Standoff 365

Следующий райтап может быть твоим 😎

Ты уже покорил вышедшие из сезона Standalone-тачки Ftender и Messenger? Тогда мы предлагаем вместе создать из твоих заметок крутые разборы!

Мы ищем авторов:
🔴 для стрима с решением Ftender в прямом эфире,
🔴 для райтапа Messenger.

Расскажи о своем решении, поделись интересными находками и получи ачивку на портале 👍

Посмотреть примеры можно здесь:
➡️ Многоуровневая атака на инфраструктуру компании Carbon
➡️ Стрим с решением отборочных тасок Standoff 17

Готов поделиться креативным подходом? Пиши Тембулату @tembitt — вместе превратим твои знания в крутой райтап или стрим.

А что если бы Standoff 365 проводил чемпионат по футболу 🏆

Мы решили собрать свои символические сборные из топов Bug Bounty и Hackbase. Получились составы, которые всегда борются за первое место и не пропускают ни одной уязвимости 😎

А с кем бы ты объединился в команду?

Пиши в комментариях свои варианты 😝

Дубль тебе или два другому 🤔

Прошел месяц после кибербитвы! Самое время вспомнить, как это было.

Мы задали вопросы о самом важном участникам. Их ответы — в ролике.

Включай видео и пиши свои варианты в комменты 👇

А мы сегодня на КиберКэмпе ☀️

Тембулат, наш комьюнити бро, уже изучил маршрут до стенда Standoff 365 — теперь твоя очередь.

Подходи, решай новые задачи на онлайн-полигоне, получай мерч и заглядывай поболтать с командой.

Если еще не успел к нам, то поторопись — количество мерча ограничено 🙂

Опа, эффки! 🪙

Ну да, видели. А сегодня добавили кошелек с эффками в личный кабинет на платформе Standoff 365!

Пока у всех пользователей на счету 0. Не волнуйтесь, так и должно быть 👍

Первыми эффки получат участники прошедшей кибербитвы Standoff 17. Это произойдет совсем скоро — сообщим дополнительно.

Их можно будет обменивать в Standoff Market на мерч, уникальные айтемы и другие приятные бонусы!

Как залутать эффки не участникам битвы — расскажем позже, следите за новостями 😎

Дроп новых тачек уже в эту пятницу ⚡️

Они появятся в сезоне на Standoff Hackbase 17 июля в 11:00 мск.

🆘 kachrava.standalone.stf

Критическое событие: срыв графика вывоза отходов по всему городу.
Сложность: easy

За последние двое суток диспетчерская служба компании Kachrava оказалась завалена звонками. Жители центральных районов Сити жаловались на переполненные контейнеры во дворах, владельцы небольших магазинов и кафе — на скопившийся мусор у служебного входа. Операторы отвечали одинаково: «Вывоз по вашему адресу запланирован на следующую неделю». Клиенты недоумевали: у многих на руках были договоры с четким графиком, который неукоснительно соблюдался годами.

🔓 parrhesia.standalone.stf

Критическое событие: утечка персональных данных сотрудников.
Сложность: easy

На теневых форумах появилась база данных портала анонимных обращений Parrhesia — сервиса, который использовался сотрудниками крупного холдинга для передачи информации о злоупотреблениях, нарушениях этики и внутренних инцидентах. Анализ утекшей информации показал — система, гарантировавшая полную анонимность, на самом деле собирала и хранила данные пользователей.

📌 Ссылки на тачки прикрепим в комментариях к посту 17 июля.

Готовься ворваться на Standoff Hackbase и забрать все флаги! ⚡️

Update: линки на месте.

• parrhesia.standalone.stf

• kachrava.standalone.stf

Музыка, заряженная на криты 🗡

Сегодня за музыкальное сопровождение отвечает kedr — один из самых результативных багхантеров на Standoff Bug Bounty. Исследователь, который с самого запуска платформы остается в числе лучших и совсем скоро получит уникальную ачивку за 50 критических уязвимостей.

kedr описал подборку так:

«Попытался расположить треки в порядке, соответствующем этапам хакинга. А-ля разгоняемся, усиленно ломаем, дальше немного горок — и выдыхаем».

А чтобы проникнуться атмосферой багхантинга на полную, включай треки на любой удобной площадке 😊

😊 YouTube | 🎵 Яндекс Музыка

Легендарный выпуск «Начинаем в багбаунти» 🔮

Поговорим о S3 misconfigs — ошибках конфигурации объектных хранилищ, которые регулярно встречаются в реальных программах и могут приводить к утечке информации, компрометации учетных записей и другим серьезным последствиям.

Подробно разберем:
➡️ Что такое S3 и как с ним взаимодействовать
➡️ Ошибки конфигурации веб-сервера при работе с S3
➡️ Эксплуатацию разнообразных уязвимостей

Тебя ждет много практики и стендов!

Разбираться в теме будут Олег Уланов aka brain — амбассадор Standoff Bug Bounty и топ-исследователь платформы, и Сергей Бобров aka BlackFan, легенда багбаунти, неизменно входящий в топ лучших исследователей Standoff Bug Bounty, участник и победитель множества Standoff Hacks.

В описании под видео оставили полезные ссылки, чтобы ты мог сразу перейти к делу! 🖥

Включай выпуск на любой удобной платформе, чтобы узнать, на что обращать внимание при поиске подобных уязвимостей, и забирай идеи, которые можно применить на практике.

💙 VK | 😉 YouTube

#начинаемвбагбаунти@standoff_365

От одной уязвимости до полного контроля над доменом ⌨️

В своем райтапе Евгений Кабаргин (aka kiberjen), капитан команды KiberS, рассказывает о многоуровневой атаке на инфраструктуру компании Carbon.

По легенде, ИБ обнаружила инцидент во время планового аудита: специалисты выявили подозрительную активность в сети. Выяснилось, что нарушители получили доступ к контроллеру домена Carbon. Компания вернула контроль над инфраструктурой и сосредоточилась на устранении последствий, но информация об атаке уже просочилась в сеть. Клиенты Carbon в шоке...

Внутри кейса — разбор каждого этапа:
🔴 разведка и поиск точки входа
🔴 получение первоначального доступа
🔴 эскалация привилегий
🔴 компрометация домена

Также там можно найти и рекомендации по защите.

Все подробности — на Хабре ⬅️

Кстати, именно за киллчейн-уязвимости компании заплатили больше всего во втором квартале на платформе Standoff Bug Bounty.

Это хороший повод прочитать райтап, использовать полученные знания на практике и заработать много капусты 😎

#райтап@standoff_365

Новая программа на Standoff Bug Bounty — «ЕПГУ-Выборы» 🤒

Исследуйте государственные цифровые сервисы на Standoff Bug Bounty, находите уязвимости и получайте до 500 000 ₽ за валидные отчеты.

🎯 В скоупе:

➖ elections.gosuslugi.ru
➖ kparty.gosuslugi.ru
➖ voter.gosuslugi.ru
➖ candidate.gosuslugi.ru
➖ commission.gosuslugi.ru
➖ 109.207.1.126
➖ 109.207.8.126
➖ https://www.gosuslugi.ru/600307/1/form
➖ https://www.gosuslugi.ru/600411/1/form
➖ https://www.gosuslugi.ru/600412/1/form

Заходи на Standoff Bug Bounty, ищи баги и забирай баунти 💵

Технические работы на Standoff Hackbase 🔧

Часть банковской системы (cbs.stf) будет недоступна 6 июля с 14:00 по 18:00 (мск).

Что играет в наушниках у команды разработки уязвимых сервисов и группы триажа 😈

В этом плейлисте ты поймаешь настроение и создания новых тачек, и оценки отчетов в багбаунти. А сами треки такие же, как хосты и репорты на платформе: у каждого свой характер.

Лид отдела оставил пасхалку в виде пары крутых саундов:

Очень нишевые, сам не слушал.

В комментариях делись догадками, что за песни это были.

А насладиться плейлистом можно по ссылкам ниже ⤵️

😊 YouTube | 🎵 Яндекс Музыка

Собираемся на кибер опен-эйр ☀️

Команда Standoff 365 17 июля отправляется на «Лето в КиберКэмпе» — фестиваль для всех, кто живет кибербезом.

😎 На площадке тебя будет ждать активность, посвященная Bug Bounty и Hackbase. Мы подготовили два новых задания для начинающих на онлайн-полигоне.

Все, что тебе нужно, чтобы принять участие, — ноутбук, регистрация на платформе Standoff 365 и исследовательский азарт. Уже с минимальным уровнем подготовки ты сможешь лучше узнать мир белого хакинга. А за успешно выполненные задания — забрать лимитированный мерч 🕺

😎 Без докладов никуда: Иван Булавин, директор по продуктам платформы Standoff 365, выступит с темой «ИИ-участники на киберполигоне Standoff».

Обсудим:

Как мы создавали киберполигон, где ИИ-агенты выступают в роли атакующих и защитников.

Как превратить хаотичную активность агентов в воспроизводимое и измеримое соревнование.

Что в таком формате уже работает, где у ИИ появляются ограничения и какие вопросы пока остаются открытыми.

А между активностями будем много общаться, проходить квесты, обсуждать кибербез и просто отдыхать на пуфиках.

🔵 «Берёzы Парк», Строгино, Москва
🔵 17 июля
🔵 Сбор в 11:00

Успей зарегистрироваться, чтобы хорошо провести этот летний день в компании единомышленников 🏝

Итоги 2 квартала на Standoff Bug Bounty 0️⃣

Три месяца пролетели быстро и получились насыщенными: много отчетов, крупные выплаты и новые достижения. Настало время делиться результатами!

За это время мы:
🟡 приняли 1484 отчета
🟡 выплатили исследователям 101 млн ₽
🟡 определили топ самых дорогих типов уязвимостей по сумме вознаграждений

Еще во втором квартале мы стали победителями премии «Киберпросвет» и получили награду «В поиске багов — за популяризацию багхантинга и пентеста».

Спасибо каждому, кто развивает платформу и комьюнити вместе с нами ❤️

Листай карточки: собрали топ самых дорогих отчетов квартала и суммы выплат за них.

Привет, не могу щас разговаривать, подвожу итоги Standoff Hacks 🎹

Финал позади, самое время поделиться результатами.

552 отправленных отчета. Почти 8 млн ₽ выплат исследователям. И все это — результат работы 37 топовых багхантеров, которые исследовали сервисы компаний в рамках Standoff Hacks.

Гонка была мощной: каждый участник стремился показать максимум, а борьба за место в рейтинге не останавливалась.

Финальный топ Standoff Hacks выглядит так:
❤️ prizrak — Best Hacker
❤️ rolegiv
❤️ AlexShev
❤️ adsec2s
❤️ r0hack

🤩 MVP по программам:
🔴 prizrak
🔴 rolegiv
🔴 FrakenboK
🔴 b1ackswan

Отдельный респект багхантерам с одними из самых значимых критических находок в рамках Standoff Hacks:
🔶 remembernamer
🔶 checksecb0b
🔶 PapuAs
🔶 kedr

Победителям — заслуженные поздравления, всем участникам — огромное спасибо и уважение за высокий уровень исследований!

Но это еще не все. Если ты тоже хочешь побороться за крупные призовые и испытать себя на прочность в сильном комьюнити, то начинай готовиться к следующему priv8-ивенту.

Конкурс с инвайтами не за горами! Оставайся на связи и до встречи на Standoff Hacks 🤩