whaley пишет

CVE-2026-31431 - Copy Fail

не особо по тематике канала, но недавно заэксплойтили ядро линукса

любая линукс машина до версии 6.19.22 / 6.18.22 уязвима, так что если держите какие-то дедики - советую обновиться

любой пользователь, не имеющий привелегий рута - способен их получить, как эксплойт работает можете подробно почитать здесь

ну а я им воспользовался чтобы закончить машину на hackthebox, где был слишком трудный привелейдж эскалейшн

https://github.com/theori-io/copy-fail-CVE-2026-31431

смотрите как у меня много коммитов пацаны

ни одной строчки кода руками не пишется, а адекватное кодревью человек не в состоянии провести, ведь в большинстве случаев даже не знает синтаксис, я уже не говорю про хорошие практики и нюансы

на кой хуй коммитить так часто, просто чтобы циферка росла?!

это исходит либо из фундаментального непонимания для чего вообще нужен гит, либо из того, что вообще каждый нейрослоп пушится по веткам

в общем-то дело снова было вечером, увидел я у @deadcell понзи на етх, она же petals.farm

разумеется её уже рагнули, но в пике вроде она имела $200к tvl

решился я провести небольшой аудит, так как аппка супер простецкая и сделана на скорую руку -> вероятно, уязвима, так и оказалось

я нашёл апи ключи от их рпс нод alchemy и infura, пускай они и были на фри плане апи, dos атака при помощи этого ключа стопнула бы их работу на пару часов, что критично для таких понзи.

я решил пойти мирным путём, так как финансовую выгоду извлечь из этого почти невозможно, даже если я нанесу атаку, написал в личку самому деву, мы приятно пообщались и в ближайшее время он заслал мне 0.1 eth как баунти, ~$235, что в самом деле неплохо за 3 часа потраченные на аудит.

такая вот коротенькая история о коротеньком миссконфиге, всем спасибо.

возвращаюсь в твиттер, планирую постить тотальный слопчик, иногда будут проскакивать мои отчёты по пентесту, технические посты и всякие мыслишки

я и в этот канал хотел бы щитпостить тотальный слоп, но мне кажется формат телеги не очень подходит для этого

ещё недавно ликнул апи ключ от рпс ноды alchemy, что открыло вектор для dos атаки на небольшую понзи на етх с твл $150k, в некст посте чуть больше расскажу

кто не знает, я неск месяцев активно вёл твиттер и заливал туда разного рода слоп

нужно было попросить мозги у мони...

чутка уточню технические подробности:

со слов сео мони - это был легаси бакет, на котором не предполагалось хранение нда инфы.

я также считаю этот сценарий трущным, ведь практически никакой инфы там не было, кроме кучи ассетов и тех самых двух вещей (личная инфа дева + какие-то адерсы валетов). я не занимался изучением их инфраструктуры во всех подробностях, а просто провёл небольшой первичный аудит.

основная уязвимость заключалась в листинге бакета - кто угодно мог открыть и просмотреть все файлы, находящиеся там, а также в возможности загрузки файлов на этот бакет через сваггер апи.

любой продукт технически уязвим, просто многие уязвимости экономически невыгодно эксплуатировать.

я как пентестер, занимаюсь поиском тех уязвимостей, что слишком дёшево / финансово выгодно эксплуатировать.

хаком может называться обычный dom-based xss, хаком может называться полноценный RCE, хаком может называться эксплойт, который повлёк потерю огромного количества денег.

я веду к тому, что существует подмена понятий и именно она и произошла в сегодняшней ситуации с мони, из-за людей, не читающих дальше первой строчки.

всем понимающим спасибо, непонимающих прошу ознакомиться с текстом выше.

всех обнял, всем удачи!

спасибо всем за фидбек, получил баунти.

извиняюсь перед командой мони, что поторопился с оглаской и очернением репутации, от репорта прошло 6 дней, стоило подождать хотя бы ровно неделю с момента отправки репорта, будет мне опыт.

эндпоинты и сабдомены я скрыл, также в целях защиты информации.

как я хакнул moni

дело было вечером, делать было нечего, искал цели для практики, наткнулся на упоминания moni в одном из телеграм каналов, на которые я подписан.

сразу же я отправился сканить их порты через нмап, не получив никакого результата я перешел к поиску поддоменов.

и тут я нашел целых 78 поддоменов, среди которых была админ панель (к сожалению запаролена), открытый moni storage api и ещё одна админка strapi.

(баунти они мне зажали, так что почти вся конфиденциальная информация будет раскрыта, ничего личного против их дева я не имею (если это их дев конечно), так что в целях защиты его приватности я скрыл его личную информацию)

upd: выплатили баунти

главная уязвимость: на их google бакете был открыт полный доступ для всех, т.е. их хранилище (скорее конечно свалка), содержащее приватную информацию было доступно кому угодно - Publicly Accessible Google Cloud Storage Bucket.

линк на их гугл бакет: *hidden* (уже закрыли его, после моего репорта)

мои находки там:

1. папка wedd - один из работников мони решил не заморачиваться и захостил сайт с приглашением на свою свадьбу прямо на бакете мони...

в данном файле раскрываются: имя сотрудника и его жены, дата проведения свадьбы, адрес проведения свадьбы в городе -> вероятно, город проживания сотрудника, личные фото сотрудника и его будущей супруги.

2. whitelists.json - список из 5 евм валетов, не уверен что это за кошельки

3. куча ассетов с их сайта и странного мусора, весь его я просматривать и выгружать не стал, допускаю, что недосмотрел что-то.

очевидно если бы я не сказал им об этом, они могли бы выгрузить туда ещё больше нда инфы, что привело бы к более серьёзным проблемам.

————————

в общем-то я считаю так:

если вы команда, пытающаяся монетизировать свой продукт, будьте добры не поскупиться на багбаунти, если у вас нашлась уязвимость, иначе ваш проект превращается в таргет для атак.

больше сказать мне нечего, всем спасибо за прочтение, всех обнял.

UPD: баунти я получил, благодарю пару человек за пересылку данного поста и ваш фидбек!

whaley пишет pinned «важный анонс! в течении нескольких недель я планирую запуск своего первого полноценного проекта (НЕ ИНФОПРОДУКТ!!), который сможет действительно принести небольшой пассивный доход каждому (разумеется слоты будут ограничены, дабы уменьшить пвп между пользователями)…»

о жизни мне особо нечего сказать, все еще надеюсь выбраться попутешествовать.

начал читать свою первую книгу по теории игр, также закончил «будущее разума» от митио каку, концовка была оч сильная, так что книгу я недооценил всё таки.

про книгу которую сейчас начал - ничего не могу сказать особо, единственное, по ощущениям - слишком много очевидных примеров в книге.

все ситуации - интуитивно понятны, ни о какой теории игр практически и речи не идет, но (вероятно) это только начало, поэтому мне так кажется.

важный анонс!

в течении нескольких недель я планирую запуск своего первого полноценного проекта (НЕ ИНФОПРОДУКТ!!), который сможет действительно принести небольшой пассивный доход каждому

(разумеется слоты будут ограничены, дабы уменьшить пвп между пользователями)

всегда хотел запустить что-то техничное и весомое, а также всегда сторонился каких-либо инфопродуктов, тк считаю что 99.9% инфопродуктов - отборный мусор.

основной концепт довольно прост и очевиден:

арбираж между web2 бетками / беттинговыми эксченджами и web3 prediction markets

ожидаемый roi: от 10% в месяц на ваш бенкролл, прайс за подписку будет отбиваться очень быстро

из крутых фишек будет:

1. сопоставление событий при помощи ML (фейк сигналов благодаря этому будет минимум)

2. поддержка вообще всех событий на prediction markets, не только спорт

3. гибкая настройка параметров: время до закрытия маркета, ожидаемый профит на ваш банкролл, учет слипажа и рассчет максимального safe-size’а исходя из стаканов платформ.

интегируемые платформы:

- polymarket
- kalshi
- opinionlabs
- predict fun (post beta)

- pinnacle
- betfair (post beta)

добавление новых платформ будет происходить с учетом голосования пользователей!

в mvp я добавил web2 платформы, лояльные к арбитражу, без строгой политики относительно вилочников.

сейчас mvp завершен на ~70%, уже готовы метчер и полностью интегрированы polymarket, kalshi и opinion, частично готова логика ядра и начата интеграция пиннакла.

в несколько недель я закладываю: добавление пиннакла, разработку фронта, интегрирование биллинга (мб простой криптобот сделаю), доработку ядра и пейпер тесты.

буду потихоньку закидывать сникпики, когда начну делать фронт, будет еще пару анонсов, coming soon

мой репорт:

CWE-201: Broken Access Control (обход прав доступа на стороне клиента) / Sensitive Information Leakage

cvss (Common Vulnerability Scoring System) v4.0 score: 5.5 / 10 - medium, ввиду надежной проверки jwt на бэкенде полноценный доступ к привелегиям администрации получить не выходит (не гарантирую что тоже самое хорошо работает для вебсокета, если там есть админский канал)

было обнаружено, что административная логика и компоненты панели управления (adminPage) включены в продакшн билд. это позволяет любому аутентифицированному пользователю получить доступ к интерфейсу управления платформой и изучить структуру внутренних апи-запросов (включая админские запросы)

лик административного модуля: весь код, отвечающий за управление пользователями, просмотр балансов и настроек ботов, доступен в основном js бандле

обход авторизации (client side bypass): фронтэнд доверяет локальному состоянию объекта window.app, что позволяет принудительно активировать скрытые элементы интерфейса без наличия соответствующих прав в jwt-токене.

раскрытие эндпоинтов (видоизменено):

/set-fees
/delete-ref-code
/set-referrer
/check-users
/userdetail?username=
/ban
/resetsettings
/force-stop-session

proof of concept:

атакующий может выполнить следующие действия в консоли браузера для доступа к панели администратора:

1. авторизоваться как обычный пользователь.

2. модифицировать глобальный объект состояния приложения:

window.app.authManager.isAdmin = true;
window.app.authManager.userRole = "admin";
window.app.authManager.permissions = ["*"];

подгрузить страницу с админкой:
window.app.adminPage.load();

импакт:

текущая реализация бэкенда корректно отклоняет запросы к эндпоинтам /admin/* с 403 форбиден, но данная уязвимость значительно снижает порог входа для проведения более сложных атак (bola/idor или перехват данных через вебсокеты), так как структура запросов и логика работы админ-панели полностью раскрыты.

рекомендации:

- воткнуть динамический импорт для административных компонентов, чтобы они загружались только пользователями с ролью admin

- удалить все упоминания административных эндпоинтов и методов из паблик бандлов

- убедиться что приватные данные не передаются в публичных каналах вебсокета и в отсутствии возможности получить доступ в приватные канал вебсокета (если они есть)

вчера пофармил ауры, просканил порты на новом вайбкод сайтике макса вайлда

потихоньку просветляю вайбкодеров

написал еще репортик по уязвимости знакомым чувакам

ниже закину, конфиденциальную информацию (название аппки/эндпоинты) - видоизменю

хз, думаю может статью какую по ИБ для вайбкодеров напишу и дропну

axios@1.14.1 - выполняет вредоносный код на вашем пк (троян-тайп штука)

если деваете на nodejs и каким-то образом обновились на эту версию - срочно сносите, из нпм её уже удалили.

как говорится - лучше поздно, чем никогда

https://x.com/d_vuln/status/2038823264802496783?s=46

https://x.com/feross/status/2038867034419982449?s=46

https://github.com/whaleyxbt/ghostprobe

убрал кастом хедеры и спуфы через инит, тк пришлось бы самому очень мучительно патчить ядро, патчрайт сам неплохо с этим справляется

удобная обёртка над патчрайтом получилась

+ ротация прокси из файла
+ параллельные сессии с изолированными профилями - lifecycle management, cleanup, error handling
+ human-like utils - humanType, smoothScroll, performBulletproofClick, humanMouseWiggle
+ traffic blocker - блочит лишний контент при необходимости
+ готовые примеры сценариев использования - lead form pentest, whitepage CTA finder

также очень удобно использовать вместе с openclaw - его зачастую блочат waf из-за того что он юзает классический пупитер, моя софтина же решает эту проблему, ноль детекшена, вашему опенклаву понравится ⬅️

продолжаем рубрику: чем сейчас занимаюсь

почти закончил оформлять свой гитхаб, решил навести там порядок, никак не мог выделить время, хочу вернуться в твиттер как дев.

фоллоу нажать можно тут - https://github.com/whaleyxbt

осталось залить ещё один крупный проект, который я написал по работе, по сути являющийся кастомным программируемым антиком с мультисессиями, позволяющий обход waf, ядро на patchright (форк плейрайта) + чутка ручками отспуфал через иниты и кастом хедеры.

обходит многие waf, включая cloufdlfare turnstile, akama, kasada и иммитирует человеческие действия

сейчас займусь небольшим дебагом и написанием readme.md и залью его + дозалью небольшой петик на его базе.

——————————————

чутка альфы - хакатон GenLayer на который я постараюсь успеть залететь со своей идеей, чуть позже опишу, наверное уже когда закончу, хочу реализовать кое-что связанное с аи агентами.

ревард - $5k и поинты победителю, попробую закинуть свой проект, шансы есть.

——————————————

по моему проекту, который я планировал заслать на грант опиниона:

реалии оказались печальными, работы тут на целую команду, так что пока я его решил не заканчивать, на гите валяется только бэк под опинион, у меня в привате имеется бэк под полимаркет.

подробнее о концепте можете почитать тут.

при разработке вылезли данные проблемы:

1. опинион контора которая раздаст непойми когда, плюс дедлайны очень непонятные.
2. на опинионе очень низкий твл, в связи с чем рассчёт квантовой поправки превращается в мучение
3. подбирать свободную переменную требуется очень скурпулёзно и внимательно, используя для этого достаточно тяжелый мат. аппарат (с чем я бы вполне себе справился, просто это заняло бы слишком много времени)
4. отсутствие моего времени.

на самом деле очень печально что не могу уделять всё свободное время этому проекту из-за учёбы и других приоритетных целей. очень интересная и классная идея, которая в теории может дать дичайший принт, но требуется слишком много работы и времени. отложу пока, надеюсь ненадолго.

——————————————

почти дочитал "будущее разума" от митио каку. уже третье произведение от данного автора, честно особо нечего сказать насчёт этой книги, разве что здесь неплохая базовая информация по нейробиологии (да и то упоминается несуществующая "мусорная днк") и абсолютно неактуальные знания насчёт текущего положения нейробиологии, ИИ и роботов.

в общем на 7/10 будет, его книги по теоретической физике, очевидно, намного лучше, в целом мне стоило этого ожидать, автор - физик и популяризатор науки, а не нейробиолог

——————————————

наконец вернулся с недавних пор (около полутора месяца назад) в пентест и security engineering, очень давно хотел этого и вот мне выпал шанс.

сейчас активно прохожу hackthebox'ы, практикуюсь с различными утилитами, продолжил проходить веб секурити академи от порт свиггер и изредка практикуюсь на реальных целях.

——————————————

меня недавно спросили насчёт тайм-менеджмента:

честно, больше всего мне помогает ведение тасклиста, который я стараюсь максимально закрыть за день, после занеся результаты дня в небольшой дневник в obsidian'е.

с последнего поста поменялся мой день довольно сильно, тк с утра до 13-15 я обычно на учёбе, что высасывает очень много энергии. обычно стараюсь сесть за работу в 14-16, с перерывами на физуху и ирл стафф. работаю до ~22-23, после чего начинаю готовиться ко сну/иду делать что-то по учёбе и после уже готовлюсь ко сну.

планов очень много, работы ещё больше, очень надеюсь вырваться наконец попутешествовать.

а пока - работаю.

спасибо за прочтение, довольно длинный пост, всех обнял. see you.

братан я месяц не постил

если что это агентство твиттерское от дэвид ончейн

вот тебе и повод возродить твиттак

ну тут и без моей помощи справились 🙂

если вы вайбкодите - настоятельно рекомендую ознакомиться с базовыми понятиями безопасности кода и почекать что такое owasp top 10

вот вроде норм видосик на эту тему:

https://www.youtube.com/watch?v=q1IMqOCrbb8&lc=UgzSGAxQ2Q3xgC1sRnp4AaABAg

линка на бедную игрульку не будет, а то щас какой-нить жук со своим клауде опус 3000 снесёт бедному пингвину бдшку

сделал js инъекцию за 5 минут, он оставил апи ключ от фаербазы в жс бандле на фронте...