963
订阅者
-424 小时
-17 天
+3030 天
帖子存档
За качество сорян, мне лень ебаться с картинками, там уж сами разглядите, че и как. Кек.
#bb
После парочки недавно зарепорченных багов в g/vrp, подъехал грант. Приятно. С интересующим их скоупом.
Наглядный пример, почему стоит хотя бы изредка, но хантить в корпорации зла. Можно по быстрому срубить на пиво.
#bb
https://2ch.hk/b/arch/2017-01-20/res/144869013.html
Предлагаю вашему вниманию немного лулзов.
Я тогда только-только встпупил на дорожку багхантигна, и под впечатлением от парочки находок(cлепая XSS в форме восстановления паролей на mail.ru, которая позволяля в теории, узнать пароль от любого аккауна, и reflected XSS на developrs.google.com, об этих находках напишу позже отдельным постом) ришил запилить для анончиков гайд, как вкатиться в этот самый багхантинг.
Тред вышел вышел веселый, по ходу обсуждения были лулзы, взаимный троллинг разной тослстоты, обвинения в некомпетентности, подъехали ребята из всякиех там positive technologies, адепты кробы, и даже, уверен, сам @i_bo0om засветился.
В общем, все как мы любим, да.
И что самое ценное, я познакомился с некоторыми компетентными ребатами, с которыми общаюсь до сих пор. Которые пиздец, какие умные.
Такие дела.
Веселого чтения.
#bb
+1Няша доехала.
Решил взять холодный кошелек, чтобы смотивировать себя похантить на https://immunefi.com/explore/ по вебу. Ну и с прицелом стать мамкиным криптоанархистом.
#bb
Первые дни Специальной Военной Операции. На коротком видео БТР, на ходу, на марше, goes brrrrr из 30мм пушки. Лица хохлов даже имажинировать не хочу.
#combatfootage
Склейка видео 2014-2015(скорее 2015) годов с конфликта на Донбасской/Луганской областях.
#combatfootage
Отвечая на вопросы насчет словарей/нагрузок.
По началу я использовал все, что есть в открытом доступе.
https://github.com/swisskyrepo/PayloadsAllTheThings
https://github.com/payloadbox
https://github.com/danielmiessler/SecLists
https://github.com/cujanovic
https://github.com/1N3/IntruderPayloads
assetnote.io
.....
миллионы их
Потом, набираясь опыта и набивая руку, оставил только то, в чем плюс-минус сильнее, для повседневного использования. Почистил, что-то добавил.
Все, что найдется в архивах, используется для автоматизированного теста веб приложений с помощью Burp Suite, а также в контексте таких инструментов как ffuf, nuclei, etc. Без особого вникания в логику работы, когда лень думать.
Надеюсь, кому-то пригодится.
#bb
Некоторые неочевидные плюсы Google VRP:
- Огромный скоуп, помимо заявленных *blogger, *google, *youtube + acquisitions
- При активном хантинге(череда репортов, даже не всегда успешных), есть неиллюзорный шанс получать грант в течение довольно продолжительного времени, в среднем это 500$
- GCP VRP Prize (https://security.googleblog.com/2022/06/announcing-winners-of-2021-gcp-vrp-prize.html) Находите баги, связанные с Google Cloud, в конце года можете получить нихуевый бонус. В прошлом году я поучаствовал для галочки, но закономерно соснул. (https://lalka-test.medium.com/google-vrp-privilege-escalation-on-https-dialogflow-cloud-google-com-599af6c4516d)
- Ну и прямо сейчас они платят в неподсанкционные банки, да
#bb
Тут пару недель назад от ребят bugbounty.standoff365.com swag подъехал, за что им большое спасибо. Рюкзак, павербанк и дождевик очень кстати оказались. Ну и магнитики на холодильник, конечно же.
#bb
Статья от моего коллеги по цеху и просто хорошего парня. Чтобы помнили, так сказать, и знали своего врага в лицо.
https://t.me/BugBountyPLZ/91
#bb
После ВЕЛИКОГО ПИДОРЕНИЯ с h1 и прочих забугорных багбаунти-площадок все тайное стало явным. Коллективный западный мир показал свое отвратительное лицемерное ебало, вроде CEO h1 Микоса, или как там этого хуесоса зовут.
Начали такие, простого русского Ивана город Тверь тыкать палочкой, обвинять во всех смертных грехах, кричать - ИМПЕРИАЛИСТ!.
Многие, конечно, приуныли. Раньше было проще - сидишь, лутаешь бабки, а главной проблемой было, что хотелось курса грязной зеленой бумажки повыше.
Но, свято место пусто не бывает, многие подсуетились быстрым кабанчиком, и пошло импортозамещение.
https://bugbounty.ru/ - принимают отчеты
https://bugbounty.standoff365.com - принимают отчеты
https://bi.zone/ - должны скоро открыться
Пожелаем парням удачи в их нелегком и благородном деле.
Так что ты давай, не трясись, все будет хорошо. Google VRP платит, https://immunefi.com/explore/ - тоже немаленький скоуп, даже по вебу. А там через полгодика, глядишь, и наши отечественные агрегаторы наполнятся программами.
#bb
Эпичное видео, где хохлы решили поперемогать над попавшей в кювет нашей БМПшкой, но что-то пошло не по плану. Потому подкрался стелс-танк. Какие же хохлы дегенераты, пиздец просто. Видео плюс/минус с начала СВО.
#combatfootage #кжхдпп
