Standoff 365

Второй сезон на Standoff Hackbase начался 🆕

Встречайте, System Breach! Именно под таким кодовым названием пройдет новый сезон.

В начале сезона тебе предстоит погрузиться в историю нефтегазовой корпорации Pipeline и разобраться со Standalone-тачкой Ftender — порталом для управления закупками и поставщиками Pipeline. А дальше — больше и интереснее 😋

Внутри тебя ждут:
➖ Несколько сложных технологических заданий и сразу 5 заданий со SCADA-системами;
➖ Новые Standalone-тачки, которые будут регулярно появляться на протяжении всего сезона;
➖ Таски от комьюнити — уязвимые сервисы, которые подготовили ребята из сообщества. Будем знакомить тебя с героями и рассказывать о них подробнее в момент релиза.

Сезон продлится до ноября 2026 года. Не забывай про рейтинг внутри него: это твой шанс попасть в топ-25 лучших хакеров, которых мы наградим.

Скорее заходи на Standoff Hackbase и взламывай системы. Покажи, на что способен 💪

Счастливых Хакерских игр, и пусть топовые места всегда будут с тобой! 🏆

Standoff Hacks помнишь? Принесли новое интервью ✉️

В этот раз поймали r0hack и поговорили с ним о планах на Standoff Hacks. За его плечами — топовые места во многих наших ивентах и не только.

Листай карточки, чтобы узнать, что больше всего нравится багхантеру в Standoff Hacks и как замотивироваться на участие 😎

Новый сезон на Standoff Hackbase на подходе! 🔥

Уже на следующей неделе вас ждут новые герои, сюжетные повороты и битва за место в топ-25. Пока без спойлеров: подробности раскроем уже скоро.

Надеемся, вы уже на низком старте и готовитесь ломать системы 24/7. А пока ждете нового сезона, попробуйте угадать в комментариях, как он будет называться ✍️

Увидимся на Standoff Hackbase 🏃‍♂️

«Ренессанс Жизнь» запускает программу кибериспытаний 💼

Готов доказать, что талантливый исследователь может взломать даже крупные компании?

Тебе предстоит продемонстрировать возможность получения прав доступа к базе данных клиентов без выгрузки и действий с персональными данными.

🔘 Покажи, что получить права доступа к базе данных возможно
🔘 Сделай скриншот, подтверждающий получение доступа, без осуществления выгрузки и иных действий с персональными данными.

За успешную реализацию недопустимого события ты можешь получить вознаграждение в размере 1 000 000 ₽ 💰

Врывайся в кибериспытания «Ренессанс Жизнь» и покажи, как можно сделать бизнес безопаснее!

Загружал файл, а получил баунти 😦

В новом выпуске «Начинаем в багбаунти: File Upload» разберем, как загрузка файлов — одна из самых старых точек входа — приводит к XSS, Path Traversal и даже RCE.

В выпуске:
— как работает multipart/form-data;
— ошибки парсинга на стороне сервера;
— обходы валидации: расширения, MIME, magic bytes;
— особенности обработки файлов в Apache и nginx;
— продвинутые техники: race condition, атаки через метаданные и DoS.

Вместе с ведущим Олегом Улановым aka brain, амбассадором Standoff Bug Bounty, и гостем — багхантером ratel_xx из PT SWARM — ты сможешь разобраться в техниках, которые работают в багбаунти.

Выбирай удобную платформу и смотри видео ❗️

💙 VK | 😉 YouTube

#начинаемвбагбаунти@standoff_365

Хочешь поделиться своим райтапом? Пиши нам! 🔥

Мы в поиске интересных решений: делись разборами атак на офис ICG в сегменте Industry и Standalone-тачки (кроме Portal и Pharmacy) из прошедшего сезона.

Приветствуем все форматы: от больших статей до видео. Покажи свое видение! 😎

От тебя — крутой разбор, от нас — публикация и ачивки лучшим райтапам.

Здесь можешь подсмотреть примеры:
🔴 Разбираем, как взломать Portal
🔴 Разбор атаки на банковский сегмент
🔴 Видеоразбор атаки на хосте Pharmacy

Если появилось желание подготовить райтап, пиши Алине @stfcommunity.

HTML-элемент <geolocation> → новый вектор для эксплуатации XSS 🌐

С января 2026 (Chrome 144+) в браузере официально появился декларативный элемент <geolocation>.

Он задумывался как удобная альтернатива navigator.geolocation, чтобы запросы локации выглядели менее подозрительно и чаще получали разрешение от пользователя.

Новые векторы уже в шпаргалке от PortSwigger:

<geolocation onvalidationstatuschange=alert(1)>
<geolocation autolocate onlocation=alert(1)>
<geolocation onpromptdismiss=alert(1)>
<geolocation onpromptaction=alert(1)>

Подводим итоги отборочных на кибербитву Standoff 17 😎

Они закончились 6 марта, и сейчас самое время узнать, кто попадет на главную битву года.

Топ-5 команд 🔝

1. T3amW1pe
2. EvilBunnyWrote
3. KiberS
4. ℭ𝔲𝔩𝔱
5. 0x640646

Полный список тех, кто проходит на битву — на странице красных.

P. S. Нужно больше подробностей о самой кибербитве? Скоро все расскажем! Пока можем подтвердить, что в этот раз будет и онлайн-, и офлайн-формат.

Итоги конкурса Standoff Hacks уже здесь 🏆

Спасибо всем, кто принял участие! Это было мощно.

А теперь пора объявить победителей, которые получат инвайт:

1. Casual (81 950)
2. freeman (42 150)

Если тебя нет в списке — не переживай. Скоро будет конкурс с инвайтами на российский Standoff Hacks! Оставайся на связи, чтобы ничего не пропустить.

В ближайшее время мы свяжемся для уточнения деталей 👑

Облачно, возможны осадки в виде уязвимостей ☁️

А все потому, что облачная платформа K2 Cloud сделала свою программу публичной — теперь она открыта для всех исследователей.

Тебе предстоит искать критически опасные угрозы, которые могут повлиять на безопасность инфраструктуры и данных клиентов 🗂

Что ищем:

— RCE-уязвимости
— Инъекции (SQL, XML, SSTI и другие)
— LFI, RFI (чтение и запись файлов)
— SSRF с подтвержденным воздействием
— IDOR и эскалацию привилегий
— Ошибки аутентификации и авторизации
— Обход бизнес-логики и финансовых ограничений
— Утечки конфиденциальных данных
— Любые уязвимости, влияющие на безопасность платформы

Максимальная награда — 500 000 ₽ 🛫

Готов проверить облако на прочность? Велкам в программу ⬅️

🎖 Конкурс Standoff Hacks — все

Надеемся, что ты успел обыскать программы вдоль и поперек 😎

Спасибо каждому, кто принял участие! Это была напряженная, но крутая гонка.

А мы уходим считать баллы и вернемся 10 марта, чтобы озвучить имена победителей, которые получат инвайт на Standoff Hacks.

Следи за обновлениями и не пропусти итоги 🔍

Вскрываем «Копилку» на Standoff Bug Bounty 🐷

У нас есть что-то надежнее, чем сейф, — и это файловое хранилище «Копилка», куда не могут попасть третьи лица. И в этот раз ты сможешь проверить, так ли оно безопасно 🔑

В рамках недопустимого события тебе предстоит подтвердить несанкционированный доступ к файлам внутри «Копилки».

Тот, кто сделает это первым, получит вознаграждение в размере 1 500 000 ₽.

Попробовать расколоть «Копилку» можно на нашей платформе.

Главное — внимательно читай правила. И не забывай: кто первый, тот и забирает деньги 🤑

Кибербитва Standoff 17 — будет. В каком формате расскажем в ближайшее время.

Начинаем в багбаунти: новый сезон стартовал 🥲

В нем мы поближе познакомимся с новым ведущим и амбассадором Standoff Bug Bounty Олегом Улановым aka brain. Кстати, еще он топ–1 платформы по итогам 2025-го 😎

К нему присоединится remembernamer — топ–25 платформы. Ребята разберут уязвимости бизнес–логики — те самые сложные и недооцененные классы багов, которые часто приводят к финансовым потерям.

А еще обсудят:
📌 broken access control
📌 race condition
📌 auth bypass
📌 и практический подход к поиску логических багов

Интересно? Тогда смотри тизер, чтобы настроиться на вайб выпуска, а дальше переходи на любую удобную платформу 🤑

💙 VK | 😉 YouTube

#начинаемвбагбаунти@standoff_365