Яндекс | Охота за ошибками

Конкурс, посвящённый поиску XSS, завершён! ✅ За этот месяц мы получили от вас почти сотню XSS. Половину уже разобрали и резолюцию уже объявили, над второй половиной работаем :) А пока что можем поделиться промежуточными результатами: > Исследователи смогли найти способы, как добраться до httponly cookies. > Сервис-воркеры снова в моде. Похоже, потому что о них недавно были доклады на ИБ-митапах. > XSS на бескуковых доменах в совокупности с другими багами могут представлять вполне весомый импакт. Но подчеркнём: именно в совокупности. > Если вы не следите за postMessage-«трафиком» (хотя бы таким расширением), то можете упустить приличную долю находок. Спасибо всем участникам, ждём от вас новых отчётов! ⚪️

А вы видели мерч «Охоты за ошибками»? Помимо денежной награды (куда без неё!), мы хотим дарить нашим хакерам что-то физическое и осязаемое. Иногда тёплое, иногда плюшевое — а иногда просто забавное. 🎁 В декабре мы отправили первые посылки нашим самым активным охотникам. Идей у нас очень много, вручать будем по разным случаям, так что ждём ваших крутых отчётов! Удачной охоты! ✌

Знаете ли вы о нашем втором конкурсе по защите данных? В этот раз мы ищем уязвимости доступа к данным через client-side (XSS, WebSockets, postMessage, JSONP, XSSI и др.). ⚡ Конкурс продлится до 31 января, в это время награда за интересующие уязвимости увеличена в несколько раз. Вы сможете получить до 500 тысяч рублей за обнаружение потенциальной угрозы. 🎁 Все подробности можно прочитать вот здесь.

Привет! Теперь у нас есть свой канал про «Охоту за ошибками» — Bug Bounty в Яндексе. Здесь будут анонсы конкурсов, обновления в наградах или правилах, статистику по отчетам, приглашения на мероприятия и другие полезные новости для багхантеров. А ещё тут можно будет встретить технический контент от инженеров-безопасников Яндекса — тех, кто лично занимается нашей «Охотой за ошибками» — например, раскрытие интересных отчетов. Если хотите первыми узнавать о важных запусках, подписывайтесь на канал @yandex_bugbounty Удачной охоты! 🥂