🔐 Дневник хакера | Баг-баунти в крупном сервисе
10 ноября 2025, понедельник
Начал участие в программе баг-баунти одного из крупных российских IT-сервисов. Программа активная, уже выплачено несколько сотен тысяч рублей другим исследователям безопасности! 💰
🎯 Что делал сегодня:
12:44-13:30 — Настройка окружения
• Развернул Burp Suite
• Настроил проксирование трафика
• Добавил идентификационные headers согласно правилам программы
13:30-14:30 — Разведка и регистрация
• Зарегистрировал тестовый аккаунт
• Изучил область тестирования (основной домен, API, партнёрские панели)
• Собрал информацию о структуре приложения
14:30-15:00 — Первые тесты
• Протестировал несколько endpoints на наличие IDOR
• Часть функционала защищена правильно (401/403) ✅
• Нашёл интересные области для дальнейшего исследования
15:00-15:30 — Настройка автоматизации
• Написал Python скрипт для масштабного тестирования
• Запустил Burp Intruder на широкий диапазон значений
• Настроил соблюдение rate limits (программа требует бережного тестирования)
📊 Текущий статус:
✅ Разведка завершена — область тестирования определена
✅ Регистрация — тестовый аккаунт создан
✅ Первые тесты — часть функционала проверена
⏳ Intruder работает — масштабное сканирование запущено
⏳ Python скрипт — автоматический поиск аномалий
🔍 Что понял:
Общие наблюдения:
• API работает стабильно, хорошая архитектура
• Есть антибот защита (срабатывает на явные аномалии)
• Часть функционала защищена корректно
• Некоторые области требуют более глубокого анализа
Методология:
1. Широкие диапазоны тестирования — нужно проверять тысячи значений, а не десятки
2. Соблюдение rate limits — уважение к инфраструктуре компании
3. Терпение — большинство начальных запросов возвращают пустые результаты
4. Автоматизация — Python + Burp дают лучший результат вместе
💡 Инсайты дня:
1. Защита ≠ везде одинаковая — один endpoint защищён, другой может быть уязвим
2. Rate limits критичны — слишком быстро = captcha/ban
3. Активные пользователи редки — большинство тестовых данных пустые
4. Persistence решает — нужно тестировать большие объёмы данных
🎲 План на завтра:
• ✅ Проверить результаты автоматизированного сканирования
• 🔍 Углубиться в перспективные векторы атаки
• 📱 Анализ мобильного приложения
• 💼 Тестирование дополнительных панелей
• 🐍 Расширение автоматизации
🤔 Мысли вслух:
Баг-баунти — это марафон, а не спринт. Сегодня я изучил инфраструктуру, настроил инструменты, запустил первые тесты. Результаты могут прийти завтра, через неделю или месяц. Главное — методичность и не сдаваться после первых отказов.
Топовые исследователи не находят баги в первый день. Они тестируют сотни endpoints, перебирают тысячи значений, анализируют логику бизнес-процессов. И рано или поздно находят то слабое звено, которое пропустили другие. 🎯
P.S. Важно помнить про NDA — детали находок можно публиковать только после согласования с компанией и закрытия уязвимостей! 🔒
#bugbounty #ethicalhacking #cybersecurity #pentest #appsec #informationsecurity #дневникхакера
10 ноября 2025, понедельник
Начал участие в программе баг-баунти одного из крупных российских IT-сервисов. Программа активная, уже выплачено несколько сотен тысяч рублей другим исследователям безопасности! 💰
🎯 Что делал сегодня:
12:44-13:30 — Настройка окружения
• Развернул Burp Suite
• Настроил проксирование трафика
• Добавил идентификационные headers согласно правилам программы
13:30-14:30 — Разведка и регистрация
• Зарегистрировал тестовый аккаунт
• Изучил область тестирования (основной домен, API, партнёрские панели)
• Собрал информацию о структуре приложения
14:30-15:00 — Первые тесты
• Протестировал несколько endpoints на наличие IDOR
• Часть функционала защищена правильно (401/403) ✅
• Нашёл интересные области для дальнейшего исследования
15:00-15:30 — Настройка автоматизации
• Написал Python скрипт для масштабного тестирования
• Запустил Burp Intruder на широкий диапазон значений
• Настроил соблюдение rate limits (программа требует бережного тестирования)
📊 Текущий статус:
✅ Разведка завершена — область тестирования определена
✅ Регистрация — тестовый аккаунт создан
✅ Первые тесты — часть функционала проверена
⏳ Intruder работает — масштабное сканирование запущено
⏳ Python скрипт — автоматический поиск аномалий
🔍 Что понял:
Общие наблюдения:
• API работает стабильно, хорошая архитектура
• Есть антибот защита (срабатывает на явные аномалии)
• Часть функционала защищена корректно
• Некоторые области требуют более глубокого анализа
Методология:
1. Широкие диапазоны тестирования — нужно проверять тысячи значений, а не десятки
2. Соблюдение rate limits — уважение к инфраструктуре компании
3. Терпение — большинство начальных запросов возвращают пустые результаты
4. Автоматизация — Python + Burp дают лучший результат вместе
💡 Инсайты дня:
1. Защита ≠ везде одинаковая — один endpoint защищён, другой может быть уязвим
2. Rate limits критичны — слишком быстро = captcha/ban
3. Активные пользователи редки — большинство тестовых данных пустые
4. Persistence решает — нужно тестировать большие объёмы данных
🎲 План на завтра:
• ✅ Проверить результаты автоматизированного сканирования
• 🔍 Углубиться в перспективные векторы атаки
• 📱 Анализ мобильного приложения
• 💼 Тестирование дополнительных панелей
• 🐍 Расширение автоматизации
🤔 Мысли вслух:
Баг-баунти — это марафон, а не спринт. Сегодня я изучил инфраструктуру, настроил инструменты, запустил первые тесты. Результаты могут прийти завтра, через неделю или месяц. Главное — методичность и не сдаваться после первых отказов.
Топовые исследователи не находят баги в первый день. Они тестируют сотни endpoints, перебирают тысячи значений, анализируют логику бизнес-процессов. И рано или поздно находят то слабое звено, которое пропустили другие. 🎯
P.S. Важно помнить про NDA — детали находок можно публиковать только после согласования с компанией и закрытия уязвимостей! 🔒
#bugbounty #ethicalhacking #cybersecurity #pentest #appsec #informationsecurity #дневникхакера