вчера пофармил ауры, просканил порты на новом вайбкод сайтике макса вайлда

потихоньку просветляю вайбкодеров

написал еще репортик по уязвимости знакомым чувакам

ниже закину, конфиденциальную информацию (название аппки/эндпоинты) - видоизменю

хз, думаю может статью какую по ИБ для вайбкодеров напишу и дропну

мой репорт:

CWE-201: Broken Access Control (обход прав доступа на стороне клиента) / Sensitive Information Leakage

cvss (Common Vulnerability Scoring System) v4.0 score: 5.5 / 10 - medium, ввиду надежной проверки jwt на бэкенде полноценный доступ к привелегиям администрации получить не выходит (не гарантирую что тоже самое хорошо работает для вебсокета, если там есть админский канал)

было обнаружено, что административная логика и компоненты панели управления (adminPage) включены в продакшн билд. это позволяет любому аутентифицированному пользователю получить доступ к интерфейсу управления платформой и изучить структуру внутренних апи-запросов (включая админские запросы)

лик административного модуля: весь код, отвечающий за управление пользователями, просмотр балансов и настроек ботов, доступен в основном js бандле

обход авторизации (client side bypass): фронтэнд доверяет локальному состоянию объекта window.app, что позволяет принудительно активировать скрытые элементы интерфейса без наличия соответствующих прав в jwt-токене.

раскрытие эндпоинтов (видоизменено):

/set-fees
/delete-ref-code
/set-referrer
/check-users
/userdetail?username=
/ban
/resetsettings
/force-stop-session

proof of concept:

атакующий может выполнить следующие действия в консоли браузера для доступа к панели администратора:

1. авторизоваться как обычный пользователь.

2. модифицировать глобальный объект состояния приложения:

window.app.authManager.isAdmin = true;
window.app.authManager.userRole = "admin";
window.app.authManager.permissions = ["*"];

подгрузить страницу с админкой:
window.app.adminPage.load();

импакт:

текущая реализация бэкенда корректно отклоняет запросы к эндпоинтам /admin/* с 403 форбиден, но данная уязвимость значительно снижает порог входа для проведения более сложных атак (bola/idor или перехват данных через вебсокеты), так как структура запросов и логика работы админ-панели полностью раскрыты.

рекомендации:

- воткнуть динамический импорт для административных компонентов, чтобы они загружались только пользователями с ролью admin

- удалить все упоминания административных эндпоинтов и методов из паблик бандлов

- убедиться что приватные данные не передаются в публичных каналах вебсокета и в отсутствии возможности получить доступ в приватные канал вебсокета (если они есть)

важный анонс!

в течении нескольких недель я планирую запуск своего первого полноценного проекта (НЕ ИНФОПРОДУКТ!!), который сможет действительно принести небольшой пассивный доход каждому

(разумеется слоты будут ограничены, дабы уменьшить пвп между пользователями)

всегда хотел запустить что-то техничное и весомое, а также всегда сторонился каких-либо инфопродуктов, тк считаю что 99.9% инфопродуктов - отборный мусор.

основной концепт довольно прост и очевиден:

арбираж между web2 бетками / беттинговыми эксченджами и web3 prediction markets

ожидаемый roi: от 10% в месяц на ваш бенкролл, прайс за подписку будет отбиваться очень быстро

из крутых фишек будет:

1. сопоставление событий при помощи ML (фейк сигналов благодаря этому будет минимум)

2. поддержка вообще всех событий на prediction markets, не только спорт

3. гибкая настройка параметров: время до закрытия маркета, ожидаемый профит на ваш банкролл, учет слипажа и рассчет максимального safe-size’а исходя из стаканов платформ.

интегируемые платформы:

- polymarket
- kalshi
- opinionlabs
- predict fun (post beta)

- pinnacle
- betfair (post beta)

добавление новых платформ будет происходить с учетом голосования пользователей!

в mvp я добавил web2 платформы, лояльные к арбитражу, без строгой политики относительно вилочников.

сейчас mvp завершен на ~70%, уже готовы метчер и полностью интегрированы polymarket, kalshi и opinion, частично готова логика ядра и начата интеграция пиннакла.

в несколько недель я закладываю: добавление пиннакла, разработку фронта, интегрирование биллинга (мб простой криптобот сделаю), доработку ядра и пейпер тесты.

буду потихоньку закидывать сникпики, когда начну делать фронт, будет еще пару анонсов, coming soon

как я хакнул moni

дело было вечером, делать было нечего, искал цели для практики, наткнулся на упоминания moni в одном из телеграм каналов, на которые я подписан.

сразу же я отправился сканить их порты через нмап, не получив никакого результата я перешел к поиску поддоменов.

и тут я нашел целых 78 поддоменов, среди которых была админ панель (к сожалению запаролена), открытый moni storage api и ещё одна админка strapi.

(баунти они мне зажали, так что почти вся конфиденциальная информация будет раскрыта, ничего личного против их дева я не имею (если это их дев конечно), так что в целях защиты его приватности я скрыл его личную информацию)

upd: выплатили баунти

главная уязвимость: на их google бакете был открыт полный доступ для всех, т.е. их хранилище (скорее конечно свалка), содержащее приватную информацию было доступно кому угодно - Publicly Accessible Google Cloud Storage Bucket.

линк на их гугл бакет: *hidden* (уже закрыли его, после моего репорта)

мои находки там:

1. папка wedd - один из работников мони решил не заморачиваться и захостил сайт с приглашением на свою свадьбу прямо на бакете мони...

в данном файле раскрываются: имя сотрудника и его жены, дата проведения свадьбы, адрес проведения свадьбы в городе -> вероятно, город проживания сотрудника, личные фото сотрудника и его будущей супруги.

2. whitelists.json - список из 5 евм валетов, не уверен что это за кошельки

3. куча ассетов с их сайта и странного мусора, весь его я просматривать и выгружать не стал, допускаю, что недосмотрел что-то.

очевидно если бы я не сказал им об этом, они могли бы выгрузить туда ещё больше нда инфы, что привело бы к более серьёзным проблемам.

————————

в общем-то я считаю так:

если вы команда, пытающаяся монетизировать свой продукт, будьте добры не поскупиться на багбаунти, если у вас нашлась уязвимость, иначе ваш проект превращается в таргет для атак.

больше сказать мне нечего, всем спасибо за прочтение, всех обнял.

UPD: баунти я получил, благодарю пару человек за пересылку данного поста и ваш фидбек!

также благодарю команду мони за справедливое баунти

спасибо всем за фидбек, получил баунти.

извиняюсь перед командой мони, что поторопился с оглаской и очернением репутации, от репорта прошло 6 дней, стоило подождать хотя бы ровно неделю с момента отправки репорта, будет мне опыт.

эндпоинты и сабдомены я скрыл, также в целях защиты информации.

чутка уточню технические подробности:

со слов сео мони - это был легаси бакет, на котором не предполагалось хранение нда инфы.

я также считаю этот сценарий трущным, ведь практически никакой инфы там не было, кроме кучи ассетов и тех самых двух вещей (личная инфа дева + какие-то адерсы валетов). я не занимался изучением их инфраструктуры во всех подробностях, а просто провёл небольшой первичный аудит.

основная уязвимость заключалась в листинге бакета - кто угодно мог открыть и просмотреть все файлы, находящиеся там, а также в возможности загрузки файлов на этот бакет через сваггер апи.

любой продукт технически уязвим, просто многие уязвимости экономически невыгодно эксплуатировать.

я как пентестер, занимаюсь поиском тех уязвимостей, что слишком дёшево / финансово выгодно эксплуатировать.

хаком может называться обычный dom-based xss, хаком может называться полноценный RCE, хаком может называться эксплойт, который повлёк потерю огромного количества денег.

я веду к тому, что существует подмена понятий и именно она и произошла в сегодняшней ситуации с мони, из-за людей, не читающих дальше первой строчки.

всем понимающим спасибо, непонимающих прошу ознакомиться с текстом выше.

всех обнял, всем удачи!

возвращаюсь в твиттер, планирую постить тотальный слопчик, иногда будут проскакивать мои отчёты по пентесту, технические посты и всякие мыслишки

я и в этот канал хотел бы щитпостить тотальный слоп, но мне кажется формат телеги не очень подходит для этого

ещё недавно ликнул апи ключ от рпс ноды alchemy, что открыло вектор для dos атаки на небольшую понзи на етх с твл $150k, в некст посте чуть больше расскажу

кто не знает, я неск месяцев активно вёл твиттер и заливал туда разного рода слоп

нужно было попросить мозги у мони...

в общем-то дело снова было вечером, увидел я у @deadcell понзи на етх, она же petals.farm

разумеется её уже рагнули, но в пике вроде она имела $200к tvl

решился я провести небольшой аудит, так как аппка супер простецкая и сделана на скорую руку -> вероятно, уязвима, так и оказалось

я нашёл апи ключи от их рпс нод alchemy и infura, пускай они и были на фри плане апи, dos атака при помощи этого ключа стопнула бы их работу на пару часов, что критично для таких понзи.

я решил пойти мирным путём, так как финансовую выгоду извлечь из этого почти невозможно, даже если я нанесу атаку, написал в личку самому деву, мы приятно пообщались и в ближайшее время он заслал мне 0.1 eth как баунти, ~$235, что в самом деле неплохо за 3 часа потраченные на аудит.

в последствии дев этой пирамидки предложил мне постоянную работу, связанную с дядьками из vc

к сожалению он не озвучил ничего, но обещался отписать, это так, к слову о важности нетворкинга

такая вот коротенькая история о коротеньком миссконфиге, всем спасибо.

смотрите как у меня много коммитов пацаны

ни одной строчки кода руками не пишется, а адекватное кодревью человек не в состоянии провести, ведь в большинстве случаев даже не знает синтаксис, я уже не говорю про хорошие практики и нюансы

на кой хуй коммитить так часто, просто чтобы циферка росла?!

это исходит либо из фундаментального непонимания для чего вообще нужен гит, либо из того, что вообще каждый нейрослоп пушится по веткам

CVE-2026-31431 - Copy Fail

не особо по тематике канала, но недавно заэксплойтили ядро линукса

любая линукс машина до версии 6.19.22 / 6.18.22 уязвима, так что если держите какие-то дедики - советую обновиться

любой пользователь, не имеющий привелегий рута - способен их получить, как эксплойт работает можете подробно почитать здесь

ну а я им воспользовался чтобы закончить машину на hackthebox, где был слишком трудный привелейдж эскалейшн

https://github.com/theori-io/copy-fail-CVE-2026-31431

3 месяца ничего не постил в твиттере, оказывается даже такой вот слопчик неплохо собирает

теперь мы есть на https://ecosystem.nado.xyz/

я там занимался ребилдом почти всей архитектуры (чарты, ордера), добавлял вкладку earn и делал многое другое

кому интересно можете зайти потыкаться (мобильная версия терминала работает хуёво), занимаемся другими более важными вещами

——————————————————————————

пока что остановил работу над моим вилочным сканнером (буки-предикшен маркеты) - первые тесты неплохо себя показали, но нужно добавлять намного больше букмекеров и автоматизировать торговлю для pinnacle и polymarket.

уже добавлен semi-auto торговый режим для калши - вставляете апи ключи и можете в один клик покупать вилки.

сканнер от меня не убежит, поэтому сейчас занимаюсь так называемыми nda штуками за которые платят много деняк (сам рофлил с инфлюенсеров которые пишут про нда проекты и вот случилось это и со мной, лмао)

можете посмотреть мою активность на гитхабе (активно старрю репозитории связанные с тем что делаю) + в планах сделать вклад в опенсорс комунити и дропнуть пару полезных штук по теме.