Заметки Bug Bounty Hunter'а

Искал медь, а нашёл золото Решил проверить наличие защиты от перебора кода при восстановлении доступа к аккаунту. Код восстановления состоял из 4 символов. Взял фаззер, по умолчанию выставил 50 одновременных потоков, запустил перебор, и не обнаружил никаких rate limit'еров. Время жизни кода было небольшим - всего 60 секунд, а время ответа от сервера - несколько секунд. С такими условиями времени перебрать все возможные варианты попросту не хватило бы Выставил 1000 потоков, и... забил все доступные слоты для подключения к БД 😬 В результате сервер в теле ответа прислал детали ошибки. В одной из строчек присутствовал пароль от БД в открытом виде 😎 И такое бывает 😁

📢 Уважаемые подписчики! 🦈 Хочу поделиться с вами своим собственным Open Source решением для генерации CSRF PoC под названием CSRFShark! ✨ Изначально я задумывал его для своих личных нужд, но понял, что он может быть полезен и другим исследователям в области информационной безопасности. Поэтому было принято решение опубликовать код инструмента на GitHub. CSRFShark полностью бесплатный, распространяется по лицензии MIT. 💡 Что делает этот инструмент особенным? Его отличительной особенностью является возможность генерации постоянной ссылки на результат. Это означает, что вы можете просто указать ссылку в своем отчете, а команда безопасности сможет легко и быстро проверить работоспособность PoC. Удобство в действии! 👌 🔒 Ах да, чуть не забыл. Все необходимые данные передаются в хэше URL, а следовательно, сервер не знает никаких подробностей о вашем запросе. 💪 Надеюсь, CSRFShark сможет стать незаменимым помощником для ваших исследований в сфере веб безопасности! ✉️ Если у вас есть какие-либо вопросы или предложения, не стесняйтесь обращаться ко мне. Актуальный контакт для связи всегда можно найти в GitHub репозитории. 🔗 Ссылки: 👉 https://csrfshark.github.io/ 👉 https://github.com/csrfshark/app/

Если есть подозрение, что данные из формы отправляются администратору сайта в телеграм через Bot API, можно провести простую проверку, отправив ссылку на логгер Если после отправки формы, на URL логгера постучится клиент с заголовком User-Agent равным TelegramBot (like TwitterBot), то данные действительно приходят в тг На прикрепленном видео демонстрируется простая форма регистрации, после отправки которой данные приходят администратору в виде телеграм сообщения. В инпут Last Name багхантер передаёт специальный URL, при посещении которого в журнальный файл записываются данные о клиенте. После отправки данных из формы, телеграм подхватывает ссылку и переходит по ней для генерации превью Следует помнить, что этот способ не сработает в случае, если в методе sendMessage параметр disable_web_page_preview равен true. Однако, по умолчанию, этот параметр равен false

У атакуемого сайта есть бот, который позволяет войти в аккаунт, поделившись своим номером телефона? Если эта функция реализована через request_contact, который автоматически отправляет ваш номер в виде контакта, можно попробовать отправить чужой контакт, тем самым войдя под аккаунтом другого пользователя. Демонстрация этой уязвимости на примере реального бота - на видео