Bugbounty Tips

⚠️ From Profile Picture to Full Account Takeover! Ever wondered how a simple SVG upload can lead to total admin control? In this article, I demonstrate a real-world Stored XSS attack — from uploading a malicious profile picture to hijacking a high-privilege account, all without any user interaction. 🧠💥 👉 Read the full write-up:

https://medium.com/@EroHack/from-profile-picture-to-account-takeover-stored-xss-in-action-fe43d29cfd99

نکته مهم در تست‌های امنیتی API وقتی داری روی یک برنامه باگ‌بانتی یا پروژه تست نفوذ کار می‌کنی، مخصوصاً برای کشف آسیب‌پذیری‌های: - IDOR (Insecure Direct Object Reference) - BAC (Broken Access Control) - Authorization Issues حتماً به این نکته توجه کن: همه‌ی اندپوینت‌ها رو تست کن! مهم نیست اگر ۹۹ تا از ۱۰۰ اندپوینت امن بودن، فقط همون یک مورد آسیب‌پذیر ممکنه کل سیستم رو به خطر بندازه. همیشه با انواع ورودی‌ها تستتونو تکمیل کنین مثل: - null - 0 - -1 - 9999999 - true / false - "" (رشته خالی) - [] (آرایه) - {} (آبجکت) - float / int 📌 حتی اگر پلتفرم ایرانی باشه یا خارجی، تجربه ثابت کرده که با تست خلاقانه و روش‌های مختلف، آسیب‌پذیری پیدا میشه! Golden Tip for API Security Testing When you're working on a bug bounty program or a penetration testing project, especially for discovering vulnerabilities like: - IDOR (Insecure Direct Object Reference) - BAC (Broken Access Control) - Authorization Issues Pay close attention to this tip: Test every endpoint! It doesn't matter if 99 out of 100 endpoints seem secure — that one vulnerable endpoint could compromise the entire system. 🧪 Always test with different input types such as: - null - 0 - -1 - 9999999 - true / false - "" (empty string) - [] (array) - {} (object) - float / int 📌 Whether you're dealing with an Iranian or international platform, experience shows that creative and diverse testing often reveals vulnerabilities. #bugbounty #pentest #websecurity #IDOR #Authorization #rootdr

سلام دوستان من  برای یک موقعیت ریموت به دنبال همکاری هستم. اگر در شرکتی که مشغول هستید نیاز به نیروی Penetration Tester دارید با من ارتباط بگیرید. ممنون میشم به اشتراک بگذارید❤️ @rootdr

ایا باگ بانتی؟ پن تست؟ یا حتی ردتیم جلوی نفوذ به سازمان ها را خواهند گرفت؟ بررسی چندین ادعای جنجالی و موضوعات مهم و پیچیده به زبان ساده حتما برای عزیزانتون و به خصوص اعضای خانواده ارسال شود که این روزها به شدت مراقب افراد سودجو باشند ❤️🙏🏼 https://www.instagram.com/reel/DL24BC0CslQ/?igsh=MXZ0MTY2cnRqbTQ0eg==

🔥 A simple but profitable vulnerability! In this video, we dive into HTML Injection — a basic bug that, with a bit of creativity, can turn into a $1,000+ bounty in real bug bounty programs 💸 You'll learn how to take a low-severity issue and report it in a way that maximizes its impact and reward. 👉 For a full technical breakdown and step-by-step guidance, check out the full video on YouTube: 🤌🏼Instagram: https://www.instagram.com/reel/DLm4ItbN4-1/?igsh=MWR0ZDA5MGg3YTgzMA== 📺 Watch here: https://youtu.be/3BqiLlrtCbc 🔔 Channel: @pentesterlanden

if u online from iran Dm me.

Are u connected?

It was successfully done! Where are the 8200 officers? Oh, we forgot, you hid in the mouse hole out of fear... @Handala_Channel #Handala

❌ هشدار امنیتی مهم ❌ ⚠️ یگان فارسی‌زبان ارتش اسرائیل (یگان ۸۲۰۰) در فضای مجازی به شدت فعال است. این افراد با اکانت‌های جعلی خود را به عنوان مردم عادی جا زده و در تلاشند تا اطلاعات جمع‌آوری کنند. آن ها بدنبال اطلاعاتی نظیر محل برخورد ، محل پرتاب موشک و جزئیات حملات هستند لطفاً از نوشتن مواردی همچون «کجا رو زدن» یا «صدای انفجار از کدوم سمت اومده» خودداری کنید! حتی ساده‌ترین اطلاعات می‌تواند به آن‌ها کمک کند تا هدف بعدی را شناسایی کنند. اکانت‌های با پشتیبانی موساد به صورت هدفمند به کاربران ایرانی در تلگرام پیام می‌فرستند. اگر کسی به شما پیام داد و لینکی ارسال کرد، فوراً او را بلاک کرده و به هیچ وجه وارد آن لینک‌ها نشوید. لطفاً اطلاع‌رسانی کنید تا کسی به دام این افراد نیفتد. 🇮🇷@IranCyber_Org

جالبه برای موج اول پدافندا تداخل سایبری داشتن که دشمن تونسته عملیات اول و اصلی رو پیاده سازی کنه.

سلام به همه، یک اسکریپت پایتونی آماده کردم که ساب‌دامین‌ها رو از فایل‌های JavaScript، هدرهای CSP و کد HTML خام سایت هدف استخراج می‌کنه. متأسفانه در حال حاضر به حساب گیت‌هابم دسترسی ندارم و مطمئن نیستم بتونم اون رو بازیابی کنم یا نه. فعلاً این اسکریپت رو اینجا باهاتون به اشتراک می‌ذارم تا بتونید ازش استفاده کنید، تا زمانی که گیت‌هابم رو بازیابی کنم یا یک اکانت جدید بسازم. منتظر ابزارها و تحقیق‌های بیشتری باشید! 🔗 https://t.me/rootdr_research

دوستان مراقب باشید با دقت و مطالعه دقیق شرایط قرار داد با اینطور پلتفرم ها همکاری کنید هکروان جدیدا خیلی خیلی سختگیر تر شده.

اگر دوست داشتید این پیام مهم و نجات بخش رو به اشتراک بگذارید: بابت پیگیری ها تمام عزیزان ممنونم، به شدت به دو‌نکته دقت شدید کنید: 1. اگر تدریس میکنید حواستون به شدت باشه که چه چیزایی رو دمو میکنید یا لایو پیدا میکنید چون با همون تیکه ویدیو میشه زیرپاتون رو خالی کرد 2. اگر برای بقیه ریپورت میفرستید که اینکار خیلی رخ میده فقط و فقط برا افراد مورد اطمینان انجام بدید، زیرا اگه یه ریپورت رو شما برا یکی بفرستید بعد اونم عین همون ریپورت رو به یه اکانت دیگه هم بفرسته برا ضربه زدن به شما، درجا بن می شوید راجب این اتفاقی هم که افتاده غمتون نباشه تو این دوماه باگ کراد عزیز ۵۰ کا داد برا تابستون همین مبلغ و بیشتر رو هکروان باید بده❤️😁تا وقتی میتونید از سرجاتون بلند شید از زمین خوردن نترسید آمدیم، دیدیم، فتح کردیم وقتشه بریم رو پلتفره ها دیگه

این تایپ ایونت ها علاوه بر بحث شرکت در یه برنامه باگ بانتی پر از فرصت یادگیری،محک زدن خود، ارتباط با بقیه دوستان و تبادل دانش با همدیگه است، هرموقع همچین ایونت هایی برگذار شد و شرایطشو داشتین حتما شرکت کنین… ممنون از بلو بابت مهمون نوازیشون💙