На платформе Standoff 365 пройдут технические работы 🚧

Сегменты онлайн-полигона для профи и для новичков будут недоступны 4 и 5 февраля с 12:00 до 18:00.

Вся остальная платформа будет работать в штатном режиме.

Сайт попросил оставить отзыв, но ты оставляешь XSS

🕵️‍♂️ Как найти уязвимость в вебе, если ты новичок?

Взлом приложений кажется чем-то сложным? Анна Куренова, DevSecOps-инженер, докажет, что это не так! В свежей статье она рассказывает о базовых веб-уязвимостях, которые по силам даже тем, кто только начал разбираться в багхантинге.

У вас есть Burp Suite, базовые знания о вебе и немного любопытства. Что можно сделать?

✔️ Подменить ID в запросе и залезть в чужую корзину.
✔️ Внедрить скрипт в форму поиска, чтобы атаковать пользователей.
✔️ Подсунуть серверу поддельный XML и вытянуть файлы.

Вся магия происходит в Juice Shop — тестовом онлайн-магазине, наполненном уязвимостями. Анна покажет, как анализировать HTTP-запросы с помощью Burp Suite, изменять параметры и находить дыры в безопасности.

📌 Статья будет полезна:
✅ Новичкам, которые хотят попробовать себя в багхантинге.
✅ Разработчикам, которые хотят понять, как атакуют их сервисы.
✅ Тем, кто хочет разбираться в основах веб-безопасности.

📖 Читаем статью.
🎥 Смотрим разбор на видео.

Как заработать 🍋🍋🍋 на кибериспытаниях?

Спросили об этом у remembernamer (он же mr4nd3r50n), который точно в курсе. Да, он — тот самый слоняра герой, который подряд реализовал целых три недопустимых события.

Попросили его поделиться секретом своей крутости и ответить на несколько вопросов. Что получилось — несем в канал. Читай, вдохновляйся и го багхантить.

— Что тебя привело в программу кибериспытаний?
— Хотел взять перерыв от обычного формата багбаунти, заметил программы с НС, и заинтересовался, почему же в них все еще нет реализованных кейсов.

— Ну и как, сложно было?
— Если привыкаешь искать баги в рамках обычных программ багбаунти, может быть сложно, так как тут нужен немного другой подход. Это скорее пентест, за который тебе не заплатят, если ты не достигнешь обозначенной цели. При этом в сроках ты относительно неограничен, и никаких обременений вроде договора, обязывающего тебя выполнить работу, естественно, нет. Есть время — ищем, нет — нет.

— Чем для тебя кибериспытания отличаются от обычных программ багбаунти?
— Относительной развязанностью рук и наглядным сопоставлением уязвимостей с возможными последствиями. Где, как не здесь, мы в состоянии лично доказать, что какая-нибудь XSS (за которую порой платят лишь одобряющим похлопыванием по плечу) действительно может иметь критический импакт, если будет докручена до угона аккаунта администратора с последующей кражей персональных данных всех клиентов компании? То есть тех вещей, которые бизнес уже прекрасно понимает.

— Пришлось ли срочно прокачиваться и искать какую-то дополнительную информацию?
— Если честно, не так давно я вообще занимался разработкой. А сменить направление и прокачаться мне в свое время очень помогли курсы WAPT от Codeby и «Специалист по тестированию на проникновение» от CyberED (CSRn9 — лучший поток). Ну и куда без классики: PortSwigger, HTB, кофе и кофе (тут мог бы быть здоровый сон, но его заменил еще один кофе).

— Что оказалось самым сложным, а что — наоборот?
— Найти первый потенциальный вектор, как это ни странно, оказалось достаточно просто, тут мне повезло. А самым сложным было его отпустить и переключиться на поиск другого. Казалось бы, ну вот же уязвимость, нужно вот только еще немного... а вектор оказывался «кроличьей норой» — в итоге никак не мог способствовать твоему продвижению и реализации недопустимого события в дальнейшем.

— Что посоветуешь тем, кто сомневается, пробовать или нет?
— Читайте открытые репорты, старайтесь быть в курсе актуальных уязвимостей и разбирайтесь, как они работают. Больше практикуйтесь на лабах, проектах и просто try harder.

— На что планируешь потратить свои 🍋🍋🍋?
— Ну тут все просто: уже полученные баунти лягут в основу первоначального взноса по ипотеке, а все будущие, надеюсь, помогут ее успешному досрочному закрытию. Так что ждем новые компании на кибериспытаниях (скажите заранее, я возьму отпуск).

В общем, как видишь, хорошие сапоги программы, надо брать. Выбирай любую из 37 открытых на Standoff Bug Bounty.

Был крит — стала ачивка

Получили доступ к управлению сервером платежей? Реализовали утечку информации, составляющую банковскую тайну? Бегом проверять профиль!

⭐️ Обновление онлайн-полигона для красных в самом разгаре, и банковские критические события потихоньку отправляются в архив, но ваши подвиги — нет! Если вы успели реализовать какие-то события, в профиле на Standoff 365 вас ждет ачивка.

☀️ Можно выдохнуть: обнуления баллов пока не будет — пусть цифры порадуют еще немного.

Мы работаем над новыми сценариями и механиками, так что впереди — крутые вызовы и достижения. Следите за новостями!

Проверьте свои ачивки в профиле — заслуженные награды ждут вас. 🏅Кстати, недавно мы также выдали ачивки тем участникам платформы багбаунти и онлайн-полигона, которых награждали на встрече топов года!

А какой сегодня ты Юра Борисов? 🧐

Ansible, хосты и магия переменных: как подружить сервисы между собой?

Продолжаем серию статей про Ansible и развертывание больших инфраструктур! Если в прошлый раз мы разбирались, как красиво раскладывать хосты по полочкам в Ansible inventory, то теперь копнем глубже — как их конфигурировать и связывать между собой, чтобы все работало, а не горело.

💡 Что внутри статьи?

🔹 Как Ansible решает судьбу хостов через переменные и почему они делятся на три пула (у каждого свое место в иерархии).

🔹 Как один сервис понимает, к кому ходить за доменными именами, а к кому — за аутентификационными данными (и почему это не всегда GitLab, но иногда все-таки он).

🔹Как Ansible-service проверяет, какую именно версию софта устанавливать (и почему не последнюю, а ту, что написана в inventory).

Если бы хосты могли разговаривать, они бы, конечно, сами разобрались, куда ходить за DNS, где их контроллер домена и кто им должен выдавать учетные данные. Но раз они немые, все приходится прописывать руками — и тут на сцену выходит hostvars[].

Читайте статью на Хабре.

А какая у вас история страданий приключений с Ansible?