#writeup
#idor
Insecure Direct Object Reference / IDOR Explained // How to Bug Bounty


⭐️ @ZeroSec_team

📊 Watcher Summary Report

🔹 BUGCROWD: 0 new item
🔹 HACKERONE: 0 new item
🔹 INTIGRITI: 0 new item
🔹 YESWEHACK: 0 new item
🔹 FEDERACY: 0 new item

🔗 Details: Click here

#zerosec #bugbounty #watcher #summary_report


⭐️ @ZeroSec_team

Bug-Hunter & Pen-Tester

⭐️ @ZeroSec_team

📊 Watcher Summary Report

🔹 BUGCROWD: 0 new item
🔹 HACKERONE: 0 new item
🔹 INTIGRITI: 0 new item
🔹 YESWEHACK: 0 new item
🔹 FEDERACY: 0 new item

🔗 Details: Click here

#zerosec #bugbounty #watcher #summary_report


⭐️ @ZeroSec_team

Offensive Security Tool: smugglo

smugglo, developed by b3rito, is an HTML smuggling tool that generates self-contained HTML payloads capable of embedding arbitrary files directly into a browser-renderable HTML document.

When opened in a browser, these payloads automatically reconstruct and trigger download of the original file using client-side JavaScript, without requiring user interaction. The tool supports multiple encoding and encryption methods, including Base64, hex, XOR, and AES-GCM, to obfuscate the embedded content. It can help with testing file delivery paths in environments protected by content filters, sandboxes, EDRs, or antivirus solutions.
__________________________________________

🔹 ابزار امنیتی تهاجمی: smugglo

smugglo که توسط b3rito توسعه داده شده، یک ابزار HTML Smuggling هست که می‌تونه پیلودهای HTML خودکفا تولید کنه. این پیلودها قادرند فایل‌های دلخواه رو مستقیماً داخل یک سند HTML که مرورگر می‌تونه رندر کنه، جاسازی کنند.

وقتی کاربر این فایل HTML رو توی مرورگر باز می‌کنه، اسکریپت‌های جاوااسکریپت سمت کلاینت به‌طور خودکار فایل اصلی رو بازسازی و دانلود می‌کنن – بدون نیاز به هیچ تعامل کاربری.

این ابزار از چندین روش رمزگذاری و رمزنگاری پشتیبانی می‌کنه، از جمله:

Base64

hex

XOR

AES-GCM

که برای مبهم‌سازی (Obfuscation) محتوای جاسازی‌شده استفاده می‌شن.

کاربردش می‌تونه در تست سناریوهای تحویل فایل در محیط‌های محافظت‌شده باشه، مثل جایی که Content Filter، Sandbox، EDR یا آنتی‌ویروس وجود داره.


👉 Read the post: https://lnkd.in/e4N7pTyD

⭐️ @ZeroSec_team

https://www.intigriti.com/researchers/blog/hacking-tools/identifying-servers-origin-ip

// چندتا تریک برای رسیدن به origin IP

⭐️ @ZeroSec_team

📊 Watcher Summary Report

🔹 BUGCROWD: 0 new item
🔹 HACKERONE: 4 new items
🔹 INTIGRITI: 0 new item
🔹 YESWEHACK: 3 new items
🔹 FEDERACY: 0 new item

🔗 Details: Click here

#zerosec #bugbounty #watcher #summary_report


⭐️ @ZeroSec_team

SEC401: Security Essentials - Network, Endpoint, and Cloud 2022

(videos+ vm + pdf + mp3)

password: GREENARMOR

⭐️ @ZeroSec_team

Author: zarvan
Language: Persian
Telegram channel: @web_articles

https://fingerprint.goldenowl.ai

⭐️ @ZeroSec_team

#WebApp_Security
"A Deep Dive Into OpenAPI Security", 2024.

⭐️ @ZeroSec_team

لایو دیشب خوب بود یا نه دوباره بزاریم؟

هرکس امشب تمایل داره بیاد بالا به دایرکت کانال موضوع، تارگت و تایم لایو رو پیام بده اطلاع رسانی کنیم

🚨 اتومیشن با AI کلاسیک برای باگ هانترها
هوش مصنوعی فقط مدل‌ های بزرگ نیست! با روش‌های کلاسیک مثل Decision Tree و Feature Importance می‌تونی تحلیل‌های امنیتی و اولویت ‌بندی تست‌ها رو اتومات کنی.

🔹 نمونه کد Python: تشخیص نقاط آسیب‌پذیر با درخت تصمیم

from sklearn.tree import DecisionTreeClassifier
from sklearn.model_selection import train_test_split
from sklearn.metrics import accuracy_score
import pandas as pd

data = pd.DataFrame({
    'has_input_forms': [1, 0, 1, 1, 0],
    'uses_js': [1, 1, 0, 1, 0],
    'url_length': [45, 20, 60, 35, 25],
    'vulnerable': [1, 0, 1, 1, 0]  # 1 یعنی آسیب‌پذیر
})

X = data[['has_input_forms', 'uses_js', 'url_length']]
y = data['vulnerable']

X_train, X_test, y_train, y_test = train_test_split(X, y, test_size=0.2, random_state=42)

model = DecisionTreeClassifier()
model.fit(X_train, y_train)

y_pred = model.predict(X_test)
print("Accuracy:", accuracy_score(y_test, y_pred))
print("Feature Importance:", model.feature_importances_)

💡 چرا باگ هانترها از این روش‌ها استفاده کنن؟
شناسایی سریع‌تر صفحات و فرم‌های آسیب‌پذیر
اولویت‌بندی تست‌ها بر اساس Feature Importance
کاهش حجم تست‌های دستی و تکراری
⚡ میصرفه یا نه؟
برای اتومیشن تحلیل اولیه و اولویت‌بندی تست‌ها → قطعاً میصرفه.
برای تشخیص باگ‌های پیچیده و 0-day → همچنان تجربه انسانی لازم است.

⭐️ @ZeroSec_team