#bug_bounty
#bug_hunter

Российские площадки для БагХантеров: где белым шляпам делать деньги в 2025

Братан, помнишь времена, когда единственный способ поживиться с багов был через приватные программы да самопальные каналы? Теперь в России полноценная экосистема выросла — три мощные платформы работают, плюс самописные программы у отдельных контор. После 2022 года, когда HackerOne нас кинул, пришлось строить свое. И знаешь что? Получилось неплохо. Выплаты реальные — от копеек до миллионов, компании топовые участвуют, а главное — все легально, без риска статьи 272 УК.

Подробнее: https://timcore.ru/2025/05/23/rossijskie-ploshhadki-dlja-baghanterov-gde-belym-shljapam-delat-dengi-v-2025/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#anonymity
#whatsapp

WhatsApp под рентгеном: приватность или иллюзия?

Бро, раз уж мы с тобой в этом цифровом подполье, давай вскроем WhatsApp как консервную банку и посмотрим, что там за кишки в плане анонимности и приватности. Я — твой параноидальный кореш, и вот как я это вижу…

Подробнее: https://timcore.ru/2025/05/23/whatsapp-pod-rentgenom-privatnost-ili-illjuzija/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#forensics

Жуткие следы: как восстановить удалённые файлы, которые точно не должны были всплыть

Вот тебе шок-контент: кнопка «Удалить» — это не вердикт, а жалкая попытка спрятать грязное бельё под кровать. Пока кто-то засылает файлы в корзину и облегчённо выдыхает, форензик-спец уже натирает руки и готовится к настоящей охоте.

Подробнее: https://timforensics.ru/zhutkie-sledy-kak-vosstanovit-udalyonnye-fajly-kotorye-tochno-ne-dolzhny-byli-vsplyt/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#humor

Почему CVE — это как бывшая? Потому что ты думаешь, что закрыл все дыры, а потом бац — новый эксплойт на GitHub, и ты снова в деле с патчами до утра! Хех, классика, как WAF на коленке.

#bug_bounty
#bug_hunting

Mass Assignment в GraphQL: как сломать API через жирный JSON

GraphQL-эндпоинт на /graphql принимает мутации вроде updateUser(input: {name: "bro"}). Кидаешь в input лишние поля — isAdmin: true, а сервер молча хавает и возвращает 200 OK. Пахнет Mass Assignment, как старый бургер под диваном в подвале.

Подробнее: https://timcourse.ru/mass-assignment-v-graphql-kak-slomat-api-cherez-zhirnyj-json/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

Bypass CORS через Wildcard: как сломать браузерную защиту через звёздочку

API на api.target.com отвечает заголовком Access-Control-Allow-Origin: *. Вместе с этим светится Access-Control-Allow-Credentials: true. Пахнет обходом CORS, как дешёвое пиво на хакерской тусовке.

Подробнее: https://timcourse.ru/bypass-cors-cherez-wildcard-kak-slomat-brauzernuyu-zashhitu-cherez-zvyozdochku/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog

Итак, господа, предзаказ на мою новую книгу: «Пентест из Подвала от Recon до Shell» завершился.

По объему вышла 121 страница текста с кодом, и командами.

К сожалению, кто не успел предзаказать, для тех цена составляет 1500 рублей.

Поверьте - эта книга стоит Вашего внимания.

P.S. Спасибо ребятам, которые делали предзаказ. Вы ускорили выход книги в два раза по времени. :)

#bug_bounty
#bug_hunting

Как я ломал Wildberries — от Recon до RCE

Братан, Wildberries — это не просто маркетплейс, это твой личный полигон для баг-баунти. Их фронт — как твоя бывшая: орёт «403 Forbidden», а внутри пустота и уязвимости. Если зафейлишь, иди спать. Или учи Rust, потому что без боли нет профита.

Подробнее: https://timcourse.ru/kak-ya-lomal-wildberries-ot-recon-do-rce/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#ctf
#tryhackme

TryHackMe как площадка для развития скиллов: глубокий анализ боевой подготовки хакеров

Бро, сел разбирать эту площадку как следует — от AttackBox’а до сертификатов. TryHackMe позиционирует себя как игровая платформа для обучения кибербезопасности, но давай посмотрим, что там на самом деле под капотом. Платформа обслуживает более 4 миллионов пользователей и 700+ корпоративных клиентов, предлагая интерактивные лабы, CTF-челленджи и структурированные пути обучения. Основная фишка — геймификация процесса обучения через очки, бейджи и стрики, что делает скучную теорию более увлекательной. Однако есть и серьёзные технические косяки в архитектуре безопасности платформы, которые мы разберём детально.

Подробнее: https://timcourse.ru/tryhackme-kak-ploshhadka-dlya-razvitiya-skillov-glubokij-analiz-boevoj-podgotovki-hakerov/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog
#ctf

Потихоньку играю в CTF, когда есть время свободное. Сейчас в мировом рейтинге вхожу в топ 1% юзеров, и занимаю 1152 место.

По РФ на 17 месте в рейтинге.

Сегодня первый день после застоя ковырял, с 2021 года.

На данной платформе уже более 4 000 000 пользователей. Да, раскрутился сервис по-серьезному.

#privesc
#linux

Локальный прокаченный PrivEsc под Linux: Секретные Фокусы

Давай к делу, старина:
Шаг первый: Разведка местности
Оглядываемся, проверяем, что у нас за палец в носу торчит. Чекнем uname -a, id, lsb_release -a, команды которые покажут нам, что за машинка под нашими пальцами.

Подробнее: https://timcore.ru/2025/05/26/lokalnyj-prokachennyj-privesc-pod-linux-sekretnye-fokusy/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#pentest
#burp_suite

Burp Suite, как сверхоружие пентестера: техники и плагины, о которых ты не знал

Сразу к сути, старик. Burp — это не просто прокси, это наш швейцарский нож для резки веба. Я покажу, как выжать максимум из Intruder, Repeater, как обойти WAF с плагинами и настроить туннели, чтобы нас не засекли.

Подробнее: https://timcore.ru/2025/05/26/burp-suite-kak-sverhoruzhie-pentestera-tehniki-i-plaginy-o-kotoryh-ty-ne-znal/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#rce
#exploit
#php
#python

RCE через десериализацию: Код из данных в Python и PHP

Десериализация — это процесс превращения данных (например, строк или байтов) обратно в объекты. Проблема в том, что если пользовательские данные десериализуются без фильтрации, можно подсунуть зловредный объект и выполнить произвольный код (Remote Code Execution, RCE). В 2025 году это всё ещё ахиллесова пята многих приложений.

Подробнее: https://timrobot.ru/rce-cherez-deserializacziyu-kod-iz-dannyh-v-python-i-php/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#rop
#exploit
#iot

ROP-цепочки на ARM: взламываем IoT без ASLR

Большинство IoT-устройств (роутеры, камеры, умные колонки) работают на архитектуре ARM. В 2025 году многие из них всё ещё не используют ASLR (Address Space Layout Randomization), что делает адреса памяти предсказуемыми. Это идеальная мишень для бинарных эксплойтов, особенно через ROP (Return-Oriented Programming) и переполнение буфера.

Подробнее: https://timrobot.ru/rop-czepochki-na-arm-vzlamyvaem-iot-bez-aslr/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

[Мои разработки] Vulnerable Web App - Учебное приложение (v3.0)

Предоставляю Вашему вниманию веб-приложение для изучения типичных уязвимостей веб-безопасности. Только для образовательных целей!

Vulnerable Web App - это образовательная платформа для изучения веб-уязвимостей, разработанная для специалистов по информационной безопасности, студентов и всех, кто интересуется веб-безопасностью. Проект представляет собой набор интерактивных лабораторий, которые позволяют пользователям практиковать обнаружение и эксплуатацию различных уязвимостей в безопасной среде.

🚨 Предупреждение

Это приложение содержит намеренные уязвимости и должно использоваться только в учебных целях в изолированной среде. Не размещайте его на публичных серверах!

📋 Содержание

Приложение демонстрирует следующие уязвимости:

1. Уязвимости аутентификации (SQL-инъекции, слабые пароли)
2. Файловые уязвимости (Path Traversal, небезопасная загрузка)
3. API уязвимости (недостаточная аутентификация, Mass Assignment)
4. Cross-Site Scripting (XSS)
- Reflected XSS
- Stored XSS
- DOM-based XSS
5. Cross-Site Request Forgery (CSRF)
6. Server-Side Request Forgery (SSRF)
7. Нарушение контроля доступа (IDOR) ⭐️ новое
8. JWT (JSON Web Token) уязвимости ⭐️ новое
9. XXE (XML External Entity) инъекции ⭐️ новое
10. NoSQL инъекции ⭐️ новое

🔄 Что нового в версии 3.0

В третье обновление добавлены 4 новых типа уязвимостей:

- IDOR (Insecure Direct Object References): изучите, как злоумышленники могут получать доступ к чужим данным путём прямого указания идентификаторов объектов
- JWT уязвимости: исследуйте проблемы безопасности с JSON Web Token, включая подделку токенов и использование "none" алгоритма
- XXE инъекции: узнайте, как злоумышленники могут использовать XML-парсеры для чтения системных файлов и выполнения других атак
- NoSQL инъекции: изучите уязвимости, специфичные для нереляционных баз данных, в частности MongoDB

Основные обновления:

- Добавлена новая лаборатория по NoSQL-инъекциям
- Четыре уровня сложности заданий для изучения уязвимостей MongoDB
- Практические задания по обходу аутентификации, манипуляции операторами и инъекциям в агрегационный конвейер
- Подробные решения с примерами кода в едином стиле

- Улучшенный интерфейс всех лабораторий
- Переработан дизайн раздела решений в хакерском стиле
- Улучшена навигация между заданиями
- Добавлены визуальные индикаторы прогресса

- Оптимизация и исправления
- Исправлены ошибки в работе интерактивных элементов
- Оптимизирована загрузка ресурсов

📚 Доступные лаборатории
В текущей версии приложения доступны следующие лаборатории:

1. XSS (Cross-Site Scripting) - изучение различных типов XSS-уязвимостей, включая Reflected, Stored и DOM-based XSS
2. SQL Инъекции - практика эксплуатации уязвимостей SQL-инъекций, обход аутентификации и извлечение данных
3. IDOR (Insecure Direct Object References) - изучение уязвимостей контроля доступа
4. JWT (JSON Web Tokens) - исследование уязвимостей в механизмах аутентификации на основе токенов
5. XXE (XML External Entity) - практика эксплуатации XXE-уязвимостей
6. NoSQL Инъекции - НОВОЕ! Изучение уязвимостей в MongoDB и других NoSQL базах данных

Цена скриптов: 5000 руб. Все последующие обновления бесплатны, после приобретения.

Для заказа, пишите по контакту: @timcore1

#forensics
#osint

Охота на цифровых призраков: трекинг подозрительных аккаунтов в Telegram

Вступление: Telegram — не крепость, а решето

Telegram любят за «секретность», но давай начистоту: даже в этой обители приватности люди оставляют цифровые отпечатки, как слоны в посудной лавке. Хочешь найти улики или понять, кто за подозрительным аккаунтом? Тогда пристегнись, сейчас будет мастер-класс по OSINT с налётом форензики.

Подробнее: https://timforensics.ru/ohota-na-czifrovyh-prizrakov-treking-podozritelnyh-akkauntov-v-telegram/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#darknet

Даркнет для гуманитариев: как не стать жертвой и остаться наблюдателем

Вступление: Даркнет — не сказка, но и не ад

Давай сразу расставим точки над i: даркнет — это не сплошной криминал, как любят пугать в новостях, но и не романтическая зона «свободы», как думают некоторые. Это просто скрытая часть интернета, доступная через специальные протоколы (в основном Tor). Здесь есть всё: от форумов по кибербезопасности до рынков, где торгуют… скажем так, не совсем законным. Наша цель — понять, как заглянуть туда с любопытством учёного, а не с билетом в один конец.

Подробнее: https://timforensics.ru/darknet-dlya-gumanitariev-kak-ne-stat-zhertvoj-i-ostatsya-nablyudatelem/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

Race Condition на оплате: как купить Ferrari за 1 рубль

Эндпоинт /api/payment/process принимает amount и orderId. Запросы обрабатываются асинхронно, и баланс обновляется с задержкой. Пахнет Race Condition, как потный спринт на DefCon за последним стикером.

Подробнее: https://timcourse.ru/race-condition-na-oplate-kak-kupit-ferrari-za-1-rubl/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

Кража сессий через забытые subdomain: как угнать куки через пыльный DNS

Основной домен target.com крутится на HTTPS, куки с флагом Secure. Но забытый субдомен oldblog.target.com висит на HTTP, а куки всё ещё шлются с Domain=target.com. Пахнет кражей сессий, как забытый пароль на стикере в офисе.

Подробнее: https://timcourse.ru/krazha-sessij-cherez-zabytye-subdomain-kak-ugnat-kuki-cherez-pylnyj-dns/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

«Яндекс» увеличивает награды в программе «Охота за ошибками» до 3 млн рублей

Компания «Яндекс» объявила о значительном увеличении вознаграждений для участников программы «Охота за ошибками». Теперь максимальная сумма за обнаружение критических уязвимостей в ключевых сервисах достигает 3 млн рублей. Это решение направлено на усиление безопасности продуктов компании и привлечение большего числа «белых хакеров» к поиску слабых мест в цифровой инфраструктуре.

Какие сервисы затронуты?

Повышенные выплаты касаются уязвимостей, выявленных в таких сервисах, как:

«Яндекс Почта»
«Яндекс ID»
Yandex Cloud
Мобильные приложения компании.

Особое внимание уделяется ошибкам, связанным с удаленным выполнением кода и атаками на виртуализацию, например, Virtual Machine escape в облачных сервисах. За подобные находки участники программы могут получить максимальное вознаграждение.

Новые условия программы

Размер выплат теперь зависит от типа обнаруженной уязвимости. Например, критические баги в Yandex Cloud, связанные с безопасностью данных или инфраструктуры, оцениваются до 3 млн рублей. Для мобильных приложений верхняя граница награды составляет 1 млн рублей .

«Мы удвоили максимальное вознаграждение, чтобы мотивировать экспертов по безопасности активнее участвовать в программе», — отметили в компании.

Зачем это нужно?

Программа «Охота за ошибками» позволяет «Яндексу» оперативно устранять угрозы, привлекая независимых исследователей. Это стандартная практика для IT-компаний, но рост гонораров до 3 млн рублей выделяет «Яндекс» на фоне российских игроков.

Таким образом, компания не только повышает уровень защиты своих сервисов, но и поддерживает сообщество этичных хакеров, превращая поиск уязвимостей в профессию с высоким доходом.