Forwarded from Bugbounty Tips
نکته مهم در تستهای امنیتی API
وقتی دارید روی یک برنامه باگبانتی یا پروژه تست نفوذ کار میکنید، مخصوصاً برای کشف آسیبپذیریهای:
- IDOR (Insecure Direct Object Reference)
- BAC (Broken Access Control)
- Authorization Issues
حتماً به این نکته توجه کنید:
همهی اندپوینتها رو تست کنید!
مهم نیست اگر ۹۹ تا از ۱۰۰ اندپوینت امن بودن، فقط همون یک مورد آسیبپذیر ممکنه کل سیستم رو به خطر بندازه.
همیشه با انواع ورودیها تستتونو تکمیل کنین مثل:
-
-
-
-
-
-
-
-
-
📌 حتی اگر پلتفرم ایرانی باشه یا خارجی، تجربه ثابت کرده که با تست خلاقانه و روشهای مختلف، آسیبپذیری پیدا میشه!
Golden Tip for API Security Testing
When you're working on a bug bounty program or a penetration testing project, especially for discovering vulnerabilities like:
- IDOR (Insecure Direct Object Reference)
- BAC (Broken Access Control)
- Authorization Issues
Pay close attention to this tip:
Test every endpoint!
It doesn't matter if 99 out of 100 endpoints seem secure — that one vulnerable endpoint could compromise the entire system.
🧪 Always test with different input types such as:
-
-
-
-
-
-
-
-
-
📌 Whether you're dealing with an Iranian or international platform, experience shows that creative and diverse testing often reveals vulnerabilities.
#bugbounty #pentest #websecurity #IDOR #Authorization #rootdr
وقتی دارید روی یک برنامه باگبانتی یا پروژه تست نفوذ کار میکنید، مخصوصاً برای کشف آسیبپذیریهای:
- IDOR (Insecure Direct Object Reference)
- BAC (Broken Access Control)
- Authorization Issues
حتماً به این نکته توجه کنید:
همهی اندپوینتها رو تست کنید!
مهم نیست اگر ۹۹ تا از ۱۰۰ اندپوینت امن بودن، فقط همون یک مورد آسیبپذیر ممکنه کل سیستم رو به خطر بندازه.
همیشه با انواع ورودیها تستتونو تکمیل کنین مثل:
-
null-
0-
-1-
9999999-
true / false-
"" (رشته خالی)-
[] (آرایه)-
{} (آبجکت)-
float / int📌 حتی اگر پلتفرم ایرانی باشه یا خارجی، تجربه ثابت کرده که با تست خلاقانه و روشهای مختلف، آسیبپذیری پیدا میشه!
Golden Tip for API Security Testing
When you're working on a bug bounty program or a penetration testing project, especially for discovering vulnerabilities like:
- IDOR (Insecure Direct Object Reference)
- BAC (Broken Access Control)
- Authorization Issues
Pay close attention to this tip:
Test every endpoint!
It doesn't matter if 99 out of 100 endpoints seem secure — that one vulnerable endpoint could compromise the entire system.
🧪 Always test with different input types such as:
-
null-
0-
-1-
9999999-
true / false-
"" (empty string)-
[] (array)-
{} (object)-
float / int📌 Whether you're dealing with an Iranian or international platform, experience shows that creative and diverse testing often reveals vulnerabilities.
#bugbounty #pentest #websecurity #IDOR #Authorization #rootdr
👍5🔥3💯3🤨1
📘 معرفی کتاب Web Application Security
✍️ نویسنده: Andrew Hoffman
#EroHack0 #Book #EroHack
اگر به امنیت برنامههای تحت وب علاقهمند هستی یا به دنبال یادگیری روشهای مقابله با حملات مدرن وب هستی، این کتاب یکی از منابع فوقالعادهست!
📌 بررسی انواع حملات (XSS, CSRF, SQLi, SSRF و…)
🛡️ آموزش تکنیکهای دفاعی برای توسعهدهندگان
🔍 تحلیل آسیبپذیریها به زبان ساده همراه با مثال
📥 دانلود کتاب در ادامه ⬇️
✍️ نویسنده: Andrew Hoffman
#EroHack0 #Book #EroHack
اگر به امنیت برنامههای تحت وب علاقهمند هستی یا به دنبال یادگیری روشهای مقابله با حملات مدرن وب هستی، این کتاب یکی از منابع فوقالعادهست!
📌 بررسی انواع حملات (XSS, CSRF, SQLi, SSRF و…)
🛡️ آموزش تکنیکهای دفاعی برای توسعهدهندگان
🔍 تحلیل آسیبپذیریها به زبان ساده همراه با مثال
📥 دانلود کتاب در ادامه ⬇️
🔥3⚡2👍2💯1
یه مقاله کاربردی درباره راههای 🚫 دور زدن محدودیت CORS تو Electron با استفاده از ⚙️ onHeadersReceived و تنظیمات مرورگر. ساده و شفاف توضیح داده
شده 👇
#Electron #CORS #JavaScript #EroHack0
https://pratikpc.medium.com/bypassing-cors-with-electron-ab7eaf331605
شده 👇
A practical article on how to 🚫 bypass CORS restrictions in Electron using ⚙️ onHeadersReceived and browser security settings. Clearly explained and easy to follow
#Electron #CORS #JavaScript #EroHack0
https://pratikpc.medium.com/bypassing-cors-with-electron-ab7eaf331605
Medium
Bypassing CORS with Electron
Using onHeadersReceived
5🤨4💯3👍1👾1
🚨 Advanced XSS Bypass Techniques - New Guide! 🚨
🔗 Check it out and level up your skills:
https://github.com/ERO-HACK/bypassXSS
#XSS #BugBounty #WebSecurity #EroHack
Hey hackers & bug hunters!
Just dropped a comprehensive, deep-dive article covering advanced XSS bypass methods, real-world WAF evasion tricks, and powerful payloads. Perfect for boosting your bug bounty game! 💥
🔗 Check it out and level up your skills:
https://github.com/ERO-HACK/bypassXSS
#XSS #BugBounty #WebSecurity #EroHack
GitHub
GitHub - ERO-HACK/bypassXSS: A curated collection of advanced XSS bypass techniques, including WAF evasions, framework-specific…
A curated collection of advanced XSS bypass techniques, including WAF evasions, framework-specific payloads, and real-world bug bounty cases. - ERO-HACK/bypassXSS
1⚡4👾3👍1🔥1
🎯 Target: Private Website Bug Bounty
📁 Vulnerability: Stored XSS via Support Ticket (Message Field)
#EroHack #xss #bug #BugBounty
🔗 @EroHack0
📁 Vulnerability: Stored XSS via Support Ticket (Message Field)
🧠 Injected a clean-looking payload in a ticket…
💥 Result: Arbitrary JS execution in admin’s browser
🔐 Stole cookies + sensitive session data
🛠️ Outcome: Account Takeover
💰 Bounty: 1,000,000 IRR
⚠️ Severity: High
📖 Read full write-up:
https://medium.com/@EroHack0/exploiting-stored-xss-in-a-payment-support-system-from-payload-injection-to-cookie-theft-7cd538c184f0
#EroHack #xss #bug #BugBounty
🔗 @EroHack0
3🔥6👾4👍2🎃1
A hacker
چطور میشه با پرداخت فقط هزار تومن، یه محصول ۱۰ میلیونی خرید؟ یا اینکه کیف پولت رو بیشتر از حد مجاز شارژ کنی؟ توی این ویدیو قراره این موضوع رو
آسیب پذیری: Bypass payment process
📌 ویدیویی کاربردی درباره اینکه چطوری برخی سیستم های پرداخت رو میشه با ضعف امنیتی دور زد و با پرداخت ناچیز، خدمات یا محصولات گرون رو خرید!
📽️ تهیهشده توسط: رضا مظفری
آسیبپذیریای که امکان دور زدن فرایند پرداخت را فراهم میکند و به کاربر اجازه میدهد بدون پرداخت واقعی، به خدمات یا محصولات دسترسی پیدا کند
📌 ویدیویی کاربردی درباره اینکه چطوری برخی سیستم های پرداخت رو میشه با ضعف امنیتی دور زد و با پرداخت ناچیز، خدمات یا محصولات گرون رو خرید!
📽️ تهیهشده توسط: رضا مظفری
1👍8⚡3🤯2💯1
Media is too big
VIEW IN TELEGRAM
🔐 حملهای پنهان با ظاهر امن!
🎯 توی این آموزش یاد میگیریم که چطور میشه با یک افزونه جعلی وردپرس و ظاهر فریبنده، بدون هیچ نشانه مشکوکی، کنترل کامل یک سایت رو به دست گرفت!
🔗Erohack | 💻Github | 🏷Medium
#WordPress #Backdoor #SocialEngineering #SupplyChain #Security #BugBounty #EroHack
🎯 توی این آموزش یاد میگیریم که چطور میشه با یک افزونه جعلی وردپرس و ظاهر فریبنده، بدون هیچ نشانه مشکوکی، کنترل کامل یک سایت رو به دست گرفت!
📦سناریو چیه؟
ما یک پلاگین امنیتی ساختیم که ظاهرش بینقص و حرفهایه... اما در پشت پرده چی میشه؟
✅ ساخت ادمین مخفی با یوزرنیم و پسورد تصادفی
✅ ارسال اطلاعات ادمینها به ربات تلگرام
✅ دسترسی کامل حتی اگه همه یوزرها پاک بشن!
⚠️ به این نوع حمله میگن:
Social Engineering + Supply Chain Attack
یه ترکیب حرفهای از مهندسی اجتماعی و تزریق بکدور از طریق افزونه وردپرس!
🔗Erohack | 💻Github | 🏷Medium
#WordPress #Backdoor #SocialEngineering #SupplyChain #Security #BugBounty #EroHack
2🎃6🔥2👾1
سلام رفقا، وقت همگیتون بخیر🙌🏻
چند وقته که تبلیغات پکیجها و مدرکفروشیا رو میبینم و دلم میخواد هشدار بدم. اینها معمولاً دو چیز دارن — وعدههای بزرگ، و محتوای کم یا تکراری. مدرکِ «معتمد» که کسی نمیتونه بهش اعتماد کنه وقتی پشتش شفاف نیست: چه کسی صادر کرده؟ چه پروژهای درش انجام شده؟ چه کسی بازخورد داده؟🤔
چند وقته که تبلیغات پکیجها و مدرکفروشیا رو میبینم و دلم میخواد هشدار بدم. اینها معمولاً دو چیز دارن — وعدههای بزرگ، و محتوای کم یا تکراری. مدرکِ «معتمد» که کسی نمیتونه بهش اعتماد کنه وقتی پشتش شفاف نیست: چه کسی صادر کرده؟ چه پروژهای درش انجام شده؟ چه کسی بازخورد داده؟🤔
یادگیری توی امنیت اطلاعات و تست نفوذ یعنی ساعتها تمرین توی لابراتوار، خطا و اصلاح، گزارش دادن مسئولانه و ارتباط با جامعه. هیچ پکیجی شما رو یک شبه هکر نمیکنه. نگاهم اینه که سرمایهگذاری درست یعنی: مدرس با سابقه، پروژههای واقعی، دسترسی به راهنمایی بعد از دوره و شفافیت دربارهی آنچه دریافت میکنید.
یه نمونه خوب هم براتون بگم:
«امیرعماد میرمیرانی، ملقب به جادی» کسی که بدون ادعاهای الکی و مدرکفروشی، سالهاست دانشش رو رایگان و شفاف با جامعه به اشتراک گذاشته. وبلاگ نوشته، پادکست ساخته، کتاب ترجمه کرده و با زبانی ساده مفاهیم سخت رو قابل فهم کرده. خیلی از ماها بدون اینکه حتی اسممون جایی ثبت بشه، از محتوای رایگانش چیز یاد گرفتیم. این یعنی تاثیر واقعی — بدون نیاز به فروش مدرک و وعدههای رنگی.
اگه تا حالا کاری کردید که حس کردید پولتون هدر رفته یا برعکس، دورهای گرفتی که واقعا ارزش داشت، تو کامنتها بگو — کمک میکنیم همدیگه رو راهنمایی کنیم.
و در آخر… به جای اینکه دنبال راههای میانبر باشیم، بهتره روی مسیر واقعی تمرکز کنیم. چون توی این مسیر، حتی اشتباهاتمون میشن تجربههایی که هیچ مدرک و هیچ پکیجی نمیتونه به ما بده. باور کنید یادگیریِ واقعی فقط با عمل و پشتکار میاد، نه با وعدههای رنگی. پس مراقب وقت و پولتون باشید، روی خودتون سرمایهگذاری کنید و مطمئن باشید نتیجهش خیلی شیرینتره.
2👍6🔥3🗿1
Eʀᴏ ··ʜᴀᴄᴋ·· pinned «سلام رفقا، وقت همگیتون بخیر🙌🏻 چند وقته که تبلیغات پکیجها و مدرکفروشیا رو میبینم و دلم میخواد هشدار بدم. اینها معمولاً دو چیز دارن — وعدههای بزرگ، و محتوای کم یا تکراری. مدرکِ «معتمد» که کسی نمیتونه بهش اعتماد کنه وقتی پشتش شفاف نیست: چه کسی صادر کرده؟…»
Forwarded from جادی | Jadi
Media is too big
VIEW IN TELEGRAM
یه تیکه از رادیوجادی ۱۹۹ رو اینجا میارم چون به نظرم دیدن مستقلش مفیده. حرفهای مدیر عامل بخش وب سرویسهای آمازون است در مورد حضور هوش مصنوعی و مسیر شغلی و استخدام تازه کارها در این شرایط. خلاصهاش؟ یاد بگیرین و سعی کنین تحلیل مساله و شکستن مشکل به اجزای کوچکتر رو یاد بگیرین و اتفاقا شرکتهای بزرگ هم باید دائما در حال استخدام نیروهای جونیور باشن تا چند سال بعد نیروی سنیور داشته باشن.
#برنامه_نویسی #هوش_مصنوعی #شغل #پادکست
#برنامه_نویسی #هوش_مصنوعی #شغل #پادکست
💯4🔥1🎃1
Media is too big
VIEW IN TELEGRAM
قیمت کالا رو ۹۹٪ کم کردم — روش کار رو ببین 😮💨
ویدیو کامل حل لاب و نحوهٔ بهرهگیری از اعتماد سمت کلاینت داخل کانال منتشر شد. دیدن این ویدیو واجبه اگر باگبانتی کار میکنی! 🔥
---> Laboratory Address
---> Another lesson
#logicflaw #clientside #burpsuite #repeater #vulnerability
@EroHack | @Medium | @GitHub
ویدیو کامل حل لاب و نحوهٔ بهرهگیری از اعتماد سمت کلاینت داخل کانال منتشر شد. دیدن این ویدیو واجبه اگر باگبانتی کار میکنی! 🔥
---> Laboratory Address
---> Another lesson
#logicflaw #clientside #burpsuite #repeater #vulnerability
@EroHack | @Medium | @GitHub
1💯5🔥1👾1
📢 Where You Can Find Us
We are active on several platforms. You can follow us here 👇
🔹 Medium – Our articles and write-ups
🔹 GitHub – Projects and source codes
🔹 Telegram Channel – Latest updates and posts
🔹 Telegram Group – Discussions and community
🔹 Website – Exclusive content and resources
💀 Stay connected with us everywhere!
We are active on several platforms. You can follow us here 👇
🔹 Medium – Our articles and write-ups
🔹 GitHub – Projects and source codes
🔹 Telegram Channel – Latest updates and posts
🔹 Telegram Group – Discussions and community
🔹 Website – Exclusive content and resources
💀 Stay connected with us everywhere!
👍4🔥1👾1
Eʀᴏ ··ʜᴀᴄᴋ·· pinned «📢 Where You Can Find Us We are active on several platforms. You can follow us here 👇 🔹 Medium – Our articles and write-ups 🔹 GitHub – Projects and source codes 🔹 Telegram Channel – Latest updates and posts 🔹 Telegram Group – Discussions and community 🔹 Website…»
Media is too big
VIEW IN TELEGRAM
🛠Password Manager
🔑اپ دسکتاپ ویندوزی برای ذخیرهی امن رمزها با رمز اصلی، رمزنگاری، تم تیره/روشن، جستجو و قابلیت افزودن/ویرایش/کپی سریع رمزها. سورس و دانلود در گیتهاب.
👇🏻Download link:
#EroHack #Tools #معرفی_ابزار
@EroHack | @Medium | @Github
🔑اپ دسکتاپ ویندوزی برای ذخیرهی امن رمزها با رمز اصلی، رمزنگاری، تم تیره/روشن، جستجو و قابلیت افزودن/ویرایش/کپی سریع رمزها. سورس و دانلود در گیتهاب.
👇🏻Download link:
https://github.com/ERO-HACK/Password-Manager
#EroHack #Tools #معرفی_ابزار
@EroHack | @Medium | @Github
1🤣3🔥2👾2⚡1👍1
🚀 دنبال یه فیلترشکن پرسرعت و مطمئن هستی؟
اینجا همونجاست!با V2Ray پرقدرت ما، از قطعی و لگ خداحافظی کن😎
🔥 ویژگیها:
✅ سرعت موشکی مخصوص گیم، اینستا، یوتیوب
🔒 امنیت کامل و آیپی ثابت (بدون قطعی)
💰 قیمت منصفانه و پلنهای اقتصادی
🎧 پشتیبانی ۲۴ ساعته – هر لحظه مشکلی داشتی، کنارتیم!
🎁 تست رایگان هم داریم 😎 بیا امتحان کن، بعد تصمیم بگیر…
👈 عضو شو و اینترنت واقعی رو تجربه کن:
@Ero0Vpn
@Ero0Vpn
@Ero0Vpn
اینجا همونجاست!با V2Ray پرقدرت ما، از قطعی و لگ خداحافظی کن😎
🔥 ویژگیها:
✅ سرعت موشکی مخصوص گیم، اینستا، یوتیوب
🔒 امنیت کامل و آیپی ثابت (بدون قطعی)
💰 قیمت منصفانه و پلنهای اقتصادی
🎧 پشتیبانی ۲۴ ساعته – هر لحظه مشکلی داشتی، کنارتیم!
🎁 تست رایگان هم داریم 😎 بیا امتحان کن، بعد تصمیم بگیر…
👈 عضو شو و اینترنت واقعی رو تجربه کن:
@Ero0Vpn
@Ero0Vpn
@Ero0Vpn
🔥3💯2