Ну что, котаны, я в логове, ищем розетку и мутим баг-баунти?🌚😂

Годнота подъехала.
Оставлю это тут в первую очередь, чтобы заставить себя изучить.

Опубликовал новые статьи из серии статей про JWT

Не пугайтесь графика на скриншоте - он просто для наглядности того почему именно работает уязвимость

От структуры токена до атак с PoC:
1. Почему JWT сломан by design
2. Анатомия токена
3. alg:none - одна строчка и ты admin
4. Algorithm Confusion - публичный ключ как пароль
5. kid injection - SQLi через заголовок токена
6. jku/x5u/jwk/x5c - весь заголовок это attack surface
7. Брутфорс секретов на GPU - 150 млн HS256/сек
8. Psychic Signatures - нулевая подпись на Java 15-18

rmrf.tips

Вдруг если надумаете поддержать HackAdvisor - вы знаете что делать)

Для хакеров всё бесплатно, как и было, навсегда 🙂 Но тут я решил закрыть конкретно свою боль найма и всего что с ним связано — нормальный инструмент для обучения и оценки команды, которого просто не существовало (не точно))).

🚀 HackAdvisor Labs для организаций

Запустили корпоративную платформу для обучения и оценки команд по кибербезопасности.

Обучение на реальных уязвимостях
355+ практических лабораторий. Каждая - полноценное веб-приложение с уязвимостью. Сотрудники находят и эксплуатируют баги в безопасной изолированной среде.

Генерация лаб из ваших отчётов
Загрузите обезличенный отчёт об уязвимости из вашей компании - платформа соберёт из него лабораторию для обучения джунов и новых сотрудников. Только для вашей команды, зашифровано AES-256.

Полный цикл управления командой
— Назначение заданий по пробелам в навыках
— Дедлайны с автоматическими напоминаниями
— Прогресс каждого сотрудника на дашборде
— OWASP-радар покрытия навыков
— Подкоманды: Red Team, Blue Team, AppSec
— Учебные пути с сертификатами
— Код-ревью с автоскорингом
— Compliance-отчётность для руководства

Оценка кандидатов - практика вместо теории
HR создаёт ассессмент, отправляет ссылку кандидату. Кандидат решает реальные лабы под таймером. По итогу - скоркард с конкретными результатами: какие уязвимости нашёл, сколько времени потратил, сколько попыток.

HR передаёт результаты тимлиду - и тот видит не ответы на теоретические вопросы, а реальные практические навыки: смог ли кандидат найти SQLi, обойти авторизацию, проэксплуатировать SSRF. Вердикт: Нанять / Удержать / Отклонить.

5 ролей - каждый видит только своё: руководитель отслеживает прогресс команды, HR оценивает кандидатов, инженеры решают задания.

labs.hackadvisor.io
sales@hackadvisor.io

Ну что за красота получилась🌚

А есть тут кто-нибудь, кто может задать вопрос «ребята, вы что?» команде МТС?
Как-то совсем грустно: каждый раз, негативные и вполне обоснованные отзывы о BB МТС…
Можно было бы подумать, что проблема в масштабе компании, но есть ребята и покрупнее, которые со всем справляются.

https://hackadvisor.io/programs/888

Сегодня произошла показательная ситуация.

Хантер оставил на адвайзере отзыв о баг-баунти программе. Отзыв честный, баги не исправляются месяцами, хай висит без фикса, дубли прилетают по нерешённым отчётам. Но в тексте он упомянул слово «приватка», и это не понравилось ни программе, ни платформам, где она хостится.
Кому-то позвонили и настоятельно попросили разобраться, а мне написали. Не с процессами программы, а с отзывом))

Что мы сделали: название на адвайзере не совпадало с реальным скоупом, поправили. Хантер убрал упоминание приватки. Формально вопрос закрыт.
Но по сути он открыт. Хантер потратил время, столкнулся с проблемами и пришёл туда, где можно об этом сказать. В ответ, давление на площадку и на него.

При этом ни в одной полиси не было написано, чего ожидать. Не было предупреждений, что баги могут висеть месяцами без фикса. Хантер пошёл работать вслепую.

Вопрос простой: кто должен предупреждать хантера о таких вещах — полиси программы или его собственный опыт после того, как он уже потратил время? Хочу, чтобы вы ответили на этот вопрос.

Пруфов хотелось бы больше, но сами понимаете почему не могу.
Всех обнял 🫶🏻

С детства человек меняет одежду, когда она становится мала, меняет машину, когда появляется семья и есть много других примеров, где рост означает расширение.

Но почему-то у конфы оффзон меняется только цена на билеты, а не «коробка» конфы, где на 1 кв. метр бывает по 10 человек и невозможно нормально пройти. Грустно.

Как я и говорил, HackAdvisor потихоньку превращается в экосистему.

Тут нет релизных циклов и планов - я просто делаю то, что мне самому нравится. Жаль, что не могу больше: в сутках всего 24 часа, да и основной работы хватает.

И вот новая часть экосистемы — JOBS, портал вакансий.

Компании смогут размещать вакансии, вы - выкладывать свои резюмешки. И это не только про баг-баунти JOBS про ИБ в целом. Фишка простая: резюме тут не про красивые слова, а про то, что ты реально умеешь(не точно)) баг-баунти, решённые лабы, сертификаты видно сразу.

Так что залетайте на jobs.hackadvisor.io - регистрация открыта, заводите профиль и собирайте резюме. Начинаем с вас, потому что вы тут самое крутое, что есть)) Вакансии и рекрутёры подтянутся следом.

Дальше - фиксить баги, пилить и допиливать по чуть-чуть, как обычно. Мотивация та же - сообщество)

Всех обнял!)

Ребят, а у вас есть LinkedIn (который уже или скоро будет запрещён на территории РФ?)😁

Накидайте мне коннектов/контактов/дружб - как это там называется 😅
Дед решил вам окно в Европу пробить💊😁
Если не сложно, спасибо!🤝

Мой профиль:

https://www.linkedin.com/in/zaur-zaurbaev-a34364292

Не единого нормального отзыва и никакой реакции от вендора. Пожалуй, прекрасный пример ужасной ББ-программы.

https://xn--r1a.website/hackadvisor/40

Перед тем как идти хантить, обязательно читайте отзывы о программе или смотрите динамику выплат на HackAdvisor — мы это снепшотим.

В общем, я тут наговорил всякого, прошу строго не судить.😆
udp: можно смотреть…

https://xn--r1a.website/vk_security/392