Тинькофф в 2,5 раза увеличил выплаты за найденные уязвимости

Теперь багхантеры могут получить до 400 000 рублей. Можно искать пробелы во всех сервисах не только банка, но и Тинькофф Страхования, Тинькофф Инвестиций и в принципе на всех сайтах и в мобильных приложениях экосистемы. Всего в скоупе 4 домена, 11 сервисов и приложений.

Искать и подавать уязы можно на двух площадках, присоединяйтесь:
BugBounty.ru и BI.ZONE Bug Bounty.

✉️ Письмо, которое многие хотели бы получить: [Вы получили инвайт на закрытую тусовку багхантеров]
Но такое сообщение вы можете получить только от платформы Standoff 365 Bug Bounty, если являетесь ее активным участником (и находите много уязвимостей).

Совсем недавно платформа запустила новую активити — первые priv8 багбаунти-ивенты в России Standoff Hacks. Группа исследователей в закрытом режиме и в экстремально сжатые сроки ломает ранее не исследованный скоуп или уже известный, но с повышенными выплатами.

И мы можем наблюдать первые результаты, которые не могут оставить равнодушными: за 5 дней было получено 130 отчетов на 2 программы от 37 багхантеров. Для сравнения стоит учесть то, что всего с момента запуска платформы (за год) было получено 1650 отчетов.

От этого формата поиска уязвимости получит профит каждый: багхантеры быстро получают свое вознаграждение, а компании результат, который поможет им укрепить безопасность своих продуктов.

Уже через несколько дней, а именно 13 мая на ивенте в Москве, будут объявлены результаты двухнедельного набега на инфраструктуру компаний, а исследователи разом получат все вознаграждения за найденные уязвимости и классно проведут время (all inclusive) 🤩

Следующий Standoff Hacks пройдет в августе, но уже не в Москве пока место остается под секретом🤫 , поэтому особенно советуем поучаствовать в этом мероприятии!
Пока еще есть время, не поздно апнуть свой рейтинг на платформе, чтобы повысить шанс получить инвайт!

Уязвимости в функциях загрузки файлов очень распространены.

При проведении анализа защищенности веб-приложений, важно знать, как обойти ограничения, так как это часто приводит к полной компрометации системы. А для разработчиков и инженеров полезно знать, как такие атаки происходят, чтобы корректно реализовать механизмы защиты.

Минимальный набор проверок File Upload:

→ Попробуйте различные расширения файлов: используйте разные варианты расширений файлов, например, php3, php4, php5, phtml для PHP-скриптов, asp, aspx и ashx для IIS. Список можно взять тут: https://github.com/danielmiessler/SecLists

→ Добавьте дополнительное расширение файла: если приложение не проверяет правильность расширения файла — добавьте еще одно расширение, например, из script.php в script.gif.php

→ Неправильная реализация Regex: например, некорректное регулярное выражение ".png|.jpeg" можно обойти с помощью следующей нагрузки bypasspng.php.

→ Измените регистр расширения: попробуйте разные комбинации строчных и прописных букв, например, pHp, PhP, phP, Php и т.д.

→ Приложение позволяет загружать файлы .svg?: SVG изображения — это просто данные XML. Используя XML, можно, например, добиться XSS.

→ Измените тип контента: при перехвате запроса с помощью Burp Suite, тип контента можно изменить, например, с "Content-type: application/x-php" на "Content-type: image/gif"

→ Добавьте magic байт в файл: магические байты служат подписями, которые используются веб-сервером для определения типа загружаемого файла. Например, добавив GIF87a в начало скрипта, сервер будет считать его файлом GIF. Например : Filename='1.php' , filetype: image/gif и начните содержимое файла с GIF29a

→ Попробуйте уменьшить размер файла: если используется ограничение размера файла, можно загрузить меньший скрипт для удаленного выполнения кода.

→ Попробуйте использовать исполняемые расширения: могут быть разрешены определенные исполняемые расширения, например .phtml, .shtml, .asa, .cer, .asax, .swf, или .xap.

→ Добавьте нулевой байт в имя файла: если сайт использует белые списки расширений файлов, их часто можно обойти, добавив %00 (HTML) или \x00 (hex) в конец имени файла. Например: php-reverse-shell.php%00.gif

→ Добавьте специальные символы перед расширением файла: на старых веб-серверах, добавление специальных символов, таких как ;%$&, сразу после имени файла, например, shell;.php, может помочь обойти белые списки расширений файлов.

→ Вставьте данные EXIF: исполняемый скрипт может быть вставлен в изображение в форме метаданных комментария, который затем будет выполнен, если веб-сервер обрабатывают эти данные.

→ Попробуйте использовать обозначение Windows 8.3 для имени файла: можно использовать короткую версию имени файла Windows 8.3. Например, shell.aspx станет SHELL~1.ASP

→ Попробуйте добавить нейтральные символы после имени файла: специальные символы, такие как пробелы или точки в Windows, или точки и слэши в Linux в конце имени файла, будут автоматически удалены (например, shell.aspx … … . . .. .., file.asp.).

→ Обход каталога: попробуйте использовать вместо имени файла ../../../../etc/passwd и подобные, возможно, вы наткнетесь на новую уязвимость

Полезные ссылки:

- Перезапись файла конфигурации сервера
- Обфускация расширений файлов
- Race condition при загрузке файлов
- Небезопасная десериализация, ведущая к полному захвату сервера
- OWASP Unrestricted File Upload

Накидывайте еще способы обхода и полезные ссылки по теме в комментарии!

Тинькофф присоединился к платформе Standoff 365 Bug Bounty

В программу входит весь скоуп «*.tinkoff.ru».
За отчет можно получить до 400 000 рублей. Стоимость зависит от критичности бага.

❗️ Важно — пока участвовать в программе могут только индивидуальные предприниматели и самозанятые. Оформить можно за несколько минут, а сумму получите полную, так как Тинькофф компенсирует до 6% налоговых потерь.

Подробности — на странице программы.

Слышали об этичных хакерах? 🌐 Это те самые ребята, которые ищут уязвимости, но не извлекают из этого выгоды и не совершают преступлений. Познакомиться с ними было можно на прошедшем в Москве форуме, где эксперты по информационной безопасности общались с этичными хакерами со всего мира.

Впервые за 12 лет существования форума провели его в формате киберфестиваля с зонами для широкой аудитории и панелями для профессионалов. Разумеется, выступали и наши коллеги:
💚 В шатре с говорящим названием «Зал боевых искусств» обсуждали offensive security. Александр Коротин представил исследование «Компрометация сети через средства резервного копирования», а Владислав Тушканов прочитал лекцию «Prompt Injection и все-все-все: вытаскиваем максимум из AI-сервиса».
💚 В шатре «Школа самообороны» говорили о противоположном подходе. Сергей Голованов из Kaspersky и Евгений Волошин из BIZONE представили доклад «Долгие атаки».

Всего команда Kaspersky презентовала более 10 докладов и исследований. Больше записей исследований от экспертов Kaspersky можно посмотреть здесь: https://kas.pr/vx43

Хотите ещё больше изучить тему кибербезопасности? Почитайте нашу новую статью «А у вас в окнах дырки! Пентесты Windows-приложений: кейсы, инструменты и рекомендации» на «Хабре» 👈🏼

#Kaspersky_events

📢 Уважаемые подписчики!

🦈 Хочу поделиться с вами своим собственным Open Source решением для генерации CSRF PoC под названием CSRFShark!

✨ Изначально я задумывал его для своих личных нужд, но понял, что он может быть полезен и другим исследователям в области информационной безопасности. Поэтому было принято решение опубликовать код инструмента на GitHub. CSRFShark полностью бесплатный, распространяется по лицензии MIT.

💡 Что делает этот инструмент особенным? Его отличительной особенностью является возможность генерации постоянной ссылки на результат. Это означает, что вы можете просто указать ссылку в своем отчете, а команда безопасности сможет легко и быстро проверить работоспособность PoC. Удобство в действии! 👌

🔒 Ах да, чуть не забыл. Все необходимые данные передаются в хэше URL, а следовательно, сервер не знает никаких подробностей о вашем запросе.

💪 Надеюсь, CSRFShark сможет стать незаменимым помощником для ваших исследований в сфере веб безопасности!

✉️ Если у вас есть какие-либо вопросы или предложения, не стесняйтесь обращаться ко мне. Актуальный контакт для связи всегда можно найти в GitHub репозитории.

🔗 Ссылки:
👉 https://csrfshark.github.io/
👉 https://github.com/csrfshark/app/