#blog
#bug_hunting
#humor

Знакомо? 😅

#bug_hunter
#humor
#bug_bounty

😅😅😅

#blog
#bug_bounty

Мои скромные достижения на Standoff365. Это рейтинг по одной из программ. Удалось найти 3 уязвимости.

#blog
#bug_bounty

Мои скромные достижения на Standoff365. Это рейтинг по одной из программ. Удалось найти 4 уязвимости.

#blog
#bug_hunter
#humor


😅☺

#blog
#bug_bounty

🎰 Как зарабатывать на баг-баунти в казино, криптобиржах, стартапах и других компаниях? (Российский рынок)

Привет, хакеры! 💰 Устал искать баги на популярных платформах, где конкуренция зашкаливает? Сегодня расскажу про российские и СНГ ниши с жирными выплатами и низкой конкуренцией.

Подробнее:https://vk.com/@hacker_timcore-kak-zarabatyvat-na-bag-baunti-v-kazino-kriptobirzhah-starta

#blog
#bug_bounty

📡 Nuclei templates: как я нашёл 50 багов за ночь на автомате. Потенциальный bounty: ₽4,200,000+ ($45k+)

Привет, хакеры! 💻 Устал тратить 8 часов на ручное тестирование одной цели? Сегодня расскажу, как я запустил скрипт перед сном и проснулся с 50 найденными багами.

https://vk.com/@hacker_timcore-nuclei-templates-kak-ya-nashel-50-bagov-za-noch-na-avtomate

#blog
#bug_bounty

Являюсь активным Баг-Хантером, и вхожу в топ-300 хакеров по РФ. На Standoff365 сдал 13 отчетов. BugBounty.ru - 3 отчета. Яндекс - 10 отчетов. Другие платформы: 70 отчетов.


- Standoff 365 Bug Bounty: зарегистрировано 27 000 исследователей (2025), выплачено 285 млн ₽ за 3 года, география 60 стран.
- Standoff 365 Bug Bounty: 18 400 зарегистрированных исследователей к концу 2024 года (для динамики).
- BugBounty.ru: сообщество более 5 000 российских багхантеров.
- Активные багхантеры в России (оценка VK): 300–330 по методике «≥1 отчёт за IV кв. и январь».
- BI.ZONE Bug Bounty: число зарегистрированных исследователей не публикуется; на платформе 34 компании, 78 программ и более 60 млн ₽ выплат независимым исследователям.

#bug_bounty
#bug_hunting

Взлом GraphQL через alias/dos — обрушение бекенда рекурсивными query-алиасами

Ну что, брат, сейчас разберём, как угробить GraphQL-бек тупой арифметикой. Это когда разрабы думают, что GraphQL = REST с сахаром, а по факту получают DoS через один POST-запрос.

Подробнее: https://timcourse.ru/vzlom-graphql-cherez-alias-dos-obrushenie-bekenda-rekursivnymi-query-aliasami/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

SSO misconfig в SAML — IDP принимает твой кастомный issuer → логин без пароля

Ну что, брат, сегодня разбираем, как через SAML-SSO заходить в админки без пароля. Это когда DevOps настроил “Single Sign-On” за 15 минут по гайду со StackOverflow, а проверку подписи забыл. Результат — ты Бог с curl’ом.

Подробнее: https://timcourse.ru/sso-misconfig-v-saml-idp-prinimaet-tvoj-kastomnyj-issuer-%e2%86%92-login-bez-parolya/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog
#bug_bounty

Плюсы успешного участия в Баг-Баунти программах на специализированных платформах заключается в том, что существуют приватные программы, в которых конкуренция значительно ниже.

#blog
#bug_bounty

Сколько часов в день баг-хантить, чтобы не превратиться в зомби? 🧟‍♂

По моему скромному опыту - 4-6 часов концентрированного взлома — это твой свит-спот. Больше — начнёшь тупить и пропускать очевидные SQL-инъекции.

https://vk.com/@hacker_timcore-skolko-chasov-v-den-bag-hantit-chtoby-ne-prevratitsya-v-zomb

#bug_bounty
#bug_hunting

Хищение токенов через Service Workers — приписал scope пошире и перехватил запросы

На сайте в каком-нибудь занюханном разделе /blog есть жирная Stored XSS. А основной сок — SPA-приложуха — живёт в корне и общается с /api по JWT, передавая его в заголовке Authorization: Bearer .... Вишенка на торте: сервер, отдающий JS, шлёт заголовок Service-Worker-Allowed: /. Это не фича, это приглашение на пати.

Подробнее: https://timcourse.ru/hishhenie-tokenov-cherez-service-workers-pripisal-scope-poshire-i-perehvatil-zaprosy/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

DNS Rebinding на IoT API — домашние камеры и принтеры через браузер превращаются в твоих ботов

Целая армия IoT-устройств (камеры, роутеры, принтеры, NAS) в локальных сетях, которые светят наружу своими веб-мордами на 192.168.x.x. У них либо нет аутентификации, либо дефолтные креды. API для управления этими поделками часто не проверяет заголовок Host и не имеет никакой CSRF-защиты.

Подробнее: https://timcourse.ru/dns-rebinding-na-iot-api-domashnie-kamery-i-printery-cherez-brauzer-prevrashhayutsya-v-tvoih-botov/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog
#bug_bounty

Очередное приглашение в приватную программу от Standoff365.

#tools
#bug_bounty

[Мои разработки] Инструмент для Баг-Хантинга - BugHunter v1.0.2

🎯 BugHunter v1.0.2 — крупное обновление инструмента для Bug Bounty

Рад представить новую версию моего автоматизированного сканера уязвимостей! За эту версию реализовал 10 улучшений.

🆕 Новые модули:

1. CORS Misconfiguration Detection 🔒
Самое важное дополнение! Детектирует опасные конфигурации CORS:
• Wildcard origins с credentials
• Null origin bypass (через iframe)
• Arbitrary origin reflection → CVSS 9.1 (Critical!)
• Pre/post domain bypass
• 6 комплексных security тестов

Пример находки:

Origin: https://evil.com
Access-Control-Allow-Origin: https://evil.com ❌
Access-Control-Allow-Credentials: true
→ Можно украсть любые данные пользователя!

2. IDOR Detection 🔑
Автоматически находит Insecure Direct Object References:
• Определяет ID параметры (id, user_id, account_id, etc.)
• Тестирует 5 техник манипуляции
• Умный анализ ответов
• Выключен по умолчанию для безопасности

3. Open Redirect 🔀
• 25+ bypass payloads
• Double encoding, protocol confusion
• Data URI, null byte injection

📊 UX улучшения:

Progress Bars — теперь видно прогресс в реальном времени:

🔄 Module 3/7: CORS Scanner ████████░░ 43% • 00:45 • 01:12

--dry-run — просмотр что будет сканироваться без выполнения
--resume — продолжение прерванного сканирования
Auto-save — автосохранение при Ctrl+C

📈 Статистика:

Модулей: 4 → 7 (+75%)
Тестов: 60 → 110 (+83%)
Код: 2000+ новых строк
Документация: 7 новых гайдов

💻 Использование:

# Базовое сканирование
bughunter scan https://api.example.com

# Только CORS тестирование
bughunter scan https://api.example.com --modules cors

# С прогресс-баром и resume
bughunter scan https://example.com --resume scan_state.json

Технологии:
• Python 3.11+ (async/await)
• Rich для прогресс-баров
• aiohttp для async HTTP
• Production-ready архитектура


#bugbounty #appsec #python #opensource #cybersecurity #infosec #pentesting #hacking

#bug_bounty
#bug_hunting

Уязвимости в Signed URLs (AWS/GCS/Azure) — неверная валидация экспирации → вечные ссылки

Что это за хрень
Signed URLs — это временные ссылки на приватные объекты в облачных хранилищах (S3, GCS, Azure Blob). Идея простая: генерируешь URL с подписью HMAC, добавляешь expiration (срок годности), и юзер может скачать файл без аутентификации. Через час (или сколько там поставил) — ссылка протухает. В теории.

На практике — разработчики косячат на каждом шагу, и ты получаешь вечный доступ к банковским выпискам/паспортам/интимным фоточкам. Welcome to bug bounty paradise.

Подробнее: https://timcourse.ru/uyazvimosti-v-signed-urls-aws-gcs-azure-nevernaya-validacziya-ekspiraczii-%e2%86%92-vechnye-ssylki/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

Хардкоденные API-ключи в desktop/mobile клиентах — извлечение creds из .asar, .apk, .ipa

Суть проблемы (для тех, кто в танке)
Разработчики вшивают API-ключи/токены/секреты прямо в код клиентских приложений, думая: «Ну это же скомпилированный бинарник, кто там полезет?». Спойлер: любой школьник с 7zip.

Подробнее: https://timcourse.ru/hardkodennye-api-klyuchi-v-desktop-mobile-klientah-izvlechenie-creds-iz-asar-apk-ipa/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 vk.com/timcore_games - Разработка игр.
🕵‍♂ vk.com/forensics_timcore - Услуги кибердетектива.
💰 vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore
https://t.me/timneuro_timcore
https://t.me/mikhail_tarasov_finance

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.