🕷 BugBountyRu

🥷 Как эффективно использовать нейронки: пошаговый гайд для багхантера LLM ускоряют разведку и поиск багов, но часто буксуют на последнем шаге — доказательстве, что эксплойт работает. Тут без ручной работы не обойтись. Как выстроить флоу поиска и подключить LLM к Burp Suite или Caido через MCP, вместо того чтобы просто натравить нейронку на корень? Разбираем в серии гайдов от YesWeHack ⬇️ Claude Code ▪️ Codex ▪️ Gemini CLI @BugBountyRu 🕷 Буст каналу

Информируем об изменениях в работе с сервисом «Консоль» С 1 октября необходимо использовать новый адрес сервиса: app.konsol.ru. Адрес app.konsol.pro больше не является основным для работы. Всем исполнителям, получающим выплаты через «Консоль», необходимо установить новое приложение «Консоль.HRM». Требование распространяется на самозанятых, индивидуальных предпринимателей и исполнителей по договорам ГПХ. Самозанятым также потребуется предоставить банку-партнеру разрешение на формирование чеков. Разрешение оформляется непосредственно в приложении «Консоль.HRM». Для индивидуальных предпринимателей и исполнителей по договорам ГПХ дополнительных действий, связанных с предоставлением разрешений, не требуется. Просим своевременно установить новое приложение, перейти на новый адрес сервиса и выполнить необходимые действия для продолжения корректной работы с выплатами.

Вжух! А у нас большие новости для багхантеров 🔥 Помните, мы обещали обновить механику выдачи мерча? В итоге пошли дальше — полностью переосмыслили систему выдачи мерча для багхантеров. Больше не мы решаем, какой приз вам отправить. Теперь выбираете вы. 🛒 Запускаем VK Bounty Shop — магазин мерча для тех, кто сдаёт отчёты по программам VK Bug Bounty. Как всё работает: сдаёте отчёты → получаете за принятые отчёты багсы → копите их → обмениваете в VK Bounty Shop на то, что хочется именно вам. Худи? Забирайте. Термобутылку? Пожалуйста. Персика? Не вопрос! И главное — багсы не сгорают вместе с кварталом. Можно копить их дальше и забирать то, что хочется, когда накопили нужное количество. 🔎 А ещё сам VK Bounty Shop тоже можно проверить на уязвимости. Отчёт можно сдать на любой платформе в разделе «Другое». За принятые отчёты начислим багсы на покупку выбранного мерча — их количество будет зависеть от критичности уязвимости. Короче, теперь всё просто: вы находите баги — вы и выбираете награду. 🔥Торопитесь в свои личные кабинеты — проверять баланс багсов и выбирать, на что тратить! VK Security | Буст этому каналу #bugbounty #vkbountyshop

Петербург, снова к вам ⚡️⚡️ Год назад впервые привезли наш митап в северную столицу— говорили про AppSec, много общались и в итоге поняли: нам понравилось. Кажется, вам тоже :) Поэтому 29 сентября возвращаемся — уже с VK AI Security Nights’26. В этот раз всё вокруг AI × Security: как использовать AI в безопасности, как защищать сами AI-системы и что уже можно применять в работе прямо сейчас. Зовём всех, кто работает с AppSec, DevSecOps, AI Security, Bug Bounty и другими направлениями безопасности — и хочет оставаться на острие того, как AI меняет нашу индустрию. В программе — реальные кейсы, инструменты, эксперименты, рабочие решения и гипотезы, которые пережили встречу с реальностью. А ещё — дискуссия со спикерами, где можно будет задать вопросы и включиться в обсуждение. После докладов остаёмся на afterparty: музыка, общение и вечерний Петербург 🌃 Количество мест ограничено. Мероприятие будет только в офлайн-режиме. 👉 Регистрация А если едете на ZeroNights — считайте, что это наша pre-party перед конференцией 😎 Увидимся в Питере! VK Security | Буст этому каналу #конференция #митап #aisecurity

Привет, охотники! Нам нужно серьёзно поговорить. ИИ радикально меняет правила игры как в разработке, так и в безопасности. LLM могут отлично ревёрсить, анализировать исходники и проверять сервисы блэкбоксом. За последние полгода мы получили много крутых и критичных уязвимостей, найденных с помощью агентов. Однако бездумное использование ИИ может привести к большим проблемам, причём для всех сторон. В первую очередь — это огромное количество шума, мешающее поймать полезный сигнал.А ведь эта метрика неразрывно связана с «качеством жизни» самих багхантеров: из-за резко возросшей нагрузки на команды безопасности время разбора отчётов тоже значимо увеличивается. Некоторые вендоры уже пересматривают свои программы и снижают награды, а кто-то целиком закрывает багбаунти. Во-вторых — буквально потеря человечности. Когда нам пишут апелляции, созданные с помощью ИИ, либо когда в отчёте не всё однозначно и мы просим уточнений, а в ответ получаем ИИ-слоп, это напрямую сказывается на отношении в спорных ситуациях. А значит, отчёт просто улетит в N/A. Означает ли это, что использовать ИИ запрещено ? Нет, но исследователь обязан придерживаться правил применения ИИ при написании отчётов. Какие типичные проблемы мы замечаем? 1. Искусственно увеличенный объём отчёта. Там, где достаточно 3-4 шагов для воспроизведения, LLM может сгенерировать 20 этапов, которые багхантер копипастит как есть. В результате анализ такого отчёта занимает в 10 раз больше времени. Поэтому: исследователь должен придерживаться лаконичности и самостоятельно суммаризировать отчёт, оставляя только действительно важное. 2. Несуществующие термины, выдуманные формулировки и галлюцинации. Продираться сквозь такой текст в попытках понять, что имел в виду исследователь (точнее, применяемая ИИ-модель), очень сложно. Поэтому: самостоятельно воспроизводите описанное моделью поведение и убедитесь в достоверности. 3. Потеря контекста и теоретические проблемы. LLM может подсвечивать «лабораторные» неэксплуатируемые уязвимости либо ошибки, которые вообще не влияют на безопасность или вовсе не учитывать контекст анализируемого сервиса. Мы считаем, что определение импакта — это часть работы исследователя, ведь за это он получает заслуженное вознаграждение. Поэтому: определите и опишите реальное влияние на сервис. Приложите PoC и обязательно запишите видео-демонстрацию. За все 10+ лет мы не прибегали к блокировкам исследователей, но сейчас вынуждены рассмотреть этот шаг. Пожалуйста, старайтесь не злоупотреблять программой и не создавать искусственную нагрузку. Систематическая отправка непроверенных ИИ-отчётов приведёт к ограничению участия в Охоте. Подробно правила для ИИ-инструментов мы описали на отдельной странице. Познакомьте ваши LLM со ссылкой: https://yandex.ru/bugbounty/llms.txt Призываем к этичному использованию LLM и верим, что это войдёт в негласный «кодекс» профессиональных багхантеров.

🔥 Байпас targetOrigin в postMessage через нормализацию IP Второй аргумент postMessage определяет, какому origin разрешено получить данные. Браузер прогоняет это значение через свой URL-парсер перед любым сравнением, и парсер переписывает некоторые хосты. Хост, состоящий из простого числа, интерпретируется как IPv4 и записывается обратно в точечной нотации — так 2130706433 превращается в 127.0.0.1. Шестнадцатеричные, восьмеричные и короткие формы вроде 127.1 ведут себя аналогично. ➡️ Уязвимый паттерн выглядит так: приложение принимает origin от пользователя и проверяет его регуляркой вроде https?://[^.]+[.]target[.]com, рассчитывая пропустить только поддомены target.com — а затем передаёт проверенное значение в postMessage. Проблема в том, что [^.]+ должен матчить одну метку поддомена, но проверяет он сырую строку целиком и не запрещает слэш — а слэш не точка. Это значит, что строка http://2130706433/.target.com тоже пройдёт проверку: [^.]+ жадно захватывает 2130706433/, а .target.com в конце удовлетворяет оставшейся части регулярки. В результате в код попадает такой вызов: window.postMessage('message_here', 'http://2130706433/.target.com') Однако это не является поддоменом чего-либо. После парсинга хост становится 2130706433, который нормализуется в 127.0.0.1, а /.target.com — это просто путь, который проверки origin игнорируют. Данные уходят на http://127.0.0.1, который контролирует атакующий 🤤 URL Standard: 🔗 IPv4 parser 🔗 IPv4 serializer @BugBountyRu 🕷 Буст каналу

💡 Один принцип, который помогает находить больше багов Огромное семейство багов сводится к одной идее: два компонента получают один и тот же ввод, но понимают его по-разному. Когда это начинаешь видеть, многие баги складываются в одну картину. ➡️ Инъекции: XSS, SQLi, code injection — приложение думает, что это обычные данные, а другой парсер видит там код: браузер, база данных, шаблонизатор или интерпретатор. ➡️ Request smuggling: фронт и бэк по-разному определяют, где заканчивается HTTP-запрос. ➡️ Байпас фильтров SSRF: валидатор URL видит один адрес, а HTTP-клиент после нормализации идёт уже в другое место.

Это называют parser differentials — расхождения между парсерами. Идея простая: не искать только классические баги, а искать место, где есть эти самые расхождения.

Не все классы багов так работают. Например, broken access control живёт по другим правилам. Но для многих технических уязвимостей это сильная модель мышления. Ищешь не тип бага. Ищешь расхождение, а REcollapse тебе в помощь 🥷 @BugBountyRu 🕷 Буст каналу

Как эффективно отслеживать, перехватывать и отлаживать JavaScript sinks в режиме реального времени 🤔 Прокси хорошо показывает HTTP-запросы и ответы, но часть клиентских багов живёт уже внутри браузера: данные попали в JS, прошли через роутер, пару обработчиков, санитайзер — и оказались в innerHTML, eval, document.write, postMessage или другом sink. Для таких кейсов есть Caido DOMLogger++ (похожий функционал имеет DOM Invader в Burp). Он хукает опасные JavaScript sinks прямо в браузере и отправляет события в Caido. В итоге видно, что реально произошло в DOM и JS-контексте. Ключевые фичи: 🔸 Мониторинг sink’ов в реальном времени — фиксирует вызовы JavaScript sink’ов (innerHTML, eval, fetch, postMessage и др.) во время обхода приложения. 🔸 Расширенный поиск и автодополнение — язык запросов с операторами вроде sink.tag.eq:"XSS" AND sink.data.cont:"<script>". По любому полю можно кликнуть, чтобы сразу отфильтровать находки. 🔸 Улучшенные stack traces — обогащение в один клик подтягивает релевантный исходный код из HTTP-кэша Caido и заменяет минифицированные stack frames на читаемый контекст. 🔸 Debug canary — клик по URL находки генерирует ссылку с ?domloggerpp-canary=, которая вызывает breakpoint в точном месте вызова sink’а. 🔸 Управление проектами и сессиями — изолированные базы данных для разных целей, запись сессий для ограничения области находок, массовые операции: экспорт, удаление, AI-оценка. 🔸 AI-оценка эксплуатируемости — интеграция с OpenRouter с поддержкой 100+ моделей. Каждая находка получает оценку от 1 до 5 с помощью настраиваемых условных промптов под разные классы багов. 🔗 Читай подробнее @BugBountyRu 🕷 Буст каналу

⌛️ SSRF через асинхронные задачи и фоновые воркеры Одна из самых недооценённых поверхностей атак для SSRF — асинхронная обработка.

Иногда приложение не отправляет запрос сразу, а ставит задачу в очередь. Через несколько минут или часов её забирает фоновый воркер. Из-за этого уязвимость сложнее обнаружить: в ответе приложения ничего нет, а OOB-колбэк приходит позже и с другого IP-адреса.

Такие механизмы стоит проверять отдельно. Пользовательский эндпоинт может только принять URL, а загрузкой ресурса занимается другой внутренний сервис со своим окружением. Обращай внимание на следующие кейсы ⬇️ ✅ Генерация отчётов. Экспорт по расписанию, аналитические панели и email-дайджесты могут загружать встроенные ресурсы на стороне сервера. ✅ Рендеринг писем. Платформа может скачивать изображения, чтобы встроить их в HTML-письмо как вложения или CID-ресурсы. ✅ Модерация и сканирование. Антивирусные, антифишинговые и другие системы проверки могут обращаться к URL, который передал пользователь. ✅ Индексация и создание превью. Поисковые индексаторы, краулеры и генераторы превью часто запускаются уже после загрузки контента. И не забудь использовать долгоживущий OOB-листенер — Burp Collaborator/interactsh/self hosted 👀 @BugBountyRu 🕷 Буст каналу

🧰 Арсенал скиллов для автоматизации разведки и поиска уязвимостей Recon-skills — проверенный на практике набор готовых инструкций для AI-агентов, которые прокачают разведку и помогут проверять цели по единой методике. Внутри тебя ждут кейсы для ⬇️ ▪️Поиска поддоменов, виртуальных хостов и реальных IP ▪️Анализа JavaScript-бандлов и утекших ключей ▪️Поиска секретов в GitHub ▪️Проверки CORS, XSS, SQLi, SSRF, IDOR и RCE; ▪️Разведки WordPress, облачной инфраструктуры, API, MCP и LLM-приложений ▪️Построения цепочек атак из нескольких находок Каждый навык содержит условия запуска, команды с ограничением скорости, способы подтвердить результат и типичные ошибки. Репозиторий можно подключить к агенту как библиотеку Markdown-инструкций или использовать отдельные сценарии вручную. @BugBountyRu 🕷 Буст каналу

🔍 Black-box фингерпринт reverse proxy

Прежде чем искать байпасы средств защиты, полезно понять, какой reverse proxy стоит перед приложением 🤔 Это помогает выбрать подходящие техники тестирования, понять особенности маршрутизации и быстрее найти потенциальные векторы атак.

Небольшой чек-лист для быстрого фингерпринта ⬇️ 1️⃣ Заголовки ответов на успешные запросы

curl -sk -D- https://target/ -o /dev/null

HAProxy и Traefik не добавляют собственных заголовков, а обычно просто проксируют заголовок Server, который возвращает бэкенд. 2️⃣ Сигнатуры страниц с ошибками

curl -sk https://target:443/nonexistent-path-xyz

Страницы ошибок часто позволяют определить используемый reverse proxy. Например, встроенная страница 403 Forbidden у HAProxy содержит строку "Request forbidden by administrative rules", характерную именно для него. 3️⃣ Subject в TLS-сертификате

curl -skv https://target:443/ 2>&1 | grep "subject:"

Traefik с дефолтной конфигурацией использует автоматически сгенерированный сертификат с CN=TRAEFIK DEFAULT CERT. Это хороший индикатор dev-окружений, хотя в проде обычно используются кастомные сертификаты. 4️⃣ Согласование протокола через Application-Layer Protocol Negotiation (ALPN) Проверь, какие протоколы сервер объявляет через ALPN и какие фактически обрабатывает:

curl -skv --http2 https://target:443/ 2>&1 | grep "ALPN"

Один из самых характерных признаков HAProxy: во время согласования ALPN сервер объявляет только поддержку HTTP/1.1, но всё равно обрабатывает HTTP/2, если клиент проигнорирует результат ALPN и сразу отправит HTTP/2 connection preface. 5️⃣ Метод исключения Если сигнатур Envoy, Caddy, Nginx, Apache и HAProxy нет, вероятно, используется Traefik с кастомным сертификатом. @BugBountyRu 🕷 Буст каналу

Вайб-пентестер сдает проект заказчику

🤩 Максимальные выплаты — за реальную защищенность пользователей Фокусируемся на том, что действительно важно — на приватности и безопасности пользовательских данных. 🔹С 1 июля мы меняем правила программы багбаунти: теперь не важно, какая именно бага найдена, важно — какой импакт она несет. Любые узявимости, которые позволяют получить доступ к данным пользователей будут оцениваться по новой шкале. 🔹 Например, в наших социальных сетях Account Takeover теперь будет оцениваться наравне с RCE. Также оцениваться будут репорты не только в наших социальных сервисах, но и в VK Cloud, VK Workspace и VK HR Tek. 🔹 За нарушение изоляции между проектами пользователей в VK Cloud можно получить до 1 000 000 ₽. В каких программах изменения? 🔹ВКонтакте 🔹Одноклассники 🔹VK Видео 🔹VK Workspace 🔹VK Cloud 🔹VK HR Tek Все существующие категории остаются в силе — мы дополняем программы новыми сценариями, чтобы сделать акцент на защите пользовательских данных. Спасибо каждому, кто помогает делать наши продукты безопаснее 💙 ⭐ Не забывайте и про Bounty Pass: с каждым новым оплачиваемым отчетом можно получить до +5% к каждому следующему вознаграждению. VK Security | Буст этому каналу! #bugbounty #bountypass

🕷 Получаем исходники через открытую директорию .git Ситуация: на таргете доступны служебные файлы Git:

https://sub.target.com/app/.git/index
https://sub.target.com/app/.git/HEAD
https://sub.target.com/app/.git/config

На первый взгляд — просто несколько файлов. На практике этого может хватить, чтобы восстановить исходники приложения. Самый простой путь — использовать GitTools:

bash gitdumper.sh https://sub.target.com/app/.git/ dest-dir
bash extractor.sh dest-dir dest-dir-dump

gitdumper скачает содержимое .git, а extractor попробует восстановить рабочее дерево проекта. После восстановления проверь: ▪️ конфиги и .env, ▪️ API эндпоинты, ▪️ внутренние домены, ▪️ ключи, токены и пароли, ▪️ старые коммиты, ▪️ dev/staging-настройки, ▪️ закомментированный код и debug-ручки. 🔥 Канал в МАХ

🕷 Как быстро добавить скрытые JS chunks в Burp Sitemap Иногда при тестировании таргета в одном JSON-файле можно найти ссылки на сотни .js chunk-файлов, которые ещё не подгружались в браузере. Например: приложение лениво загружает модули, а в манифесте уже лежат ссылки на 300+ JS-файлов. Что можно сделать: 1️⃣ Вытащить ссылки на эти .js chunks → отправить их через Intruder 2️⃣ В таблице результатов Intruder выделить все ответы 3️⃣ Нажать правой кнопкой мыши → Add to Sitemap После этого Burp добавит найденные ресурсы в Site map, и с ними можно будет работать как с обычными файлами, которые ты нашел при ручном обходе приложения. Зачем это нужно: ⚫️ Быстрее собрать скрытые роуты приложения ⚫️ Найти API эндпоинты внутри JS ⚫️ Вытащить фича-флаги и dev-настройки ⚫️ Собрать старые ручки, staging-домены и sourcemaps ➡️ Канал в МАХ

🕷 Шпаргалки по SQLi и XSS для багхантера Когда находишь потенциально уязвимый параметр, важнее быстро перейти к проверке, чем заново вспоминать синтаксис для PostgreSQL, контексты XSS или способы обхода фильтров. Собрали шпаргалки, которые удобно держать под рукой во время ручного тестирования 🔥 SQL Injection / SQLMap ➖ PortSwigger SQLi Cheat Sheet: синтаксис для Oracle, MySQL, PostgreSQL и MSSQL: UNION, задержки, извлечение данных и OAST. ➖ Tib3rius SQLi Cheat Sheet: короткая памятка по пяти популярным СУБД: удобно открыть рядом с Burp. ➖ NetSPI SQL Injection Wiki: большая база по определению СУБД, эксплуатации и эскалации SQLi. ➖ Advanced SQL Injection Cheatsheet: подборка техник и пэйлоадов для более глубокого тестирования. ➖ SQLMap Cheat Sheet от HighOn.Coffee: команды для автоматизации проверки и эксплуатации SQLi через sqlmap. Cross-Site Scripting (XSS) ➖ PortSwigger XSS Cheat Sheet: интерактивная база векторов: можно фильтровать пэйлоады по тегам, событиям и браузерам. ➖ OWASP XSS Filter Evasion Cheat Sheet: векторы для проверки фильтров и понимания, почему одного blacklist недостаточно. ➖ PayloadsAllTheThings — XSS Injection: reflected, stored, DOM XSS, polyglot-пейлоады, обходы CSP и фильтрации ➖ HackTricks — XSS: методика поиска, контексты инъекции и нестандартные кейсы эксплуатации ➖ HowToHunt — XSS: практические подходы к поиску reflected XSS и разбору точек отражения Общие базы для веба ➖ PayloadsAllTheThings — пэйлоады и обходы по основным веб-уязвимостям ➖ HackTricks — методики и техники для веб-пентеста ➖ HowToHunt — практические чек-листы для багхантера ➖ OWASP Cheat Sheet Series — как устроена защита и какие механизмы стоит проверять ➖ PortSwigger-Academy-CheatSheets — база знаний из лабораторий PortSwigger Academy ➖ URL validation bypass cheat sheet — полезно для эксплуатации SSRF, мисконфигов CORS и open redirect ➡️ Канал в МАХ

Ого, что?! Вышел первый выпуск нашего подкаста «Спасибо за репорт» 🎧 Это проект VK Bug Bounty для багхантеров, а также для всех, кто формирует индустрию. Поговорим с топ-хантерами, командами bug bounty-платформ, вендорами и теми, кому не всё равно, как развивается поиск уязвимостей. Гость первого выпуска — Всеволод Кокорин aka Slonser. Разбираемся с ИИ-агентами в багхантинге без восторженных «они всё заменят» и без паники. Что уже работает, что лучше перепроверять три раза и почему хороший результат не получить без реальных знаний. Всеволод как раз из тех, кто разбирается в этом по-настоящему. Он эффективно применяет ИИ-агентов в реальных задачах и точно знает, где они ускоряют работу, а где им не стоит доверять. В выпуске: – как ИИ-агенты меняют поиск уязвимостей? – какие задачи можно отдавать агентам, а какие лучше оставить себе? – где агенты начинают галлюцинировать вместо того, чтобы искать баги? – от чего зависят аватарки Slonser'а? 🍿 Первый выпуск Ставьте лайк, шерьте друзьям, репостите в чатики — будет полезно всем, кто хочет использовать агентов точнее и получать на выходе качественные репорты. Пишите в комментариях: как вам запуск, кого позвать дальше и какие темы разобрать👇👇👇 VK Security | Буст этому каналу! #bugbounty #подкаст