: проверка различных векторов атак
4️⃣ Эксплуатация: подтверждение найденных уязвимостей
5️⃣ Документирование: написание профессионального отчёта
🎯 Статистика:
• HTTP-запросов: 1,000+
• Endpoints протестировано: 50+
• Данных собрано: 40 MB
• Файлов создано: 91
• Уязвимостей найдено: 3 (1 Critical, 2 Medium)
💡 Что было интересного:
Нашёл нестандартный способ обхода защиты, который позволил получить доступ к защищённым ресурсам. Классический пример того, как whitelist'ы без должной валидации могут стать уязвимостью.
📝 Отправил отчёт в Standoff365, жду триажа.
💰 Потенциальная выплата: до 150,000₽
Детали опубликую после разрешения программы и исправления уязвимости владельцем.
Совет дня: Всегда проверяйте не только "что блокируется", но и "что пропускается". Иногда whitelist опаснее blacklist'а.
#bugbounty #pentesting #cybersecurity #ethical_hacking #infosec #web_security #ДневникХакера
Сегодняшний день был продуктивным — провёл углублённое тестирование на защищённость в рамках bug bounty программы.
🎯 Цель: Федеральная система (детали под NDA)
⏱ Время: 6 часов чистой работы
🔧 Инструменты: ffuf, curl, Burp Suite, custom scripts
📈 Процесс:
1️⃣ Разведка: сканирование субдоменов, endpoints, технологий
2️⃣ Анализ: изучение архитектуры, поиск точек входа
3️⃣ Тестирование: проверка различных векторов атак
4️⃣ Эксплуатация: подтверждение найденных уязвимостей
5️⃣ Документирование: написание профессионального отчёта
🎯 Статистика:
• HTTP-запросов: 1,000+
• Endpoints протестировано: 50+
• Данных собрано: 40 MB
• Файлов создано: 91
• Уязвимостей найдено: 3 (1 Critical, 2 Medium)
💡 Что было интересного:
Нашёл нестандартный способ обхода защиты, который позволил получить доступ к защищённым ресурсам. Классический пример того, как whitelist'ы без должной валидации могут стать уязвимостью.
📝 Отправил отчёт в Standoff365, жду триажа.
💰 Потенциальная выплата: до 150,000₽
Детали опубликую после разрешения программы и исправления уязвимости владельцем.
Совет дня: Всегда проверяйте не только "что блокируется", но и "что пропускается". Иногда whitelist опаснее blacklist'а.
#bugbounty #pentesting #cybersecurity #ethical_hacking #infosec #web_security #ДневникХакера
Уязвимость
timcore
Уязвимость
Куплет 1:
Сканирую порты, ищу слабое звено,
XSS в формах — это классика, но всё равно говно.
SQL-инъекция в GET, админка без защиты,
CSRF-токенов нет — вот они, ваши биты.
IDOR на всех страницах, sessions без флагов,
Код на продакшене — это вам не для слабых.
Nuclei крутит шаблоны, httpx сканит домен,
Каждый эндпоинт проверен — я в этом профи, помни.
Припев:
Уязвимость — это дверь в чужую систему,
Уязвимость — баг-баунти программа.
От инъекций до XSS — нашёл, зарепортил,
В рейтинге поднялся, получил свой профит.
Куплет 2:
NoSQL bypass, MongoDB без пароля,
gRPC reflection открыт — админы в полной печали.
JWT без проверки, секрет на GitHub лежит,
API без rate-limit — сервер просто дрожит.
Subfinder ищет поддомены в DNS,
Wafw00f определит, есть ли там WAF или нет.
Парсю HTML через curl и grep в консоли,
Каждый редирект изучен — это моя воля.
Припев:
Уязвимость — это дверь в чужую систему,
Уязвимость — баг-баунти программа.
От инъекций до XSS — нашёл, зарепортил,
В рейтинге поднялся, получил свой профит.
Аутро:
5 лет в хакинге, этика на первом месте,
Каждый баг — это урок, каждый репорт — в чести.
Уязвимость найдена, патч уже в разработке,
Это игра белых шляп — мы за безопасность в схватке.
Куплет 1:
Сканирую порты, ищу слабое звено,
XSS в формах — это классика, но всё равно говно.
SQL-инъекция в GET, админка без защиты,
CSRF-токенов нет — вот они, ваши биты.
IDOR на всех страницах, sessions без флагов,
Код на продакшене — это вам не для слабых.
Nuclei крутит шаблоны, httpx сканит домен,
Каждый эндпоинт проверен — я в этом профи, помни.
Припев:
Уязвимость — это дверь в чужую систему,
Уязвимость — баг-баунти программа.
От инъекций до XSS — нашёл, зарепортил,
В рейтинге поднялся, получил свой профит.
Куплет 2:
NoSQL bypass, MongoDB без пароля,
gRPC reflection открыт — админы в полной печали.
JWT без проверки, секрет на GitHub лежит,
API без rate-limit — сервер просто дрожит.
Subfinder ищет поддомены в DNS,
Wafw00f определит, есть ли там WAF или нет.
Парсю HTML через curl и grep в консоли,
Каждый редирект изучен — это моя воля.
Припев:
Уязвимость — это дверь в чужую систему,
Уязвимость — баг-баунти программа.
От инъекций до XSS — нашёл, зарепортил,
В рейтинге поднялся, получил свой профит.
Аутро:
5 лет в хакинге, этика на первом месте,
Каждый баг — это урок, каждый репорт — в чести.
Уязвимость найдена, патч уже в разработке,
Это игра белых шляп — мы за безопасность в схватке.
#blog
#bug_bounty
🎰 Как зарабатывать на баг-баунти в казино, криптобиржах, стартапах и других компаниях? (Российский рынок)
Привет, хакеры! 💰 Устал искать баги на популярных платформах, где конкуренция зашкаливает? Сегодня расскажу про российские и СНГ ниши с жирными выплатами и низкой конкуренцией.
Подробнее:https://vk.com/@hacker_timcore-kak-zarabatyvat-na-bag-baunti-v-kazino-kriptobirzhah-starta
#bug_bounty
🎰 Как зарабатывать на баг-баунти в казино, криптобиржах, стартапах и других компаниях? (Российский рынок)
Привет, хакеры! 💰 Устал искать баги на популярных платформах, где конкуренция зашкаливает? Сегодня расскажу про российские и СНГ ниши с жирными выплатами и низкой конкуренцией.
Подробнее:https://vk.com/@hacker_timcore-kak-zarabatyvat-na-bag-baunti-v-kazino-kriptobirzhah-starta
VK
🎰 Как зарабатывать на баг-баунти в казино, криптобиржах, стартапах и других компаниях? (Российский рынок)
Привет, хакеры! 💰 Устал искать баги на популярных платформах, где конкуренция зашкаливает? Сегодня расскажу про российские и СНГ ниши с ж..
#books
#xss
Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯
• Что такое XSS и почему это твой новый любимый вектор атаки
Cross-Site Scripting (XSS) — это уязвимость, которая позволяет злоумышленнику внедрить произвольный JavaScript-код в веб-страницу, просматриваемую другими пользователями. По сути, ты заставляешь чужой браузер выполнять твой код в контексте доверенного сайта. И да, это настолько мощно, насколько звучит.
https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xss-glava-1-vvedenie-dobro-pozhalov
#xss
Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯
• Что такое XSS и почему это твой новый любимый вектор атаки
Cross-Site Scripting (XSS) — это уязвимость, которая позволяет злоумышленнику внедрить произвольный JavaScript-код в веб-страницу, просматриваемую другими пользователями. По сути, ты заставляешь чужой браузер выполнять твой код в контексте доверенного сайта. И да, это настолько мощно, насколько звучит.
https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xss-glava-1-vvedenie-dobro-pozhalov
VK
Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯 • Что такое XSS и почему это твой новый любимый…
Cross-Site Scripting (XSS) — это уязвимость, которая позволяет злоумышленнику внедрить произвольный JavaScript-код в веб-страницу, просма..
#books
#xss
Книга «Все об уязвимости XSS»Глава 1: Введение — Добро пожаловать в мир XSS 🎯 • История: как XSS стал королём веб-уязвимостей
Cross-Site Scripting не появился в один момент как громкая уязвимость с патчем и CVE. Это была эволюция — от безобидных экспериментов с HTML до одной из самых опасных и распространённых веб-угроз. Чтобы понять, почему XSS до сих пор на троне, нужно вернуться назад, в те времена, когда веб был молодым, наивным и совершенно беззащитным.
https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xssglava-1-vvedenie-dobro-pozhalova
#xss
Книга «Все об уязвимости XSS»Глава 1: Введение — Добро пожаловать в мир XSS 🎯 • История: как XSS стал королём веб-уязвимостей
Cross-Site Scripting не появился в один момент как громкая уязвимость с патчем и CVE. Это была эволюция — от безобидных экспериментов с HTML до одной из самых опасных и распространённых веб-угроз. Чтобы понять, почему XSS до сих пор на троне, нужно вернуться назад, в те времена, когда веб был молодым, наивным и совершенно беззащитным.
https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xssglava-1-vvedenie-dobro-pozhalova
VK
Книга «Все об уязвимости XSS»Глава 1: Введение — Добро пожаловать в мир XSS 🎯 • История: как XSS стал королём веб-уязвимостей
Cross-Site Scripting не появился в один момент как громкая уязвимость с патчем и CVE. Это была эволюция — от безобидных экспериментов с H..
#books
#xss
Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯. Почему каждый админ боится слова
Если ты когда-нибудь сидел в переговорке с админом или security-инженером и небрежно бросил фразу “я нашёл XSS, вот пруф: `<script>alert(1)</script>`”, то видел, как у человека меняется выражение лица. Это смесь паники, отрицания и внутреннего крика “опять этот пиздец”. Давай разберёмся, почему этот безобидный на первый взгляд payload вызывает такую реакцию и почему он стал символом целого класса уязвимостей.
https://vk.com/@hacker_timcore-kniga-v-ob-uyazvimosti-xss-glava-1-vvedenie-dobro-pozhalov
#xss
Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯. Почему каждый админ боится слова
<script>alert(1)</script>Если ты когда-нибудь сидел в переговорке с админом или security-инженером и небрежно бросил фразу “я нашёл XSS, вот пруф: `<script>alert(1)</script>`”, то видел, как у человека меняется выражение лица. Это смесь паники, отрицания и внутреннего крика “опять этот пиздец”. Давай разберёмся, почему этот безобидный на первый взгляд payload вызывает такую реакцию и почему он стал символом целого класса уязвимостей.
https://vk.com/@hacker_timcore-kniga-v-ob-uyazvimosti-xss-glava-1-vvedenie-dobro-pozhalov
VK
Книга: «Все об уязвимости XSS». Глава 1: Введение — Добро пожаловать в мир XSS 🎯. Почему каждый админ боится слова `<script>al…
Если ты когда-нибудь сидел в переговорке с админом или security-инженером и небрежно бросил фразу “я нашёл XSS, вот пруф: `<script>..
🔥 Дневник Хакера | День 1: Новая Bug Bounty программа
13 октября 2025
Сегодня приступил к новой Bug Bounty программе — gambling платформа (NDA, название не раскрываю). Выплаты от $100 до $5000 в USDT за найденные уязвимости. Звучит как хороший способ провести неделю, правда? 😎
Разведка (Reconnaissance Phase)
Начал классически — с пассивной разведки. Запустил subfinder и amass для поиска субдоменов. Результат немного разочаровал — минимальная инфраструктура видна извне. Но это нормально, многие компании держат attack surface минималистичной.
Первая проблема: DNS resolver на VM лёг. Пришлось фиксить
Вторая проблема: Гео-блокировка. Таргет просто не отвечал из моей локации. Connection timeout при попытке curl. Решение — смена IP через VPN. После этого всё заработало. Интересный момент — значит у них есть compliance требования по регионам.
Первые находки
🎯 Tech Stack:
• Cloudflare WAF (ASN 13335) — ожидаемо для gambling индустрии
• Nginx — версия раскрыта в 404 ошибке (уже потенциальная информационная утечка)
• Vue.js/Vite SPA на фронте
• Интеграции: мессенджер, live chat, аналитика, метрики
🔍 Wayback Machine:
Собрал исторические URL через
/referal-login/{код}/
/bonus_{название}/
Быстрый тест показал, что referral endpoint принимает ЛЮБОЙ payload с HTTP 200:
/referal-login/TESTPAYLOAD/ → 200 OK
/referal-login/../admin/ → 200 OK
/referal-login/test'OR'1'='1/ → 200 OK
Нет валидации входных данных = потенциальный XSS, SQLi или Path Traversal. Пока reflection в HTML не подтвердил, но вектор перспективный для углублённого тестирования.
💣 JavaScript Analysis:
Скачал основные JS файлы (4MB каждый — вот это bundle!). Через grep нашёл 10+ API endpoints:
Критичные векторы:
•
•
•
•
Интеграция с мессенджером: обнаружен бот с параметрами в URL — ещё один вектор для исследования на injection атаки.
📌 Найденные токены в клиентском коде:
• Live chat токен
• Analytics site ID
• Tracking IDs
Проверю завтра, можно ли через них получить доступ к чатам, пользовательским данным или аналитике.
План на завтра
Завтра буду тестировать:
1. Auth Bypass — попробую манипулировать параметрами аутентификации через сторонний сервис
2. Bonus Abuse — race condition на создании бонусов
3. IDOR — изменение идентификаторов пользователей в API
4. OAuth CSRF — проверка OAuth flow на отсутствие
5. Referral injection — углублённое тестирование на XSS/SQLi/Path Traversal
Статистика дня
⏱ Времени потрачено: ~2 часа
🔍 Инструменты: subfinder, amass, waybackurls, curl, grep
📂 Собрано данных: 10+ API endpoints, 50+ исторических URL
🎯 Потенциальных векторов: 5 high-priority
Мысли вслух
Gambling платформы — всегда интересная цель. Там где деньги, там всегда найдутся баги в бизнес-логике. Особенно интересует интеграция со сторонними сервисами авторизации — видел много кейсов, где подпись либо не проверялась вообще, либо проверялась криво.
Referral system тоже выглядит подозрительно. Полное отсутствие валидации input’а — это красный флаг размером с Китай. Завтра покопаю глубже с Burp Suite.
Пока что чувствую, что здесь есть минимум 1-2 бага на $750+. Auth bypass через сторонний сервис может потянуть на Critical ($1500-5000), если повезёт с PoC.
Технические детали для себя:
• Гео-блок обходится через VPN (region: EU)
• WAF Cloudflare — нужно готовить обфускацию payload’ов
• SPA архитектура — все endpoints в JS, DevTools обязателен
• Минимальная инфраструктура извне → копать вглубь, а не вширь
Продолжение следует…
💻 Stay tuned for Day 2!
#BugBounty #InfoSec #RedTeam #Pentesting #CyberSecurity #ДневникХакера #Recon
13 октября 2025
Сегодня приступил к новой Bug Bounty программе — gambling платформа (NDA, название не раскрываю). Выплаты от $100 до $5000 в USDT за найденные уязвимости. Звучит как хороший способ провести неделю, правда? 😎
Разведка (Reconnaissance Phase)
Начал классически — с пассивной разведки. Запустил subfinder и amass для поиска субдоменов. Результат немного разочаровал — минимальная инфраструктура видна извне. Но это нормально, многие компании держат attack surface минималистичной.
Первая проблема: DNS resolver на VM лёг. Пришлось фиксить
/etc/resolv.conf и прописывать Google DNS (8.8.8.8). Классика жанра 😅Вторая проблема: Гео-блокировка. Таргет просто не отвечал из моей локации. Connection timeout при попытке curl. Решение — смена IP через VPN. После этого всё заработало. Интересный момент — значит у них есть compliance требования по регионам.
Первые находки
🎯 Tech Stack:
• Cloudflare WAF (ASN 13335) — ожидаемо для gambling индустрии
• Nginx — версия раскрыта в 404 ошибке (уже потенциальная информационная утечка)
• Vue.js/Vite SPA на фронте
• Интеграции: мессенджер, live chat, аналитика, метрики
🔍 Wayback Machine:
Собрал исторические URL через
waybackurls. Нашёл интересные паттерны:/referal-login/{код}/
/bonus_{название}/
Быстрый тест показал, что referral endpoint принимает ЛЮБОЙ payload с HTTP 200:
/referal-login/TESTPAYLOAD/ → 200 OK
/referal-login/../admin/ → 200 OK
/referal-login/test'OR'1'='1/ → 200 OK
Нет валидации входных данных = потенциальный XSS, SQLi или Path Traversal. Пока reflection в HTML не подтвердил, но вектор перспективный для углублённого тестирования.
💣 JavaScript Analysis:
Скачал основные JS файлы (4MB каждый — вот это bundle!). Через grep нашёл 10+ API endpoints:
Критичные векторы:
•
/users/get_me/ — потенциальный IDOR на получение данных пользователей•
/users/login_{service}/ — авторизация через сторонний сервис (высокий риск auth bypass!)•
/bonus_events/create_*_bonuses/ — создание бонусов (business logic bug?)•
/api/social/login/{provider}/ — OAuth всегда интересен для CSRF/redirect атакИнтеграция с мессенджером: обнаружен бот с параметрами в URL — ещё один вектор для исследования на injection атаки.
📌 Найденные токены в клиентском коде:
• Live chat токен
• Analytics site ID
• Tracking IDs
Проверю завтра, можно ли через них получить доступ к чатам, пользовательским данным или аналитике.
План на завтра
Завтра буду тестировать:
1. Auth Bypass — попробую манипулировать параметрами аутентификации через сторонний сервис
2. Bonus Abuse — race condition на создании бонусов
3. IDOR — изменение идентификаторов пользователей в API
4. OAuth CSRF — проверка OAuth flow на отсутствие
state параметра5. Referral injection — углублённое тестирование на XSS/SQLi/Path Traversal
Статистика дня
⏱ Времени потрачено: ~2 часа
🔍 Инструменты: subfinder, amass, waybackurls, curl, grep
📂 Собрано данных: 10+ API endpoints, 50+ исторических URL
🎯 Потенциальных векторов: 5 high-priority
Мысли вслух
Gambling платформы — всегда интересная цель. Там где деньги, там всегда найдутся баги в бизнес-логике. Особенно интересует интеграция со сторонними сервисами авторизации — видел много кейсов, где подпись либо не проверялась вообще, либо проверялась криво.
Referral system тоже выглядит подозрительно. Полное отсутствие валидации input’а — это красный флаг размером с Китай. Завтра покопаю глубже с Burp Suite.
Пока что чувствую, что здесь есть минимум 1-2 бага на $750+. Auth bypass через сторонний сервис может потянуть на Critical ($1500-5000), если повезёт с PoC.
Технические детали для себя:
• Гео-блок обходится через VPN (region: EU)
• WAF Cloudflare — нужно готовить обфускацию payload’ов
• SPA архитектура — все endpoints в JS, DevTools обязателен
• Минимальная инфраструктура извне → копать вглубь, а не вширь
Продолжение следует…
💻 Stay tuned for Day 2!
#BugBounty #InfoSec #RedTeam #Pentesting #CyberSecurity #ДневникХакера #Recon
#hacking
#edr
Невидимый убийца: современные техники обхода EDR и антивирусов
Послушай, братан, если ты думаешь, что антивирусы и EDR — это непробиваемая стена, то сейчас я тебе глаза открою. Современные техники обхода защиты превратились в целое искусство, где хакеры постоянно на шаг впереди защитников. В этой статье я расскажу, как невидимый убийца проникает в системы, обходя все эти модные защитные решения.
Подробнее: https://timcore.ru/2025/10/14/nevidimyj-ubijca-sovremennye-tehniki-obhoda-edr-i-antivirusov/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#edr
Невидимый убийца: современные техники обхода EDR и антивирусов
Послушай, братан, если ты думаешь, что антивирусы и EDR — это непробиваемая стена, то сейчас я тебе глаза открою. Современные техники обхода защиты превратились в целое искусство, где хакеры постоянно на шаг впереди защитников. В этой статье я расскажу, как невидимый убийца проникает в системы, обходя все эти модные защитные решения.
Подробнее: https://timcore.ru/2025/10/14/nevidimyj-ubijca-sovremennye-tehniki-obhoda-edr-i-antivirusov/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Этичный хакинг с Михаилом Тарасовым (Timcore)
Невидимый убийца: современные техники обхода EDR и антивирусов - Этичный хакинг с Михаилом Тарасовым (Timcore)
Послушай, братан, если ты думаешь, что антивирусы и EDR — это непробиваемая стена, то сейчас я тебе глаза открою. Современные техники обхода защиты превратились в целое искусство, где хакеры постоянно на шаг впереди защитников. В этой статье я расскажу, как…
#hacking
#wpa2
#radius
Воздушная тревога: ломаем Wi-Fi от WPA2 до корпоративных сетей с RADIUS
Окей, бро, садись поудобнее — сейчас разберем, как превратить любую Wi-Fi сеть в открытую книгу. От домашнего WPA2 до корпоративных сетей с RADIUS — все это взламывается, нужно только знать правильные инструменты и подходы. В этой статье я покажу тебе весь арсенал: от классического handshake-крэкинга до имперсонации точек доступа и атак на WPA2-Enterprise.
Подробнее: https://timcore.ru/2025/10/14/vozdushnaja-trevoga-lomaem-wi-fi-ot-wpa2-do-korporativnyh-setej-s-radius/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#wpa2
#radius
Воздушная тревога: ломаем Wi-Fi от WPA2 до корпоративных сетей с RADIUS
Окей, бро, садись поудобнее — сейчас разберем, как превратить любую Wi-Fi сеть в открытую книгу. От домашнего WPA2 до корпоративных сетей с RADIUS — все это взламывается, нужно только знать правильные инструменты и подходы. В этой статье я покажу тебе весь арсенал: от классического handshake-крэкинга до имперсонации точек доступа и атак на WPA2-Enterprise.
Подробнее: https://timcore.ru/2025/10/14/vozdushnaja-trevoga-lomaem-wi-fi-ot-wpa2-do-korporativnyh-setej-s-radius/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Этичный хакинг с Михаилом Тарасовым (Timcore)
Воздушная тревога: ломаем Wi-Fi от WPA2 до корпоративных сетей с RADIUS - Этичный хакинг с Михаилом Тарасовым (Timcore)
Окей, бро, садись поудобнее — сейчас разберем, как превратить любую Wi-Fi сеть в открытую книгу. От домашнего WPA2 до корпоративных сетей с RADIUS — все это взламывается, нужно только знать правильные инструменты и подходы. В этой статье я покажу тебе весь…
Здравствуйте, дорогие друзья!
Предоставляю Вашему вниманию новую электронную книгу, которую можно оформить по предзаказу:
🔥 Предзаказ открыт: «Хакинг с помощью искусственного интеллекта» — Edition 2.0
В 2024 году вы читали первую версию. В 2025 году правила игры изменились полностью.
Что произошло за год?
Пока вы изучали базовый deepfake и adversarial attacks, мир ушёл вперёд:
• Автономные AI-агенты теперь самостоятельно ищут уязвимости
• Prompt injection стала новой SQL Injection — только опаснее
• Real-time voice cloning используется для кражи миллионов (реальные кейсы 2024)
• RAG-системы и multimodal AI открыли attack surface, о которых раньше никто не думал
Старое издание устарело через 6 месяцев. Новое — это полная перезагрузка.
Edition 2.0 — это не обновление, это другая книга
300+ страниц практического контента:
• 30 глав вместо 16
• Реальные PoC и код для каждой атаки
• Кейсы 2024-2025: от взлома через GPT-4 до $25M deepfake-мошенничества
• Cheat sheet с 50 prompt injection payload’ами
Чему вы научитесь?
Атаковать:
• Ломать GPT-4, Claude, Gemini через jailbreak’и нового поколения
• Создавать autonomous pentesting agents (GPT + BurpSuite)
• Красть ML-модели через API за $200
• Обходить все корпоративные AI-боты и выливать внутренние данные
• Использовать AI для генерации эксплойтов в реальном времени
Защищать:
• Строить AI Red Team процессы по методологии 2025
• Внедрять guardrails и защиту от prompt injection
• Проводить adversarial training правильно
• Мониторить аномальные запросы к LLM
Зарабатывать:
• Bug bounty для AI-систем: что платят OpenAI, Google, Anthropic
• Как репортить уязвимости в LLM ($10k+ за prompt injection)
• Легальные способы монетизации AI security навыков
Почему это важно именно сейчас?
EU AI Act вступил в силу. GPT-5 на подходе. Автономные агенты уже в production у крупных компаний. Через год эти знания будут стоить в 5 раз дороже — или станут обязательными для выживания в индустрии.
Что внутри, чего не было раньше?
• Часть про autonomous AI agents — как они атакуют и защищаются
• RAG и multimodal атаки — новый фронт войны
• Edge AI и IoT — взлом умных домов через on-device ML
• Supply chain атаки на Hugging Face и MLOps
• Законы и grey zones — что легально, а за что сядешь
• AI vs AI warfare — когда нейросеть атакует нейросеть
Кому это нужно?
• Этичным хакерам, которые хотят быть на передовой
• Bug bounty охотникам, ищущим новые векторы
• Pentester’ам, готовым к AI-эре
• Security инженерам, защищающим корпоративные LLM
• Всем, кто понимает: AI security — это не будущее, это настоящее
💰 Предзаказ: 1100₽ (вместо 1700₽ после релиза)
Что получаете:
• Электронную книгу сразу после релиза
• Все обновления и дополнения бесплатно
• Бонус: эксклюзивные PoC-скрипты, которых нет в книге
Релиз: начало ноября 2025
Предзаказ закроется через 2 недели — или когда наберётся 500 человек.
Это не просто книга. Это оружие для тех, кто понимает: мир AI security только начинается, и кто первым освоит новые техники — тот будет диктовать правила.
Готовы ломать то, что ещё вчера казалось неломаемым?
Содержание книги: https://vk.com/hacker_timcore?w=wall-44038255_10983
Для оформления предзаказа, пишите по контакту: @timcore1
Предоставляю Вашему вниманию новую электронную книгу, которую можно оформить по предзаказу:
🔥 Предзаказ открыт: «Хакинг с помощью искусственного интеллекта» — Edition 2.0
В 2024 году вы читали первую версию. В 2025 году правила игры изменились полностью.
Что произошло за год?
Пока вы изучали базовый deepfake и adversarial attacks, мир ушёл вперёд:
• Автономные AI-агенты теперь самостоятельно ищут уязвимости
• Prompt injection стала новой SQL Injection — только опаснее
• Real-time voice cloning используется для кражи миллионов (реальные кейсы 2024)
• RAG-системы и multimodal AI открыли attack surface, о которых раньше никто не думал
Старое издание устарело через 6 месяцев. Новое — это полная перезагрузка.
Edition 2.0 — это не обновление, это другая книга
300+ страниц практического контента:
• 30 глав вместо 16
• Реальные PoC и код для каждой атаки
• Кейсы 2024-2025: от взлома через GPT-4 до $25M deepfake-мошенничества
• Cheat sheet с 50 prompt injection payload’ами
Чему вы научитесь?
Атаковать:
• Ломать GPT-4, Claude, Gemini через jailbreak’и нового поколения
• Создавать autonomous pentesting agents (GPT + BurpSuite)
• Красть ML-модели через API за $200
• Обходить все корпоративные AI-боты и выливать внутренние данные
• Использовать AI для генерации эксплойтов в реальном времени
Защищать:
• Строить AI Red Team процессы по методологии 2025
• Внедрять guardrails и защиту от prompt injection
• Проводить adversarial training правильно
• Мониторить аномальные запросы к LLM
Зарабатывать:
• Bug bounty для AI-систем: что платят OpenAI, Google, Anthropic
• Как репортить уязвимости в LLM ($10k+ за prompt injection)
• Легальные способы монетизации AI security навыков
Почему это важно именно сейчас?
EU AI Act вступил в силу. GPT-5 на подходе. Автономные агенты уже в production у крупных компаний. Через год эти знания будут стоить в 5 раз дороже — или станут обязательными для выживания в индустрии.
Что внутри, чего не было раньше?
• Часть про autonomous AI agents — как они атакуют и защищаются
• RAG и multimodal атаки — новый фронт войны
• Edge AI и IoT — взлом умных домов через on-device ML
• Supply chain атаки на Hugging Face и MLOps
• Законы и grey zones — что легально, а за что сядешь
• AI vs AI warfare — когда нейросеть атакует нейросеть
Кому это нужно?
• Этичным хакерам, которые хотят быть на передовой
• Bug bounty охотникам, ищущим новые векторы
• Pentester’ам, готовым к AI-эре
• Security инженерам, защищающим корпоративные LLM
• Всем, кто понимает: AI security — это не будущее, это настоящее
💰 Предзаказ: 1100₽ (вместо 1700₽ после релиза)
Что получаете:
• Электронную книгу сразу после релиза
• Все обновления и дополнения бесплатно
• Бонус: эксклюзивные PoC-скрипты, которых нет в книге
Релиз: начало ноября 2025
Предзаказ закроется через 2 недели — или когда наберётся 500 человек.
Это не просто книга. Это оружие для тех, кто понимает: мир AI security только начинается, и кто первым освоит новые техники — тот будет диктовать правила.
Готовы ломать то, что ещё вчера казалось неломаемым?
Содержание книги: https://vk.com/hacker_timcore?w=wall-44038255_10983
Для оформления предзаказа, пишите по контакту: @timcore1
🔥 ДНЕВНИК ХАКЕРА | День 1: Изучаю AI/ML баунти 💰
Сегодня начал смотреть в сторону баунти-программ на AI и ML системы. Тема интересная — нейросети имеют свою специфику в плане безопасности, отличается от классического веб-пентеста 🤖
🎯 Что делал:
Изучил программу одного из крупных вендоров — выплаты до миллиона за критичные находки. В скоупе вся ML-инфраструктура: языковые модели, генеративные сети, чат-боты.
Разобрался с методологией тестирования AI/ML систем:
• OWASP Top 10 for LLM
• Специфика prompt injection
• Adversarial attacks на модели
• Отличия от классических веб-уязвимостей
Потратил время на initial recon — мапил attack surface, анализировал клиентскую часть, смотрел на доступные функции и интеграции.
📚 Инсайты:
Тестирование AI-систем сильно отличается от обычного веб-пентеста. Модели могут “имитировать” выполнение команд или раскрытие данных (галлюцинации), но это не значит реальную уязвимость. Нужна чёткая верификация через технические средства.
Важно понимать правила программы — у многих баунти есть строгие ограничения на disclosure и тестирование production-систем.
🔥 Планы:
Продолжу исследование завтра. Буду тестировать разные векторы с упором на специфику ML-моделей. Тема перспективная, много unexplored territory 🎯
Stay focused! 💻
#bugbounty #security #ai #machinelearning #pentesting #хакердневник
Сегодня начал смотреть в сторону баунти-программ на AI и ML системы. Тема интересная — нейросети имеют свою специфику в плане безопасности, отличается от классического веб-пентеста 🤖
🎯 Что делал:
Изучил программу одного из крупных вендоров — выплаты до миллиона за критичные находки. В скоупе вся ML-инфраструктура: языковые модели, генеративные сети, чат-боты.
Разобрался с методологией тестирования AI/ML систем:
• OWASP Top 10 for LLM
• Специфика prompt injection
• Adversarial attacks на модели
• Отличия от классических веб-уязвимостей
Потратил время на initial recon — мапил attack surface, анализировал клиентскую часть, смотрел на доступные функции и интеграции.
📚 Инсайты:
Тестирование AI-систем сильно отличается от обычного веб-пентеста. Модели могут “имитировать” выполнение команд или раскрытие данных (галлюцинации), но это не значит реальную уязвимость. Нужна чёткая верификация через технические средства.
Важно понимать правила программы — у многих баунти есть строгие ограничения на disclosure и тестирование production-систем.
🔥 Планы:
Продолжу исследование завтра. Буду тестировать разные векторы с упором на специфику ML-моделей. Тема перспективная, много unexplored territory 🎯
Stay focused! 💻
#bugbounty #security #ai #machinelearning #pentesting #хакердневник
Media is too big
VIEW IN TELEGRAM
#blog
#llm
#1 Хакинг LLM
Привет! Сегодня поговорим о хакинге больших языковых моделей — теме, которая становится все более актуальной с каждым днём.
Знаете, когда я впервые начал исследовать безопасность LLM, я был поражён тем, насколько они уязвимы. Эти модели — GPT, Claude, Gemini — выглядят умными и защищёнными, но на самом деле их можно обмануть десятками способов.
#llm
#1 Хакинг LLM
Привет! Сегодня поговорим о хакинге больших языковых моделей — теме, которая становится все более актуальной с каждым днём.
Знаете, когда я впервые начал исследовать безопасность LLM, я был поражён тем, насколько они уязвимы. Эти модели — GPT, Claude, Gemini — выглядят умными и защищёнными, но на самом деле их можно обмануть десятками способов.
Forwarded from Нейро Мастер
#gpt5@timneuro
#geminipro@timneuro
GPT-5 и Gemini 2.5 Pro взяли “золото” на Международной олимпиаде по астрономии и астрофизике
Искусственный интеллект достиг нового исторического рубежа: модели GPT-5 от OpenAI и Gemini 2.5 Pro от Google завоевали золотые медали на престижной Международной олимпиаде по астрономии и астрофизике (IOAA). Это событие знаменует новую эру в развитии ИИ, демонстрируя способность нейросетей решать сложнейшие научные задачи на уровне лучших студентов мира.
Подробнее: https://timneuro.ru/gpt-5-i-gemini-2-5-pro-vzyali-zoloto-na-mezhdunarodnoj-olimpiade-po-astronomii-i-astrofizike/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵️♂️ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#geminipro@timneuro
GPT-5 и Gemini 2.5 Pro взяли “золото” на Международной олимпиаде по астрономии и астрофизике
Искусственный интеллект достиг нового исторического рубежа: модели GPT-5 от OpenAI и Gemini 2.5 Pro от Google завоевали золотые медали на престижной Международной олимпиаде по астрономии и астрофизике (IOAA). Это событие знаменует новую эру в развитии ИИ, демонстрируя способность нейросетей решать сложнейшие научные задачи на уровне лучших студентов мира.
Подробнее: https://timneuro.ru/gpt-5-i-gemini-2-5-pro-vzyali-zoloto-na-mezhdunarodnoj-olimpiade-po-astronomii-i-astrofizike/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵️♂️ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Нейро Мастер
GPT-5 и Gemini 2.5 Pro взяли “золото” на Международной олимпиаде по астрономии и астрофизике — Нейро Мастер
Главная / Блог / GPT-5 и Gemini 2.5 Pro взяли “золото” на Международной олимпиаде по астрономии и астрофизике GPT-5 и Gemini 2.5 Pro взяли “золото”