Охват к подписчикам
186,3%
ERR
Реакции к просмотрам
1,01%
1 180 на 21 постов
Пересылки к просмотрам
1,17%
1 364
Постов в день
0,0
всего 21
Где отзываются чаще
доля реакций к просмотрам- 24 дек.Пентест минцифры зашёл слишком далеко3,42%
- 31 дек.Вот и подходит уже новый 2026 год. Так что пора подвести черту 2025 года, а так же подумать что нас ждёт в 2026 году. Букв много, можете просто прочитать послесловие) [Выступления] В этом году получил первый масштабный опыт выступления на международных конференциях, выступать в Японии и Корее оказалось не простым вызовом. Но обрадовала, что реакция публики была положительной - https://metamask.io/news/metamask-security-report-march-2025 Ну и по традиции повыступал где хватило времени в России. Пытаюсь слишком часто из дома не вылазить (Так как не хочу рассказывать одно и тоже по кругу, да и будет грустно если мое лицо публике наскучит) Но до сих пор всегда рад прийти на чашечку чая (или чего покрепче) на коммьюнити конфы [Движуха] Не очень много участвую в "движе" российского ИБ сообщества, но иногда куда-то зовут. Очень приятно всегда увидеть уже знакомые лица и ещё более приятно видеть новые лица - вы все лучшие) Из того что запомнилось: В Декабре было много мероприятий (сливать то бюджеты куда-то надо под конец года) Попал на вечеринку Wildberries под новый год, хотя я сам не ханчу на ВБ - видно как ребята стараются улучшать свою программу и держать коннект с комьюнити, это золотого стоит. Можете подписаться на них и занести "CRITICAL SELF RCE" под бой курантов, чтобы не расслаблялись на дежурстве) Так же в декабре попал на ивент на тинька, багов не особо не занес. По традиции занес 1 багу и забрал "Мамину радость" за лучшее ИИ оформление отчетов. Забавно что этот ивент вынудил меня сдать первый баг на стендоффе за год, но об этом позже. Так что любимый желтый банк не забываем, ребята как были солнышками так и остаются, ничего не меняется. Ну и конечно отдельный респект ребятам из VK и бессменным царям их программы @s3n_q и @wellenc_lex. Кажется мало кто будет спорить если я скажу что из Российских компаний ВК сейчас больше всего вносит в сообщество, от VK Security Confab (где мне так же посчастливилось выступать) до кальянной зоны на ZeroNights. Короче уважаемый вклад в сообщество, подпишитесь если ещё не подписаны - t.me/vk_security [ББ] Глава краткая, если говорить кратко, то на российском ББ я почти ничего не репортил Было пару репортов в Яндекс и MAX, в этом году преисполнился в использовании AI агентов и сейчас пытаюсь дооформлять свои наработки в цельный рабочий тулкит, чтобы багхантить руками не пришлось AI остается с нами на всегда, даже на моих тестах он уже успешно зарабатывает деньги, так что даже самым большим скептикам рано или поздно придется внедрить в свои процессы. Думаю уже в 2026 поделюсь инсайдами по своим решениям. Так же думаю в первой половине 2026 можете ожидать очень громкий ресерч от меня, на который я потратил очень много сил и которым очень горжусь) [CTF] Ну и конечно играл в CTF, в этом году мы выпали из мирового топа 10 цтфтайм (Хоть и остаемся топ 1 командой рф). Причин тому много, первая из них - мы играли много в коллабах, например так выиграли инсомнихак в Швейцарии и играли DEFCON в Вегасе. Вторая причина - CTF требует все же время, а у членов команды его остается все меньше и меньше Несмотря на все это - CTF это до сих пор весело, позволяет кататься по разным странам, знакомиться с интересными людьми. CTF - это жизнь, играйте в CTF. [Послесловие] Вообщем спасибо всем, как обычно лучшее сообщество на земле! Многое забыл, многих не упомянул, но не со зла, нет вайба писать пост дольше 15 минут) С наступающим вас 2026 годом, да прибудет с вами Self-XSS)2,43%
- 9 авг.https://portswigger.net/research/css-the-bomb-inside-your-inbox Очень классный ресерч от Gareth Heyes Как всегда было приятно увидеть себя в References Интересный взгляд на использование CSS, жаль в реалях современного багбаунти такие атаки редко оцениваются по достоинству2,10%
- 28 окт.Сьездили на SAS второй год подряд Пока остаётся топ 1 инфосек конференцией из тех где я был, и в плане организации и в плане докладов - уровень к которому нужно стремиться многим организаторам Ну и конечно поиграли CTF, взяли топ 1, что всегда приятно Надеюсь увидимся со всеми на SAS 20261,64%
- 31 дек.А теперь уже точно всех с новым счастьем) Следующий бокал поднимается за вас всех!1,48%
- 4 июл.Наконец-то гугл запатчили багу которую мы сдавали ещё в ноябре прошлого года Наверное самая креативная бага из тех, что я сдавал В целом описание "Side-channel information leakage" и то что они не могли написать патч несколько месяцев и так отчасти это показывает И да этот баг - часть одного большого ресерча, который надеюсь выйдет осенью, ожидаем)1,47%
- 16 янв.Очень люблю ежегодное голосование от PortSwigger - отличный способ наверстать крутые ресёрчи, которые пропустил за год. Решил собрать клиентсайдные работы, которые точно заслуживают внимания: Make Self-XSS Great Again — от меня Превращаем self-XSS в полноценный stored XSS через credentialless iframes + login CSRF. Плюс абьюз fetchLater() для отложенных действий после закрытия вкладки. (Да, включать свою статью немного нескромно, но она мне реально нравится) https://blog.slonser.info/posts/make-self-xss-great-again/ PermissionJacking: Safari Camera Hijacking — RenwaX23 Кликджекинг unfocused TCC-промптов в Safari. Race condition через resize flicker или double-click для захвата камеры/микрофона/геолокации. https://github.com/RenwaX23/X/blob/master/safari_bug.md Nonce CSP bypass using Disk Cache — J0R1AN Форсим fallback bfcache на disk cache для переиспользования утёкшего CSP nonce. https://jorianwoltjer.com/blog/p/research/nonce-csp-bypass-using-disk-cache Fontleak: CSS Exfiltration via Ligatures — @adragos_ CSS-only эксфильтрация данных без JS. Кастомные лигатуры + container queries помогают удобно слить всю страницу Понравилось что при этом ещё и есть полноценная тулза. https://adragos.ro/fontleak/ Under the Beamer — kevin_mizu DOM clobbering через HTMLCollection + library gadget chain. Зануляем escaping-функцию в рантайме → innerHTML injection → XSS. https://mizu.re/post/under-the-beamer Cross-Site ETag Length Leak — @arkark_ Новый XS-Leak примитив через вариацию длины ETag. 431 статус → navigation failure → детект замены history в Chromium как оракул. https://blog.arkark.dev/2025/12/26/etag-length-leak XSS-Leak: Leaking Cross-Origin Redirects — salvatoreabello Исчерпание connection pool + детерминированная сортировка хостов. Timing oracle для определения cross-origin редиректов без инъекции. https://blog.babelo.xyz/posts/cross-site-subdomain-leak/ SVG Filters - Clickjacking 2.0 — rebane2001 Чтение пикселей cross-origin iframe через SVG filter pipelines. Многошаговый интерактивный кликджекинг. (rebane просто переоткрыл для меня SVG) https://lyra.horse/blog/2025/12/svg-clickjacking/ Forcing Quirks Mode + CSS Exfiltration — arkark_ PHP warnings триггерят quirks mode → ослабленные MIME-проверки. 404 reflection как CSS sink + :valid regex matching + подсчёт фреймов как оракул без сетевых запросов. Работает под strict CSP. https://blog.arkark.dev/2025/09/08/asisctf-quals Next.js Cache Poisoning to XSS — zhero___ Спуфинг внутренних заголовков фреймворка для кэширования SSR JSON как HTML. Cache poisoning → DoS и stored XSS через stale-while-revalidate. https://zhero-web-sec.github.io/research-and-things/nextjs-cache-and-chains-the-stale-elixir --- Конечно, это не полный список и без какого-либо ранжирования - просто то, что привлекло моё внимание больше всего. Думаю, вы не потеряете время, прочитав любое из этих исследований. Надеюсь, в этом году увидим ещё больше интересного Голосование: https://portswigger.net/polls/top-10-web-hacking-techniques-20251,31%
- 18 нояб.На неделе спросили раза 4 почему я юзаю Caido, а не Burp Suite Выкатил ответ маленькой статьей на habr https://habr.com/ru/articles/967644/0,96%
- 8 янв.Немного на днях сгорело как же плоха работа с output MCP Описал то что пришло в голову здесь https://blog.slonser.info/posts/smugglle-ai-ouputs/0,90%
- 21 окт. 2025 г.Сходил к товарищам на подкастик Может кому зайдет0,79%
- 24 нояб.Осознал что не все подписаны на меня в соц сети Илона Маска, поэтому возможно буду дублировать сюда некоторые посты На выходных нашел SQLi в PostgreSQL приложении. Обычно я не пишу про такие находки, но этот случай показался достаточно интересным. Инъекция была path-based (/api/v2/.../INJECTION_POINT/...), и путь не url декодился. Пробелы, слеши, кавычки и скобки приводили к 400 Bad Request. Придумал обход используя dollar-quoting синтаксис PostgreSQL: $$0$$OR-0-$$0$$NOTNULL Как PostgreSQL это парсит: 1. $$0$$ - dollar-quoted строка, автоматически каститься в integer 2. OR - логический оператор 3. -0-$$0$$ - арифметическое выражение 4. NOTNULL - проверка на null (вернет true) Для этого payload нужны всего два не alphanumeric символа: $ и - (минус можно заменить на +). Может быть полезно для обхода WAF (например, Cloudflare это не блокирует) или при похожих ограничениях на символы.0,72%
- 26 маяВо время конфаба записали подкастик Наверное откровений там не найдете, но послушать пока ваши агенты ищут баги - можно https://t.me/vk_security/3820,66%