Рад представить наш новый выпуск с новым гостем из мира Security. Со времен когда bug bounty было не таким "модным", наш гость умудрился запустить сайтик и в режиме реального времени насобирать на Porsche 911. Сейчас этим сложно удивить, но 10 лет назад это казалось невероятным. Это не единственное о чем мы поговорили с Кириллом. Приятного просмотра 😉
https://youtu.be/QMXBCpomYyM

Тут Jobert из HackerOne поделился интересной информацией. Оказывается AI-bot, которого они у себя настроили, уже успешно справляется с Hacker101 CTFs тасками. А значит уже получает больше инвайтов в приватки, чем многие из вас кто читает этот пост.
К публикации есть небольшое дополнение - "I haven’t seen any evidence yet where AI outperforms human creativity and curiosity, and this is where people will continue to add value for many years to come."
Ну что, у кого какие таланты? Кто чем дальше планирует заниматься? Часики тикают 😁

Перед пятничным походом в клуб, после работы, решил "По-по-поднять бабла".
Залез на один из моих любимых скоупов. И нашел очень интересную фигню. До сих пор не могу найти правильное объяснение этому.
Был найден домен dost.example.com, который открывал для меня формочку onelogin(identity access manager). Однако покопавшись в shodan и censys, нашелся прямой айпишник от этого сервиса. Который возвращал мне структуру хранилища с файлами по типу s3 bucket(вероятнее всего это был гугловый бакет). Впервые натыкаюсь чтоб Identity manager можно было обойти через direct IP. WAF само собой так многие обходят, но чтоб сервис авторизации...
И вот я уже думал как бы сдампить все файлики для поиска чего-то ценного, но мой взгляд приковали файлы gh-creds-*.json 🙊. Внутри лежали ключи от гуглового сервисного аккаунта. И это было фаталити для владельцев сервиса, т.к оно мне позволило сходить не только в проекты и файловые хранилища, но и позволило найти jwt токен без exp, позволяющий перманентно сидеть и "слушать" их корпоративный google bigquery.
Командочки для быстрой провекри сервисного аккаунта гугла (iam.gserviceaccount.com) оставлю тут. Они мне помогали не раз.

gcloud auth activate-service-account --key-file=/Downloads/key.json
gcloud projects list
gcloud projects describe <Your_PROJECT_ID>
gcloud services list --project=<Your_PROJECT_ID>
gsutil ls -p <Your_PROJECT_ID>
gsutil ls gs://bucket_name_here/
gsutil cp -r "gs://bucket_name_here/*" /Documents/Data/folder/

Столь быстрого решения проблемы после репортинга я уже давно не видел. Ну оно и понятно, это был крит на 10 из 10 😁💁‍♂️

Тут Inti(который хакер и который кофаундер одноименной платформы) наковырял результаты рисёрча с покупкой протухших доменов. И делал он это не просто где получилось, а на государственных сервисах Бельгии(суды, полиция, психиатрические учреждения и.т.д.). В итоге закупив сотню доменов, и засетапив mailbox по доменам, ему удалось получить феноменальные результаты.
История аналогичным образом работает для компаний, которые приобретаются и уходят работать на основной доменный адрес, а потом перестают поддерживать домен со старым названием. А зря!
За подобные приключения на бб - можно получить безусловно по жопе. Но я считаю что победителей не судя, и если подобный кейс нашелся на бб и привел к интересным результатам - такой кейс достоин награды.
PS: у меня тож подобный репорт когда-то был, правда там домен успели перекупить и засетапили порнобанер 😁 Но я нашел способ как даже такое сдать в программу.

В апреле я взял себя в руки и засетапил наконец-то экзамен по eWPT. В целом было понимание что экзамен уже не будет сложнее чем рядовой пентест проект, которых я сделал не один и не два. И в принципе так и получилось. Ну, а потом решил попытать удачу на eWPTX. Друзья пугали что это раза в три сложнее чем прошлый экзамен. И вот тут я согласен.
Из неприятных моментов:
- После покупки в профиле ничего не появилось. Никаких кнопок для запуска экзамена. Пришлось решать вопрос через поддержку
- Какой тариф нужно выбирать чтоб купить доступ к тренировочным лабам - это вообще тихий ужас. Все так запутано что реально не разберешься.
- После отправки репорта по ewpt, результаты были уже на следующий день. С ewptx я буквально ждал недели три пока проверят отчет.

С macOS к лабам зацепиться можно было только через viscosity vpn клиент. Видел негативные отзывы про экзамен по этой части. Но это просто люди не смогли правильный клиент найти 💁‍♂️
Еще видел негативные комментарии на тему формата отчете. Что при проверке могут докопаться, и что формат отчета может не понравиться проверяющему. Тут я решал проблему просто классическим проверенным форматом, который не раз использовался для пентест проектов. И в 99% случаев не вызывал вопросов у заказчиков, т.к он учитывает два типа принимающих - как менеджмент, так и технических спецов.
Общее впечатление положительное. Экзаменационная тачка содержит в себе баги, которые реально можно натыкать в реальной жизни. Но мне не нравится что буквально каждый функционал системы забагован и ждет когда ты приложишь правильный payload.

В реальной жизни настолько забагованных систем не бывает, и из-за чего при реальном тестировании развивается "чуйка", позволяющая предугадывать где нужно больше времени приложить чтоб достичь результата. Но это обыденное и принципиальное отличие реальной жизни и ctf 💁‍♂️
Что буду делать дальше - вопрос хороший. Можете накидать советов в комментариях. Но в целом я планирую вкатить обратно немножко в бб. А то выкатился на 2-3 месяца, и начал забывать вкус редбула и ночных посиделок у экрана 😁

Начинаю понедельник с bounty. Лучше так чем никак 😁💁🏻‍♂️
PS: колико је овде читалаца из Београда? 😏

Joe Grand в последнее время активно занимается проектами по взлому крипто-кошельков(как физических так и софтверных). Зачастую его проекты связаны с владельцами, которые забыли пароль, утопили ledger или владелец(сын) перед смерью оставил комбинации паролей, которые почему-то не подходят. Можно долго спекулировать на тему того проверяет ли он лиц на действительное обладание кошельком. Но его последний проект очень интересный.
В ролике он рассказывает как восстановил доступ, для владельца из Франкфурта, благодаря старой уязвимости roboform, в которой была привязка к времени генерации пароля и "относительная" способность генерить "уникальные" пароли. Итогом стал полностью восстановленный доступ к кошельку.
Вся эта история просто The Art of Hacking 🔥.

На год был план собрать ачивок с разных значимых организаций. Одной из таких организаций был DoD USA. Думаю многие из читателей мечтали когда-нибудь взломать пентагон буквально. И вот у меня это получилось слишком хорошо. На протяжении нескольких месяцев ребята из DoD старательно исправляли свои косяки, которые я для них нашел.
Теперь благодарочка есть не только от Nasa но и от DoD 😎
https://twitter.com/DC3VDP/status/1797758860389953785

OffensiveCon24 выложили плэйлист с большинством докладов.
Уверен, что многие найдут для себя что-то интересное и новое. Отличного и познавательного вечерочка 😉

https://youtube.com/playlist?list=PLYvhPWR_XYJlg1SfcKdZY6eXUTPPqnh_G&feature=shared

Встречайте четвертый выпуск нашего подкаста🥷
Было много технических сложностей чтоб записать этот подкаст. Но вроде бы у нас все получилось. Спасибо огромное Антону за возможность обсудить интересные и острые темы!
Оставляйте комментарии, ставьте лайки, подписывайтесь на канал.
PS: Надеюсь никто не словит гипножабу из-за переливов микрофонов 😁
https://youtu.be/mB0Z60CRXgs

https://x.com/PortSwigger/status/1800536005453156397
Ну всё.
Теперь я с нетерпением жду версию на iPad. 😇😁

2024 год. Человечество ездит на электро-автомобилях. Запускает спутники в космос.
Активно внедряет искусственный интеллект в различные системы.

Ну, а в баг баунти все еще можно найти SQL injection для Oracle DB в поле loginName 💁‍♂️

Sql Injection через GraphQL запрос к API.
Кажется теперь я видел всё 🙈
PS: И не спрашивайте зачем такой сложный запрос построил. По другому оно не работало и лупило 403. Лучше спросите aws waf почему он в итоге такое решил пропускать 😁 И нет, это не лаба и не ctf.

Последние несколько sql injection на bug bounty это просто какой-то поставщик контента для данного паблика.
Вот постил я неделю назад про Blind SQL injection где базой оказался Oracle. Скуля не ловилась sqlmap или ghauri. Но мы и сами с усами, все руками достали. Было только очень не просто понять что там за база.
А что в итоге?!
Триажер х1 засчитывает багу как честную валидную критичную скулю. Потом приходит сотрудник компании и дропает критичность баги до Medium! И вот тут внимательно прочитаем формулировку этого:

After reviewing with the team, please bring down the severity to Medium. The exploit requires high complexity and other factors to execute, and is only a leakage of system details/name.

Прикиньте. Просто потому что скуля слепая и что я вытянул только имя - это увы medium.
Дальше думаю им было очерень неприятно читать что я написал в ответ. И надеюсь читали они это вслух всем отделом. Ведь я моментально посчитал все доступные базы, таблицы, системных юзеров. Парочку юзеров достал. И уже пошел было за карточными данными в базах(потому что это paymet service), как вдруг ребята решили что "ой нет, это high", астанавитесь!

Upon deeper review this as been deemed a high and will be paid out as such.

Ну и я офигел от поддержки комьюнити в твиттере и от репостов классных ребят про эту историю. Бодаться ради критикала и увеличения реварад +1к не вижу смысла. Накажу эту программу иначе. Новыми и более опасными репортами. Ну и будет что рассказать HackerOne Success Manager на следующей встрече.

Кажется группа исследователей нашла багу формата money printer на криптобирже kraken. Причем самое нелепое что якобы бага была из-за UX изменений. После чего баг репорт прилетел в программу, и программа по быстрому исправила найденную проблему. Но что было после - для меня не поддается объяснению. Видимо рисерчеры понимали цену такой уязвимости и не шли на контакты пока не увидят справедливый ревард на платформе. Ребятам из кракена это явно не понравилось. Видимо скоро сам репорт дисклоузнут, и мы узнаем имя героев. Ну а пока ждем и запасаемся попкорном.

https://x.com/c7five/status/1803403565865771370

Похоже "аудиторы" которые нашли багу у Kraken и решили выдать себе ревард - нашлись. Около $4.3 миллионов ребята засэйвили через торнадо кэш.
https://x.com/hype_eth/status/1803496945408725306

Но при этом сами исследователи рассказывают немного другую историю.
https://twitter.com/CertiK/status/1803450205389402215

История конечно дико интересная получается. В багбаунти была история с Uber, когда еще CISO в места не столь отдаленные уехал за ревард блэчерам и скрытие инцидента. Возможно CISO Kraken решил подстраховаться, чтоб не встретить в скором времени коллегу из Uber в одной комнате, и помчал в публичный твиттер 🙈
А по датам митингов считывается что о размере вознаграждения ребята явно не договорились 🤣💁‍♂️

Кто угадает гостя? 😏
Подсказка - профиль на hackerone с января 2014 года. Думаю многие из вас еще только в школу пошли, когда он на yahoo собирал десятки тысяч 😂

Зачем патчить xss в pdf.js (CVE-2024-4367), если её эксплойт иногда требует взаимодействия с пользователем?
Правильно, незачем!
Берите пример с Microsoft и значительно улучшите метрики по скорости исправления уязвимостей 😁💁‍♂️
https://x.com/0xJin/status/1805130902332170424