В багбаунти есть один интересный вектор, возможно для некоторых новый, а для олдов это база🤔

Суть такая: вы мониторите приобретения той или иной компании. После покупки актива часто понятно, что сервис будут интегрировать в инфраструктуру, которая давно в баунти и там уже почти все вычищено. А вот новый актив может быть защищен заметно хуже. Тогда вы идете смотреть, что там за инфраструктура: интегрирована ли она уже и влияет ли на основной скоуп.

Сразу оговорка: некоторые вендоры не всегда адекватно это воспринимают и могут обижаться😁, так что это не призыв к действию.

Ну и для удобства: теперь можно смотреть приобретения и интеграции программ прямо на https://hackadvisor.io/programs/549, он будет обновляться, собирать новые компании и уведомлять вас на почту, если вы подписаны на ту или иную программу.

Всех обнял♥️

Что удалось понять по результатам предыдущего голосования, коммунистов у нас хватает 😂

По делу: запилили публичное API со scope всех программ.
Есть фильтры по платформам, типам ассетов, bounty / VDP всё на месте.

Для ленивых:

curl -s -H "Authorization: Bearer KEY" \
  "https://hackadvisor.io/api/v1/scope/all/?type=web&bounty=true&export=txt" \
  | jq -r '.targets[]' \
  | httpx -silent \
  | nuclei -t cves/

4600+ таргетов с bounty уже ждут вас🥇

Дока: https://hackadvisor.io/api-docs

Будем пилить дальше и, скорее всего, сами соберём все субдомены и начнём наполнять их для вас.
Ну и, может, что-то поинтереснее.

Чур всё сразу не ломать 🐱

p.s. Я спать, свои честные оставшиеся 3 часа, всех обнял.🫂

Flipper Zero уезжает к https://hackadvisor.io/hacker/thxStuck
Поздравляю @thankspluxury — спасибо, что поделился своим опытом работы с компаниями.
Всем остальным из топ-10 по комментариям раздам мерч чуть позже. Спасибо, ребята, ценю каждый отзыв. ♥️ Извините, что так долго — это оказалось сложнее, чем я ожидал.🫠

Короче, договорился с Caido о скидке для нашего комьюнити 🤝

Кто не знает - это альтернатива Burp. Быстрее, легче, без Java-кошмаров. Мы переходим в эру ИИ, пора уже вкатываться в новые инструменты) (да, да ИИ меня победил)

Ребята дали промокод на 10% скидки на годовую подписку. Если вам будет интересно, обещали расширить условия.🔊

Промокод для зарегистрированных на HackAdvisor:
hackadvisor.io/tools/caido

Ещё запилил раздел Tools - буду собирать там инструменты и выбивать скидки для комьюнити.🖖 Caido первые, дальше больше.

Если знаете, какой тул хотите со скидкой - пишите, попробую договориться😂

Новый раздел на HackAdvisor - Education 📚

Короче, Farah Hawa из Meta Security увидела наш проект, он ей понравился и она решила поделиться скидкой на свою платформу CodeReviewLab с нашим комьюнити 🙏

Для тех кто не знает - это интерактивная платформа для обучения secure code review. 200+ челленджей, разные языки (Ruby, JS и др.), разбор реальных уязвимостей типа SSRF, XSS, command injection.

Идеально для новичков которые хотят прокачать навык чтения кода и находить баги не только рандомным тыканием кавычек😁 👀

Промокод - 15% на год:
hackadvisor.io/education/codereviewlab

Раздел Education буду наполнять полезными ресурсами для обучения. Если знаете крутые платформы/курсы - пишите, добавлю и попробую выбить скидки ✊ Всех обнял!🤜

p.s. Если вдруг кто то ломал meta буду благодарен если оставите отзывы https://hackadvisor.io/programs/884 - возможно скоро они придут на hackadvisor🤜🤛

Ребят, есть тут кто-нибудь из Cyber‑ED или Codeby School?🙃
Нужен контакт — хотим сделать скидку для комьюнити, а со своей стороны добавим вас в раздел Education на HackAdvisor. Будем рады коллаборации 🤝

Ну и подписчики, между нами 👀
TCM Security что-то там пишут на почту… тссс 🤐

upd: Сила комьюнити 🔥 Спасибо всем 🙌🏻

К сожалению, в сутках больше часов не становится 🙂
Приходится балансировать между работой, адвайзером и ещё сотней задач. Так что вместо 10-минутной зарядки каждый час от монитора я обычно бегу что-нибудь делать для HackAdvisor 😅

Спасибо большое за фидбек, @MrMakeEmMad 😳
Теперь для овнеров сделали анонсы: если у вас есть верификация на платформе, вы можете публиковать анонсы своих BB, отправлять уведомления подписанным на программу хакерам, делиться планами на неделю и вообще — дальше простор для фантазии, ну и теперь овнерам можно редачить свои комментарии 🙂

Также пообщался с Егором из cyber-ed — скоро будут крутые новости. Ваши отзывы на его счёт оказались на 100% точными, так что движемся дальше и работаем 😇

Ребят, у меня крутая новость! 🔥

Договорились с HackerLab о партнёрстве, теперь у всех пользователей HackAdvisor скидка 20% 😌

HackerLab - это CTF-платформа с лабами, где можно прокачивать навыки пентеста: реальные уязвимости, виртуалки и регулярные соревнования.

Короче, идеальное место, чтобы потренироваться перед тем, как идти на настоящие баунти 😁

Промокод забираем тут:
👉 hackadvisor.io/education/hackerlab

Погнали! И следите за новостями - скоро будет ещё больше крутых обновлений для вас. Всех обнял! 🐾

p.s. Ребят, поделитесь в комментариях, не мешают пуши мб делать по реже?) А то у меня это -1 подписчик😢

Представьте, что багбаунти-платформа выступает гарантом выплаты: за найденную critical-уязвимость вознаграждение выплачивается в любом случае, если у исследователя есть вес на платформе. Это не первый репорт, классифицированный как критический (например, из-за отсутствия HSTS-заголовков🤡).

У платформы есть публичный компенсационный фонд, формируемый из процента выплат от вендоров и выплат для самих исследователей(да кто-то получает кэш от ваших баунти😁♥️).

Как вы видите взаимодействие хакера, вендора и платформы (вспоминаю свою битву с Coinbase вместе с @pigPeter😅 на h1)? Кто должен принимать финальное решение в таких спорах? Какой была бы идеальная, максимально объективная модель без конфликта интересов? Буду рад любым мнениям ❤️‍🔥

Иногда, когда читаешь раскрытый репорт или статью на Medium об уязвимости в багбаунти, хочется потрогать это руками и заложить у себя в навыках ту или иную багу немного глубже.😵‍💫

Так вот, в итоге из этой мысли я сделал: https://labs.hackadvisor.io/

Все машинки собраны из публичных репортов и статей ресерчеров. Сейчас можно разворачивать стенд, решать задачи, получать подсказки и разбор уязвимости по итогу. Буду потихоньку пилить интересные машинки из раскрытых отчётов — надеюсь, вы тоже закинете что-то интересное: оно обязательно появится.

Сразу дисклеймер: у меня пока небольшой опыт в создании таких заданий, так что где-то может быть шероховато. Но со временем буду делать лучше — и сами задания, и их подачу — и добавлять больше интересных сценариев.

В целом Labs — это всего лишь MVP и первый этап будущей полноценной экосистемы HackAdvisor, которая, как и всё для сообщества, совершенно бесплатна.

Всех обнял, жду фидбек, баги и фича-реквесты🙌🏻
Ну и, пожалуйста, не ломайте сам Labs (даже если очень хочется) — пока там всё очень хрупко 🫠

Небольшой отчёт по Labs за первую неделю 🖼

105 зарегистрированных хакеров, 44 из них уже решили хотя бы одну лабу. 562 запуска, 183 успешных решения — по всем 24 лабам есть хотя бы один солв.🥇

Топ-3:

api_0 — 4700 pts (первый Elite сертификат на платформе)
Slonser — 2600 pts
boggda — 2600 pts

Выдано 8 on-chain сертификатов: 6 Certified, 1 Pentester, 1 Elite.

Среднее время решения — 12 минут. Кто-то щёлкает EASY за 2 минуты, а кто-то бьётся над HARD по полчаса — и то, и другое кайф. 🎱

Напоминаю: можно собрать свою лабу из любого багрепорта или врайтапа за ~30 минут — https://labs.hackadvisor.io/ru/create-lab

Спасибо всем, кто заходит, решает и даёт фидбэк. Впереди ещё много всего. 🤍