https://pentestnotes.ru
Заметки про пентест, CTF и информационную безопасность
YouTube:
https://youtube.com/@fallensk1ll
Post #26
185
Forwarded from Записки Зёмы
Привет, это Зёма. Я вернулся. Снова.
Прошло уже больше 2 лет с великогопидо прогона граждан РФ с зарубежных площадок. В октябре 2022 года я делал пост, который касался багхантинга в новом мире. Пришло время актуализировать информацию. К сожалению (или к счастью для меня), в этот раз не будет разделения на возраст, необходимый для участия.
Начнём с площадок:
- Standoff365 - сделали крупные шаги и сделали багхантинг доступным всем! Добавили фильтры, которые позволяют отобрать программы разным группам хакерам (несовершеннолетним или гражданам не РФ);
- Bi.Zone - прикольные рейтинги, а также у них есть программы, которых нет на других платформах (например, Astra Linux);
- Bugbounty.ru - ну это ббру, ничего особо не изменилось, только добавились программы.
В это году VK в честь десятилетия программы баг баунти сделали Bug Bounty Pass. Советую принять участие.
Hackenproof ограничили доступ для РФ. Что по итогу с ними - неизвестно. Да и участие в бб у них на площадке может нести риски для граждан РФ. Не советую.
А теперь про Self-hosted программы. За это время я попробовал множество программ и хотел бы поделиться некоторыми из них, а также фидбеком.
- CardPR - отвечают быстро, платят щедро. Довольно интересные правила программы бб, но у них есть свои плюсы;
- Пешкарики - долго отвечают, выплаты относительно неплохие, есть что поискать. Было такое, что выплату разбили на 2 части, даже не предупредив об этом;
- AvanChange - платят нормально, ответы довольно быстрые, есть что покапать. Особенно подойдёт тем, кто любит поковыряться с различными криптовалютными обменниками;
- in.top - выплаты небольшие, но есть чего покапать, отвечают быстро;
- Aeza - самая противоречивая программа. Кажется, что платят нормально, но приходилось доказывать, что для эксплуатации XSS не нужно убеждать пользователя разрешить выполнение JS (если это не отключено по умолчанию);
- FunPay - с них, можно сказать, начался мой путь в бб. Приятные выплаты, накидывают соточку даже за опечатки. Ответы относительно быстрые, с Михаилом довольно приятно общаться, крутой мужик!;
- Пачка - одна из самых приятных программ. Выплаты средние, но всегда готовы обсудить баги. 1 раз выплатили за багу, про которую им было известно, но я нашёл как её можно крутануть дальше;
- Pyrus - есть что поискать. Пост про найденную у них багу уже был на канале в начале этого года. Выплату получал полгода (частично моя вина, т.к. отложил до своего совершеннолетия, но и после этого потребовалось 2 месяца, чтобы денежка до меня дошла).
Ещё есть Яндекс, они часто проводят конкурсы с большими иксами, но как-то не участвовал.
Также остаются прежние рекомендации:
- Стоит самостоятельно искать бб программы при помощи дорок поисковых систем. Почти все сайты из списка выше были найдены таким образом;
- Перед тем, как убить всё свободное время, стоит закинуть пару простых багов, чтобы оценить стоит ли программа того;
- Не всегда те, кто готовы платить за уязвимости, публично заявляют об этом;
- И, наконец, try harder!
Небольшое уточнение. Выплаты оценивал чисто для себя (обычного студента, который не шикует, а просто живёт в общаге в Питере).
Критику и дополнения как всегда готов принять в комментариях. Возможно это повлияет на следующий пост, который когда-нибудь выйдет.
Записки Зёмы
Telegram Записки Зёмы Что ломать?
Именно этот вопрос у меня появился после кражи денег запрета вывода гражданам РФ со стороны HackerOne и некоторых других площадок.
Уже прошло пол года с того момента, и я готов поделиться тем, к чему пришёл за это время.
Для дееспособных совершеннолетних… Прошло уже больше 2 лет с великого
Начнём с площадок:
- Standoff365 - сделали крупные шаги и сделали багхантинг доступным всем! Добавили фильтры, которые позволяют отобрать программы разным группам хакерам (несовершеннолетним или гражданам не РФ);
- Bi.Zone - прикольные рейтинги, а также у них есть программы, которых нет на других платформах (например, Astra Linux);
- Bugbounty.ru - ну это ббру, ничего особо не изменилось, только добавились программы.
В это году VK в честь десятилетия программы баг баунти сделали Bug Bounty Pass. Советую принять участие.
Hackenproof ограничили доступ для РФ. Что по итогу с ними - неизвестно. Да и участие в бб у них на площадке может нести риски для граждан РФ. Не советую.
А теперь про Self-hosted программы. За это время я попробовал множество программ и хотел бы поделиться некоторыми из них, а также фидбеком.
- CardPR - отвечают быстро, платят щедро. Довольно интересные правила программы бб, но у них есть свои плюсы;
- Пешкарики - долго отвечают, выплаты относительно неплохие, есть что поискать. Было такое, что выплату разбили на 2 части, даже не предупредив об этом;
- AvanChange - платят нормально, ответы довольно быстрые, есть что покапать. Особенно подойдёт тем, кто любит поковыряться с различными криптовалютными обменниками;
- in.top - выплаты небольшие, но есть чего покапать, отвечают быстро;
- Aeza - самая противоречивая программа. Кажется, что платят нормально, но приходилось доказывать, что для эксплуатации XSS не нужно убеждать пользователя разрешить выполнение JS (если это не отключено по умолчанию);
- FunPay - с них, можно сказать, начался мой путь в бб. Приятные выплаты, накидывают соточку даже за опечатки. Ответы относительно быстрые, с Михаилом довольно приятно общаться, крутой мужик!;
- Пачка - одна из самых приятных программ. Выплаты средние, но всегда готовы обсудить баги. 1 раз выплатили за багу, про которую им было известно, но я нашёл как её можно крутануть дальше;
- Pyrus - есть что поискать. Пост про найденную у них багу уже был на канале в начале этого года. Выплату получал полгода (частично моя вина, т.к. отложил до своего совершеннолетия, но и после этого потребовалось 2 месяца, чтобы денежка до меня дошла).
Ещё есть Яндекс, они часто проводят конкурсы с большими иксами, но как-то не участвовал.
Также остаются прежние рекомендации:
- Стоит самостоятельно искать бб программы при помощи дорок поисковых систем. Почти все сайты из списка выше были найдены таким образом;
- Перед тем, как убить всё свободное время, стоит закинуть пару простых багов, чтобы оценить стоит ли программа того;
- Не всегда те, кто готовы платить за уязвимости, публично заявляют об этом;
- И, наконец, try harder!
Небольшое уточнение. Выплаты оценивал чисто для себя (обычного студента, который не шикует, а просто живёт в общаге в Питере).
Критику и дополнения как всегда готов принять в комментариях. Возможно это повлияет на следующий пост, который когда-нибудь выйдет.
Записки Зёмы
