Обложка канала

Info sec блог. Страница 3

3117 @vulns
Открыть

Канал блога по информационной безопасности https://securityz.net

  • Info sec блог

    Написал новую статью https://habr.com/post/460101/ «Эксплуатация cookie-based XSS | $2300 Bug Bounty story», которая поможет понять, как эксплуатировать XSS на основе cookies, чтобы повысить опасность и доказать импакт уязвимости. В статье собраны возможные способы эксплуатации, которые я когда-либо использовал. Приятного чтения :)

  • Info sec блог

  • Info sec блог

    В приложении Монобанка появилась неплохая опция,- смена cvv2 кода каждый час. Я частенько прикидываю как данные моей карты могут запомнить кассиры, запечатлеть видеокамеры или, на худой конец, моя карта попадет в поле зрения рептилоидов(ОНИ РЯДОМ), в следствии чего будут совершены нежелательные покупки. В Приватбанке, например, есть функция, предотвращающая подобный вид мошенничества, - интернет лимит, но он вовсе ненадёжен и его можно легко обойти. Недавно я присылал такой баг в bug bounty Приватбанка, но мне ответили, что не считают это уязвимостью.

    Это полезная опция для пользователей Монобанка и верные шаги в сторону безопасности. Но существует небольшая вероятность, что cvv2 код в какой-то из периодов смены может измениться на тот, что есть на карте, если, конечно, разработчики не вычитывают его из возможных комбинаций.

  • Реклама

  • Info sec блог

    Burp suite скоро добавят поддержку вебсокетов в рипитере 👍

  • Info sec блог

  • Info sec блог

  • Info sec блог

    Если вы хотите начать ̶з̶а̶р̶а̶б̶а̶т̶ы̶в̶а̶т̶ь̶ ̶ ̶в̶ ̶и̶н̶т̶е̶р̶н̶е̶т̶е̶ ̶с̶ ̶н̶у̶л̶я̶ ̶б̶е̶з̶ ̶р̶е̶г̶и̶с̶т̶р̶а̶ц̶и̶и̶ ̶и̶ ̶с̶м̶с̶ проводить исследования и получать за это вознаграждения на hackerone с меньшей конкуренцией, чем в публичных программах, но вы ещё не получили ни одного приглашения или не смогли переставить пару id-ов на ctf.hacker101.com для одного инвайта, то есть возможность получить приглашение в приватную программу, не прилагая вообще никаких усилий.

    Недавно программа Lifeomic мигрировала с публичной программы в приватную и все, кто принимал участие, когда она была в паблике, автоматически перешли в приват. Но если есть исследователи, которые не участвовали в программе, но хотят получить приглашение в приватку, то они могут это сделать, просто отправив письмо на email, что находится по ссылке https://hackerone.com/lifeomic.

    Таким образом, получив одну приватку, можно от неё отказаться, заняв очередь на следующую партию приваток, отказываться от неподходящих, пока не придет та самая, которая больше по душе, где меньше конкуренция и в разы меньше шанс получить дубликат.

  • Info sec блог

    Интересный info sec trick с твиттера:

    "Можно отправлять XSS и другие пейлоады в email адресе с помощью круглых скобок (), которые предполагают использование символов </>'"{}. При помощи таких скобок фильтр посчитает email адрес валидным".

    Blind XSS - моя самая любимая и наиболее оплачиваемая уязвимость. Если можно получить доступ к админ панели, то гарантированно получаем High-Critical . Я часто отправляю свой payload через регистрацию, различные опросы, службу поддержки и похожие потенциально уязвимые места. Вероятно, я пропустил немало Blind XSS уязвимостей такого типа, так как в поле email адреса может не присутствовать фильтрация против XSS: тикет в службу поддержки, в админке отображается email адрес; подписка на новости с помощью email; HelpDesk СПП/чаты и др.

  • Info sec блог

  • Info sec блог

  • Info sec блог

  • Info sec блог

    VK Data Protection

    Vk

  • Info sec блог

    Баг в Instagram позволял отображать пароль пользователя с помощью опции "Download Your Data"
    https://bit.ly/2Kg1nr9

  • Info sec блог

    Bug Bounty совет:
    Для того, чтобы найти исходные коды веб приложения, можете поискать их с помощью гугл дорка
    site:repl.it intext:<названиекомпании>

    Источник: https://twitter.com/uraniumhacker/status/1061992982847533059

  • Info sec блог

  • Реклама

  • Info sec блог

    "Расскажите нам, почему Вы отписываетесь?", - ещё одно место, куда можно внедрить свой blind xss payload и, вероятно, выполнить его в админ панели. Просто подпишитесь на обновления сайта в личном кабинете и ждите сообщения на почту, или же спровоцируйте отправку сообщения (например, отправьте сообщение с другого аккаунта или создайте тикет в службе поддержки).

  • Info sec блог

    Опубликовал новую статью "[Bug bounty | mail.ru] Доступ к админ панели партнерского сайта и раскрытие данных 2 млн пользователей" https://habr.com/post/416835/

  • Info sec блог

    Bug Bounty совет: Попытайтесь обойти защиту web-сайта с помощью мобильного приложения. Например, в мобильном приложении нет ограничения на количество попыток ввода кода 2fa или окно ввода 2fa пропускается, в то время, когда в web версии срабатывает защита.