Один день из жизни баг-хантера. Погружение в программу Минцифры. 🔥

Всем привет! Сегодня был тот самый день, когда чувствуешь себя настоящим кибер-детективом. Решил поучаствовать в bug bounty программе от Минцифры на платформе Standoff 365, и это оказалось то ещё приключение.

Сначала: Секретный пропуск 🕵‍♂ Первое, что бросилось в глаза — требование отправлять с каждым запросом уникальный HTTP-заголовок. Эдакий VIP-пропуск для исследователя. Сразу чувствуешь серьёзность программы. Никаких случайных сканов, только целенаправленная работа.

Битва с окружением: Когда твой Mac против тебя 💻 Казалось бы, что может быть проще, чем запустить пару утилит? Но моя связка macOS + UTM + Parrot Security решила устроить мне настоящий CTF. Часы ушли на то, чтобы заставить Go правильно компилировать нужные инструменты (`subfinder`, httpx, nuclei`). Проклятая ошибка `cgo с отсутствующим sys/cdefs.h преследовала меня, как навязчивый баг. Решилось всё только хардкорным сносом системного Go и установкой свежей версии вручную, а добил я проблему волшебным CGO_ENABLED=0. Классика!

Первый запуск: Есть контакт! 🚀 И вот, спустя N часов отладки, мой автоматизированный конвейер наконец-то завёлся. Запустил nuclei на главную цель do.gosuslugi.ru с лимитом в 30 запросов/сек, как того требуют правила. Сканирование шло почти час, WAF явно сопротивлялся и тормозил запросы, но…

Зацепки: Маленькая победа 🎯 И вот оно — Matched: 1! Сердце замерло в ожидании RCE, но нет. Находка оказалась информационной — устаревший заголовок X-XSS-Protection. Конечно, это не критическая уязвимость, но это зацепка. Это намёк от системы, что админы могли упустить что-то ещё.

Вишенка на торте — под конец скана сайт просто перестал у меня открываться. Бесконечная загрузка. Похоже, WAF всё-таки обиделся на мою активность и вежливо попросил мой IP на выход. Что ж, это тоже результат! Значит, меня заметили.

Что дальше? Работа только начинается. Автоматика своё дело сделала, теперь время для ручной работы и моего любимого Burp Suite. Зацепки есть, идеи тоже. Будем копать глубже!

#bugbounty #hacking #cybersecurity #pentest #infosec #standoff365 #минцифры #it #хакер@timcore_hacking

#bug_bounty
#xss

3,000$ Bug Bounty Rewards from Microsoft Forms: Reflected XSS Vulnerability

https://www.youtube.com/watch?v=pjbaZYEYQV8

Дневник хакера: Два дня в цифровых окопах: мой штурм SSO! 💥

Всем салют! 🤘 Решил поделиться, чем занимался последние 48 часов. Ушёл с головой в пентест SSO одного крупного сервиса. Думал, будет лёгкая прогулка? Ага, сейчас.

День 1: Разведка и лобовая атака 🕵️‍♂️
Начал с базы: прогнал ffuf и dirsearch по всем сабдоменам. Нашёл жирный эндпоинт, который просто умолял проверить его на XSS. 😈
Зарядил свой любимый Burp Intruder, скормил ему словари от Jhaddix и дал огня. Но WAF там оказался не для красоты — все мои пейлоады отлетали, как от стенки горох. Длина ответов была одинаковой, что говорило о хорошей фильтрации. 🧱
Вывод: С Reflected XSS тут ловить нечего.

День 2: Поворот на Open Redirect 🔄
Раз код не засунуть, решил попробовать увести юзера. Нашёл два эндпоинта, которые отвечали за редиректы:
1. /push?retpath=
2. /api/auth/web/autologin-vk?redirectUrl=
Протестировал все свои коронные трюки: //evil.com, ***.ru@evil.com, двойное URL-кодирование. Но их бэкенд оказался на стрёме. На каждый мой выпад сервер отвечал 302 Found, но редиректил на свою же страницу. Валидация домена на месте. 👨‍💻

Итог: Я исключил два мёртвых вектора и собрал кучу инфы об их защите. Это не поражение, это ценные разведданные! 💪

План на завтра: Хватит этих детских игр. Пора штурмовать цитадель — основной OAuth 2.0 эндпоинт. Буду ломать логику redirect_uri, мучать scope и client_id. Настоящий хардкор только начинается! 💣

Stay tuned! Завтра будет интересно. 😎

#ДневникХакера #BugBounty #Pentest #RedTeam #Hacking #OAuth #OpenRedirect #0day

📝Дневник хакера | 08.10.2025

Сегодня был продуктивный день в багхантинге 🔥💰

Целый день посвятил пентесту одной крупной системы (из-за NDA не могу раскрывать детали — кто понял, тот понял 😏). Скажу только, что цель была серьёзная, а поверхность атаки — огромная.

Что делал:
Reconnaissance 🔍 Начал с классики — nmap, subfinder, проверка robots.txt и sitemap. Собрал инфу о технологиях, нашёл несколько интересных API endpoints. Админы молодцы, инфраструктуру прикрыли неплохо.

Information Disclosure ⚙ Пытался найти .env, .git, backup-файлы — все стандартные векторы. Результат: всё закрыто. Directory listing отключен, конфиги спрятаны. Зато проверил Bitrix CMS — искал SQL Injection, XSS, но защита на высоте 👍

API Testing 💻 Перешёл на тестирование API. Тут было интереснее! Нашёл пару багов:

1⃣ Missing Authentication на критичном API endpoint (MEDIUM severity, CVSS 5.3) — детали по NDA, но суть в том, что доступ к чувствительным данным был без авторизации. Написал подробный PoC, отправил репорт. Потенциальная выплата: 50,000 - 150,000 ₽ 💵

2⃣ Missing Security Headers на главном домене (LOW-MEDIUM severity, CVSS 4.3) — отсутствуют все критичные HTTP-заголовки (X-Frame-Options, CSP, HSTS и т.д.). Это открывает дверь для Clickjacking, MIME-sniffing и других атак на клиентскую сторону. Потенциальная выплата: 30,000 - 100,000 ₽ 💸

Итого за день потенциально: 80,000 - 250,000 ₽! 🤑🎯

Результат дня 📊
✅ 2 уязвимости найдено и отправлено
✅ Несколько векторов закрыто (хорошо пропатчено)
✅ Составил план на завтра — буду копать глубже в поддомены

Что понял:
Даже если с первого взгляда всё выглядит защищённым, всегда есть места, где можно найти лазейку. Главное — методичность и терпение. А ещё curl и grep — мои лучшие друзья 💪😎

P.S.
Завтра продолжу — планирую Certificate Transparency для поиска скрытых поддоменов и тесты на CORS misconfiguration. Если найду что-то интересное — обязательно расскажу (насколько позволит NDA 🤫).

Bug hunting — это не про везение, это про упорство! И да, иногда это ещё и про хорошие выплаты 😉💰

#bugbounty #cybersecurity #pentesting #hacking #infosec #redteam #bugbountyhunter #дневникхакера #bugbountytips

#hacking
#edr

Невидимый убийца: современные техники обхода EDR и антивирусов

Послушай, братан, если ты думаешь, что антивирусы и EDR — это непробиваемая стена, то сейчас я тебе глаза открою. Современные техники обхода защиты превратились в целое искусство, где хакеры постоянно на шаг впереди защитников. В этой статье я расскажу, как невидимый убийца проникает в системы, обходя все эти модные защитные решения.

Подробнее: https://timcore.ru/2025/10/14/nevidimyj-ubijca-sovremennye-tehniki-obhoda-edr-i-antivirusov/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#hacking
#wpa2
#radius

Воздушная тревога: ломаем Wi-Fi от WPA2 до корпоративных сетей с RADIUS

Окей, бро, садись поудобнее — сейчас разберем, как превратить любую Wi-Fi сеть в открытую книгу. От домашнего WPA2 до корпоративных сетей с RADIUS — все это взламывается, нужно только знать правильные инструменты и подходы. В этой статье я покажу тебе весь арсенал: от классического handshake-крэкинга до имперсонации точек доступа и атак на WPA2-Enterprise.

Подробнее: https://timcore.ru/2025/10/14/vozdushnaja-trevoga-lomaem-wi-fi-ot-wpa2-do-korporativnyh-setej-s-radius/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog
#llm
#hacking

#3 Этика взлома AI где грань между исследованием и злом?

Привет, хакеры!

Сегодня поговорим о теме, которая становится горячее расплавленного кремния — этика взлома искусственного интеллекта. Мы, как специалисты по безопасности, привыкли к миру с относительно понятными правилами. Есть белые шляпы, есть черные. Есть скоуп в багбаунти, есть правила ответственного разглашения. Нашел RCE — молодец, вот тебе награда. Но с появлением мощных языковых моделей типа GPT и их аналогов мы вступаем в серую зону, где границы морали размыты, как акварельный рисунок под дождем.

#tools
#bug_bounty

[Мои разработки] Инструмент для Баг-Хантинга - BugHunter v1.0.2

🎯 BugHunter v1.0.2 — крупное обновление инструмента для Bug Bounty

Рад представить новую версию моего автоматизированного сканера уязвимостей! За эту версию реализовал 10 улучшений.

🆕 Новые модули:

1. CORS Misconfiguration Detection 🔒
Самое важное дополнение! Детектирует опасные конфигурации CORS:
• Wildcard origins с credentials
• Null origin bypass (через iframe)
• Arbitrary origin reflection → CVSS 9.1 (Critical!)
• Pre/post domain bypass
• 6 комплексных security тестов

Пример находки:

Origin: https://evil.com
Access-Control-Allow-Origin: https://evil.com ❌
Access-Control-Allow-Credentials: true
→ Можно украсть любые данные пользователя!

2. IDOR Detection 🔑
Автоматически находит Insecure Direct Object References:
• Определяет ID параметры (id, user_id, account_id, etc.)
• Тестирует 5 техник манипуляции
• Умный анализ ответов
• Выключен по умолчанию для безопасности

3. Open Redirect 🔀
• 25+ bypass payloads
• Double encoding, protocol confusion
• Data URI, null byte injection

📊 UX улучшения:

Progress Bars — теперь видно прогресс в реальном времени:

🔄 Module 3/7: CORS Scanner ████████░░ 43% • 00:45 • 01:12

--dry-run — просмотр что будет сканироваться без выполнения
--resume — продолжение прерванного сканирования
Auto-save — автосохранение при Ctrl+C

📈 Статистика:

Модулей: 4 → 7 (+75%)
Тестов: 60 → 110 (+83%)
Код: 2000+ новых строк
Документация: 7 новых гайдов

💻 Использование:

# Базовое сканирование
bughunter scan https://api.example.com

# Только CORS тестирование
bughunter scan https://api.example.com --modules cors

# С прогресс-баром и resume
bughunter scan https://example.com --resume scan_state.json

Технологии:
• Python 3.11+ (async/await)
• Rich для прогресс-баров
• aiohttp для async HTTP
• Production-ready архитектура


#bugbounty #appsec #python #opensource #cybersecurity #infosec #pentesting #hacking

#ssrf
#hacking

SSRF на максималках: от чтения /etc/passwd до захвата облака

Здравствуйте, дорогие друзья!

Server-Side Request Forgery — это когда ты заставляешь сервер делать запросы от своего имени. Звучит просто? Да, но именно эта уязвимость позволяет творить настоящую магию: от чтения локальных файлов до полного захвата облачной инфраструктуры.

Подробнее: https://timcore.ru/2025/11/09/ssrf-na-maksimalkah-ot-chtenija-etc-passwd-do-zahvata-oblaka/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.