Porridge reports

Подводим итоги 😪

Аппаратура доехала. Ну примерно что-то такое я и ожидал 😅

Есть на канале старички? Как эту штуку в современных реалиях прочитать можно? 😅

Хочу поделиться интересным информативом в рамках ББ. Как мне кажется тут интересен и сам кейс и связанные с ним показательные моменты отношения к багбаунти и vuln menagement в целом. Допустим у компании есть механизм сброса пароля при обнаружении его в публичных утечках. Казалось бы, функция достаточно полезная, можно только респектнуть за продуманность и заботу о пользователях. Но информация об обнаружении пароля в утечке отдается просто по логину (и неверному паролю). Что может пойти не так? Смоделируем ситуацию: Есть 1 атакующий, с 1 базой, содержащей публичные утечки паролей. Для простоты предположим, что его целью является получение доступа к классическим соц. сетям жертвы (например ВК и инстаграм). Ресурсов у него на перебор данного множества для 1 пользователя. Всего пользователей 10. Пускай у одного из пользователей пароль засветился в публичной утечке. Таким образом, выбрав рандомного пользователя, злоумышленник получает шанс 10% на проведение успешной атаки. Теперь же рассмотрим ситуацию, где «услужливый» сервис сообщит нам, содержится ли пароль пользователя в утечке. Здесь есть проблема, нужно оценить вероятность того, что пользователь использует одинаковые пароли на разных сервисах. Я бы оценил эту вероятность примерно в 50% по своему опыту. (Напишите в комментах как считает много это или мало). Таким образом, за 10 запросов, если пользователь использует тот же утекший пароль, злоумышленник получает нашего пользователя как единственную цель и, уже с вероятностью 50% после перебора попадает в его аккаунты (где данный пароль был переиспользован). Получается в моей модели с моими прописанными вероятностями сервис повысил шансы злоумышленника на успешную атаку с 10% до 50-ти. В рамках ББ это аут оф скоуп, потому что сам сервис защищен. Он сбрасывает найденный пароль и по нему уже не войти, а другие сервисы в рамках программы не рассматриваются. Что думаете, является ли это подставой пользователей со стороны продукта или нет?

Походу бывают

Бывают ли сообщения приятнее?)

Сегодняшняя история на Hackadvisor вдохновила скинуть ржавчину и написать свои мысли в формате полноценного поста. Что имею сказать: Качество триажа стремительно падает вслед за качеством репортов. С одной стороны могу понять площадки и платформы, страдающие от наплыва нейрослопа. С другой стороны, сдавать с нынешним качеством триажа и отношением к репортам, при этом сохраняя непринужденную улыбку на лице и здоровый оптимизм, можно только нейрослоп) Выросло время ответа во всех программах, внимание к отчету значительно снизилось. Многие программы уже официально (или неофициально) снижают выплаты. Когда сдаешь то, что за чашкой чая (или кружкой пенного) натриажил после нейронки - такая ситуация «ок». По себе знаю, что полыхает сильно меньше. Иногда смотрю нейронкой даже те программы, на которые тратить время давно зарекся. С «старорусским» способом поиска уязвимостей все совсем печально. Есть 1-2 программы в которые можно сдавать без боли сзади выстраданные в бою с бурпом и триажем баги. Остальные фактически получают и будут получать сканирование себя со всех сторон различного качества агентами за бабки, превышающие их годовую стоимость в 10-ки раз. В целом туда и дорога

Влог из Standoff Hacks SHANGHAI В этом влоге - взгляд хакера-багхантера, который прошёл весь тернистый путь мероприятия. В нём - вся наша жизнь на офлайн части ивента, где багхантеры раскрываются не только как талантливые исследователи, но и - в первую очередь - как личности. Отличный способ посмотреть, зарядиться и попасть в их число на следующем Standoff Hacks! В выпуске вас ждут: - Лучшие диалоги с топовыми багхантерами - Поездка в Shanghai Disney Resort - Пробуем острую еду с rolegiv'ом - Готовим острую еду с rolegiv'ом - Красная и синяя таблетки by kaban4ik - Мини-интервью с двумя топовыми багхантерами - byq и orwagodfather - Подведение итогов нашего конкурса с porridge И многое, многое другое! Всем приятного просмотра! 🔗Ссылки 💙VK Видео 📹 YouTube

Выбирайте) Если хотите к нам с Ваней - тоже что-нибудь придумаем 😉 meme by @byqwert

Довольно долго не получалось ломать Яндекс, но вот в начале года нашел удачный для себя скоп и пошло. Мораль - если не получается искать - возможно просто не ваш проект. Благо у Яндекса сервисов много 😁

Конкурс в честь Standoff Hacks SHAHGHAI По случаю Standoff Hacks SHAHGHAI мы решили провести активность для наших подписчиков! Пока мы с porridge боремся за место под солнцем, у вас есть отличная возможность побороться за крутые призы. Условия простые: 1. Быть подписанными на каналы: - porridge - rolegiv 2. Написать любой комментарий под этим постом у porridge и указать в нём ссылку на ваш профиль на платформе баг-баунти или в CTF. После окончания Standoff Hacks SHAHGHAI (20 апреля) мы подведём итоги и наградим победителей: 1️⃣ место - уникальный мерч с хакса (Какой? пока секрет🙃) 2️⃣ место - 10.000 рублей 3️⃣ место - 10.000 рублей

Есть у кого-нибудь открытые вакансии в команду Appsec или на аудит web/мобилки? Черканите в ЛС, буду благодарен 🫶

Походу не зря так много людей голосовали за Яндекс. Выплаты правда неплохие, почти везде выше ожиданий

Слушай как участник Standoff Hacks 🥳 Сейчас то время, чтобы исследовать программы из списка конкурса инвайтов под музыку, которая замотивирует и раскачает! Мы попросили porridge — одного из наших багхантеров и участника Standoff Hacks, поделиться треками, которые он включает, когда уходит в багхантинг с головой. Привет всем сопричастным и интересующимся багбаунти! Иногда лучшая музыка для багхантинга — тишина. Однако треки из этого плейлиста позволят не заскучать при обкатке «вельвета» новых программ. Всем удачных поисков и жирных выплат! 💰 А еще ходят слухи, что если участвовать в конкурсе под эти саундтреки, то можно выиграть и попасть на Standoff Hacks в другой стране 🐹 Поэтому слушай плейлист и заряжайся на победу ⬇️ 😉 YouTube | 🎵 Я.Музыка

Сезон VK Security Confab 2026 объявляем открытым! И первая встреча — Bug Bounty Edition. Когда: 19 марта Где: Москва, БЦ SkyLight Есть крутой кейс, полезный лайфхак или история, которыми стоит поделиться с коммьюнити? Приходите выступать! Ждем ваши заявки до 26 февраля. 🔹Хочу выступить! VK Security | Буст этому каналу #confab #митап #bugbounty

Если кто хочет выступить - не стесняйтесь 🤝

ХАКЕРЫ ОТЖИМАЮТСЯ 1000 РАЗ! Пришло время выполнять обещания. Новогодний подкаст репостнули 9 раз (округлим до 10), так что отвечаем за слова - отжимаемся по 1000 раз! Думаете, челленджи заканчиваются? Нет! Вместе с Standoff365 запускаем акцию для новичков: 👉 Кто после выхода этого видео получит первую выплату на платформе Standoff365, получит уникальный мерч. Для получения мерча можете писать мне в ЛС - @rolegiv Всем приятного просмотра! Участники: 🔵 rolegiv_BugBounty 🔵 MrKaban4ik 🔵 Lanyac 🔗Ссылки 💙 VK Видео 📹 YouTube

Иногда, когда читаешь раскрытый репорт или статью на Medium об уязвимости в багбаунти, хочется потрогать это руками и заложить у себя в навыках ту или иную багу немного глубже.😵‍💫 Так вот, в итоге из этой мысли я сделал: https://labs.hackadvisor.io/ Все машинки собраны из публичных репортов и статей ресерчеров. Сейчас можно разворачивать стенд, решать задачи, получать подсказки и разбор уязвимости по итогу. Буду потихоньку пилить интересные машинки из раскрытых отчётов — надеюсь, вы тоже закинете что-то интересное: оно обязательно появится. Сразу дисклеймер: у меня пока небольшой опыт в создании таких заданий, так что где-то может быть шероховато. Но со временем буду делать лучше — и сами задания, и их подачу — и добавлять больше интересных сценариев. В целом Labs — это всего лишь MVP и первый этап будущей полноценной экосистемы HackAdvisor, которая, как и всё для сообщества, совершенно бесплатна. Всех обнял, жду фидбек, баги и фича-реквесты🙌🏻 Ну и, пожалуйста, не ломайте сам Labs (даже если очень хочется) — пока там всё очень хрупко 🫠