BI.ZONE Bug Bounty

И долгожданное первое место 🥇 🐞 Поздравляем!

2️⃣место Поздравляем победителя и вручаем ему подарочки! Ждем подробностей об исследовании ;)

Почетное третье место @guleroman 🏆 Поздравляем!

Сегодня здесь 🪲

Что посмотреть и послушать про багбаунти на OFFZONE В этом году на конфе (как и всегда) будет очень много контента. Поэтому мы решили сделать свою подборку из докладов и активностей, на которые вам стоит сходить. 🪲 Доклады Выбирайте, куда хочется копнуть: AI в багхантинге, классический web research, новые поверхности атаки или судьба самого багбаунти. Если хочешь подружить багхантинг с AI: 🔷Кнопка «взломать» не работает Не очередное обещание, что нейронка завтра заменит пентестера, а разбор реальной попытки собрать ИИ-хакера — вместе с тупиками, затратами и рабочими находками. 🔷Траблшутинг ИИ-багхантинга: ошибки, которые убивают ваши репорты Про то, где AI действительно помогает исследователю, а где начинает генерировать проблемы быстрее, чем баги. 🔷Как мы создавали ИИ-пентестера, наш опыт Еще один взгляд на AI offensive security — как за год менялись подходы и что из них реально пережило столкновение с практикой. Если любишь руками копать веб: 🔷Нелогические предположения: ищем RCE в безопасных шаблонизаторах Для тех, кто не очень верит слову «безопасный»: от исследования механики шаблонизаторов до RCE и собственных пейлоадов. 🔷Обход ACL на реверс-прокси за счет разницы URL-парсеров Классический случай «каждый компонент понял URL по-своему» — и появился путь туда, куда пользователя вроде бы не пускали. 🔷Вы что, и IDOR’ы за меня искать будете? Ага! Про одну из самых знакомых багхантерам категорий уязвимостей — но уже с точки зрения автоматизации поиска. Если хочется искать новые attack surface: 🔷Взломать нейровайфу. Как разговор с LLM превращается в атаку на игровую логику Что будет, если LLM перестанет быть просто чат-ботом и получит возможность влиять на действия внутри приложения? На примере игры — путь от разговора с AI до атаки на игровую логику. 🔷Поздравляю, у вас новый API Про API, о существовании которых могут не знать даже их владельцы: shadow и zombie endpoints как еще одно место для любопытного исследователя. 🔷Доверяй, но ретестируй Интересная обратная сторона поиска багов: уязвимость нашли, исправили — а кто проверит, что она действительно исчезла? Здесь эту задачу пытаются отдать LLM-агенту. Если хочется поговорить о самом багбаунти: 🔷GGWP, или Конец ББ После пейлоадов, агентов и автоматизации можно перейти к главному экзистенциальному вопросу: куда вообще движется багбаунти и есть ли повод готовить ему надгробие. 🪲 Активности На стенде BI.ZОNE Bug Bounty собрали активности на любой вкус. Решайте CTF-таски, ищите информацию в OSINT, разгадывайте ребусы про уязвимости и проверяйте реакцию в «Кинь палку». За активности — мерч, сладости, напитки и другие подарки. 🪲 И еще кое-что 20 августа на AppSec.Zone пройдет награждение по итогам BUGS ZONE 8.0. Ждем всех причастных! С нетерпением ждем вас на OFFZONE!

🪲 Лето еще не закончилось, а новостей уже на целый дайджест BUGS ZONE 8.0 идет полным ходом, и мы уже готовим стенд на OFFZONE и ждем встречи с сообществом! Тем временем ENZO собрала главные события последних месяцев во втором выпуске багбаунти-дайджеста. Приятного просмотра 💙

©️ Программа OFFZONE 2026 уже на сайте Вас ждут 7 зон и более 130 спикеров. В программе пока не хватает нескольких докладов с AntiFraud.Zone — добавим их позже. Выступления проходят параллельно, поэтому советуем заранее собрать личное расписание: 1️⃣ Зайдите на сайт с программой. 2️⃣ Отфильтруйте выступления по одному или нескольким уровням сложности: easy, medium или hard. 3️⃣ Отметьте понравившиеся доклады, нажав на значок сердечка. 4️⃣ Все выбранные доклады попадут в «Избранное». И не откладывайте покупку билета: их осталось совсем немного.

🪲 Представьте: две недели закрытого хантинга, потом OFFZONE, а после — афтепати Именно так пройдет BUGS ZONE 8.0. Приглашения скоро отправим багхантерам с лучшими результатами в этом сезоне. 🔵Старт хантинга — 3 августа. 🔵Церемония награждения на OFFZONE — 20 августа. А мы уже готовим для вас стенд на конференцию и наш топовый мерч. Скоро поделимся подробностями. Удачного хантинга!

🪲 Выплаты х2 — получите и распишитесь СберЛизинг повышает вознаграждение. Теперь максимальная выплата за критическую уязвимость — 220 000 рублей. Вот сколько можно получить: 🔹Critical: до 220 000 ₽. 🔹High: до 100 000 ₽. 🔹Medium: до 40 000 ₽. 🔹Low: до 10 000 ₽. В скоупе: корпоративный чат, сайт и два личных кабинета — для клиентов и подрядчиков. Пора на охоту ;)

Сегодня отправили нашего любимого руководителя продукта на прогулку на свежем воздухе ✌🏻🥹✨ Прочитать доклад, провести практические консультации и просто хорошо провести с вами время.

Уже завтра в 13:10 на Сцене практики Андрей Левкин расскажет все об ИИ-репортах и как сделать из них конфетку. Ждём вас на CyberCamp ❤️🪲