Forwarded from Школа программирования и этичного хакинга «Timcore»
#bug_bounty
#bug_hunting
SSO misconfig в SAML — IDP принимает твой кастомный issuer → логин без пароля
Ну что, брат, сегодня разбираем, как через SAML-SSO заходить в админки без пароля. Это когда DevOps настроил “Single Sign-On” за 15 минут по гайду со StackOverflow, а проверку подписи забыл. Результат — ты Бог с curl’ом.
Подробнее: https://timcourse.ru/sso-misconfig-v-saml-idp-prinimaet-tvoj-kastomnyj-issuer-%e2%86%92-login-bez-parolya/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#bug_hunting
SSO misconfig в SAML — IDP принимает твой кастомный issuer → логин без пароля
Ну что, брат, сегодня разбираем, как через SAML-SSO заходить в админки без пароля. Это когда DevOps настроил “Single Sign-On” за 15 минут по гайду со StackOverflow, а проверку подписи забыл. Результат — ты Бог с curl’ом.
Подробнее: https://timcourse.ru/sso-misconfig-v-saml-idp-prinimaet-tvoj-kastomnyj-issuer-%e2%86%92-login-bez-parolya/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Авторские курсы Михаила Тарасова
SSO misconfig в SAML — IDP принимает твой кастомный issuer → логин без пароля — Авторские курсы Михаила Тарасова
Ну что, брат, сегодня разбираем, как через SAML-SSO заходить в админки без пароля. Это когда DevOps настроил “Single Sign-On” за 15 минут по гайду со StackOverflow, а проверку подписи забыл. Результат — ты Бог с curl’ом.
Здравствуйте, дорогие друзья!
Электронная книга: «Хакинг с помощью искусственного интеллекта»: Полностью переработанное издание - готова!
Твой
Пока ты ищешь XSS, автономный AI-агент уже получил RCE через уязвимость в ML-пайплайне. Пока ты сканируешь порты, deepfake-копия CEO уже выводит деньги со счетов.
Мир разделился на тех, кто использует AI для атаки, и тех, кого взломают с его помощью.
«Хакинг с помощью искусственного интеллекта»” — это твой арсенал на 2025 год.
742 страницы. Ноль теории для новичков. Только концентрированная практика, которая ставит тебя на шаг впереди.
С этой книгой ты научишься:
• Ломать модели: Проводить jailbreak GPT-5. Извлекать системные промпты из Claude. Отравлять датасеты. Обходить распознавание лиц с помощью adversarial-патчей и атаковать Tesla Autopilot.
• Создавать оружие: Писать автономных пентест-агентов, интегрируя GPT с BurpSuite. Генерировать shellcode с помощью LLM. Взламывать пароли, используя PassGAN.
• Атаковать инфраструктуру: Красть ML-модели через API, потратив $200. Находить бэкдоры в MLOps-пайплайнах и моделях с Hugging Face. Захватывать умные дома через voice injection.
• Зарабатывать: Превращать prompt injection в чек на $10,000 от Google, OpenAI или Anthropic. Внутри — рабочие методики, цели и примеры успешных репортов.
Это не для всех.
Это не учебник по Python. Это руководство по offensive AI. Для пентестеров, red team’еров и багхантеров, которые хотят атаковать, а не защищаться от вчерашних угроз.
Цена: 2000 рублей.
Стоимость одного ужина. Или одна десятая минимальной выплаты за уязвимость в AI-системе. Это инвестиция, которая окупится с первого же найденного бага или сэкономленных 100 часов ручной работы.
Содержание и покупка по ссылке: https://timcourse.ru/courses/elektronnaya-kniga-haking-s-pomoshyu-iskusstvennogo-intellekta-polnostyu-pererabotannoe-izdanie/
Также можете написать в личные сообщения паблика, перейдя по ссылке на товар: https://vk.com/market/product/elektronnaya-kniga-khaking-s-pomoschyu-iskusstvennogo-intellekta-polnostyu-pererabotanno-44038255-12507287
Либо по контакту в телеграм: @timcore1
Электронная книга: «Хакинг с помощью искусственного интеллекта»: Полностью переработанное издание - готова!
Твой
sqlmap устарел.Пока ты ищешь XSS, автономный AI-агент уже получил RCE через уязвимость в ML-пайплайне. Пока ты сканируешь порты, deepfake-копия CEO уже выводит деньги со счетов.
Мир разделился на тех, кто использует AI для атаки, и тех, кого взломают с его помощью.
«Хакинг с помощью искусственного интеллекта»” — это твой арсенал на 2025 год.
742 страницы. Ноль теории для новичков. Только концентрированная практика, которая ставит тебя на шаг впереди.
С этой книгой ты научишься:
• Ломать модели: Проводить jailbreak GPT-5. Извлекать системные промпты из Claude. Отравлять датасеты. Обходить распознавание лиц с помощью adversarial-патчей и атаковать Tesla Autopilot.
• Создавать оружие: Писать автономных пентест-агентов, интегрируя GPT с BurpSuite. Генерировать shellcode с помощью LLM. Взламывать пароли, используя PassGAN.
• Атаковать инфраструктуру: Красть ML-модели через API, потратив $200. Находить бэкдоры в MLOps-пайплайнах и моделях с Hugging Face. Захватывать умные дома через voice injection.
• Зарабатывать: Превращать prompt injection в чек на $10,000 от Google, OpenAI или Anthropic. Внутри — рабочие методики, цели и примеры успешных репортов.
Это не для всех.
Это не учебник по Python. Это руководство по offensive AI. Для пентестеров, red team’еров и багхантеров, которые хотят атаковать, а не защищаться от вчерашних угроз.
Цена: 2000 рублей.
Стоимость одного ужина. Или одна десятая минимальной выплаты за уязвимость в AI-системе. Это инвестиция, которая окупится с первого же найденного бага или сэкономленных 100 часов ручной работы.
Содержание и покупка по ссылке: https://timcourse.ru/courses/elektronnaya-kniga-haking-s-pomoshyu-iskusstvennogo-intellekta-polnostyu-pererabotannoe-izdanie/
Также можете написать в личные сообщения паблика, перейдя по ссылке на товар: https://vk.com/market/product/elektronnaya-kniga-khaking-s-pomoschyu-iskusstvennogo-intellekta-polnostyu-pererabotanno-44038255-12507287
Либо по контакту в телеграм: @timcore1
🔥 Дневник хакера: Автосканеры — это ловушка
23.10.2025
Написал свой сканер уязвимостей на Python. Запустил на таргете из BB программы 🎯
Результат сканера:
✅ 15 уязвимостей
✅ 8x CRITICAL (CVSS 9.1)
✅ Потенциал: $5000-15000
Я уже праздновал… пока не проверил вручную 😅
curl -s https://target/.env | head -3
# <!doctype html>
# <html lang="ru">
Реальность: ВСЕ “уязвимости” = одна HTML страница! 🤦♂️
Сайт на Vue.js/Vite возвращает 200 OK для любого пути (SPA routing). Мой сканер проверял только status код, без анализа контента.
Итого: 15 “критичных” находок → 0 реальных багов → $0
Уроки 📚
❌ HTTP 200 ≠ уязвимость
❌ Автосканеры без validation = мусор
✅ Content-Type + hash проверка обязательны
✅ В BB платят за качество, не за количество
Что реально работает 💪
Ручной анализ JS (1.3MB) → нашёл 10 API endpoints:
•
•
•
•
Прогноз: $2000-12000 если найду 2-3 бага завтра через Burp
Вывод
Автосканеры — это 10% работы
Реальные баги — это 90% мозгов + Burp Suite
Завтра иду в ручную атаку 🎯
#BugBounty #InfoSec #RedTeam #Pentesting
23.10.2025
Написал свой сканер уязвимостей на Python. Запустил на таргете из BB программы 🎯
Результат сканера:
✅ 15 уязвимостей
✅ 8x CRITICAL (CVSS 9.1)
✅ Потенциал: $5000-15000
Я уже праздновал… пока не проверил вручную 😅
curl -s https://target/.env | head -3
# <!doctype html>
# <html lang="ru">
Реальность: ВСЕ “уязвимости” = одна HTML страница! 🤦♂️
Сайт на Vue.js/Vite возвращает 200 OK для любого пути (SPA routing). Мой сканер проверял только status код, без анализа контента.
Итого: 15 “критичных” находок → 0 реальных багов → $0
Уроки 📚
❌ HTTP 200 ≠ уязвимость
❌ Автосканеры без validation = мусор
✅ Content-Type + hash проверка обязательны
✅ В BB платят за качество, не за количество
Что реально работает 💪
Ручной анализ JS (1.3MB) → нашёл 10 API endpoints:
•
/users/login_tg_user/ 🔥 Auth bypass вектор•
/bonus_events/create_subscribe_bonuses/ 💰 Race condition•
/users/get_me/ 👤 IDOR potential•
/api/social/login/google-oauth2/ 🔐 OAuth CSRFПрогноз: $2000-12000 если найду 2-3 бага завтра через Burp
Вывод
Автосканеры — это 10% работы
Реальные баги — это 90% мозгов + Burp Suite
Завтра иду в ручную атаку 🎯
#BugBounty #InfoSec #RedTeam #Pentesting
#blog
#bug_bounty
Плюсы успешного участия в Баг-Баунти программах на специализированных платформах заключается в том, что существуют приватные программы, в которых конкуренция значительно ниже.
#bug_bounty
Плюсы успешного участия в Баг-Баунти программах на специализированных платформах заключается в том, что существуют приватные программы, в которых конкуренция значительно ниже.
Forwarded from Разработка роботов и эксплойтов. Михаил Тарасов
#social_engineering
#python
Социальная инженерия + Automation: Когда хакер встречает Python
Представь: ты нашел идеальную уязвимость в человеческом факторе. Но вручную обрабатывать тысячи целей — это как майнить биткоин на калькуляторе. Тут на сцену выходит автоматизация — твой личный киборг для social engineering атак.
Подробнее: https://timrobot.ru/soczialnaya-inzheneriya-automation-kogda-haker-vstrechaet-python/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#python
Социальная инженерия + Automation: Когда хакер встречает Python
Представь: ты нашел идеальную уязвимость в человеческом факторе. Но вручную обрабатывать тысячи целей — это как майнить биткоин на калькуляторе. Тут на сцену выходит автоматизация — твой личный киборг для social engineering атак.
Подробнее: https://timrobot.ru/soczialnaya-inzheneriya-automation-kogda-haker-vstrechaet-python/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Разработка роботов и эксплойтов
Социальная инженерия + Automation: Когда хакер встречает Python - Разработка роботов и эксплойтов
Представь: ты нашел идеальную уязвимость в человеческом факторе. Но вручную обрабатывать тысячи целей — это как майнить биткоин на калькуляторе. Тут на сцену выходит автоматизация — твой личный киборг для social engineering атак. Зачем автоматизировать социальную…
Forwarded from Разработка роботов и эксплойтов. Михаил Тарасов
#social_engineering
#voice_spoofing
Голосовой спуфинг: создаём фейковые звонки для обмана сотрудников
Представь: секретарша компании получает звонок от “директора”. Голос один в один, интонации знакомые, даже манера речи та же. Она переводит $50k на “срочный контракт”. Только вот директор в это время был на рыбалке без телефона. Добро пожаловать в эру voice spoofing — когда технология клонирования голоса встречается с социальной инженерией.
Подробнее: https://timrobot.ru/golosovoj-spufing-sozdayom-fejkovye-zvonki-dlya-obmana-sotrudnikov/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
#voice_spoofing
Голосовой спуфинг: создаём фейковые звонки для обмана сотрудников
Представь: секретарша компании получает звонок от “директора”. Голос один в один, интонации знакомые, даже манера речи та же. Она переводит $50k на “срочный контракт”. Только вот директор в это время был на рыбалке без телефона. Добро пожаловать в эру voice spoofing — когда технология клонирования голоса встречается с социальной инженерией.
Подробнее: https://timrobot.ru/golosovoj-spufing-sozdayom-fejkovye-zvonki-dlya-obmana-sotrudnikov/
Другие наши проекты:
https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/
👨💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).
Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance
Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.
Разработка роботов и эксплойтов
Голосовой спуфинг: создаём фейковые звонки для обмана сотрудников - Разработка роботов и эксплойтов
Представь: секретарша компании получает звонок от “директора”. Голос один в один, интонации знакомые, даже манера речи та же. Она переводит $50k на “срочный контракт”. Только вот директор в это время был на рыбалке без телефона. Добро пожаловать в эру voice…
🔥 Дневник Хакера | Первый Bug Bounty репорт в новой программе
24.10.2025
Что тестировал 🎯
❌ IDOR на User endpoints → SPA routing блокирует, защита работает
❌ Self-referral attack → Защита есть, ref_balance не изменился
✅ Email Verification Bypass → Нашёл уязвимость! 🔍
Суть находки 💡
После регистрации система отправляет email подтверждения, но НЕ требует его для доступа к функционалу.
Response:
{
"activated": false, // Email не подтверждён
"demo_balance": "3000.00", // Но средства доступны
"is_partner": true // Статус активен
}
+ sessionid cookie // Сессия выдана
Impact 💣
1. Email Bombing:
Регистрация 1000+ аккаунтов с email жертвы → спам-флуд
2. Identity Bypass:
Можно использовать ЛЮБОЙ email без подтверждения владения
3. Mass Fake Accounts:
Неограниченные фейковые аккаунты для манипуляций
4. Compliance Issues:
Нарушение KYC/AML для gambling платформ
Классификация 📊
CWE-287: Improper Authentication
CVSS: 5.0 (Medium)
Severity: Средний
Expected bounty: $300-750 USDT 💰
Почему это НЕ “best practice”? 🤔
Программа исключает:
“Отсутствие 2FA/email при изменении данных в активной сессии”
Моя находка:
✅ Про ОТСУТСТВИЕ верификации при регистрации
✅ 5 конкретных attack scenarios
✅ Доказанное влияние на безопасность
✅ Подходит под скоуп программы!
Статистика 📈
⏱ Времени: ~5 часов
🔍 Векторов протестировано: 8
✅ Найдено уязвимостей: 1 (Medium)
📝 Репортов отправлено: 1
💰 Потенциал: $300-750 USDT
Главный урок дня 📚
1 качественный репорт с детальным impact analysis
10 слабых находок без доказательств
В Bug Bounty платят за качество, а не за количество! 🎯
Что в репорте 📋
✅ Детальное описание уязвимости
✅ 5 attack scenarios с примерами
✅ Impact assessment
✅ PoC с screenshots из Burp
✅ HTTP Request/Response
✅ Рекомендации по исправлению
✅ Ссылки на стандарты (OWASP, CWE, NIST)
Выводы 💭
Что работает:
✅ Ручное тестирование > автоматизация
✅ Понимание контекста и impact
✅ Профессиональная документация
Что не сработало:
❌ IDOR на очевидных путях
❌ Базовые self-referral атаки
Next Steps 🚀
Ожидание ответа: до 5 рабочих дней
Шанс приёмки: ~60-70%
Продолжение следует… 💪
#BugBounty #InfoSec #Pentesting #CWE287 #ResponsibleDisclosure
24.10.2025
Что тестировал 🎯
❌ IDOR на User endpoints → SPA routing блокирует, защита работает
❌ Self-referral attack → Защита есть, ref_balance не изменился
✅ Email Verification Bypass → Нашёл уязвимость! 🔍
Суть находки 💡
После регистрации система отправляет email подтверждения, но НЕ требует его для доступа к функционалу.
Response:
{
"activated": false, // Email не подтверждён
"demo_balance": "3000.00", // Но средства доступны
"is_partner": true // Статус активен
}
+ sessionid cookie // Сессия выдана
Impact 💣
1. Email Bombing:
Регистрация 1000+ аккаунтов с email жертвы → спам-флуд
2. Identity Bypass:
Можно использовать ЛЮБОЙ email без подтверждения владения
3. Mass Fake Accounts:
Неограниченные фейковые аккаунты для манипуляций
4. Compliance Issues:
Нарушение KYC/AML для gambling платформ
Классификация 📊
CWE-287: Improper Authentication
CVSS: 5.0 (Medium)
Severity: Средний
Expected bounty: $300-750 USDT 💰
Почему это НЕ “best practice”? 🤔
Программа исключает:
“Отсутствие 2FA/email при изменении данных в активной сессии”
Моя находка:
✅ Про ОТСУТСТВИЕ верификации при регистрации
✅ 5 конкретных attack scenarios
✅ Доказанное влияние на безопасность
✅ Подходит под скоуп программы!
Статистика 📈
⏱ Времени: ~5 часов
🔍 Векторов протестировано: 8
✅ Найдено уязвимостей: 1 (Medium)
📝 Репортов отправлено: 1
💰 Потенциал: $300-750 USDT
Главный урок дня 📚
1 качественный репорт с детальным impact analysis
10 слабых находок без доказательств
В Bug Bounty платят за качество, а не за количество! 🎯
Что в репорте 📋
✅ Детальное описание уязвимости
✅ 5 attack scenarios с примерами
✅ Impact assessment
✅ PoC с screenshots из Burp
✅ HTTP Request/Response
✅ Рекомендации по исправлению
✅ Ссылки на стандарты (OWASP, CWE, NIST)
Выводы 💭
Что работает:
✅ Ручное тестирование > автоматизация
✅ Понимание контекста и impact
✅ Профессиональная документация
Что не сработало:
❌ IDOR на очевидных путях
❌ Базовые self-referral атаки
Next Steps 🚀
Ожидание ответа: до 5 рабочих дней
Шанс приёмки: ~60-70%
Продолжение следует… 💪
#BugBounty #InfoSec #Pentesting #CWE287 #ResponsibleDisclosure
007
timcore
Новый трек 🎶🎶🎶
007
Эй, агент в деле, код-имя ноль-семь
Проникаю в систему, как тень в ночи всем
Чёрный костюм, шифрованный файл
Миссия секретна — взломать этот стайл
Куплет 1
Двойной ноль — это не просто цифра в сети
Это уровень доступа, куда не всем войти
Сканирую порты, ищу уязвимость
Каждый баг — это шанс показать мою сильность
Мартини не пью, предпочитаю чай
Но как Бонд в киберпространстве — не проиграй
Пентест за пентестом, отчёт за отчётом
Баунти программы — работаю с учётом
Припев
Семь попыток, семь побед
Семь серверов — оставлю след
Ноль сомнений, ноль потерь
Агент 007 — открыта дверь
Куплет 2
В тени работаю, но репутация чиста
Белая шляпа на голове — вот моя мечта
Vulnerability Disclosure — мой протокол
Нашёл эксплойт — отправил на стол
Gadgets не Q, а Burp Suite в руках
Interceptor Proxy — враг в облаках
SQLi, XSS — знаю все их слабости
Пишу PoC с технической грамотностью
Припев
Семь попыток, семь побед
Семь серверов — оставлю след
Ноль сомнений, ноль потерь
Агент 007 — открыта дверь
Куплет 3
Восемь лет в игре, но всё ещё голоден
Каждый таргет — это новый уровень, я молод и
Полон энергии, как zero-day в дикой природе
Нахожу уязвимости в любой погоде
Bug bounty hunter — моя лицензия на kill
Баги, не людей, — вот мой главный скилл
IDOR, SSRF — коллекция трофеев
Рейтинг растёт, а я становлюсь смелее
VK блог — двадцать три тысячи следят
За каждым моим шагом, за каждым из атак
Образовательный контент — моё оружие
Делюсь знаниями, строю киберсообщество
Припев
Семь попыток, семь побед
Семь серверов — оставлю след
Ноль сомнений, ноль потерь
Агент 007 — открыта дверь
Куплет 4
AI системы думали, что неуязвимы
Но prompt injection — мои стрелы невидимы
Джейлбрейк нейронок — это новый фронт
Тестирую GPT, Claude — полный расклад тут
От Parrot OS до Kali — мой арсенал
Python скрипты пишу, как будто ритуал
Автоматизация — ключ к эффективности
SGOHunter в деле — символ активности
Миссия продолжается, цель не достигнута
Пока есть баги — буду в строю, это истина
Агент 007 киберпространства
Защищаю сети — это моё царство!
007
Эй, агент в деле, код-имя ноль-семь
Проникаю в систему, как тень в ночи всем
Чёрный костюм, шифрованный файл
Миссия секретна — взломать этот стайл
Куплет 1
Двойной ноль — это не просто цифра в сети
Это уровень доступа, куда не всем войти
Сканирую порты, ищу уязвимость
Каждый баг — это шанс показать мою сильность
Мартини не пью, предпочитаю чай
Но как Бонд в киберпространстве — не проиграй
Пентест за пентестом, отчёт за отчётом
Баунти программы — работаю с учётом
Припев
Семь попыток, семь побед
Семь серверов — оставлю след
Ноль сомнений, ноль потерь
Агент 007 — открыта дверь
Куплет 2
В тени работаю, но репутация чиста
Белая шляпа на голове — вот моя мечта
Vulnerability Disclosure — мой протокол
Нашёл эксплойт — отправил на стол
Gadgets не Q, а Burp Suite в руках
Interceptor Proxy — враг в облаках
SQLi, XSS — знаю все их слабости
Пишу PoC с технической грамотностью
Припев
Семь попыток, семь побед
Семь серверов — оставлю след
Ноль сомнений, ноль потерь
Агент 007 — открыта дверь
Куплет 3
Восемь лет в игре, но всё ещё голоден
Каждый таргет — это новый уровень, я молод и
Полон энергии, как zero-day в дикой природе
Нахожу уязвимости в любой погоде
Bug bounty hunter — моя лицензия на kill
Баги, не людей, — вот мой главный скилл
IDOR, SSRF — коллекция трофеев
Рейтинг растёт, а я становлюсь смелее
VK блог — двадцать три тысячи следят
За каждым моим шагом, за каждым из атак
Образовательный контент — моё оружие
Делюсь знаниями, строю киберсообщество
Припев
Семь попыток, семь побед
Семь серверов — оставлю след
Ноль сомнений, ноль потерь
Агент 007 — открыта дверь
Куплет 4
AI системы думали, что неуязвимы
Но prompt injection — мои стрелы невидимы
Джейлбрейк нейронок — это новый фронт
Тестирую GPT, Claude — полный расклад тут
От Parrot OS до Kali — мой арсенал
Python скрипты пишу, как будто ритуал
Автоматизация — ключ к эффективности
SGOHunter в деле — символ активности
Миссия продолжается, цель не достигнута
Пока есть баги — буду в строю, это истина
Агент 007 киберпространства
Защищаю сети — это моё царство!
#blog
#books
#xss
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀 • Reflected XSS (Отражённый): быстро, грязно, одноразово
Если бы XSS раздавали по типам личности, Reflected XSS был бы уличным гопником — дерзким, быстрым, но редко оставляет следы после драки. Это та атака, которую ты можешь провернуть за пару минут на любом полу-сыро написанном сайте, не беспокоясь о массовых заражениях или сложных цепочках. Раздел для тех, кто любит быстрые победы и легкую грязь на руках.
https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l
#books
#xss
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀 • Reflected XSS (Отражённый): быстро, грязно, одноразово
Если бы XSS раздавали по типам личности, Reflected XSS был бы уличным гопником — дерзким, быстрым, но редко оставляет следы после драки. Это та атака, которую ты можешь провернуть за пару минут на любом полу-сыро написанном сайте, не беспокоясь о массовых заражениях или сложных цепочках. Раздел для тех, кто любит быстрые победы и легкую грязь на руках.
https://vk.com/@hacker_timcore-kniga-vse-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l
VK
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀 • Reflected XSS (Отражённый): быстро, грязно, одноразово
Если бы XSS раздавали по типам личности, Reflected XSS был бы уличным гопником — дерзким, быстрым, но редко оставляет следы после драки...
#blog
#books
#xss
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. Stored XSS (Хранимый): Подарок, который продолжает дарить
Если Reflected XSS — это быстрая кража на улице, то Stored XSS — это тайник в стене сайта, который остаётся активным сутками, месяцами, а иногда даже годами, пока не сработает для кого-то важного. Хранимый XSS — это тот редкий случай, когда твоя атака превращается в массовый инструмент для захвата, шпионажа и тотального уничтожения пользовательских данных. В этом разделе разберём, почему она — самая опасная и желанная находка для любого эксплойтера.
https://vk.com/@hacker_timcore-kniga-se-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l
#books
#xss
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. Stored XSS (Хранимый): Подарок, который продолжает дарить
Если Reflected XSS — это быстрая кража на улице, то Stored XSS — это тайник в стене сайта, который остаётся активным сутками, месяцами, а иногда даже годами, пока не сработает для кого-то важного. Хранимый XSS — это тот редкий случай, когда твоя атака превращается в массовый инструмент для захвата, шпионажа и тотального уничтожения пользовательских данных. В этом разделе разберём, почему она — самая опасная и желанная находка для любого эксплойтера.
https://vk.com/@hacker_timcore-kniga-se-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l
VK
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. Stored XSS (Хранимый): Подарок, который продолжает дарить
Если Reflected XSS — это быстрая кража на улице, то Stored XSS — это тайник в стене сайта, который остаётся активным сутками, месяцами, а..
#blog
#books
#xss
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. DOM-based XSS: когда JavaScript сам себе враг
Если классический XSS — это атака на серверную часть, где неочищенный ввод пользователя возвращается через HTML, то DOM-based XSS переносит игру на новый уровень. Здесь зломышленник общается не с сервером, а с самим браузером и его JavaScript-кодом. Вся магия происходит уже после того, как пользователь загрузил страницу. Это современный, коварный, и зачастую невидимый для стандартных защит тип уязвимости. Добро пожаловать в адскую смесь легаси-джаваскрипта, фреймворков и client-side багов.
https://vk.com/@hacker_timcore-kniga-ve-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l
#books
#xss
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. DOM-based XSS: когда JavaScript сам себе враг
Если классический XSS — это атака на серверную часть, где неочищенный ввод пользователя возвращается через HTML, то DOM-based XSS переносит игру на новый уровень. Здесь зломышленник общается не с сервером, а с самим браузером и его JavaScript-кодом. Вся магия происходит уже после того, как пользователь загрузил страницу. Это современный, коварный, и зачастую невидимый для стандартных защит тип уязвимости. Добро пожаловать в адскую смесь легаси-джаваскрипта, фреймворков и client-side багов.
https://vk.com/@hacker_timcore-kniga-ve-ob-uyazvimosti-xss-glava-2-tipy-xss-znai-vraga-v-l
VK
Книга: «Все об уязвимости XSS». Глава 2: Типы XSS — Знай врага в лицо 👀. DOM-based XSS: когда JavaScript сам себе враг
Если классический XSS — это атака на серверную часть, где неочищенный ввод пользователя возвращается через HTML, то DOM-based XSS перенос..
Эй, хакеры, кодеры и те, кто рвётся в мир эксплойтов! 🔥
Я — Михаил Тарасов (Timcore), и я решил прокачать Вашу библиотеку знаний. Бесплатно раздаю 9 своих авторских книг по хакингу, CTF, уязвимостям и программированию. Это не вода — это чистый хардкор: от SQL-инъекций до Rust-хаков. Хочешь прокачать скиллы и ломать системы как профи? Лови шанс, пока не поздно!
Вот что ты получишь в рассылке (PDF формат):
1. Capture the Flag (CTF). VulnHub 8 райтапов — Реальные walkthroughs для тренировок на VulnHub.
2. Cross Site Request Forgery — Как эксплуатировать CSRF и защищаться от него.
3. Программирование на Go для начинающих — Быстрый старт в Go для автоматизации.
4. Программирование на PHP8 для начинающих — Современный PHP для веб-эксплойтов.
5. Программирование на С для начинающих — База для low-level хаков.
6. Прохождение CTF Мистер Робот Практический курс — Шаг за шагом по легендарному CTF.
7. Уязвимость SQL-инъекция. Практическое руководство для хакеров — Эксплойты SQLi в действии.
8. Уязвимость-Cross-Site-Scripting-XSS-Практическое-руководство — XSS от А до Я, с примерами.
9. Хакинг на Rust — Безопасный и мощный Rust для пентеста.
Это не просто книги — это твои инструменты для доминирования в CTF, поиска уязвимостей и создания своих эксплойтов. Я написал их на основе реального опыта: ломал, фиксил, учил других. Бесплатно? Да, потому что знания должны быть доступны. Но только для тех, кто готов действовать!
Как забрать? по контакту в телеграм: @timcore1: "Хочу книги Timcore" — и я пришлю ссылку на скачивание. Не тяни, раздача ограничена!
#хакинг #CTF #эксплойты #программирование #Timcore
Поделись с друзьями — пусть все прокачаются! 🚀
Я — Михаил Тарасов (Timcore), и я решил прокачать Вашу библиотеку знаний. Бесплатно раздаю 9 своих авторских книг по хакингу, CTF, уязвимостям и программированию. Это не вода — это чистый хардкор: от SQL-инъекций до Rust-хаков. Хочешь прокачать скиллы и ломать системы как профи? Лови шанс, пока не поздно!
Вот что ты получишь в рассылке (PDF формат):
1. Capture the Flag (CTF). VulnHub 8 райтапов — Реальные walkthroughs для тренировок на VulnHub.
2. Cross Site Request Forgery — Как эксплуатировать CSRF и защищаться от него.
3. Программирование на Go для начинающих — Быстрый старт в Go для автоматизации.
4. Программирование на PHP8 для начинающих — Современный PHP для веб-эксплойтов.
5. Программирование на С для начинающих — База для low-level хаков.
6. Прохождение CTF Мистер Робот Практический курс — Шаг за шагом по легендарному CTF.
7. Уязвимость SQL-инъекция. Практическое руководство для хакеров — Эксплойты SQLi в действии.
8. Уязвимость-Cross-Site-Scripting-XSS-Практическое-руководство — XSS от А до Я, с примерами.
9. Хакинг на Rust — Безопасный и мощный Rust для пентеста.
Это не просто книги — это твои инструменты для доминирования в CTF, поиска уязвимостей и создания своих эксплойтов. Я написал их на основе реального опыта: ломал, фиксил, учил других. Бесплатно? Да, потому что знания должны быть доступны. Но только для тех, кто готов действовать!
Как забрать? по контакту в телеграм: @timcore1: "Хочу книги Timcore" — и я пришлю ссылку на скачивание. Не тяни, раздача ограничена!
#хакинг #CTF #эксплойты #программирование #Timcore
Поделись с друзьями — пусть все прокачаются! 🚀