Standoff 365

Поздравляем с началом учебного года ⏰

Мы заметили, что активность на платформе немного упала. Мы все понимаем — поэтому ждем тебя после 13:37 у нас на платформе 😉

А если ты хочешь начать учебный год вместе со Standoff 365, мы подготовили учебный план (никаких форм, уроков и двоек!)

1️⃣ Теория — плейлист «Начинаем в багбаунти», чтобы стать настоящим багхантером и найти свои первые уязвимости.

2️⃣ Практика — Standoff Hackbase. Когда зубрежка надоест, здесь ты сможешь применить все знания на круглосуточном онлайн‑полигоне для белых хакеров: выбирай уровень сложности, участвуй в сезонах и борись за место в рейтинге!

3️⃣ Домашнее задание — Standoff Cyberbones. Твой онлайн‑симулятор для расследования реальных и интересных инцидентов с кибербитвы: здесь ты пройдешь путь настоящего профи и натренируешь взгляд киберзащитника.

Онлайн-часть Standoff Hacks в самом разгаре

Первая неделя Standoff Hacks уже почти завершилась, и хотя впереди еще выходные, наши багхантеры меньше чем за неделю сдали больше 100 отчетов в эксклюзивных программах наших партнеров. И это еще не все!

Что будет в Ахмадабаде:
💥 Встречи с международным комьюнити на BSides Ahmedabad и вечеринки.
💥 Финал Хакса в ламповой атмосфере: подведение итогов, вручение призов и настоящий индийский вайб.

А чтобы в Индии чувствовать себя как дома, мы подготовили словарь багхантера на Хаксе — фразы, которые пригодятся победителям в Ахмадабаде:

1️⃣ «Извините, я еще не готов к вашему уровню „не острого“.»
माफ़ कीजिए, मैं अभी तक आपके 'न तीखे' स्तर के लिए तैयार नहीं हूँ।
[Ма́аф кии́йе, майн абхи так а́апке «н ти́кхе» ста́р ке лие тайя́р на́хин ху́н]

2️⃣ «Извините, это мы так быстро едем — или моя жизнь проносится перед глазами?»
माफ़ कीजिए, यह हम इतने तेज़ चल रहे हैं — या मेरी ज़िंदगी मेरी आँखों के सामने गुज़र रही है?
[Ма́аф кии́йе, йах хам итне́ тез чал ра́хе хейн — яа мери зинди́ги мери а́анхо́н ке са́мне гузар ра́хи хэ]

3️⃣ «Где тут выдают миллион за критическую уязвимость?»
यहाँ कहाँ एक मिलियन क्रिटिकल कमजोरी के लिए दिया जाता है?
[Йаха́н каха́н эк мили́он критика́л камжо́ри ке лие дия́а джата́ хэ?]

4️⃣ «Кто тут знает эксплойт, чтобы обойти очередь на бар?»
यहाँ कौन बार की कतार को तोड़ने का एक्सप्लॉइट जानता है?
[Йаха́н ка́ун бар ки ката́ар ко тычто́ серьезно́это чит а́ешь то́рне ка экспло́йт джанта́ хэ?]

🚨 Статический анализ JavaScript для багхантера

JavaScript скрывает множество проблем в безопасности — скрытые эндпоинты, захардкоженные креды, «опасные» фичи и устаревшие зависимости.

Вот быстрый гайд, чтобы начать статический анализ. Всё можно автоматизировать в Burp Suite или комбинировать с любимыми CLI-тулзами.

1️⃣ Собираем JavaScript код

🟠В Burp отфильтруй HTTP-историю по .js
🟠Скопируй все URL'ы и скачай исходники с помощью wget/curl, или через DevTools

2️⃣ Идентификация эндпоинтов

Используй LinkFinder или JSLinkFinder в Burp:

python linkfinder.py -i 'js/*' -o result.html

💡 Попробуй jsluice как CLI-инструмент или Go-библиотеку для парсинга URL-адресов, путей, секретов и другой полезной информации из JS-файлов.

jsluice urls jquery.js | jq
{
  "url": "/api/v1/posts",
  "queryParams": [],
  "bodyParams": [
    "postId"
  ],
  "method": "PUT",
  "headers": {
    "Content-Type": "application/json",
    "x-backend": "prod"
  },
  "type": "$.ajax",
  "filename": "jquery.js"
}

3️⃣ Поиск секретов

Прогоняй код через TruffleHog:

trufflehog filesystem ~/Downloads/js --no-verification --include-detectors="all"

Можно использовать и JS Miner в Burp для поиска секретов и эндпоинтов.

4️⃣ Поиск «опасных» функций

Применяй Semgrep и обращай особое внимание на sink’и:

semgrep scan --config auto

5️⃣ Поиск устаревших библиотек

Типичный пример — jQuery. Проверяй библиотеки на уязвимости через snyk.io или Retire.js в Burp.

💬 Делитесь своей методологией анализа JavaScript в комментариях 👇

Как мы вместе с Юрием Рядниной (circuit) провели CTF «для начинающих» на PHDays Fest и что пошло не так

Во-первых, пришли участвовать далеко не начинающие. Во-вторых, платформа была написана в ChatGPT (и код был не идеальным). А в остальном все прошло отлично!

Конкурс состоял из пяти легких тасков:

• XSS: найти reflected XSS в параметре comment.

• Ошибка округления: накрутить себе денег в интерфейсе, схожем с банковским.

• SSRF: использовать баг в форме загрузки аватарки, чтобы получить локальный файл с флагом.

• Утечка флага: найти флаг, который неожиданно оказался спрятан прямо в коде страницы.

• IDOR: найти уязвимость в мессенджере и пробраться в чат.

Как участники с этим справились — читайте на Хабре.

Спасибо всем, кто пришел! К следующему PHDays Fest подготовим еще что-то интересное 🎉

Слушай, как багхантит топ-1 на Standoff Bug Bounty: плейлист от brain уже здесь

Мы продолжаем публиковать плейлисты наших героев, и сегодня музыкой на все случаи хантинга с нами поделился brain. Он пишет, что во время работы ориентируется на настроение:

Дампать персональные данные приятнее под рок, а ломать функционал покупочек летом приятнее под что-нибудь спокойное.

А еще brain — меломан, поэтому подборка вышла очень разнообразной и ты точно найдешь тут что-то на свой вкус! 🎹

Плейлист мы выложили здесь. А если интересно подобрать трек под свое настроение, то вот список категорий, на которые поделил музыку наш герой:

Бессмертная классика:
Eagles — Hotel California
Chris Rea — The Road To Hell
Потяжелее:
Micah Ariss — Never Run (feat Chandler Burton)
Bring Me The Horizon — Darkside
Skillet — Legendary
Под летне-осенний вайб:
The Neighbourhood — Sweater Weather
Scorpions — Wind Of Change
Для чиллового багхантинга ночью:
Nazareth — Love Hurts
Modjo — Lady Hear Me Tonight (Slowed and Reverb)
Grover Washington Jr — Just the Two Us
Sitting Duck, squeeda — Journeys
Для нечиллового дампа БД:
SKWLKR — LITHIUM (Slowed)
Для депрессивного поиска первого бага:
yshpvl — слышу как ты дышишь
Для сосредоточенного закачивания шелла:
Night Lovell — Polozhenie
Для сосредоточенного протыкивания Swagger:
Darci — On My Own (TikTok slowed + reverb)
Хочется русского рока сос мыслом:
RADIO TAPOK — Цусима

UPD: по итогам конкурса с нами едут четверо багхантеров 🤩

Дошли финальные результаты по отчетам, и у нас немного обновилась рейтинговая таблица.

В Индию едут трое багхантеров, о которых мы уже сообщили ранее в посте, а также — freeman (добро пожаловать на борт!)

🔥 Встречаем победителей конкурса, которые отправляются тусить с нами на Standoff Hacks в Ахмедабад!

За эту жаркую неделю в топ ворвались:

💪 sos1somba — 6100 баллов.
😎 dvmuhammad — 4350 баллов.
🔥 Omar_ahmed — 2700 баллов.

В Индию мы отправимся уже 13 сентября — победителей ждут атмосферная BSides Ahmedabad, живое общение и финальная тусовка Standoff Hacks, которую не захочется забывать.

А если ты не в списке, не расстраивайся. Следи за каналом, ведь впереди еще много новых конкурсов и возможностей попасть на эксклюзивные ивенты 🤩

एक महान साहसिक कार्य करें 🤩

Победителей просим написать @masha_washa.

Эксклюзив для ценителей СУБД: приватная программа «Ред Софт» ждет тебя

Если тебе давно хотелось поломать что-то новое, у нас есть идеальная задачка!

«Ред Софт» имеет 15 лет опыта в разработке, собственную линейку продуктов для хранения данных и управления ими, — и все это с акцентом на отечественные open-source решения.

🎯 В скоупе — целая СУБД РЕД База Данных для тех, кто хочет покопаться в продуктовых уязвимостях. Ты получишь дистрибутив для скачивания: развертывай у себя, запускай, исследуй.

💰 Максимальная выплата — 150 000 рублей.

Программа приватная, но если ты из энтузиастов, то пиши нам на почту bugbounty@standoff365.com, — и мы тебя добавим 😉

Индия зовет! Последний рывок перед Standoff Hacks 🤩

Вечер пятницы — идеальное время врубить максимум багхантинга. У тебя впереди целые выходные, чтобы вырваться в топ и получить заветный билет в Индию на Standoff Hacks. Конкурс завершится 18 августа в 23:59 (мск).

А вот и те, кто сейчас ближе всех к победе:
• sos1somba (4500 баллов)
• Omar_ahmed (3600 баллов)
• dvmuhammad (3000 баллов)
• na7na7 (2000 баллов)
• Doom (1700 баллов)

Сейчас 10 отчетов еще находятся в работе. Напоминаем, в зачет пойдут только баги с конкретных публичных программ — смотри список. Осталось всего ничего: 20 августа объявим победителей.

Используй эти выходные по максимуму, и, возможно, именно с тобой нас ждет незабываемая поездка 🤩

Так что желаем удачи и держим за тебя кулачки!

Что общего между Индией и Standoff Bug Bounty? 🤩

→ Во-первых, на нашей платформе активно багхантят ребята из Индии.
→ Во-вторых, наш следующий priv8-ивент Standoff Hacks пройдет 13 сентября в Ахмадабаде.
→ А в-третьих — у тебя есть шанс попасть на него за наш счет!

🤩 Для этого тебе нужно... Багхантить (окак)! И набрать с момента публикации этого поста до 18 августа как можно больше баллов по этим публичным программам:

Timeweb
Rambler&Co
Инфосистемы Джет
Купер
Т-Банк
Wildberries
VK
Ozon
Мегамаркет
Craftum

Баллы по программам суммируются. Трех самых активных багхантеров мы возьмем с собой в Индию 🤩

А дальше на Standoff Hacks тебя будут ждать:

• Эксклюзивный доступ к новому скоупу с огромными выплатами.
• Новые знакомства, крутая атмосфера и яркие впечатления.
• И бонусом — участие в конференции BSides Ahmedabad.

शुभकामनाएं। 🤩

P.S.: багхантеры, которые сдадут хорошие отчеты в Wildberries, получат приглашение в приватную программу от маркетплейса с эксклюзивным скоупом.

Знакомство с амбассадорами: Александра Антипина, 33514 🔥

Мы запускаем нашу новую рубрику, в которой будем знакомить комьюнити с нашими амбассадорами — теми, кто помогает делать Standoff еще круче. И сегодня у нас в гостях — Александра Антипина, aka 33514, red team lead и капитан команды Cult.

🔺 От CS 1.6 до Red Team. Интерес к хакингу у Саши появился еще в детстве, и началось все с подбора паролей и... читов в Counter-Strike 1.6! Тогда стало понятно, что для любой задачи всегда найдется нетривиальный способ решения — и это очень пригодилось ей в будущей карьере.

🔺 Как оставаться в форме. Саша постоянно участвует в работе не только как лид, но и как senior. Когда менеджерских задач становится слишком много, она уходит в киберполигон и вулнбоксы. Так она поддерживает свои навыки в актуальном состоянии.

Мы очень рады, что такой крутой эксперт стал частью нашей амбассадорской программы! Чтобы узнать больше об амбассадоре, заходи на сайт и читай персональную карточку 😘

Технические работы на Standoff Hackbase 🚧

На онлайн-полигоне Standoff Hackbase планируется регулярное техническое обслуживание. Начиная с 11 августа работы будут проводиться каждый второй понедельник месяца с 08:00 до 11:00 (мск).

Стань наставником красной команды на Standoff 16 🔥

Если ты участвовал в Standoff в команде атакующих, то знаешь, каково это — прорываться сквозь инфраструктуру, находить уязвимости и в итоге затащить и стать легендой. Теперь ты можешь передать этот опыт.

🔥 На октябрьской кибербитве Standoff 16 каждая красная команда получит ментора — опытного участника прошлых битв. Именно ты можешь стать тем, кто поведет за собой новых участников.

💬 Кто такой ментор? Это не просто консультант, а настоящий стратег и наставник.

До битвы твои задачи — изучить инфраструктуру и подготовить команду.

А во время битвы ты будешь рядом с ребятами, чтобы помогать, направлять, объяснять, вдохновлять. В общем, ты воспитаешь новое поколение сильнейших атакующих.

Чтобы подать заявку, пиши нам на почту redteam@standoff365.com. В теме письма укажи: «Ментор Standoff 16». Участников топ-20 команд майской Standoff 15 будем рассматривать в приоритете. Если ты участвовал в других кибербитвах Standoff и хочешь примерить роль наставника — тоже подавай заявку, мы ее рассмотрим.

О подаче заявки и требованиях к кандидатам ты можешь узнать на сайте.

Не упусти свой шанс стать частью истории Standoff 16 🤩

Standoff Hackbase наградил лучших по «пробивам инфраструктуры» на Awillix Pentest Award 2025!

В пятницу, 1 августа, прошла церемония награждения Awillix Pentest Award. Команда Standoff Hackbase в этом году курировала одну из самых горячих номинаций — «Пробив инфраструктуры» — и вручила награды тем, кто показал лучший скил.

🏆 Архитектор платформы Standoff 365 Андрей Пугачев в составе жюри конкурса отсмотрел десятки отчетов во всех номинациях, чтобы определить, кто не просто нашел брешь, а дошел до самой ее сути. Победили те, кто проник в закрытые сегменты, обошел защиту нестандартным путем и доказал, что даже самая крепкая инфраструктура может дать слабину!

Победители:

🥇 Михаил Сухов (Im10n) — ресерч FreeIPA, как DCSync привел к CVE-2025-4404
🥈 Георгий Геннадьев (D00Movenok) — реверс и обход механизмов защиты VPN-клиента и взятие домена встроенными средствами Windows на ограниченной BYOD RDG машине.
🥉 irabva — пентест крупной промышленной компании.

Финалисты:

VeeZy
Cyber_Ghst
AY_Serkov
Im10n
Alevuc
dontunique

Мы от души поздравляем победителей и финалистов! Ваша работа — это настоящее искусство и невероятная мотивация для всего нашего комьюнити 🎉