В следующем посте думаю поделиться своим хакерским подходом к выбору целей и поиска критов.
Но жутко интересно кто как работает с постановкой целей и грамотной мотивацией для всего этого. Поделитесь в комментариях, пожалуйста🙏🏻

PS: Моя «мотивация» на фото. И нет это не лудомания. Это германия 😁💁🏻‍♂️

Несколько дней назад заметил, как некоторые страны были немноголюдно представлены на Олимпиаде 2026. От Эритреи вообще был только один представитель. Но именно это меня заставило почитать про этого представителя. И то, что я нашёл, — меня удивило ещё больше.

Оказывается, чел, разработчик и дата-сайентист, преследовал свою мечту и пытался попасть на Олимпиаду всеми силами. Преодолел увольнение на основной работе. Финансовые трудности. Поиск спонсоров для поездки на Олимпиаду. И вот теперь он там — как гражданин Канады и США — представляет Эритрею.
PS: Wikipedia, Linkedin

Лет 7 назад я уже достаточно неплохо находил разные проблемы и мисконфиги. Но вот «смелости» искать самому было недостаточно. Всегда казалось что я пока не дорос до этого Bug Bounty.
И вот в какой-то из дней я заметил всплеск активности у @linkkss с репортами PayPal на HackerOne. В профиле у него ровно в ряд были сложены исправленные отчёты на PayPal, каждый из которых был c пятизначным ревардом. И было дико интересно, что же он там такое раскопал. Интересовала именно техническая сторона и сложность находки.

Оказалось, что около 3 раз стрельнула одна и та же CVE. Но что было суперинтересно — он предложил мне перепроверить. И вот спустя пару недель мы отнесли репорт из-за «плохого фикса». Ребята из PayPal фиксили не всю цепочку CVE, а только лишь конечную проблему. При этом забывая, что цепочка формировалась на примитивной Path Traversal. Она и осталась рабочей и функциональной, и именно её я и подобрал.

Тогда мне даже 100$ были в радость. Что уж говорить о том, когда я увидел уведомление о вознаграждении 🤯

Раз уж я обещал пролить свет на подходы к поиску уязвимостей. То вот некоторые мои принципы.

1) Искать принципиально только то что важно компании. Перед поиском идеально понять что наиболее важно для компании.
Есть компании которые оценивают бизнес риски.
Есть те кто хорошо оценивают server-side.
А есть такие кто переживает за client-side.
Я стараюсь держаться ближе к тем, кто может оценить бизнес риски. Это позволяет искать чуть шире и не быть задушенным правилами скоупа. Ну и стараемся искать только важное и критичное. В такой ситуации околонулевой шанс увидеть статус дубль.
2) Обязательно оцениваем активность в программе. Как часто приносят. Кто наиболее активный и что он находит. Как часто и как много платят. Все эти вопросы помогают понять на сколько программа стоит усилий и времени.

3) Определяйте свою причастность к бренду. Если вам нравится какая-то конкретная компания и у них есть bug bounty - это отличная возможность для вас. В таком формате вы не будете считать время потраченное на поиск. Ну и не будете горевать если выплата не столь высока от рынка. Ведь нам же важно участие. А остальное - это просто следствия.

PS: Поддержите пост и я продолжу писать следующие пункты и вероятно даже выложу какую-то статистику.

Сперва HackerOne поменяли ToS в отношении отчетов рисёрчеров. Допуская использование этих самых отчетов в отношении AI систем на базе платформы.
А сегодня презентовали свой Agentic PTaaS
https://www.hackerone.com/product/pentest
Вот такая многоходовочка 💁‍♂️
Интересно как чувствует себя Xbow который лил репорты через HackerOne. Теперь их находки и "умелки" - тренировочные данные для PTaaS от Hackerone. Хотя мне кажется нельзя же "украсть" то что "украли" ранее? Ведь ребята из XBOW по сути собирали все эти "секретные техники" от своих сотрудников исследователей, которые в свою очередь собирали и получали насмотренность через Live Hackeing Events от Hackerone.

Выходы в этой истории простые.
1) Писать отчеты на олбанском, чтоб ни одна ai-модель не могла понять что хотел сказать исследователь. @linkkss и "багосы" в этом плане были первопроходцами. Их отчеты всегда было сложно читать 🤣
2) Предлагать компаниям отправлять отчеты через security@ адрес. Таким образом конфиденциальность сохраняется для клиента платформы и для исследователя.
3) Делать меньше репортов и писать меньше райтапов. В этом деле я уже начал преуспевать 😁 И не планирую останавливаться.

Как думаете на сколько сильно напугались ребята по шкале от 0 до 10.000$? 😁

Кажется в век бесконечной гонки за уникальные данные, по другому и быть не могло.
Coursera спасает свои данные от бесконечных ботов антропика, чатгпт и прочей нечисти через скрытую prompt injection. Что явно может позволять какое-то время отбиваться от кражи контента 💁🏻‍♂️

Мир, где «Зерчуб» или «Сәлам» меняют контекст и становятся опасными векторами для обхода ограничений LLM.

Пришло время показать всю силу тараского и удмуртского языков 🦾