Вот и закончилась конференция KazHackStan, организаторы были гостеприимны к иностранным гостям, сняли им дорогой отель и угостили барашком.

Доклады, которые были на конференции прикреплены файлами к посту выше:

«Выйди и зайди нормально!» (Ломаем Bitrix)
@i_bo0om

«Атакуем языковые модели»
@wearetyomsmnv

«Что нужно учитывать при первом участии в Bug Bounty?»
@turbobarsuchiha — triage team Standoff365

«Ломаем Ethereum: Пентестинг Смарт-Контрактов»
@gspdnsobaka — triage team Immunefi

«Red Purple Team»
@Sn0w7 — lead MTC RED

«DevSecOps»
@gazizovasg — Swordfish

«Как ломать SAML, если у меня лапки?»
@agrrrdog — Acunetix

«Offensive OSINT»
@adkkkkkkkk — Innostage

Выпустили Nuclei v3 — добавили возможность писать код на bash, Python, Javascipt прямо в YAML файлах. А также запускать другие утилиты, например sqlmap.

Поскольку теперь шаблоны могут выполнять код, нужно задаться вопросом безопасности, в статье релиза сказано что шаблоны модерируются и подписываются подписью. Поскольку теперь поддерживаются разные "протоколы" можно вытащить например СNAME для доменов.

Получается Nuclei это теперь оркестратор с поддержкой Javanoscript 🤔

code:
  - engine:
      - sh
      - bash
    source: |
      echo "$OAST" | base64

  - engine:
      - py
      - python3
    source: |
      import base64
      import os

      text = os.getenv('OAST')
      text_bytes = text.encode('utf-8') 

blog.projectdiscovery.io/nuclei-v3-featurefusion/

Недавно OpenAI представила для подписчиков Plus контекстное окно в 32к токенов! А еще возможность создания кастомных GPT на основе своих данных.

Мне пришла идея создать свою сборку — загрузить чеклисты и методологии файлами в конфигуратор.

Представляю вашему вниманию Кавычка GPT

Теперь модель больше не будет спорить с вами об этичности пэйлоадов.

https://chat.openai.com/g/g-5KWmQ9wKU-kavychka-gpt

Новая статья в блоге PT SWARM про раскрытие исходного кода asp[.]net приложений

https://swarm.ptsecurity.com/source-code-disclosure-in-asp-net-apps/

Спасибо @ValyaRoller за приглашение на подкаст! Подписывайтесь на его замечательный канал @pigPeter

Кому интересен кейс с paypal, тут подробнее можно почитать: t.me/postImpact/6

такой же кейс все еще работает с TripAdvisor так что можете счейнить до high с любой xss на поддоменах: Pattern.compile("^(?:https?\\:\\/\\/(?:[A-Za-z0-9_\\-]+\\.(dhcp(\\-[A-Za-z]+)?\\.([A-Za-z0-9_\\-]+\\.corp\\.)?|(nw\\.)?dev(\\-[A-Za-z]+)?\\.|cmc\\.|d\\.)?)?tripadvisor\\.(?:com|(?:[a-z]{2})|(?:(?:co|com)\\.[a-z]{2})))?\\/.*$");

Вообще многие сдают не раскручивая — сдают medium вместо high теряя значительное bounty.

Еще кейс с dyson не попал в видео, там я рассказывал про то что у них одна тестовая репа попала в публичный bitbucket (всего на пару часов), а там был логин/пароль QA. И пароль подходил к его рабочему outlook , внутреннему bitbucket и slack. Как итог - доступ к главному домену dyson.com и сорцам. Так что нужны второй фактор и еще фингерпиринты к браузерам/ip.

про мою первую багу в ICQ, на самом деле 150$ (отчет оказался частично раскрытым) — https://hackerone.com/reports/373909