Standoff Hackbase наградил лучших по «пробивам инфраструктуры» на Awillix Pentest Award 2025!

В пятницу, 1 августа, прошла церемония награждения Awillix Pentest Award. Команда Standoff Hackbase в этом году курировала одну из самых горячих номинаций — «Пробив инфраструктуры» — и вручила награды тем, кто показал лучший скил.

🏆 Архитектор платформы Standoff 365 Андрей Пугачев в составе жюри конкурса отсмотрел десятки отчетов во всех номинациях, чтобы определить, кто не просто нашел брешь, а дошел до самой ее сути. Победили те, кто проник в закрытые сегменты, обошел защиту нестандартным путем и доказал, что даже самая крепкая инфраструктура может дать слабину!

Победители:

🥇 Михаил Сухов (Im10n) — ресерч FreeIPA, как DCSync привел к CVE-2025-4404
🥈 Георгий Геннадьев (D00Movenok) — реверс и обход механизмов защиты VPN-клиента и взятие домена встроенными средствами Windows на ограниченной BYOD RDG машине.
🥉 irabva — пентест крупной промышленной компании.

Финалисты:

VeeZy
Cyber_Ghst
AY_Serkov
Im10n
Alevuc
dontunique

Мы от души поздравляем победителей и финалистов! Ваша работа — это настоящее искусство и невероятная мотивация для всего нашего комьюнити 🎉

🚨 Статический анализ JavaScript для багхантера

JavaScript скрывает множество проблем в безопасности — скрытые эндпоинты, захардкоженные креды, «опасные» фичи и устаревшие зависимости.

Вот быстрый гайд, чтобы начать статический анализ. Всё можно автоматизировать в Burp Suite или комбинировать с любимыми CLI-тулзами.

1️⃣ Собираем JavaScript код

🟠В Burp отфильтруй HTTP-историю по .js
🟠Скопируй все URL'ы и скачай исходники с помощью wget/curl, или через DevTools

2️⃣ Идентификация эндпоинтов

Используй LinkFinder или JSLinkFinder в Burp:

python linkfinder.py -i 'js/*' -o result.html

💡 Попробуй jsluice как CLI-инструмент или Go-библиотеку для парсинга URL-адресов, путей, секретов и другой полезной информации из JS-файлов.

jsluice urls jquery.js | jq
{
  "url": "/api/v1/posts",
  "queryParams": [],
  "bodyParams": [
    "postId"
  ],
  "method": "PUT",
  "headers": {
    "Content-Type": "application/json",
    "x-backend": "prod"
  },
  "type": "$.ajax",
  "filename": "jquery.js"
}

3️⃣ Поиск секретов

Прогоняй код через TruffleHog:

trufflehog filesystem ~/Downloads/js --no-verification --include-detectors="all"

Можно использовать и JS Miner в Burp для поиска секретов и эндпоинтов.

4️⃣ Поиск «опасных» функций

Применяй Semgrep и обращай особое внимание на sink’и:

semgrep scan --config auto

5️⃣ Поиск устаревших библиотек

Типичный пример — jQuery. Проверяй библиотеки на уязвимости через snyk.io или Retire.js в Burp.

💬 Делитесь своей методологией анализа JavaScript в комментариях 👇