Standoff 365

Прощаемся с отраслями на Standoff Hackbase

Друзья, пришло время для важных изменений. На следующей неделе, 4 июля, мы отключаем сразу три виртуальных отрасли на Standoff Hackbase: Metal&Tech, NetFusionPro и HighTechEnergy. Осталось несколько дней на то, чтобы доизучать все, что вы хотели.

Итак, пришло время сказать «пока!» нашим старым добрым инфраструктурам. Вы там круто пошумели: вылавливали криты, использовали хитроумные эксплойты и прокачивали свои навыки. Огромное спасибо за каждый отчет и ваши суперспособности, вы — просто космос! 💫

🏆 И никаких прощаний без подарков. Если вы успели хоть что-то реализовать в этих трех отраслях, не переживайте: вместе с закрытием вас ждут памятные ачивки! Ваши баллы и место в рейтинге Hackbase останутся неизменными.

❗️Кроме того, мы временно отключаем старые хосты на Standoff Standalone — чуть позже мы их вернем. Так что если хотели потренироваться, то сейчас самое время.

А Bootcamp, онлайн-полигон для начинающих, приляжет немного отдохнуть: на нем 4 июля с 10:00 до 19:00 (мск) будут проводиться технические работы.

Но не время для грусти: уже 7 июля вас ждет новый масштабный дроп на Standoff Hackbase! Готовьтесь к новым вызовам и приключениям.

Следите за новостями, чтобы не пропустить самое интересное 🔥

Мегамаркет присоединился к Standoff Bug Bounty — ищите уязвимости и получайте вознаграждение до 250 000 ₽

Мегамаркет — один из крупнейших российских маркетплейсов, объединяющий товары из 20+ категорий: от повседневных нужд до техники и fashion. Теперь платформа стала участником программы Standoff Bug Bounty и открывает возможности для специалистов в области кибербезопасности.

Что это значит для вас?
У вас есть шанс исследовать инфраструктуру Мегамаркета, выявлять уязвимости и получать денежные вознаграждения. Максимальная сумма одной выплаты — до 250 000 рублей.

Целевой скоуп включает:

megamarket.ru
mgate-grpc.megamarket.ru
mgate-grpc.sbermegamarket.ru
partner.megamarket.ru
*.megamarket.ru
*.sbermegamarket.ru

А находя уязвимости, вы сможете не только укрепить безопасность одного из крупнейших маркетплейсов, но и с чистой совестью потратить награду… например, прямо на megamarket․ru. Короче, баги в корзину — и погнали!

Burp Suite есть — и ты уже почти багхантер: 10 инструментов, с которых начинается путь к уязвимостям и миллиону

В новом выпуске «Начинаем в багбаунти» Сергей Зыбнев aka poxek, эксперт компании «Бастион», и Анатолий Иванов aka c0rv4x, руководитель Standoff Bug Bounty, собрали топ-10 базовых инструментов, с которых начинается багхантинг.

В видео рассмотрим кейсы применения инструментов и продемонстрируем использование некоторых из них (а также проведем небольшой small talk о багбаунти в целом и обсудим, как все-таки лучше хантить).

💬 Что еще внутри:

• С чего начать новичкам и как не утонуть в тулзах.
• Альтернативы каждому инструменту, если что-то пошло не так.
• Немного советов из личной практики, немного нейронок, немного боли.

Must-watch для тех, кто потерялся в разнообразии инструментов и хочет сделать поле своей работы понятным и прозрачным.

Смотрите ролик на любой удобной платформе:

📺 YouTube 📺 Rutube 📺 VK Видео

#начинаемвбагбаунти@standoff_365

А вот и памятная ачивка для Standoff Hackbase!

Помните старую банковскую отрасль на Standoff Hackbase? Ту самую, где вы с октября 2023 года штурмовали системы, проводили фейковые транзакции и набирались опыта?

Сегодня мы награждаем тех, кто успел проявить себя до перезапуска отрасли.

🏆 Ачивка «Волк с Уолл-стрит» — за успешную реализацию критических событий — уже ждет вас в профиле.

Вы сделали отрасль легендарной. А теперь — ждите обновленную версию уже в июле!

Прочитай заклинание, чтобы узнать, в какой APT-группировке тебя ждали все это время

Ты — загадка.
Немного аналитик, немного разрушитель, немного «ну я просто потыкал».

🔮 Чтобы разгадать, кто ты есть в мире хакеров — мы сделали тест.
Не по звездам, не по дате рождения и не по истории поиска — а по тому, как ты выбираешь вектор атаки.

• Ты из Charming Kitten, мастеров обмана и социальной инженерии?
• Или из Lazarus — тех, кто умело и уверенно использует всевозможные инструменты?
• Или же ты из MadMxShell — тень, способная проскользнуть куда угодно?
• А может, ты и вовсе VeeZy — легенда платформы, действующая на стороне добра?

📜 Тест уже ждет тебя по ссылке.

Но помни, кем бы ты ни был, действуй во благо: выбирай светлую сторону и путь белого хакера 😏

Standoff на ПМЭФ: кибербитва в специальном формате

С 18 по 20 июня в рамках Петербургского международного экономического форума пройдет кибербитва Standoff в формате международных киберучений для команд защитников.

📍 В основном кибербитва пройдет в онлайне, но часть представителей синих команд соберутся на «Территории инноваций», чтобы в реальном времени расследовать атаки, смоделированные на основе сценариев с прошедшей Standoff 15.

Чем кибербитва на ПМЭФ отличается от «классической» кибербитвы:

• Участвуют только команды защиты.
• Синие команды расследуют цепочки атак, смоделированные на основе действий белых хакеров на других кибербитвах Standoff.
• Есть две отрасли и два соответствующих рейтинга, в которых выбираются по три победителя.

➡️ Во время киберучений на ПМЭФ команды защитников приобретают бесценный опыт благодаря практике на максимально реалистичных инфраструктурах, уникальному полному набору профессиональных инструментов защиты и поддержке менторов.

Разговор с топовыми багхантерами из Synack и HackerOne

🔎 Когда-то один из них ломал соседский Wi-Fi, а другой в детстве повелся на присланный другом вирус и начал разбираться, как же так вышло. Кто они сейчас?

Правильно: сегодня оба — признанные эксперты. Первый — лучший хакер Индии из Synack Red Team. Второй — основатель собственной компании и охотник за SSRF-уязвимостями в Apple.

Мы поговорили с Никсом (Nikhil Shrivastava) и Хуссейном (Hussein Daher), чтобы выяснить:

• с чего все началось и как они попали в багбаунти,
• какие уязвимости любят искать больше всего,
• как выстроили свой подход к работе,
• и что они советуют новичкам и тем, кто уже в теме.

🔥 Читайте статью на Хабре, чтобы узнать больше. Это не просто туториал, а честный разговор о профессии, которая кажется хакерской мечтой, а на деле требует системности, выносливости и изобретательности.

Обновление банковской отрасли на Standoff Hackbase

Одну из старейших виртуальных отраслей на Standoff Hackbase — банковскую систему — ожидает масштабное обновление. Завтра, 4 июня в 17:00 (мск) она будет отключена для проведения технических работ.

С октября 2023 года вы искали в ней уязвимости, реализовывали критические события, проникали в системы и сдавали крутые отчеты. Скоро отрасль станет еще лучше!

🏅 Все участники, которые реализовали критические события в старом банке, чуть позже получат памятные ачивки. Ваши баллы и место в рейтинге Hackbase не изменятся.

Следите за новостями: уже в середине июля вас ждет обновленная банковская инфраструктура на Standoff Hackbase!

Теперь отчеты не потеряются

Бывали моменты, когда вы сдавали баг, а в ответ — тишина? Теперь с этим покончено!

На платформе Standoff Bug Bounty появилась новая техническая фича: система автоматически напоминает компаниям о зависших отчетах.

🔔 Что именно она отслеживает:

• Отчет давно без ответа,
• Не взят в работу,
• По отчету не назначена выплата.

Обновление уже активно. Так что, если отчет в порядке, а фидбэк где-то застрял, — система подскажет, что пора двигаться.

Исходники утекли, а хост Standoff Standalone вернулся

💥 Этот хост Standalone мы впервые выкатили на PHDays Fest, и вы нас буквально завалили восторженными отзывами. Поэтому — по вашим просьбам — он снова в паблике.

Немного легенды: в виртуальном государстве — новый скандал. Хакеры похитили исходный код EnterpriseConnect, флагманского сервиса видеосвязи STFware. Продукт считался одним из самых защищенных и активно использовался в Государстве F. Теперь под угрозой все — и данные, и доверие клиентов, а потенциальный урон колоссален.

🚨 Какие последствия?

• Целенаправленные атаки на клиентов.
• Репутационные потери.
• Финансовые убытки.
• Угроза инфраструктуре STFware.

🎯Ваша задача: украдите и прочитайте исходный код приложения EnterpriseConnect. В нем вы найдете флаг.
📡 Хост: devportal.standalone.stf (10.124.249.12)

Любители нашего Standoff Hackbase — налетайте и зарабатывайте баллы в рейтинге в перерывах между битвами 🔥

У нас есть обладатель priv8-билета!

В субботу, 24 мая, мы подвели итоги конкурса среди участников хакерских активностей в Киберхабе — и определили того самого заряженного, кто ворвался в топ рейтинга и заслужил билет на закрытую тусовку Standoff Bug Bounty.

Поздравляем @Ggwpkekwait!

Спасибо всем, кто участвовал в AI CTF, Sequest, Snatch и других активностях — респект! Вы показали свою крутость и инициативность.

Было мощно 🔥

Курьер-партнер скоро будет, а ты пока ищи баги

Самокат, онлайн-магазин с доставкой продуктов и товаров для дома от 15 минут, выходит на багбаунти!

В скоупе — внушительный список целей: от мобильного приложения до инфраструктур. В общем, поле для охоты большое, как твоя продуктовая корзина на неделю.

Максимальная выплата за обнаруженный баг — 250 000 рублей!

Вместо того, чтобы ломать голову о том, что заказать на ужин, попробуй взломать Самокат 🔥

Пощупать скоуп можешь на платформе Standoff Bug Bounty.

О как… платформе Standoff Bug Bounty исполняется целых три года!

Три года назад, именно на сцене PHDays Fest, мы запустили платформу Standoff Bug Bounty. С тех пор — тысячи найденных уязвимостей, десятки компаний, которые стали безопаснее, и целое направление, которое в России никогда не было настолько популярным, как сейчас.

Мы рады расти, идти за своими мечтами и становиться увереннее и опытнее вместе с вами: исследователями, компаниями и коммьюнити. И мы добились многого, став локомотивами этого движения — хвалимся на карточках!

Три года назад рынка багбаунти в России практически не существовало. Сейчас это — признанный инструмент зрелой кибербезопасности. И мы продолжаем первыми в России приносить новые идеи, форматы и практики.

— Анатолий Иванов, руководитель Standoff Bug Bounty.

А 24 мая на главной сцене PHDays Fest «Ломоносов» прошла церемония награждения. Мы отметили компании, которые запустили свои багбаунти-программы и добились заметных результатов. Спасибо им за доверие и совместный рост!

🏁 Итоги кибербитвы Standoff 15

Четыре дня противостояния завершились. Победители — награждены, бесценный опыт — получен!

🏆 Команды, разделившие призовой фонд в $50 000

1️⃣ Семикратным чемпионом кибербитвы Standoff стала DreamTeam (195 388 баллов). Приз за первое место — $20 000

2️⃣ FR13NDS & RHACKERS (127 466 баллов) — $10 000

3️⃣ Dataeli&only_f4st (103 870 баллов) — $5000

4️⃣ Cyb7rC0d3# (101 128 баллов) — $2500

5️⃣ cR4․sh (97 893 балла) — $2000

6️⃣ SPbCTF (89 219 баллов) — $1500

7️⃣ T.H.R.E.A.T. x LaCringe (67 745 баллов) — $1000

8️⃣ ChiLL Chain (58 540 баллов) — $500

Еще 7500 $ распределено между победителями специальных номинаций от жюри и технической команды кибербитвы.

За четыре дня 31 команда атакующих реализовала 383 критических события, из них 61 уникальное (почти половина из 123 возможных), и обнаружила 924 уязвимости.

Результаты защитников

Семь отраслей виртуального Государства F защищали 12 команд, 4 из которых работали в режиме реагирования (отмечены 🛡).

🛢 Нефтегаз

• BB (25 расследований, 98 обнаруженных инцидентов)
• Ctrl+Alt+Defend (57 расследований, 302 обнаруженных инцидента)
• LogCrushers (13 расследований, 72 обнаруженных инцидента)
• RubyTeam (5 расследований, 109 обнаруженных инцидентов)

✈️ Авиация

• IDDQD Junior (46 расследований, 190 обнаруженных инцидентов)
• ReKad Team (39 расследований, 121 обнаруженный инцидент)
• Жаным }|{aHblm (51 расследование, 132 обнаруженных инцидента)

🏦 Банковский сектор

• B0dyContainS (70 расследований, 21 обнаруженный инцидент)

🏙 Городская среда

🛡 Grep_Tribe (37 расследований, 186 обнаруженных инцидентов, из которых 143 предотвращены)

🚚 Логистика

🛡 Your_shell_not_pass (3 расследования, 53 обнаруженных инцидента, из которых 48 предотвращены)

🏭 Металлургия

🛡 Busy Beavers (20 расследований, 119 обнаруженных инцидентов, из которых 69 предотвращены)

🔌 Энергетика

🛡 GreenWallTeam АО «Гринатом» (13 расследований, 355 обнаруженных инцидентов, из которых 175 предотвращены)

Подробнее об итогах — на нашем сайте.