NEW BOT Телеграм, страница

🕷 BugBountyRu

Госдума отклонила законопроект о легализации «белых хакеров» – Минцифры в ответ уже готовит новые предложения: требования к поиску уязвимостей и ответственность за их нарушение.

Речь идет о хакерах, которых компании самостоятельно привлекают к тестированию своих информсистем на уязвимости. Вопрос легализации их деятельности в России публично обсуждается с лета 2022 года, когда Минцифры занялось проработкой возможности ввести в правовое поле понятие bug bounty — поиск уязвимостей в софте за вознаграждение.

Однако в Госдуме посчитали, что законопроект не учитывает особенности информационного обеспечения работы госорганов – она регулируется законодательством о гостайне, об информации, а также о безопасности критической информационной инфраструктуры.

1.67K views16:51

🕷 BugBountyRu

💡 Фича-флаги для багхантера

Обращайте внимание на всё, что в HTML содержит featureFlag или просто flag. Часто разработчики проводят A/B-тесты, и фичи «выключены» у вас на глазах.

Иногда достаточно:

▪️поменять false на true,
▪️или добавить строку в массив через match-and-replace в Burp.

⚙️ Больше включённых фич → больше функциональности → шире зона охвата → больше уязвимостей. Проверяйте скрытые возможности — они любят ломаться первыми.

Please open Telegram to view this post

VIEW IN TELEGRAM

👍11

1.72K views16:23

🕷 BugBountyRu

😈 Использование больших файлов в Burp Intruder

Просто напоминаем: если ты хочешь работать с большим файлом в Burp Intruder (условный rockyou.txt), НЕ ИСПОЛЬЗУЙ Load ... в Simple list. Simple list предназначен для простых словарей и загружает весь файл в GUI.

Большой файл повесит Burp, что может привести к потере данных проекта. Вместо этого используй Runtime file!

P. S. Скорее всего, увеличение оперативки не поможет 🤷‍♂️

Please open Telegram to view this post

VIEW IN TELEGRAM

👍12

1.67K viewsedited 16:32

🕷 BugBountyRu

https://habr.com/ru/companies/pt/articles/929628/

Хабр

Начинаем в багбаунти: топ-10 (или нет?) инструментов для профессионального похека

Привет, Хабр! На связи Сергей Зыбнев aka poxek. Начинал свой путь в пентесте как сисадмин, потом заведовал WAF в «МТС», затем несколько пентестерских компаний, а теперь работаю в « Бастионе » и...

👍6

1.23K views10:10

🕷 BugBountyRu

🐧

Unix-style подход к тестированию веб-приложений

Burp Suite можно расширять, но глубокая кастомизация требует глубокого погружения и больших затрат. Решение — инструмент Piper, который интегрирует внешние инструменты и их пайплайны в Burp Suite.

Расширение может передавать HTTP-запросы и ответы из Burp во внешний софт, а затем передавать результат их выполнения обратно в Burp.

💡

С помощью Piper можно создавать:

🟡

Commentators: отображение вывода внешней программы в Proxy History как комментариев

➡️ Например, криптографического хеша запроса.

🟡

Highlighters: выделение элементов в истории прокси по содержимому

➡️ Например, если HTTP-ответ включает элементы из словаря.

🟡

Message Viewers: отображение HTTP-сообщений с кастомным форматированием

➡️ Например, структур Protobuf с использованием protoc.

🟡

Context Menu Items: вызов внешних инструментов из контекстного меню

➡️ Можно использовать внешнюю графическую утилиту для сравнения HTTP-сообщений.

🟡

Intruder Payload Generators: генерация пэйлоада для Intruder с помощью внешних инструментов

➡️ Можно заставить Intruder использовать пароли, генерируемые John the Ripper.

🟡

Intruder Payload Processors: преобразование пэйлоада Intruder

➡️ Можно применить base64-кодирование с кастомным алфавитом с помощью внешнего скрипта.

🟡

Macros: использование внешних инструментов как части макросов

➡️ Можно автоматически генерировать предсказуемые CSRF-токены для каждого исходящего запроса.

🟡

HTTP Listeners: преобразование исходящих и входящих HTTP-сообщений

➡️ Можно использовать внешний Python-скрипт для обработки кастомного шифрования.

Please open Telegram to view this post

VIEW IN TELEGRAM

Please open Telegram to view this post

VIEW IN TELEGRAM

👍5

1.43K views14:02

🕷 BugBountyRu

🕷 Как скраулить список целей и отфильтровать статические файлы с помощью нескольких флагов katana:

▪️

-d: максимальная глубина сканирования

▪️

-kf: включает сканирование известных файлов

▪️

-jc: включает разбор и сканирование эндпоинтов в JS-файлах

▪️

-fx: извлекает элементы форм, поля ввода, текстовые области и выпадающие списки

▪️

-ef: фильтрует вывод по указанным расширениям

▪️

-o: имя выходного файла

katana -u subdomains_alive.txt -d 5 -kf -jc -fx -ef woff, css, png, noscript, jpg, woff2, jpeg, gif, noscript -o allurls.txt

Please open Telegram to view this post

VIEW IN TELEGRAM

👍10

1.87K views06:02

🕷 BugBountyRu

🤖

XBOW — топ-1 в мире на H1

Впервые автономный ИИ-багхантер возглавил мировой рейтинг, а ты продолжаешь тыкать кавычки. Это не прошлое и не будущее — это настоящее!

💭

Что скажете?

Please open Telegram to view this post

VIEW IN TELEGRAM

👍13

1.83K views15:47

🕷 BugBountyRu

Sofline Security Summit

👍10

1.42K views07:11

🕷 BugBountyRu

🕷

Повышение эффективности разведки с помощью reverse DNS

В разведке все методы хороши, особенно когда речь идет о больших скоупах. Reverse DNS и анализ SSL-сертификатов — тот самый необходимый минимум.

😵 На помощь приходят как онлайн-сервисы, так и опенсорсные инструменты:

⚙️

hakip2host — принимает список IP-адресов через stdin, а затем выполняет ряд проверок и возвращает соответствующие доменные имена.

▪️Поиск PTR-записей в DNS
▪️Subject Alternative Names (SANs) в SSL-сертификатах
▪️Common Names (CNs) в SSL-сертификатах

⚙️

dnsx — быстрый и многофункциональный тулчейн от ProjectDiscovery для работы с DNS.

$ echo 173.0.84.0/24 | dnsx -silent -resp-only -ptr

Please open Telegram to view this post

VIEW IN TELEGRAM

1👍10

1.96K views06:02

🕷 BugBountyRu

Make Ancient Sumer Great Again: XSS Payload Written In Linear B language

𐀀='',𐀁=!𐀀+𐀀,𐀂=!𐀁+𐀀,𐀃=𐀀+{},𐀄=𐀁[𐀀++],𐀅=𐀁[𐀆=𐀀],𐀇=++𐀆+𐀀,𐀈=𐀃[𐀆+𐀇],𐀁[𐀈+=𐀃[𐀀]+(𐀁.𐀂+𐀃)[𐀀]+𐀂[𐀇]+𐀄+𐀅+𐀁[𐀆]+𐀈+𐀄+𐀃[𐀀]+𐀅][𐀈](𐀂[𐀀]+𐀂[𐀆]+𐀁[𐀇]+𐀅+𐀄+"('𐀀𐀁𐀂𐀃𐀄 𐀅𐀆𐀇𐀈')")()

👍7👎1

2.84K views11:18

🕷 BugBountyRu

Боже, дай мне знак, какой дистрибутив выбрать.

Бог:

1👍20

1.48K views10:37

🕷 BugBountyRu

🕷

Versioned comments как инструмент для эксплуатации SQL-инъекций

В MySQL и ее форках можно использовать versioned comments, что позволяет в некоторых кейсах с точностью узнать версию СУБД.

Допустим, у тебя потенциальная SQLi в параметре id, но атака возможна только в слепом режиме, и ты не знаешь тип/версию СУБД.

👉 Попробуй заменить значение параметра на:

/*!50000 <id_value>*/

Если страница вернёт тот же контент, что и при обычном id, значит, скорее всего, приложение использует MySQL, форки или совместимые СУБД с версией ≥ 5.0.0.

Дальше можно играться с числами (/*!51000 ...*/, /*!51010 ...*/ и т. д.) и нащупать точную версию без вызова функции version().

Такой кейс позволяет обнаружить MySQL и заодно часто обходить WAF — фильтры могут просто игнорировать эти конструкции.

🌡 Логика простая: часть внутри /*!<число> ...*/ выполнится только если версия БД ≥ этого числа. Это даёт возможность прятать пэйлоад прямо внутри комментариев.

Кстати, sqlmap уже умеет использовать этот кейс через tamper. А если число не указано (например, просто /*! ... */), то содержимое выполняется всегда.

Please open Telegram to view this post

VIEW IN TELEGRAM

👍5

1.78K views11:36

🕷 BugBountyRu

👍26

1.52K views10:25

🕷 BugBountyRu

👍15

1.38K views10:37

🕷 BugBountyRu

This media is not supported in your browser

VIEW IN TELEGRAM

🕷

Фаззинг регулярных выражений методом чёрного ящика

REcollapse генерирует пэйлоад для байпаса валидаций/WAF и обнаружения нормализации в веб-приложениях. Новая версия добавляет:

📌 Mode 6 для тестирования на устойчивость к изменениям регистра (case folding/upper/lower)

📌 Mode 7 для тестирования на устойчивость к усечению байтов (byte truncations)

Как использовать:

$ recollapse -e 1 -m 1,2,4 -r 10-11 https://legit.example.com
%0ahttps://legit.example.com
%0bhttps://legit.example.com
https%0a://legit.example.com
https%0b://legit.example.com
...

$ echo "a@b.com" | recollapse 
%00a@b.com
%01a@b.com
...

$ echo "<noscript/onload=alert(1)>" | recollapse | ffuf -w - -u "https://example.com/?param=FUZZ" -mc 200,403,500

Please open Telegram to view this post

VIEW IN TELEGRAM

👍8

1.78K views13:47

🕷 BugBountyRu

Forwarded from SecuriXy.kz

🧠 HexStrike AI - автопентест фреймворк.

Раньше Penterra была доступна только корпорациям и ограничена. Теперь есть HexStrike - бесплатный опенсорс-фреймворк на LLM, который делает больше и лучше. Понятно, что это лишь начало, но уже фиксируются случаи его применения для эксплуатации багов Citrix и продажи взломанных NetScaler этим инструментом.

⚙️ Возможности:
+ MCP-сервер с клиентами - можно работать командой
+ Автоматизация 150+ инструментов: OSINT, веб-скан, инфраструктура, привилегии
+ ИИ-агенты сами выбирают утилиты, параметры и стратегию
+ Поддержка цепочек: поиск → эксплоит → шелл → постэксплуатация
+ Визуальные дашборды и прогресс
+ Логи и воспроизводимость шагов - удобно для отчётов и ресерча

🎯 Для кого: пентестеры, purple-team, багхантеры и исследователи

🔮 В v7.0 планируется: десктоп-клиент, one-command install, Docker, ~250 тулов, Selenium-анализ веба с антидетектом, runtime JS-чек, многозадачность, API для CI/CD

📎 GitHub: https://github.com/0x4m4/hexstrike-ai

👍1

1.23K views06:48

🕷 BugBountyRu

🕷

Распространённые HTTP-заголовки, используемые обратными прокси-серверами

Подделка HTTP-заголовка может выстрелить в самой разной форме — от SSRF и DoS до open redirect, XSS и других багов, связанных с контролем доступа.

📌

Самые распространенные заголовки для тестов:

❣️ Общие: X-Forwarded-For, X-Forwarded-Host, X-Forwarded-Proto

❣️ Nginx: X-Real-IP, Forwarded

❣️ Apache: X-Forwarded-Server, X-Real-IP, Max-Forwards

❣️ Envoy: X-Envoy-External-Address, X-Envoy-Internal, X-Envoy-Original-Dst-Host

Автоматизируем одной командой:

ffuf -w headers.txt:HEADER -w payloads.txt:PAYLOAD \
  -H "HEADER: PAYLOAD" \
  -u https://target.com/admin \
  -mc 200,301,302

Please open Telegram to view this post

VIEW IN TELEGRAM

1👍7

2.09K views09:18

🕷 BugBountyRu

👍9

1.9K views17:04

🕷 BugBountyRu

0:05

This media is not supported in your browser

VIEW IN TELEGRAM

🕷

Приватный режим в Burp Suite

Кейсов использования этой фичи много, поэтому в «нужный момент» просто нажми F12.

➡️

Ссылка на исходники Privacy.bambdas

Please open Telegram to view this post

VIEW IN TELEGRAM

👍8

1.63K views09:12

🕷 BugBountyRu

0:45

This media is not supported in your browser

VIEW IN TELEGRAM

🕷

Байпас WAF за счет манипуляции лимитами веб-запросов

Большинство WAF имеют ограничения на объем данных, обрабатываемых в теле запроса. Для HTTP-запросов с телом (POST, PUT, PATCH и т.д.) обычно можно обойти WAF, просто добавив в начало запроса мусорные данные.

🥷 Как это работает:

✅ WAF обрабатывает только первые n байт запроса
✅ Все, что превышает лимиты WAF, проходит без анализа
✅ Пэйлоад размещается после мусорных данных

В прошлом году команда Assetnote представила nowafpls — простое расширение Burp (Caido тоже поддерживает) для обхода WAF путем вставки мусорных данных в репитере.

От тебя требуется добавить в Burp nowafpls.py, выбрав тип расширения Python. Дальше — дело техники — выбрать объем вставляемых данных или добавить произвольное количество с помощью опции Custom.

Please open Telegram to view this post

VIEW IN TELEGRAM

👍8

1.78K views06:08

About

Blog

Apps

Platform