Заметки Слонсера

Почистил канал и хочу его немного переформатировать Мне встречается много прикольных уязвимости и приколов - хочу как то регулярнее о них рассказывать. Если у вас есть прикольные референсы форматов - пришлите в комментарии ( буду благодарен ) Так же 25 числа заканчивается NDA на мой 0day в хроме, я думаю какой формат выбрать для публикации ( сейчас в планах просто грузануть на хабр ), если есть другие идеи реализации материала - предлагайте Ну и для закрепа: Кто я вообще такой? - Slonser - игрок команды  С4T BuT S4D, - сотрудник SolidLab, - учащийся 2 курса университета ИТМО - Гений, багбаунтер, пентестер и филантроп Правила канала: Правил нет, но если вы мне не понравитесь, я вас забаню.

Год начинается с репорта на 0day в net стеке голанга

Все пишут итоги года и я попытаюсь. Что произошло в моей жизни? - Отправил на регистрацию 20 CVE - Поучавствовал в Standoff Hacks x2 - Занял в составе CBS топ 2 мира по ctftime - Нашел серьезный 0day в хроме ( райтап написан, выложу в феврале ) Я не хочу писать много, просто хочу сказать спасибо всем людям, которые были со мной весь этот год А подписчикам желаю удачных находок в следующем году!

Для тех кто не видел. Яндекс открыл XSSmas

XSS в ID, Почте, Диске
400 000 руб. — 500 000 руб.
XSS в прочих сервисах, с возможностью получения чувствительных данных
300 000 руб. — 350 000 руб.
Blind XSS, срабатывающие во внутренних «админках»
250 000 руб.
XSS в остальных сервисах, без возможности получения чувствительных данных
100 000 руб. — 150 000 руб.

Отправил 1 репортик для галочки, Яндекс исправил давние ошибки и начал действовать молниеносно ( пруф на скрине ) Даю вам фору до нового года, так как умер в делах)

Решил завести твиттер

https://twitter.com/slonser_

В нем в феврале выпущу ссылки на свой ресерч браузеров, и то почему все говноеды, а я д'Артаньян

Импакт отсутствует Деньги присутствуют P.S. кто там бб вк хейтил?

Hacks 3 все! На этот раз не все так радостно и денежно оказалось. Но хорошо защищенные сервисы тоже надо ломать.

Для тех кто не был на стэндофф талкс - прочитал доклад про клиент сайд https://youtu.be/OultSpvKLiQ?si=HJkNMHOQapTE9OJ-

Зачитал рэп в эфире moscow hacking week

Одобрили мой доклад на Standoff Talks Рад буду всем кто будет слушать) https://hackingweek.ru/standoff-talks/#!/tab/662239703-1

CVE-2023-5480 Severity: High Bounty: 16000$ Обновляем хромы https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_31.html

🫥 В списке регистраций мы видим не только опытные команды, но и большое количество участников, у которых штурм международных соревнований и рейтинга на CTFtime еще впереди. Понимаем, как иногда бывает тяжело в самом начале, поэтому попросили представителей молодого поколения команды C4T BuT S4D, Севу Кокорина и Ваню Федотова, вспомнить, с чего они когда-то начинали, и дать несколько советов юным участникам 🤭

Сдох

Неожиданно пригласили старого алкоголика на Hacks, буду жестко сдавать Self XSS

Там, где правила игры не позволяют выиграть, английские джентльмены меняют правила.

Небольшой мем из общения с хромиумом

If the spec is not aligned with this, we can update the spec.

То есть что это значит, если код не соответствует спецификации - мы меняем спецификацию.

Отправил свой первый баг репорт в хромиум, посмотрим что из этого выйдет

ВПЕРВЫЕ КУБОК ГУГЛ ЦТФ ПРИЕЗЖАЕТ В РОССИЮ