Standoff 365

Месяц удвоенных выплат на все найденные уязвимости в VK Видео!

🎆 Что может быть приятнее выплаты за принятый отчет? Правильно, выплата, умноженная в два раза! В ближайший месяц тебя ждет повышение наград за сданные уязвимости в программе VK Видео на платформе Standoff Bug Bounty.

🔹С 28 февраля по 28 марта для VK Видео действует ✖️ на все найденные уязвимости.
🔹Скоуп остается прежним, так что можно сразу приступать к охоте.

Строй роскошные планы на приближающуюся весну и не забывай думать о том, как будешь воплощать их в жизнь. 😉

💬 Не забывай и про дополнительные бонусы от Bounty Pass: Forever!

Чтобы багхантеры не только ловили уязвимости, но и получали максимум профита, напоминаем о Bounty Pass:

🔹Получи +1-5% к вознаграждению в зависимости от уровня опасности бага.
🔹Чем больше принятых отчетов — тем больше накопленный бонус.
🔹А еще здесь дарят подарки за активность: сдай 4 отчета до конца марта и получи уникальный мерч от VK.

Готовы к ✖️ выплатам? Тогда вперед — VK Видео уже ждет ваших отчетов!

Ansible, хосты и магия переменных: как подружить сервисы между собой?

Продолжаем серию статей про Ansible и развертывание больших инфраструктур! Если в прошлый раз мы разбирались, как красиво раскладывать хосты по полочкам в Ansible inventory, то теперь копнем глубже — как их конфигурировать и связывать между собой, чтобы все работало, а не горело.

💡 Что внутри статьи?

🔹 Как Ansible решает судьбу хостов через переменные и почему они делятся на три пула (у каждого свое место в иерархии).

🔹 Как один сервис понимает, к кому ходить за доменными именами, а к кому — за аутентификационными данными (и почему это не всегда GitLab, но иногда все-таки он).

🔹Как Ansible-service проверяет, какую именно версию софта устанавливать (и почему не последнюю, а ту, что написана в inventory).

Если бы хосты могли разговаривать, они бы, конечно, сами разобрались, куда ходить за DNS, где их контроллер домена и кто им должен выдавать учетные данные. Но раз они немые, все приходится прописывать руками — и тут на сцену выходит hostvars[].

Читайте статью на Хабре.

А какая у вас история страданий приключений с Ansible?

Скоро будет не просто тепло, а по-настоящему горячо: встречай Международные игры по кибербезопасности!

А точнее — предстоящий сезон крупнейших независимых соревнований для старшеклассников, студентов и начинающих специалистов в сфере кибербезопасности.

⁉️ Когда?

С 10:00 24 апреля до 22:00 25 апреля (по МСК) — почти двое суток битвы без перерывов.

🔥 Что тебя ждет?

• Практика на реалистичных копиях инфраструктур.
• Возможность попробовать себя в роли атакующих или защитников.
• Общение и нетворкинг с единомышленниками.

Что ждет победителей весеннего сезона?

Атакующие: ТОП-2 команды примут участие в легендарной кибербитве Standoff 15 в мае этого года без отборочных.
Защитники: ТОП-2 команды посетят кибербитву Standoff 15 на PHDays Fest.

Как попасть в Игры?

Переходи по ссылке, читай подробности и оставляй командную заявку. Торопись, срок регистрации ограничен!

🔹 Мы подготовили не только хардкорные задания, но и комьюнити: тебя ждут знакомства с опытными участниками Standoff, поддержка на всех этапах и никаких требований по стажу в 50 лет.

Наши партнеры — CyberCamp от Инфосистемы Джет и CyberEd — также приготовили крутые испытания и замечательные призы!

Если ты старшеклассник, студент или начинающий специалист, который хочет проверить свои навыки на практике, — собирай команду и регистрируйся прямо сейчас!

Да начнутся Международные игры по кибербезопасности! 🔥

Этим солнечным днем подвезли вам новые программы кибериспытаний

☀️ Чтобы вам было чем заняться, пока весеннее солнце делает приятнее на душе и радует глаз.

А если за окном все еще надоевшая зима, то дождаться тепла будет проще вместе со Standoff Bug Bounty. 🌸

Теперь на платформе активно 57 программ!

Встречайте новичков ⤵️

• СберКорус
• PenaQuiz
• Русдверь
• AdSensor
• Турбоцентр

А в комментариях мы дадим список программ, которым все еще не хватает хороших отчетов. Они вас ждут! ⤵️

А какой сегодня ты Юра Борисов? 🧐

Standoff 15: официальный канал коммуникации открыт

⭐️ Standoff 15 приближается, а это значит, что пора подключиться к официальному каналу коммуникации и быть в курсе всех дел.

🔊 Что будет в канале?

🔹 Все важные анонсы о битве.
🔹 Прямой контакт с организаторами: вопросы и ответы, технические моменты.
🔹 Общение с участниками: ищите тиммейтов, делитесь тактиками, обсуждайте стратегии.

👾 Присоединяйтесь к каналу сейчас, чтобы не пропустить ничего важного! 👾

Весна все ближе, а программ кибериспытаний — все больше

☀️ Не скучаете? И не будете! Да-да, представляем вашему вниманию 4 новые программы, которые уже ну очень хотят ваших отчетов как и мы.

Вот они:
• «Лемма»
• АБП2Б
• Seowork
• «Робот Карл»

☺️ Кстати, всего активных программ сейчас на Standoff 365 — 52. Так, к слову. А «Лемма» уже успела получить несколько хороших отчетов.

Ломай их, пока за окном все еще холодно, а дома, вместе со Standoff 365, уютно. 🌸

P.S. Пока мы писали этот пост, вы закрыли еще 1 недопустимое событие. А это значит, что вас ждут еще 52 млн рублей. 😉

У нас появился новый хост на онлайн-полигоне Standoff в сегменте Standalone

🔥 И это не просто новый скучный хост: у него есть свое название и уникальная легенда. А у тебя есть возможность реализовать критическое событие и заработать баллы!

STANDOFF TECH CONGRESS — закрытая секретная конференция, где обсуждают ключевые национальные вопросы государства F, его безопасность, политические и экономические тайны. Пропуска? Да, их выдают только избранным. Но разве это остановит тебя?

Твоя выполнимая миссия:

🆔 Подделать пропуск для сотрудника Smart Fleet Logistics.

🖨 Создать и распечатать бейдж на имя Standoff Xakep.

🏆 Если все сделано правильно, то на пропуске появится флаг — сдай его и получи баллы за реализацию критического события.

Хост: techcongress.standalone.stf

Если ты не VIP — сделай из себя его сам. 👑

Благодарим команду 5HM3L, которая помогла разработать такой крутой хост в рамках хакатона Standoff 365. А если и вам хочется поучаствовать в развитии Standalone — пишите @k4riN44.

Сотни, а может, даже тысячи багхантеров соберутся 27 февраля на VK Security Confab #3 😎

Среди них будет легенда багхантинга — Юрий Ряднина aka circuit. Он и тебя приглашает присоединиться к митапу, который пройдет офлайн в Москве (никаких трансляций и записей не будет, так что эксклюзивчик).

🗒 В программе:

• Планы VK на багбаунти в 2025 году.
• Разбор триажа изнутри.
• Лайфхаки от SavAnna о том, как уменьшить количество дубликатов (бесят же?).
• Реальные кейсы от zerodivisi0n, приводящие к удаленному исполнению кода.
• Дисклоузы крутых уязвимостей VK от circuit.

А после — афтепати ✌️

Начнется все в 19:00, чтобы попасть, нужно зарегистрироваться.

Если бы закрытие недопустимых событий было олимпийским видом спорта, у вас уже было бы золото

Мы подозреваем, что багхантеры не спят, не едят и работают в режиме 24/7, потому что меньше чем за сутки после нашего поста вы закрыли еще 6 НС. Теперь у нас 12 закрытых программ, а значит:

🍋 12 млн уже отправлены победителям.
💸 47 млн все еще ждут тех, кто их заберет.

Похоже, если мы будем анонсировать новые программы чаще, кто-то из вас купит себе остров. 🏝

🔥 Кстати, некоторые программы чувствуют себя одиноко и ждут, когда их поломают на них обратят внимание:
• Международная академическая клиника
• Integrity Group
• WhateverShop
• CyberED
• Федеральный исследовательский центр «Казанский научный центр Российской академии наук»

Продолжайте в том же духе, но не забывайте отдыхать (ну хотя бы пару часов). 😏

Полный список программ, которые ждут твоих крутых отчетов, смотри в комментариях ⤵️

С Днем святого Валентина, любимые слоняры! 💌

Сегодня уязвимости снова ждут, что вы их заметите. 🫶
Они шлют вам валентинки, признаются в своих слабостях и надеются, что вы будете нежны… но беспощадны.

❤️ Любите баги и уязвимости, но отвечайте им отказом.

Больше багхантеров в команде — больше 🍋 в кармане

Например, взгляни на багхантеров remembernamer & mimicate и AlexShev & act1on3, а также FedyaSyel с командой, которые, работая вместе, реализовали 3 недопустимых события в программах кибериспытаний. Они навыжимали на 3 млн рублей!

💡 Кстати, 6 программ уже в архиве, но чтобы было не скучно — добавили сегодня ещё 14 новых! Теперь для тебя доступно 48 программ, на которые ты можешь наброситься в одиночку, а можешь взять подмогу и багхантить вместе с товарищами.

Платформа Standoff Bug Bounty ждёт тебя. Все получится. 🔥

⏰ Cпишь? Вставай! Заявка на Standoff 15 сама себя не подаст.

Кибербитва пройдет во время фестиваля Positive Hack Days 21–24 мая.

А заявки на отборочные мы начинаем принимать сегодня и заканчиваем 12 марта. Автоматом туда залетают 22 команды по итогам двух прошлых кибербитв. Еще десятку добавим по результатам экспертного отбора.

Без отборочных напрямую в финал проходят:

🔵топ-6 команд STF 14
🔵топ-10 команд STF 13
🔵топ-2 с Международных игр по кибербезопасности осеннего сезона 2024 года и весеннего 2025-го (всего 4 команды)

Эти ребята пока могут чилить или неспешно начинать тренироваться. Если ты не из них, собирай команду, заявляйтесь и готовьтесь удивлять наш экспертный совет своими навыками.

В ближайшее время напишем о новой механике кибербитвы и поделимся другими подробностями. Спойлер: в этот раз ломать предстоит системы одного Государства F, но в новой модификации.

P.S. Скоро еще расскажем, что там со следующими Международными играми по кибербезопасности. Жди анонса!

Был крит — стала ачивка

Получили доступ к управлению сервером платежей? Реализовали утечку информации, составляющую банковскую тайну? Бегом проверять профиль!

⭐️ Обновление онлайн-полигона для красных в самом разгаре, и банковские критические события потихоньку отправляются в архив, но ваши подвиги — нет! Если вы успели реализовать какие-то события, в профиле на Standoff 365 вас ждет ачивка.

☀️ Можно выдохнуть: обнуления баллов пока не будет — пусть цифры порадуют еще немного.

Мы работаем над новыми сценариями и механиками, так что впереди — крутые вызовы и достижения. Следите за новостями!

Проверьте свои ачивки в профиле — заслуженные награды ждут вас. 🏅Кстати, недавно мы также выдали ачивки тем участникам платформы багбаунти и онлайн-полигона, которых награждали на встрече топов года!

🛠 DevOps говорит «это просто», а ты уже неделю конфигурируешь Ansible

На киберполигоне Standoff мы решили автоматизировать процесс конфигурации: сделать так, чтобы инфраструктура развертывалась по кнопке и сразу была готова к работе. В первой из серии статей Вячеслав Валенко, руководитель группы автоматизации Standoff, рассказывает, как мы к этому пришли.

💡Что мы хотели?

Создать user-friendly-конфигуратор, в котором можно визуально собрать инфраструктуру, передать ее в систему развертывания (Deployer) и мгновенно получить рабочий полигон.

🔨 Что сделали?

🔹 Взяли Ansible, но пересмотрели стандартный подход.
🔹 Отвязали группы хостов от их функционала и дали им сетевую роль.
🔹 Сделали так, чтобы каждый сервер сам знал, где DNS, где логиниться и какие сервисы доступны.

А получили — развертывание сложных инфраструктур за считанные минуты, готовность сервисов без ручной настройки и минимум затрат на поддержку.

Разбираем все тонкости в статье на Хабре. Подписывайтесь на автора и следите за продолжением: в следующей статье Вячеслав расскажет, как, используя сформированную структуру инвентаря Ansible, интегрировать хосты между собой.

Как заработать 🍋🍋🍋 на кибериспытаниях?

Спросили об этом у remembernamer (он же mr4nd3r50n), который точно в курсе. Да, он — тот самый слоняра герой, который подряд реализовал целых три недопустимых события.

Попросили его поделиться секретом своей крутости и ответить на несколько вопросов. Что получилось — несем в канал. Читай, вдохновляйся и го багхантить.

— Что тебя привело в программу кибериспытаний?
— Хотел взять перерыв от обычного формата багбаунти, заметил программы с НС, и заинтересовался, почему же в них все еще нет реализованных кейсов.

— Ну и как, сложно было?
— Если привыкаешь искать баги в рамках обычных программ багбаунти, может быть сложно, так как тут нужен немного другой подход. Это скорее пентест, за который тебе не заплатят, если ты не достигнешь обозначенной цели. При этом в сроках ты относительно неограничен, и никаких обременений вроде договора, обязывающего тебя выполнить работу, естественно, нет. Есть время — ищем, нет — нет.

— Чем для тебя кибериспытания отличаются от обычных программ багбаунти?
— Относительной развязанностью рук и наглядным сопоставлением уязвимостей с возможными последствиями. Где, как не здесь, мы в состоянии лично доказать, что какая-нибудь XSS (за которую порой платят лишь одобряющим похлопыванием по плечу) действительно может иметь критический импакт, если будет докручена до угона аккаунта администратора с последующей кражей персональных данных всех клиентов компании? То есть тех вещей, которые бизнес уже прекрасно понимает.

— Пришлось ли срочно прокачиваться и искать какую-то дополнительную информацию?
— Если честно, не так давно я вообще занимался разработкой. А сменить направление и прокачаться мне в свое время очень помогли курсы WAPT от Codeby и «Специалист по тестированию на проникновение» от CyberED (CSRn9 — лучший поток). Ну и куда без классики: PortSwigger, HTB, кофе и кофе (тут мог бы быть здоровый сон, но его заменил еще один кофе).

— Что оказалось самым сложным, а что — наоборот?
— Найти первый потенциальный вектор, как это ни странно, оказалось достаточно просто, тут мне повезло. А самым сложным было его отпустить и переключиться на поиск другого. Казалось бы, ну вот же уязвимость, нужно вот только еще немного... а вектор оказывался «кроличьей норой» — в итоге никак не мог способствовать твоему продвижению и реализации недопустимого события в дальнейшем.

— Что посоветуешь тем, кто сомневается, пробовать или нет?
— Читайте открытые репорты, старайтесь быть в курсе актуальных уязвимостей и разбирайтесь, как они работают. Больше практикуйтесь на лабах, проектах и просто try harder.

— На что планируешь потратить свои 🍋🍋🍋?
— Ну тут все просто: уже полученные баунти лягут в основу первоначального взноса по ипотеке, а все будущие, надеюсь, помогут ее успешному досрочному закрытию. Так что ждем новые компании на кибериспытаниях (скажите заранее, я возьму отпуск).

В общем, как видишь, хорошие сапоги программы, надо брать. Выбирай любую из 37 открытых на Standoff Bug Bounty.

Сайт попросил оставить отзыв, но ты оставляешь XSS

🕵️‍♂️ Как найти уязвимость в вебе, если ты новичок?

Взлом приложений кажется чем-то сложным? Анна Куренова, DevSecOps-инженер, докажет, что это не так! В свежей статье она рассказывает о базовых веб-уязвимостях, которые по силам даже тем, кто только начал разбираться в багхантинге.

У вас есть Burp Suite, базовые знания о вебе и немного любопытства. Что можно сделать?

✔️ Подменить ID в запросе и залезть в чужую корзину.
✔️ Внедрить скрипт в форму поиска, чтобы атаковать пользователей.
✔️ Подсунуть серверу поддельный XML и вытянуть файлы.

Вся магия происходит в Juice Shop — тестовом онлайн-магазине, наполненном уязвимостями. Анна покажет, как анализировать HTTP-запросы с помощью Burp Suite, изменять параметры и находить дыры в безопасности.

📌 Статья будет полезна:
✅ Новичкам, которые хотят попробовать себя в багхантинге.
✅ Разработчикам, которые хотят понять, как атакуют их сервисы.
✅ Тем, кто хочет разбираться в основах веб-безопасности.

📖 Читаем статью.
🎥 Смотрим разбор на видео.

На платформе Standoff 365 пройдут технические работы 🚧

Сегменты онлайн-полигона для профи и для новичков будут недоступны 4 и 5 февраля с 12:00 до 18:00.

Вся остальная платформа будет работать в штатном режиме.