Pull to refresh

Microsoft выплатит до 30 тыс. долларов за найденные уязвимости в новой сборке браузера Edge

Information Security *Browsers Web services testing *Development for Windows *


На этой неделе в Microsoft выпустили первую бета-версию (beta preview) новой сборки браузера Edge, основанного на движке Chromium и объявили о запуске новой программы вознаграждения «Microsoft Edge Insider Bounty Program» для специалистов в области кибербезопасности, серьезно мотивируя их искать новые уязвимости.
Читать дальше →
Total votes 9: ↑7 and ↓2 +5
Views 5.2K
Comments 10

«Яндекс» перезапустил программу вознаграждений «Охота за ошибками»

Information Security *Browsers Web services testing *IT-companies


9 июня 2021 года «Яндекс» объявил о перезапуске программы вознаграждений «Охота за ошибками». Компания увеличила выплаты до 750 тыс. рублей за уязвимость с удаленным выполнением кода, а также сделала условия для участников прозрачнее.

Так «Яндекс» решил мотивировать специалистов в области кибербезопасности искать новые уязвимости по двум направлениям — инфраструктура, веб-сервисы, и приложения, а также отдельно по "Яндекс.Браузеру". Причем подробно описанный выход из его песочницы оценивается в 370 тыс. рублей, а за базовое описание можно получить 220 тыс. рублей.
Читать дальше →
Total votes 15: ↑15 and ↓0 +15
Views 3.2K
Comments 6

Apple всё ещё рассматривает три 0-day уязвимости в iOS, опубликованные пользователем Хабра Денисом Токаревым

Information Security *Development for iOS *IT-companies


По информации Vice, Apple все еще рассматривает три 0-day уязвимости в iOS (14.7, 14.8 и 15.0), подробную информацию о которых опубликовал в общем доступе пользователь «Хабра» Денис Токарев (illusionofchaos) после того, как компания не реагировала на его находки более полугода. Apple ничего не выплатила Токареву за его работу по программе вознаграждений Apple Security Bounty.
Читать дальше →
Total votes 12: ↑12 and ↓0 +12
Views 4.1K
Comments 0

Apple незаметно закрыла уязвимость, на которую жаловался пользователь «Хабра»

Information Security *Development for iOS *IT-companies

Apple тихо исправила уязвимость нулевого дня с выпуском iOS 15.0.2 в понедельник. Эта брешь в системе безопасности могла позволить злоумышленникам получить доступ к конфиденциальной пользовательской информации. Компания закрыла дыру в безопасности, не поблагодарив разработчика программного обеспечения Дениса Токарева за ее обнаружение, хотя он сообщил об ошибке за семь месяцев до этого.

Читать далее
Total votes 33: ↑32 and ↓1 +31
Views 12K
Comments 20

Ростелеком запустил форму обратной связи с исследователями кибербезопасности

Ростелеком corporate blog Information Security *IT systems testing *IT Infrastructure *IT-companies

На официальном сайте Ростелекома появился раздел «Кибербезопасность», в котором любой желающий может сообщить об уязвимостях или инцидентах информационной безопасности. Специалисты Центра кибербезопасности рассмотрят обращения и при необходимости свяжутся с исследователями.

Читать далее
Total votes 10: ↑9 and ↓1 +8
Views 1.4K
Comments 1

46 этичных хакеров протестировали платформу для киберучений The Standoff 365

Positive Technologies corporate blog Information Security *Programming *IT Infrastructure *

Бета-тестирование первой в России онлайн-платформы The Standoff 365 для проведения киберучений в режиме 24 часа в сутки и 365 дней в году завершилось 24 декабря. Платформу Positive Technologies представила месяц назад. Этичные хакеры отметили реалистичность разработанной инфраструктуры. В будущем эксперты по безопасности смогут проверять на платформе защиту реальных компаний.

The Standoff 365 станет круглогодичной версией киберполигона The Standoff, который проводится с 2016 года в формате трехдневных мероприятий и успел попасть в Книгу рекордов России. В отличие от The Standoff, новая онлайн-платформа The Standoff 365 позволяет специалистам по информационной безопасности проводить кибертренировки нон-стоп, не ограничиваясь временными рамками мероприятия. Для полного погружения киберучения должны проводиться продолжительное время — при реальных таргетированных атаках хакеры в многих случаях месяцами находятся в инфраструктуре жертвы, постепенно продвигаясь к цели. Например, среднее время присутствия группировки APT38 оценивалось в 155 дней. 

Узнать больше
Total votes 3: ↑3 and ↓0 +3
Views 2.3K
Comments 0

ВКонтакте выплатит до 20 000 $ за каждую найденную уязвимость

VK corporate blog Information Security *Web services testing *Mobile applications testing *Social networks and communities

ВКонтакте объявляет о глобальных обновлениях для защиты пользователей и их данных. Социальная сеть перезапускает программу обнаружения уязвимостей Bug Bounty и повышает выплаты исследователям безопасности. Особый фокус — на безопасности единого аккаунта VK ID. Обновление — часть инициативы VK Protect: она объединяет все технические решения, которые обеспечивают защиту пользователей экосистемы VK.

Читать далее
Total votes 7: ↑7 and ↓0 +7
Views 4.2K
Comments 27

Минцифры анонсировали программу Bug Bounty для государственных систем

Information Security *Legislation in IT

Директор департамента обеспечения кибербезопасности Минцифры Владимир Бенгин в рамках форума Positive Hack Days 11 анонсировал первую государственную программу Bug Bounty. Систему планируется запустить в 2022 году. Подробностями с форума поделились представители Информационной службы Хабра.

Читать далее
Total votes 12: ↑11 and ↓1 +10
Views 1.8K
Comments 6

VK присоединилась к The Standoff 365 Bug Bounty — платформе по поиску уязвимостей от Positive Technologies

Positive Technologies corporate blog Information Security *IT systems testing *Web services testing *Software

VK разместила программу по поиску уязвимостей (bug bounty) на платформе The Standoff 365 Bug Bounty, разработанной Positive Technologies. Цель bug bounty состоит в том, чтобы с помощью внешних экспертов выявить и устранить недостатки безопасности до того, как их обнаружат и начнут использовать злоумышленники. В программу bug bounty VK входят более 40 проектов. В зависимости от уровня угрозы найденной уязвимости исследователи безопасности получат вознаграждения от 6 тыс. до 1,8 млн рублей

Узнать больше
Total votes 5: ↑4 and ↓1 +3
Views 490
Comments 0

Rambler&Co запустил программу поиска уязвимости в своих сервисах

Information Security *Media management *Software

Rambler&Co запустил программу поиска уязвимости в своих сервисах: «Ленте.ру», «Газете.Ru», портале «Рамблер», «Чемпионате», «Секрете фирмы», Motor.ru, Ferra.ru и других. Вознаграждение за обнаружение критической уязвимости с рейтингом 9,9 – 10 составит 100 тысяч рублей.

Читать далее
Total votes 1: ↑1 and ↓0 +1
Views 313
Comments 0

Positive Technologies: госсектор и организации критической инфраструктуры России заинтересованы в этичных хакерах

Positive Technologies corporate blog Information Security *IT systems testing *Web services testing *Research and forecasts in IT *

В Positive Technologies проанализировали крупные и активные платформы bug bounty по всему миру[[1]]. Эксперты отметили, что наиболее востребованными платформы оказались[[2]] у IT-компаний (16%), онлайн-сервисов (14%), сферы услуг (13%) и торговли (11%), финансовых организаций (9%).

Этот мировой тренд в целом коррелирует с российским. Основная масса заказчиков российских программ bug bounty представлена частным бизнесом, обслуживающим большое количество клиентов: банками, онлайн-сервисами, электронной коммерцией, разработчиками IT-продуктов. Главным драйвером развития bug bounty в России могут стать госсектор и организации критической инфраструктуры

Узнать больше
Rating 0
Views 947
Comments 4

Positive Technologies и BI.ZONE подтвердили работу над bug bounty для «Госуслуг» — сейчас стороны обсуждают условия

Information Security *Legislation in IT IT-companies

Компании Positive Technologies и BI.ZONE действительно обсуждают с Минцифры программу bug bounty для сервиса «Госуслуги». Об участии Positive Technologies рассказали Хабру представители компании в кулуарах 10-й юбилейной кибербитвы Standoff. На текущий момент переговоры находятся на стадии обсуждения условий проведения программы. Как и сообщалось ранее в СМИ, оплата для багхантеров за найденные уязвимости не предусмотрена.

Читать далее
Total votes 3: ↑3 and ↓0 +3
Views 452
Comments 0

Сломайте SafeCurl и получите 0.25 Bitcoin

Information Security *PHP *
Разработчик с ником fin1te пишет безопасную обертку над curl, которая позволяет защититься от SSRF-атак, и в связи с этим проводит контест: если вы сможете скачать файл btc.txt, который расположен на демо-сервере SafeCurl safecurl.fin1te.net и доступен только с source IP 127.0.0.1 и 37.48.90.196 (внешнего IP сервера), то вы получите доступ к кошельку, в котором находится B⃦0.25.

Уже совершено 3 успешных взлома:
  • @zoczus обошел защиту, зайдя по 0.0.0.0/btc.txt
  • @47696d6569 и ryanc выполнили DNS rebinding, что позволило им загрузить файл с другого IP адреса, уже после прохождения валидации
  • @shDaniell использовал уязвимость в парсинге URI, скачав файл ссылкой вида user:pass@safecurl.fin1te.net?@google.com/
Читать дальше →
Total votes 47: ↑42 and ↓5 +37
Views 21K
Comments 16

Не все cookie одинаково полезны

Information Security *
В этой статье я хотел бы рассказать о том, как можно объединить небольшие недочеты в обработке cookie-значений в цепочку, и произвести за счет этого атаку на пользователей популярных веб-приложений.
image
Читать дальше →
Total votes 56: ↑55 and ↓1 +54
Views 37K
Comments 5

Опасное видео: как я нашёл уязвимость в видеохостингах и не умер через 7 дней

VK corporate blog Information Security *Open source *


Всем привет! Я Максим Андреев, программист бэкенда Облака Mail.Ru. В свободное время я люблю искать баги. В сегодняшнем посте я хочу рассказать об одной довольно интересной уязвимости, которую я нашёл и зарепортил в bug bounty нескольких крупных компаний, за что получил солидное вознаграждение. Уязвимость заключается в следующем: если сформировать специальный видеофайл и загрузить его на сервер, то:

  • можно получить на нём SSRF;
  • можно получить local file read;
  • если пользователь скачает этот файл, то автоматически будет подвержен уязвимостям, даже если его не откроет: можно будет получить доступ к данным на компьютере пользователя и узнать его имя.

Читать дальше →
Total votes 255: ↑250 and ↓5 +245
Views 101K
Comments 66

Почему в Украине всё-таки есть белые хакеры

Information Security *Website development *Payment systems *Web services testing *
Эта статья будет ответом на недавнюю публикацию Владимира Таратушка.
Причин написания статьи у меня было несколько.
Первая — это показать, что белые хакеры в Украине есть. Существуют они благодаря одной из программ поощрения поиска уязвимостей, которую проводит Приватбанк.
Следующая причина — это рассказать свою success story работы с одним из крупнейшим банком Украины в рамках данной программы.
Так же я хочу показать эффективность работы такой программы на реальном примере и сподвигнуть к организации таких программ те компании, которые по каким то причинам сомневаются или не видят в них реальных плюсов.
Ну и последняя причина — показать будущим и настоящим ресёчерам, что участие в баг-баунти программах интересно, этично и материально выгодно.
Читать дальше →
Total votes 37: ↑30 and ↓7 +23
Views 18K
Comments 20

Трагикартинки Фэйсбука

Information Security *Website development *
Всем привет! Да, это я 2 года 11 месяцев и 6 дней назад обещал рассказать про новые уязвимости. Но со временем стало понятно, что, либо они не интересные, либо рассказывать о них пришлось бы с помощью скриншотов больше похожих на рассекреченные документы спецслужб — пара бессмысленных слов и куча чёрных прямоугольников. Но — время пришло.

Я уверен, что все вы слышали про ImageMagick и его «Трагедию». Эта уязвимость была найдена в конце апреля 2016 года и в следствии того, что многие плагины, обрабатывающие изображения, использовали библиотеку ImageMagick, данная проблема охватывала большое количество систем. Так как были свидетельства о том, что информация о данной уязвимости была доступна не только исследователям, которые её обнаружили, и разработчикам ImageMagick'а, но и третьим лицам, 3 мая 2016 года информация о уязвимости (без PoC) была раскрыта для всего мира. Многие исследователи воспользовались данной информацией и нашли уязвимости в приложениях, которые не были обновлены вовремя. К сожалению, я не был среди этих счастливчиков. Но это было в мае:)
Читать дальше →
Total votes 99: ↑99 and ↓0 +99
Views 31K
Comments 15

Twitter: перехват управления взглядами и мыслями

Digital Security corporate blog Information Security *
image

А что бы сделали вы, если бы могли публиковать записи в Twitter от имени любого пользователя социальной сети? Представили? Тогда прошу вас под кат за деталями.
Читать дальше →
Total votes 68: ↑67 and ↓1 +66
Views 18K
Comments 28

Взломал дрон — получи бабки: DJI платит хакерам за найденные уязвимости

CopterTime corporate blog Gadgets Video equipment Multicopters
image

Мировой лидер производства дронов DJI объявил о том, что готов заплатить от 100 долларов до 30000 долларов за найденные «уязвимости». Пока сайт с подробным описанием «охоты за багами» в разработке, писать о найденных дырах надо писать на почту — bugbounty@dji.com

Директор по техническим стандартам DJI Уолтер Стоквел сказал, что вместо того, чтобы бороться с хакерами, нужно использовать их наработки и достижения, чтобы совместно двигаться к общей цели в рамках миссии компании.

«Я уверен, монсеньор, наконец-то, понял.»
— «Святые из трущоб»

На самом деле руководство DJI зашевелилось после нескольких громких косяков с киберуязвимостями и «баном» со стороны американских военных.
Читать дальше →
Total votes 7: ↑7 and ↓0 +7
Views 4.3K
Comments 6

История маленького взлома, или адекватный багБаунти местного провайдера интернета

Information Security *
Sandbox

Введение


Доброго времени суток, друзья. Эта история небольшого взлома произошла со мной в середине августа этого 18-го года. Начиналась история в маленьком городе краснодарского края, с тырнетом плохо, есть 4g но это все не то, тут за городом можно было только мечтать о проводах. И вот недавно это чудо случилось, в мой район провели провода, и я сразу побежал подключать 100 мбит по оптоволокну, 8к за подключение с тарифом.

Любопытство


Радости полные штаны, тырнет хороший, провайдер небольшой местный, лк у него соответствует статусу местного провайдера, из любопытства ради я шарился по лк, смотрел какие поддомены есть, и нашел я поддомен admin.домен_провайдера.ru/ который сразу кидал на форму авторизации login.php, F12, открыл посмотрел что туда подгружалось, посмотрел js, там находились любопытные ссылки в ajax запросах "/?user_id=" + id, просто скопировав ссылку и вбив рандомное число, мне выкинули данные пользователя в таблице:

Серия/номер паспорта
Кем выдан
Дата выдачи
ФИО
адресс проживания
номер телефона
Логин(от тырнета)
Читать дальше →
Total votes 50: ↑48 and ↓2 +46
Views 24K
Comments 127
1