Поросёнок Пётр

Со вчерашнего вечера до сих пор в голове не укладывается, как из-за одного корявого запроса можно подарить системе функцию сброса пароля к аккаунту любого пользователя. Просто один не авторизованный запрос к GQL с неудачным String! и у тебя уже токен на сброс пароля юзеру через exception message в ответе 🙈️️️️️️ Как сказал мой приятель - One crit a day keeps the doctor away 😎️️️️️️

Багхантинг это как играть в шахматы или заниматься спортом. Нужна дисциплина и регулярные "тренировки". Самое важное - не ожидать моментальных результатов и воспринимать весь процесс как получение полезного опыта 🦾️️️️️️ PS: Теперь главное чтоб у программы хватило бюджетов на мои цели 😁️️️️️️

Малой сказал что конференция была очень интересная и ему очень понравилось. И что он готов снова поехать. Тем более если это поезд ICE первого класса 😁 Правда его изначально пускать не хотели. Не проходил по возрасту. Но полагаю что ограничение имело место быть. В противном случае вендоры разоряться на подарках 😂

Это было не просто смело, а п#здец как смело! Акция дня - PHP2Shell за сотку. В чётные дни 3 эксплойта по цене одного! Мне даже сложно представить что в голове у менеджера, который зашел в панельку Hackerone Program Management. Нашел нужное меню, и накарябал туда этот текст рассылки на всех исследователей. Более того, их как огромную компанию спрашивают партнеры - а что вы предприняли для устранения проблемы связанной с php2shell? А не могли бы нам предоставить информацию, чтоб мы не переживали за supply chain риски? И вот что тогда они ответят своим партнерам и кастомерам?! Видимо нечто подобное? "Ребят, не переживайте, мы у рисёрчеров по сотке скупим все уязвимые ендпоинты! У нас все схвачено!" 🤦‍♂️

Тот момент, когда формулировка «в подчинении N человек» становится весьма неоднозначной. И, я так понимаю, сертификат по BDSM будет плюсом для кандидата? 🤔️️️️️️

Вернул себе прекрасное чувство, когда посиделка вечером у монитора обернулась интересной находкой🦾️️️️️️ А для одной конторки неделя начнется с неприятных открытий и парочки инцидентов💁‍♂️

Ребят! Если вы задержались сегодня на работе - то я не при делах 😂💁🏻‍♂️

Надеюсь уже обновляете свои пыхи? Если нет то очень советую. Попутно можно прочитать весь рисёрч ребят, которые подарили нам этот незабываемый день. https://calif.io/php2shell/

Кажется нас ждёт очень жаркий php2shell-day. Закупите заранее redbull для security и soc команд. Нас ждут сразу две баги уровня CVSS v4.0 9.2. 🥲️️️️️️ Полная информация об уязвимости в основном ядре всех версий PHP, которую можно использовать удаленно, будет опубликована завтра/сегодня, 21 октября в 14:00 UTC. Если в вашей организации есть PHP-приложения, доступные из Интернета, вам необходимо быть готовым установить исправление сразу же после выпуска обновления или серьезно рассмотреть возможность отключения приложения от сети до тех пор, пока вы не сможете обновить всю систему. https://www.php.net/index.php#2026-10-20-1

Помните как израильские спецслужбы провели солидную supply chain атаку на пэйджеры? Кажется профессионалы из этой же области смогли провернуть солидную supply chain атаку на производителя холодных кошельков Ledger. Сперва supply chain атаку поймали на устройствах купленных в Сингапуре (CryptoBilis). Теперь фиксируют скомпроментированные девайсы в Германии (Aqipa поставщик с торговыми сетями MediaMarkt, Saturn, Cyberport). Умельцы хакеры смогли внедрить "скимер", который пробрасывает информацию через припаяный sim модуль внутри устройства. Даже интересно как теперь сам Ledger распутает эту историю. И куда улеталии сид-фразы от скомпроментированных девайсов. https://x.com/0xJohannes_/status/2109634513957527974?s=20

В жизни каждого человека бывают моменты, когда зашёл не в ту дверь. В какую дверь стоило бы идти и почему? 🤔

Отличная возможность послушать батю Франса Роузена, о будующем багхантинга и текущей ситуации. В целом мои прогнозы и выводы совпадает с тем что он рассказал в подскасте. https://youtu.be/1Fql8oQ1Zbs?si=cmUaK9_aA9IUDSi-

Помните Anthropic категорично отнеслись к предложению о взаимодействии с военными структурами? Тогда даже Трамп сказал что использование сервисов Антропиков может быть национальным риском. Как же меняется картина перед надвигающимся IPO. Теперь у них в команде целый бывший директор из ЦРУ(CIA). А еще мне кажется нельзя так просто стать бывшим сотрудником CIA 💁‍♂️ Ну и все кто используется Claude для чернухи - у меня для вас(и ваших дропов) плохие новости. Хотя вы вероятно и без меня это знали 😂

Перепись олдфагов в канале. Если вы поставили лайк, то у меня для вас плохие новости. И вы работает в секьюрити как минимум лет 15 🥲💁🏻‍♂️

С этим хакингом, багхантингом, конфами и рабочими поездками вообще не заметил как лето пролетело😭 Причем на столько задолбался, что уже часы начали тревожную статистику выводить. В итоге план на Q4 - не трогать багбаунти и рисёрчи. Ну и докатывать остатки сезона. А то за этот сезон практически не доставал свой фойл 🥲

Ребята из OpenAI словили шижу и теперь заставляют "верифицированных хакеров" докупать комплект youbiKey. Это такой механизм усиленного security settings в профиле аккаунта. При этом у меня был настроен усиленный фактор через Apple Device и Face_id (да, айфон может стать аппаратным вторым фактором). Но OpenAI это не устраивает и они требуют добавления yubikey. Штош. Теперь деньги с проданных брендированных yubikey они явно смогут отразить в отчетах по прибыли. Помог им своими деньгами перед предстоящим IPO.

Хотелось бы вам столько всего интересного рассказать, показать, написать публикации или даже сделать какие-то крутые доклады. Но я выбрал деньги и тишину 😁💁‍♂️

HackerOne взялся за топов "автоматизаторов" и угрожает им временным отключением аккуанта. Очевидно что 39 репортов за один день - это многовато. Но при этом статистика профиля показывает что чел не присылал херню. Херню в основном шлют те у кого Signal около 4-5 (при максимальных 7). Даже интересно получил ли todayisnew такое же предупреждение🤔

У очередной крупной конторки закончились бабки. Причем компания всегда входила в Top3 лучших программ на HackerOne. Остановите пожалуйста этих школьников с "миллионами за пару месяцев"! А то уважаемым багхантерам с ипотеками становится не по себе. PS: Чем больше будут выносить фиксированный бюджет на security программу. Тем быстрее наступает эффект инфляции. И вот тогда школьники узнают это слово в реальной багбаунти экономике 😉

Респект ребятам. Но у @BlackFan и @r0hack я так понимаю постеснялись интервью брать? 😁 https://www.forbes.ru/young/568852-ne-dumal-cto-smogu-kupit-kvartiru-bez-ipoteki-kak-zarabatyvaut-baghantery