Товарищи багхантеры! Я к вам с хорошими новостями, которые помогут вам сэкономить больше денег с выплат.

Еще в 2020 году, Никита публиковал такую вот крутую статью: https://habr.com/ru/articles/483082/

Но есть еще нюансы, которые кому-то могут помочь.

Для ИП на УСН для некоторых регионов есть льготы, а именно – это 1% на доход, шикарно же!

В список регионов с таким процентом входят:
- Республика Дагестан
- Мурманская область
- Ненецкая AO

И еще несколько регионов с процентом – 4. Подробная таблица здесь: https://e-kontur.ru/enquiry/276/check_usn

В итоге, если ваши выплаты переваливают за 1 млн рублей и у вас есть возможность оформить ИП в юрисдикции этих регионов, то вперед. Если меньше, то смысла нет, лучше не париться и сидеть на “самозанятом”.

К примеру, если вы получите выплат за 2023 год на 2 млн рублей:
- Самозанятый заплатит – 120к рублей
- ИП на УСН в льготном регионе – фиксированный страховой взнос – 45к, 1% на доход свыше 300к (но тут можно уменьшить это) - 17к и сам налог на доход – 20к = 82к. Чем больше выплат, тем больше экономия.

Mass Assignment через мобильное API

Еще один пример, который доказывает, что очень важно изучать каждый интерфейс в приложении.
Недавно нашел Mass Assignment через мобильное API в дополнительном модуле приложения, которая была доступна только через мобильное приложение.
Mass Assignment приводил к частичному захвату аккаунта.

Рекон

При изучении мобильного приложения, я наткнулся на некий дополнительный модуль в приложении, который подгружался внутри приложения и отличался внешне, а также был другой поддомен.

Предыстория

Регистрация в приложении происходит cс помощью номера телефона и если есть уже зарегистрированный номер, то при регистрации приложение говорит, что такой номер есть и не дает нам зарегистрироваться. Но что важно, почему это частичный захват аккаунта, приложение при обращении к критическим объектам в аккаунте пользователя проверку осуществлял на основе номера. То есть, приложение знает, какой номер изначально имел доступ к этому объекту и если мы пытались сделать IDOR, то нас посылали.
Также мы не можем поменять номер телефона через профиль пользователя, приложение ругается, что номер уже занят.

Эксплуатация

Вернемся к нашему модулю из мобильного приложения, в этом модуле при изначальном открытии давалась возможность указать ФИО, дату рождения и почту. Я ввел, сохранил, смотрю на запрос и вижу в теле запроса такое:

{“name”:””,“surname”:””,“lastname”:””,“birthDate”:””,“emailConfirmed”:”false”,“email”:””}

Внимание цепляет параметр emailConfirmed, быстро меняю на true, вставляю рандомную почту и отправляю запрос.
Перешел в основной профиль и вижу, что эта почта применилась и она уже как подтвержденная. И тут становится понятно, что через данный эндпоинт также можно редактировать профиль и данные никак не проверяются. Добавил в тело параметр “phone”:”79999999999” и отправил запрос.
Ура, теперь я могу менять на любой номер, который уже зарегистрирован в приложении. Можно дергать объекты, так как приложение смотрит на номер при проверке и он совпадет с легитимным.

#MA #mobile #api

Жиза 😁🤣

На данный подано 4 заявки. Если кто-то собирался под конец срока подать, то пора.

P.S. Я думал будет больше желающих получить возможность налутать пару лямов за 2 недели 😁

А что тут происходит ?

Кстати, тут завезли еще одну конфу по ИБ от JUGru - https://safecodeconf.ru/

Спрос растет и скоро из уютного маленького комьюнити превратимся в большую и уютную (или неуютную?)

P.S. только я вообще не понял по программному комитету, из ИБ комьюнити только 2-3 человека....
P.S.S. видимо скоро выкатит еще и Ontico.

Тут оставлял комментарий:

> Российские платформы на данный момент еще достаточно сырые. Хотя некоторые могут сильно измениться. Большие обновления, по моим инсайтам, готовят Standoff и BI.ZONE.

И я видел то, как они будут выглядеть в ближайшем будущем. И это точно прям сильно лучше, чем то, что есть сейчас.

Самый результативный российский багхантер Рамазан.

Интересный ресерч от коллеги @HaHacking. По Email инъекциям.

https://blog.deteact.com/ru/e-mail-injection/

Рекомендую для новичков!, кроме тестить все по чуть-чуть 🤏. Чаще всего ни к чему не приведет.

Если вы задаетесь мыслями "как вкатится в багхантинг".

Багбаунти — это публичная программа поиска уязвимостей за вознаграждение

Или если вы опытный и вас постоянно спрашивают: как новичку найти уязвимость, когда r0hack остальные багхантеры уже все нашли :)

https://teletype.in/@8ug8eer/testing_theory_by_novice_bughunter