Хуйцы сосешь?
пока только бочки делаю
bump
Делись, как вкатывался.
Что стоит почитать? Как деньги берёшь?
Какие уязвимости находил? Расскажи подробнее плз.
а зачем ты остальным палишь это
Плюсую
А они все выплачивают награду или могут просто сказать спасибо?
Ищи и читай Real world bug hunting 2019.pdf там прям на примерах все показано и рассказано, с указанием скользко за это заплатили.
Деньги на PayPal беру и вывожу на карту.
Почти все типы уязвимостей находил на разных проектах.
От XSS до SQL-in и RCE.
Все зависит от программы.
Есть программы прям сразу с расценками, есть без.
Могут спасибо сказать и Hall of Fame записать.Или футболку выслать. А могут и денег дать.
А почему бы и нет?
От души, анон. Я этим все равно не займусь, т.к не требуется да и я врач, вряд ли вкачусь
Но спасибо тебе за то, что поделился с остальными
Это что-то в духе старого двача
Ты забываешь, что большинство из тех кто не может в программирование и хочет работать через сеть с английским тоже не знакомы.
Ты когда фотку паспорта в палку отправлял тебе сколько дней отвечали?
А всё увидел
У меня у самого инглиш не очень хорош.
Но гугл транслейт помогает. Тем более ты на технические темы общаешься, а не в вольной форме что-то там рассказываешь.
Я так понял на русском гайдов нет?
Как бы полного такого гайда нет. Есть отдельные статьи от разных авторов. Но это самому искать надо.
Поддвачну заниматься этой залупой тоже не буду
Ты у рандомных контор ищешь эксплойты и просишь денег или как?
и чё ты принёс, где инфа где ссылки на сами программы BH, высрал тред из разряда
ГУГОЛ ЕЖЕДНЕВНО РАЗДАЕТ МИЛЛИОН РУБЛЕЙ КАЖДОМУ ЖЕЛАЮЩЕМУ, НУЖНО ПРОСТО РАЗ В ДЕНЬ ДЕЛАТЬ...
ГУГОЛ ЕЖЕДНЕВНО РАЗДАЕТ МИЛЛИОН РУБЛЕЙ КАЖДОМУ ЖЕЛАЮЩЕМУ, НУЖНО ПРОСТО РАЗ В ДЕНЬ ДЕЛАТЬ...
Нет.
Есть списки контор, которые не против того, чтобы их потестили всякие мимокроки.
Вот например списочек https://www.hacks.icu/Thread-Huge-list-of-companies-with-active-bug-bounties
Английский знаю, сейчас качаю персов в вове на классике в виде подработки.
Запишу себе твой гайд, может даже осилю как нибудь попытаться во всем этом разобраться.
пикрилы это оплата за 3 заказа по прокачке что я делал, правда тут конечно времени дохуя надо тратить, дохуя дней подряд играть по 10 часов.
сегодня взял свой 4й заказ, думаю минимум буду делать дней 17, играя по 10-12 часов в день.
опчик а скинь ссылку на книгу или залей сам если есть исходник в вк или гугл
У меня знакомый так голду фармил. Выходило по 15-20к в месяц, но через пол-года это его так заебало, что больше не фармит.
ОП слышал у гугла есть какие то вакансии на поиск уязвимостей удаленно
Чувак, извини за вопрос, можно к тебе напроситься помощником за 10% прибыли? Тяжело по жизни. От себя обещаю внимательность и полное посвящение в дело, полную отдачу.
tg : @Alexini
На первый попавшийся залил https://www.upload.ee/files/10678694/Real_World_Bug_Hunting.pdf.html
У них просто есть баунти программа.
И там ОЧЕНЬ хорошо за баги платят. $1337-$31337
Чем помогать-то? Я один справляюсь вполне.
Я имел в виду не помощь, а твоё наставничество. Прибыль соответственно будешь получать ты.
Ты сначала книжку осиль, что я выше скинул, потом поговорим.
жвачую.
другой анон, телегу оставь, хочу перекатится с гуглоиндуса за 5$ на что-то более профитное
жирный тред
Fyjssjcbc
чё жирного самому предлагали в гугл толоке на похожий проект перекатится но у меня скиллзов 0
Естественно, только вот тред закроется, а твоего контакта у меня нет. Добавь пожалуйста, напишу тебе именно тогда, когда усвою всю книгу.
Я думаю проще канал создать и там писать, чем с каждым отдельно общаться.
> никаких специальных знаний и образования не требуется
> не перекатился, потому что нет скиллов
Спасибо за тему, мне как начинающему веб деву будет полезно. Сколько в среднем в месяц выходило?
ты работаешь на ставку, проходишь квалификацию, как то себя импрувишь, проходишь слепые тесты
тут же ты сам себе, нашёл багрепортнул, не нашёл нахуй пошёл
Ну можешь сам на скринах посмотреть.
Для моей мухосрани это вполне на уровне средней зарплаты.
Как вкатиться в вов? Где брать заказы? Лет 10 назад играл на личе, думаю смог бы осилить.
Ебать ты лох. Я за 12 дней по 12 часов качнул 60 и сделал аттюны, продал за 500$.
Сколько ты вкатывался в эту тему? Сколько прошло времени с первого открытия и прочтения книги до первого вознаграждения?
отработал месячную норму за 12 дней без выходных с хуевым графиком, получил как за 1 день в странах первого мира и говорит что кто-то лох, как там за 3.5$ в час РАБотать?
мне казалось в багхантинг вкотиться сложнее чем в программинг, неужели это правда можно сделать не обладая знаниями в инф. безопасности ?
Контора есть на hh ищи по тегам бустер, геймер, контора называется то ли rocketgames то ли legionfarm
Они тебе и гайды скинут и впн платный дадут.
Я у них играю. Самом без посредников ты наверное никак заказчиков не найдешь, хотя может и есть способы я не знаю.
Мне пока на карманные расходы и этого хватает (конечно при условии что я месяцами играю по 10 часов каждый день)
Что за аттюны?
Тоже там работаешь или сам находишь заказчиков?
funpay же, правда комса тоже есть
Спасибо, попробую вкатиться.
Ну я всегда интересовался этой темой. На хабре всякое читал, но не думал что я сам смогу так же.
Я в конце июля вкатился и буквально через 3 дня первые маленькие баунти пошли. Правда потом весь сентябрь ничего не было.
Не сложнее, тут меньше всего знать надо, только понимать как логика программ устроена.
а фанпей знаю, зареген там, но по части доты регился, надо по вову глянуть че как за расценки там
заинтриговал меня пиздец просто. спасибо, антоша.
ты тг оставишь?
Не пали сука ну не пали ты блять! Ну хуле тебе всем интересно об этом рассказать?
Давай свою.
Да, охуенно играть в игру целыми сутками, смотря на фоне кинчик и слушая музыку.
Качаем и потом продаём биндосам. Аттюны - квесты на доступ в рейды.
Хочу вскрыться, а не баги искать
юзаешь платный гайд johanasworld?
из под линя работашь?или есть софт на винду
Они уже закрыли набор.
classicwow live
Быстро что то они.
Лучше чем виртуалку заводить.
Получаешь плюсы обоих систем.
Проще сейчас голду фармить и продавать на тех же форумах.
Ох бля спасибо огромное, как раз завтра гнома рогу начинаю качать. Бля а я до этого только johanasworld находил из подобных гайдов, но там платно пиздец.
Поробую твой гайд завтра.
Ты кстати гайдовую цепочку читаешь сворачивая игру или на отдельном экране сделал или может на планшете или телефоне?
Спасибо анонче
Абу благословил этот пост.
каково твое мнение про кубес юзал норм?
Одна из самых простых вещей - subdomain takeover (захват субдомена).
Это очень просто найти с помощью amass, sublist3r, gobuster и т.д.
Многие конторы за это хорошо платят. Но не всегда, как на скрине. Тот случай, когда сказали спасибо и всё.
Это очень просто найти с помощью amass, sublist3r, gobuster и т.д.
Многие конторы за это хорошо платят. Но не всегда, как на скрине. Тот случай, когда сказали спасибо и всё.
QubesOS?
Не юзал, я не криптопараноик.
Сворачиваю, нет второго моника. Телефон мелкий.
Этот гайд хорош, но там есть неточности и проёбы, его вроде так и не обновили.
Есть ещё zygor, бесплатно на рутрекере можно взять, ингейм гайд. Но я не пробовал, мне этот удобней тем, что вижу рут полностью на карте.
Ты вполне можешь качнуть персонажа и продать его на каком-нибудь форуме или на торговой площадке зарубежной. Есть шанс, что сделают чаржбек, но зато в случае успеха ты получишь минимум 250-300$ за 1-60 левелинг и 350-450$ за 1-60 с синим гиром, аттюнами и ~400+ голды. Подписку советую оплачивать кодом, купи на платиру, также желательно привязать аутенификатор, схоронив предварительно рестор код и серийник.
Ебать ты троллируешь дурачков. Они же и правда поверят, что можно ничего не зная и не умея зарабатывать на этом.
Можно чуть подробнее? Ты работаешь по этой схеме?
мне понравилась идея с доменами, поэтому интересовался у тебя.
Спасибо, анонче!
Абу благословил этот пост.
книгу прочитай и думать научись, понятно что это не для всех.
Сейм, ору с треда.
Ну смотри. Смотришь баунти программу сайта. Если там указано in scope: *.site.com то в программе участвуют все субдомены.
Значит надо начать с того, что просто просканить все возможные субдомены на наличие.
Если некоторые из них отвечают No such app или The specified bucket does not exist (или другими ответами, полный вариант тут - https://github.com/EdOverflow/can-i-take-over-xyz ) то ты можешь этот субдомен на себя перевести.
А потом залить туда файл с пруфом и написать репорт об этом.
репортнула эту хуйню даже треды о ставках кажутся не таким наебаловом как эта
>репортнулА
Сиськи с супом где?
Слышь повариха иди нахуй тут серьезные темы обсуждают, а не твою девственность
>Спрашивайте свои ответы.
какой тебе профит постить об этом уже минимум в третий раз?
>Сиськи с супом
я хуею..
нищук плиз
суп с сиськами
Никакого.
Но если кому тема зайдет, то я только рад буду.
Пололлировать с тех кто попробует и потроллить хацкеров
пиздец с больными ублюдками хожу по одной земле ведь
Сам то не лучше;)
ОРУУУУ
>Одна из самых простых вещей - subdomain takeover
Так толсто, что даже тонко
Чего вдруг?
СЛЕДУЕШЬ СОВЕТУ ОПА
@
БЕЖИШЬ ВЗЛАМЫВАТЬ ZHOPA Inc.
@
ZHOPA Inc. ОПРОКИДЫВАЕТ С ВЫПЛАТОЙ И ЗАЯВЛЯЕТ В ОРГАНЫ
@
ЧЯЛИШЬСЯ В КОШЕРНОЙ ТЮРЬМЕ, ОЖИДАЯ ЭКСТРАДИЦИИ В ШТАТЫ
@
БЕЖИШЬ ВЗЛАМЫВАТЬ ZHOPA Inc.
@
ZHOPA Inc. ОПРОКИДЫВАЕТ С ВЫПЛАТОЙ И ЗАЯВЛЯЕТ В ОРГАНЫ
@
ЧЯЛИШЬСЯ В КОШЕРНОЙ ТЮРЬМЕ, ОЖИДАЯ ЭКСТРАДИЦИИ В ШТАТЫ
Все законно же.
Вот программа форчана - https://www.4chan.org/security
Вот вкшная https://hackerone.com/vkcom
не переживай, еще какую-нибудь страшную жидовку ради тебя за наркоту задержат
Лет 10 назад баловался такой же хуйней, только в российских сервисах. Платили по 100-200 баксов, я был на седьмом небе от счастья. Находил XSS, SQL-инъекции, инлуды... Щас наверно этого нет уже. Помню как нашел уязвимость в онлайн игре от мэйл.ру, скинул им отчет, а они меня нахуй послали вежливо поблагодарили и ни копейки не заплатили. Вот у меня жопа подгорела.
>Находил XSS, SQL-инъекции, инлуды... Щас наверно этого нет уже.
Ну, там где ты находил может и нет, а в диком интернете еще полно скулей и инклудов.
>а в диком интернете еще полно скулей и инклудов
За дикий интернет никто не заплатит.
Ну мне же как-то платят.
Попробуй в диком, как наш ОП пишет, если получится, скинь подтверждение (если тебе не сложно заморочиться, конечно)
На пайпале тебе их обратно вернут, если ты напишешь в зарубежную поддержку со скринами и доказательством что чувак тебя тупо кидает.
Повезет, лол.
Я тут это, книжку ОПа скачал. Понял, что мне сперва нужно подучить английский, кек.
Без инглиша сейчас даже в деревне доярки не дают. Читай с переводчиком, что уж.
Когда-то нашёл SQL-inj в кукис от одной браузерной игры, сделал скринкаст, отправил админам. Год был этак 2006-2007. В итоге заплатили 16к рублей (а тогда для школьника это было просто охуенное бабло), плюс ещё потом подкинули около 10к за советы погромистам, как исправить. Но, увы, я давно ушёл уже из сферы, и сейчас даже хз, как вернуться, мне и так нормально платят, но потолок НЕМНОГО иной, в безопасности можно куда больше было бы делать, да скилл растерян, хуле, уже 30 лет.
Он через кредитную компанию свою вернет.
Скил наверстать быстро можно, да и 30 лет это ничего. Не думаешь же ты, что этим одни школьники занимаются?
А так вообще это можно хобби сделать. Вечерком пару часиков поковыряться в свое удовольствие.
Да может и можно, но уже 10+ лет прошло с последних sql-inj/rce и прочих радостей. Сейчас везде как минимум сухосин, а как максимум - вообще пиздец какой-то. Даже не знаю, что читать. Взял книжку из сообщения ОПа, почитаю на досуге. Но чем старше - тем меньше времени остаётся на колупания, работа-дом-жена-итд.
Не знаю как вас получается наебывать, но моя схема работала во всех трех случаях.
Зарабатываю на играх уже год с копейками, тащем-та, если так боитесь, то есть куча сервисов которые могут быть посредниками в продаже персонажа.
Салам сере, быдлопервак, ординатуру закончил, в аптеках можно на 4 работать, топографию ос темпорале помнишь? хуй сосал, бочку делал, плецебов выписывал?
ну хуй знает брат. последний раз, когда пытался с вк чот найти, они во все поля поставили фильтры на html символы >?>)( и.тд. всякий обход этой хуйни, ввод символов через коды ʚ ; тож не помог и я забил. не очень верю что в 2019 те же соц.сети такие же дырявые как раньше. про другие сайты хз
Сухосин не совсем помогает, вот недавно он никак не помог сайту, а я шел залил.
Вот клаудфларовский WAF - это да, жопа.
Я и есть ОП, кстати. У меня галка почему-то не работает.
Ну и что ты высрал?
Баер покупает за ПП акк, меняет данные и делает чаржбек через банк и всё. А у тебя платежи от какого-то частника.
Двачую.
>не очень верю что в 2019 те же соц.сети такие же дырявые как раньше. про другие сайты хз
Надо было лучше искать.
Но это же не твой личный доход, а целого рейда, авось. Или как? Что за игра?
Бля, я какие-то дыры находил в ВК, но слышал что они никому не платят, потому забил хуй.
Мне тебе еще раз повторить сообщение?
Ты пишешь в ТП пайпала и тебе возвращают бабки после разбирательств, ТП пайпала работает лучше поддержки многих банков в этом плане.
Скрин - онли пруф что давно этим зарабатываю, да и где ты видел такое имя у частного лица?
Не хочешь слушать - мне похуй, иди бесплатно дальше качай персов.
Я продаю косметические вещи во всех играх до которых руки доходят, в зависимости от сезона и того что мне нравится.
Жаль что я слишком тупой и не понял ничего
Откуда тебе ПП вернет деньги, из своего кармана что ли? Я говорю не про чаржбек в ПП, а про чаржбек в банке. Хочу слушать, поэтому и отвечаю тебе ради уточнений.
Вижу, что это какая-то торговая площадка, где ты продаёшь. Ты сам фармишь эти вещи или перепродажей занимаешься? Хоть один пример игры/вещи можешь назвать? Вообще не представляю, в какой онлайн игре можно продавать косметические вещи, кроме помоек вроде доки 2.
Я понятия не имею откуда они возвращают деньги, это уже в общем-то и не моего ума дела.
Скорее всего они связываются с банком и там уже внутренняя служба безопасности как-то в этом всем разбирается.
Но это единственная причина почему я все еще сижу на пайпале, а не на каком-нибудь скриле или пайонере, там бы я вообще был невидим для налоговой с зарубежной картой.
А сейчас у них с этим еще строже стало, слишком много манибекеров-троллей развелось в эпоху стриминга.
у пэйпала свой чарджбэк, в случае чего пейпал будет разбираться с банком клиента
и кстати банки строже подходят к чарджбеку, пейпал без труда такое опротестует
https://gameflip.com/
https://www.g2a.com/
В общем-то сам смотри.
Дохуя игр, дохуя шмоток, можно бустить, можно учить чему-то.
Я перепродаю, фармить такое, особенно в эру лутбоксов в подавляющем большинстве игр.
Тащем-та даже в вове можно же продавать всяких питомцев, разве нет? Или они тоже именные?
о норм. но всё равно как то не охота вкатываться. ибо баловался такой хуйней в десятых годах тупа джаст фо фан, пару пассивных xss находил, но от них нихуя никакой выгоды не было да и в итоге вк сама это пофиксила потом. вот самый профит был от мейловских xss, через них можно было пиздеть куки, если чел по моей ссылке переходил и после этого спокойно можно было восстанавливать пароль от вк и сидеть без палева. щас анальная привязка к телефону, алерты о том, что кто-то зашёл на страницу под чужим ip и прочая хуйня
Лолнахуй, обладая знаниями базового уровня в php и веб хуйне, я понял примерно нихуя, даже прочитав статью на вики.
Ты предлагаешь искать уязвимости по внедрению кода, во времена, где во всех языках уже 15 лез назад придумали встроенные методы для экранирования даже Аллаха и без них уже просто никто не пишет?
>В отличие от программирования тут никаких специальных знаний и образования не требуется
Как можно без знания синтаксиса что-то там внедрять блять?
Пошёл нахуй.
В свое время на 1х баг нашел, так сильно вкатился в тему, что уже 2 года прошло, а я еще с этой сферы поднимаю нихуевые деньги. прикольно когда тебя за день капает 200$, а твой "друг" пидорашка который живет с мамкой и считает тебя задротом, получит эти деньги только если будет месяц рвать жопу на заводе
Если не секрет, какой лвл?
ну зашел я на сайт этот,и что дальше?
А где, собственно, искать эти баунти? На фрилансах или где? Нихуя непонятно в этом моменте.
>во времена, где во всех языках уже 15 лез назад придумали встроенные методы для экранирования даже Аллаха и без них уже просто никто не пишет?
Погромисты просто не могут не обосраться, почитай последние репорты, даже в небе и аллахе дыры находят.
А про что внедрять - https://github.com/swisskyrepo/PayloadsAllTheThings все уже придумано до нас.
Больше 30.
Ссылка в треде есть со списком компаний.
Ищи уязвимости.
Зачем ты себе конкуренцию создаешь такими тредами?
Хочу создать конкуренцию индусам и туркам.
Нет. Иди нахуй
Дай бог хоть кто-то из треда выберется и что-то прочитает, конкуренция, смех.
Это не толоку дрочить или капчи вводить.
Спасибо, анон. Схороню тред
Неужели до сих пор платят за поиск уязвимостей? Причём весьма неплохие деньги. Ахуеть.
Так как вкатиться и как искать эти ошибки? Вообще ни хуя не понял.
Мимо мамкин хикка.
А какие ещё книги можно почитать?
Смотри не охуей.
Книжку в тред скидывал, почитай и поймешь как это происходит.
>В отличие от программирования тут никаких специальных знаний и образования не требуется.
Бред ебанутого. Если ты с малолетства интересовался этим и знания приобрёл НЕ СПЕЦИАЛЬНО, это всё равно остаются спец знаниями и других людей их нет.
Но почему? Достаточно один раз заплатить за бота/ии и он сам будет искать все это, сейчас это весьма реально. Почему нет этого....
10к зеленых за уязвимость в майл.сру? Что, блять?
The_Web_Application_Hacker's_Handbook
Ого, если я в детстве что-то выучил, то потом не смогу больше ничего выучить?
Сделай такого бота, в чем проблема?
Погромисты свои программы тестами покрывают, потом еще тестировщики все это проверяют. А баги все равно есть.
Добро пожаловать в реальный мир, Нео.
А реально на дваче найти уязвимости и получить пасскод от Абу?
Говно вопрос.
Ты просто заходишь на любой сайт и начинаешь искать уязвимости, а потом куда пишешь? Если вкратце, то как пошагово процесс происходит?
Слишком сложно для меня. Ии это тебе не анус собачий слепить.
Просто удивлён тем, что никто его не сделал. Понимаю сторону выгоды, но и продать его можно за много миллионов в итоге.
Но эти пидоры не заплатили мне даже копейки, когда я взломал их браузерную онлайн игру, получив доступ к админке. Я им скинул пак уязвимостей, пароль от админки, а они мне "спасибо" и все. Плюс я у них еще одну какую-то браузерку взломал, но там даже писать не стал, ибо эти гондоны всегда были жадными мудаками.
Есть такая программулина, но чет она ниче особо не находит. Человек хитровыебаннее.
Не на любой. А только у кого есть bounty programm.
Например тут выбираешь и ищешь - https://www.hacks.icu/Thread-Huge-list-of-companies-with-active-bug-bounties
Теперь времена другие. Или эта браузерка может быть out of dcope.
>out of scope.
быстрофикс
Это очередной форс уровня "вкатиться в погроммирование"?
Не первый раз тебя уже вижу, даже в ИБ треде засветился.
>Ого, если я в детстве что-то выучил, то потом не смогу больше ничего выучить?
Что?
Я сказал, что ты эти знания по малолетству получил и принимаешь их за должное, типа у каждого есть. И кукарекаешь, что "спец знания не нужны. Если программирование слишком сложно для вас, вкатывайтесь в боиск багов"
Но на самом деле у других людей этих знаний нет и вкатиться не проще, чем научиться какие-нибудь парсеры писать.
Знаю её, это бот с целями, его нужно постоянно прописывать. А я говорю про ии и самообучение.
Да, это я. Не форс, больше не буду тредов создавать.
Бамп этому еврею
Двачерам всё уже разжёвывают, а они один хуй недовольны.
У меня 0 знаний по проромированию. Скачал книжку. Нихуя не понимаю. Как вкатиться? Или наебываешь про ВКАТЫВАНИЕ С НУЛЯ ЗА НЕДЕЛЮ
Попробуй с переводчиком почитать.
В той книжке что скинул ОП введение пишет, что вкатываться может и школьник и домохозяйка, и как ни странно, это похоже на правду. Было бы желание.
с какого сайта скрин?
https://hackerone.com/hacktivity?querystring=&filter=type:bounty-awarded&order_direction=DESC&order_field=popular
Но не советую с него начинать, там сложно.
Благородная цель, ОП. Добра!
Real world bug hunting 2019.pdf
Кто-нибудь нашел эту книгу? Можете поделиться?
Кто-нибудь нашел эту книгу? Можете поделиться?
Глаза разуй
Т.е.
Благодарю, глаза уже устали
спастюо тебе анон, я прямо сейчас вкатываюсь, как по мне тема норм и не умрет покуда есть мир
Чем искать эти уязвимости?
Руками и головой.
Все, что можно найти сканерами - давно уже найдено и создает иллюзию отсутствия багов.
Как это происходит подробнее? Вот заходишь ты на сайт, и что делать дальше?
Какими инструментами пользуешься для поиска и эксплуатации уязвимостей? Как проходит рабочий процесс? По пунктам если можно.
Спасибо за книжки, удачи с работой.
>Тиньков
Пошел нахуй
Твою книгу не читал, но есть еще пикрил. Судя по оглавлению, одно и то же. Она еще на русском есть.
>У меня галка почему-то не работает.
зарепорти, мб абу оплатит тебе этот баг
Заходишь и начинаешь искать endpoint. Это куда от тебя какая-либо информация поступает.
Лучше всего использовать промежуточный прокси, чтобы видеть что и куда и как уходит и приходит.
В этой теме есть 2 таких штуки - Burp suit и OWASP ZAP.
Дальше смотришь куда чего можно ввести, вводишь и смотришь на ответ.
Например есть на сайте форма загрузки картинок. Загружаешь картинку, потом пробуешь загрузить image.php, ../image.jpg, image,jpg;ls
Смотришь на ответы и анализируешь.
Или в полях форм (поиск, например) пытаешься сделать asd"><script>alert()</script>
Не видел такой еще, надо будет глянуть.
Лол, заплатит, как же. Кстати, кем работает абу? За 9 лет двачевания как-то не интересовался этим вопросом. Живет на донаты с двачей?
В глаза уже ебусь автор то один и тот же.
Минимальная награда: $100.
Награда прямо пропорционально зависит от серьезности уязвимости и детализации описания в отчете.
Выплаты производятся только через сервис HackerOne.
Вознаграждение выплачивается только первому исследователю, сообщившему о неизвестной ранее проблеме.
Мы крайне негативно относимся к эксплуатации найденных уязвимостей, что означает полный отказ в выплате награды за нее.
Ну это совсем общая информация, давай подробности. Я пауком собирал все страницы на ~100 говно-сайтах и грузил туда alert'ы, скобочки-хуебочки, заливал картинки и нихуя не находил, кроме false-positives.
Захожу на первый попавшийся сайт - ВВС, кек
Unfortunately, due to the BBC's funding structure, it is not currently possible for us to offer a paid bug bounty programme. We would, however, like to offer a token of our appreciation to security researchers who take the time and effort to investigate and report security vulnerabilities to us according to this policy. Reporters of qualifying vulnerabilities will be offered a unique BBC reward.
Ну и че за уник ривордс? Приедут отсосут?
ты ссылку на файл в треде найти не можешь, какие нахуй уязвимости иди грузчиком работай
мимо выбираю что выгодней, зарепортить баг или самому его поюзать а уже потом зарепортить
Да не, SWAG какой-нибудь вышлют, типа кепки или футболки.
Ну вот недавно нашел, например. В личном кабинете одна апишка оказалась уязвима.
Для этого пришлось тыкать по всем ссылкам в личном кабинете, добавлять-удалять всякое.
By ramzan to ok.ru
bounty awarded 4 years ago
ага ок, вкатываюсь
А проксями впнами пользуешься? И как вообще настроить рабочую среду и обезопасить процесс поиска уязвимостей? Чтоб с комфортом? А то я долбил сканером помню сайты, так меня в гугле забанило и на сайтах разных тоже. Пришлось в тех. поддержку писать.
Удачи.
Могут, кстати, и денег отвалить, даже когда написано что no monetary award.
Не пользуйся сканерами. Если только сабдомены посканить или на сервере файлы-папки поискать, если сервер даст такую возможность.
Я так без прокси работаю, все же легально.
Да как без сканера то? У сайта каждого десятки/сотни скрытых страниц, как я туда без сканирования попаду? И что мне потом руками все эти страницы проверять? Так и умереть можно.
Все что можно сосканить - до нас сосканили.
Да и зачем тебе страницы? Тебе эндпоинты нужны, а их не так много обычно.
Что за эндпоинты то?
То, с чем ты общаешься на сайте.
Например у тебя есть урл с /article?id=2 - вот тебе эндпоинт. Меняй числа, подсовывай строки, пытайся внедрить шаблон и смотри на результат.
А статические страницы типа /contacts.html тебе не нужны, с ними нет взаимодействия.
Какие изначальные знания нужны перед тем, как читать книгу эту?
BurpSuite юзаешь?
Или есть более удобные и бесплатные варианты?
Английский хотя бы со словарем, понимание что такое HTML и как примерно работает www.
OWASP ZAP
Burp у меня в свое время не захотел запускаться, на версию явы жаловался, так что оставалось только zap ставить. А он и бесплатный как раз.
Еще под винду telerik fiddler неплохой.
Понятно, благодарю анон. Я просто проходил курсы год назад ( 3 месяца примерно ), но в итоге ничего не вышло из этого, хотя я особо не вникал и литературу не читал/не гуглил темы. Значит лучше стараться надо. Добра.
owasp, ну ок.
У меня линь, хакатоню на работе от нехуй делать. Не верю, что в багб еще остались места.
Ребята смотрите я нашёл новый способ заработка и сейчас вам его продемонстрирую
оп дай мне денег пожалусто
оп дай мне денег пожалусто
Я тоже не верил.
Особенно когда прошелся по доступным программам на hackerone, попытался там что-то найти и понял что я никто и звать меня никак.
А потом-то я узнал, что там в основном по приватным программам сидят на инвайтах.
В следующий раз я уже попробовал openbugbounty. Там по xss угарают, но практически никто не платит. Начал на тех же сайтах вместо xss искать скули да и всякое другое. Нашел на одном, написал владельцу сайта, а он внезапно говорит давай пейпал, денег давать буду.
Так и поехало.
Бля, как вкатится, накидай литературы
Так где этот список сайтов, где реально найти баги?
шницель капитан юнга там это как его трудно быть иисусом это какан да вот что там ещё есть ещё книга о том как Аллах в майнкрафте религию свою развивал вот это там писюны строил
https://www.hacks.icu/Thread-Huge-list-of-companies-with-active-bug-bounties
https://www.openbugbounty.org/bugbounty-list/
да и просто погуглить можно, т.к. некоторые сайты имеют баунти программу, но в списках не фигурируют.
Странно, откуда нынче берутся уязвимости, если сайты используют ЧПУ и PDO/ORM'ы всякие? SQL уже никак не пролезет. XSS перекрывается примитивным htmlspecialchars (прогер должен быть дауном, чтоб пропустить это). Файловый инклуд либо не используют, либо достаточно фильтровать точки, слэши, урлы и парочку расширений, чтоб гадость не пролезла. Или я чего-то не понимаю, и в сфере веб-хакинга появилось что-то новое?
Не, все по старому.
Правда еще добавились CSRF, XXE, SSRF и прочий clickjacking.
ОП вкатывайся в бекенд разработку и руби в 5-10 раз больше бабла. Такой как ты быстро вкатится.
Не, нахрен это программирование.
Я тут наоборот унижаю погроммистов 300кк/с. Надеюсь им потом в зарплату вписывают те деньги, что мне выплачивают.
Скажи это python django)
Налоги какие-то платишь? У нас же щас вроде особенно внимательно наблюдают за пэйпалом и переводами из-за границы.
Чем унижаешь? Заработком в 20к в месяц? Джуниор бекендер получает 60-120к в Москве. Код пишешь от силы 5-6 часов в день, чаще 4. Как хочешь, моё дело предложить.
Не вычитают из зарплаты.
Окей, спасибо за мотивацию.
Надеюсь, мне повезет хотя бы себе на еду заработать однажды таким методом.
КСС НАХОДИМ
@
СКУЛИ ДРУЖНО КОВЫРЯЕМ
@
ПО ПРОСТОРАМ ИНТЕРНЕТА ВЕСЕЛО ГУЛЯЕМ
@
СКУЛИ ДРУЖНО КОВЫРЯЕМ
@
ПО ПРОСТОРАМ ИНТЕРНЕТА ВЕСЕЛО ГУЛЯЕМ
Да хоть кому. Если программист дебил - тут уже ничего не поможет.
Возьмет и забудет поставить debug=false.
Нет.
>5-6 часов в день
А я на это пару часов от силы трачу.
Имхо из списка компаний, что учавствую в баг трекинге те что ты дал, сомневаюсь что будет в штате прогер даунич.
Ну на, посмотри на дауничей и их компании - https://hackerone.com/hacktivity?querystring=&filter=type:bounty-awarded&order_direction=DESC&order_field=latest_disclosable_activity_at
Я могу тоже пару часов тратить, будет в 4 раза выше чем у тебя зп. Ставка все равно почасовая.
Убедил
Если не разбираетесь в этой сфере не вкатывайтесь.
Оп полнейшая долбоебина, нихуя здесь не просто, куча всего нужно знать и понимать. Очень много МНОГО мНоГо вещей, понимание которых приходит со временем и с годами работы с одними и теми же уязвимостями, а этих уязвимостей ДОХУИЩА, серьезно вы охуеете сколько разновидностей существует, бывает одна уязвимость перетекает в другую, поэтому тут так не выйдет мол как прогеры, вот возьму и выучу с++ буду ток его задротить. С уязвимостями так не выйдет, они взаимосвязаны и блаблабла это оч большая тема, не теряйте время, бесплатный сыр тут вам не светит.
Оп полнейшая долбоебина, нихуя здесь не просто, куча всего нужно знать и понимать. Очень много МНОГО мНоГо вещей, понимание которых приходит со временем и с годами работы с одними и теми же уязвимостями, а этих уязвимостей ДОХУИЩА, серьезно вы охуеете сколько разновидностей существует, бывает одна уязвимость перетекает в другую, поэтому тут так не выйдет мол как прогеры, вот возьму и выучу с++ буду ток его задротить. С уязвимостями так не выйдет, они взаимосвязаны и блаблабла это оч большая тема, не теряйте время, бесплатный сыр тут вам не светит.
В моей мухосрани таких вакансий нет. Можно веб-дизайнером за 15к устроиться.
Ерунду говоришь. Reflected XSS любой школьник найти может прочитав 1 статью.
Ну тут ты не прав, начал ты учить с++ остановился на каком то этапе и потерял смысл в этом начинании без нужного применения своим знаниям, а оно так бывает в 9 из 10 случаев на начале обучения, а в баг трекинге куда легче, так как знания для вката нужны почти нулевые, подставлять в параметры get/post определенные значения и смотреть результат ума много не нужно, тупо сиди и пихай очучая себя хацкером, и интересно и возможно принесет прибыль в случае успеха, но заниматься этим делом на постоянной основе в качестве единственного источника заработка идея конечно такая себе, но как хобби для недопрогера вполне себе годно.
полнейший пиздеж, в тебе уже заложены знания, основы, азы, поэтому тебе легко понимать последующую инфу по этому направлению, прогер с одного языка легко вкатится в другой, так же тут. Но не обладая фундаментом невозможно с нуля вкатиться, пиздуй тогда вкатывайся с 0 в генное программирование как раз за крисповский кас9 будуюсчее, посмотрим какого с 0 не понимая нихуища вникать
Если ты необучаемый, то это не моя проблема.
анон для начала даже твой get/post не знает, он откроет литературу по гетпосту, а там еще другой сленг, который используется для объяснения гетов и постов, он потом пойдет вникать в те сленги чтобы понять эти и там же наткнется на другие, ты сука ребенок ебаный, а не 30+ раз таких элементарных вещей не можешь понять
Ты говоришь об аноне из треда о биопроблемах, а я том который заинтересовался и зашёл в данный. А следовательно с мозгами у него будет получше чем ты думаешь.
Для нью добавлю еще статейку на хабре, там вкратце описано
https://habr.com/ru/company/simplepay/blog/258499/
https://habr.com/ru/company/simplepay/blog/258499/
Анон а какой толк с этих XSS атак. Жаваскрипт чего может хуевого сделать? Ты ж не произвольный код на сервере выполняешь.
Спасибо за книгу ОП, а то в сети везде либо платить надо, либо на сайты лезть, которые сами твою жопу на уязвимости проверят.
Абу благословил этот пост.
Скорее всего анон, который возьмется за твой багхантинг как раз и необучаемый, ибо ему нужны деньги, а он до сих пор ничего не умеет и пытается с дому заработать, вкатываясь в ебучий багхантинг где вкатиться как писали выше сложнее чем в программировании. Но тебе с твоей вышки, с твоего кресла наполненным знаниями на которых ты сидишь не понять, что ноль-анону невозможно вкатиться сюда ибо нужно знать прежде много вещей, чтобы дойти до багхантинга.
За них платят.
Можно увести сессию пользователя (если нет http_only), поменять ему все, от его аккаунта творить беспредел, подкинуть ему javascript keylogger и т.д.
Пожалуйста.
Как раз таки у нольанона шанс заработать на багхантинге выше, чем он (такой нулевый) осилит один из яп.
Ролл
Вот безобидный вариант
https://twitter.com/derGeruhn/status/476764918763749376
В Tweetdeck (десктопном клиенте Твиттера) открываешь (уже пофиксили) твит, а он себя сам ретвитит. А что если это был бы какой-нибудь сайт банка, ещё что-то, откуда у тебя можно спиздить личные данные?
Весело было.
боже и тут жиквери
Пашка бэкдоров наоставлял)
пиздец я уже час вкатываюсь и мне все интересней и интересней сука как остановиться то теперь
Никак, успехов тебе
Всосал?)
Оп красава. Доброй ночи тебе, я отчаливаю)
На самом деле, ОП задвигает только за XSS.
Чтобы "вкатиться" начать что-то делать достаточно накатить плагин/утилиту для удобства закидывания GET/POST запросов, прочитав про ГЕТ/ПОСТ пару статей в вики.
Всё, считай вкатился.
Ты, возможно, имеешь в виду какой-то лютый кулхакцинг. Тогда, паста:
Завтра ищешь в интернете книжку Прикладная криптография. Похуй если ничего не поймешь. Затем идешь на pgpru.com и изучаешь Фонд полезных постов от корки до корки. Потом зубришь, именно, сука, вызубриваешь современные криптографические протоколы - SSL, SSH, Tor, Bitcoin, OTR, чтобы от зубов отскакивало. Когда соберёшь своё первое hardened ядро, по пути изучив синтаксис SELinux, скачиваешь и изучаешь любую систему, реализующую security by compartmentalization, рекомендую Qubes OS или Subgraph. Как переделаешь песочницу, чтобы блокировала по крайней мере 0day RCE, можешь идти дальше - тебя ждет увлекательный мир атак уровня NSA. DEFCON, Anti Evil Maid, Ring -2 rootkits. Отсос шифропанков / просто неудачников типа spinore или нечего/скрывать-хуесосов, которые сосут хуй по жизни не заставит себя ждать и уже через пол года ты будешь знать про такие пейперы, что даже Рутковская будет течь при одном их упоминании.
Еще докину ресурс для поиска отчетов с hackerone
http://h1.nobbd.de/
http://h1.nobbd.de/
>накатить плагин/утилиту для удобства закидывания GET/POST запросов
Вот кстати да. Очень хороший плагин есть для старой лисы
а чем работать за гроши, разве нельзя продать уязвимости тем кто с их помощью украдёт деньги или аккаунты?
Можно и так. Только ты уверен, что тебя не кинут или потом не набутылят?
Да и не работа это, а хорошо оплачиваемое хобби.
алсо я не пони как xss атаки ещё существуют когда браузеры сейчас навязывают просто суперанальный корс
Ну, например, если у тебя stored xss, то для браузера она ничем не отличается от обычного яваскрипта с того же сайта.
ну во первых как я понимаю кидают и обычные сайты высылая футболки и письма с благодарностью, а во вторых я не вижу как продажа найденной уязвимости нарушает закон, вот её использование нарушает
Там всякая юридическая хрень.
Типа ты зашел на сайт - значит принял условия их политики.
это хуйня из под коня.
ОП инфантил, хочет сидеть на жопе и радоваться двум выплатам по 150 бачей.
чтобы вкатиться в пентестинг, нужно иметь дохуя знаний. В случае оп - это как минимум понимание фронтенда, реляционных баз, джаваскрипта, веб серверов, английский етц.
За уязвимости платят мало и не все. С вышепривденным скилсетом можно вкатиться на синьора и получать 4к$ изи, стабильно и дрочевая капчу в обед
Кто еще надеется получать бабосы, прочитайте репорт на 700 бачей, и подумайте, сколько % написанного вы поняли.
https://hackerone.com/reports/629892
ОП инфантил, хочет сидеть на жопе и радоваться двум выплатам по 150 бачей.
чтобы вкатиться в пентестинг, нужно иметь дохуя знаний. В случае оп - это как минимум понимание фронтенда, реляционных баз, джаваскрипта, веб серверов, английский етц.
За уязвимости платят мало и не все. С вышепривденным скилсетом можно вкатиться на синьора и получать 4к$ изи, стабильно и дрочевая капчу в обед
Кто еще надеется получать бабосы, прочитайте репорт на 700 бачей, и подумайте, сколько % написанного вы поняли.
https://hackerone.com/reports/629892
Тут и ста рублям рады, так что не надо.
И пентестеры это другое, тут тебе не надо проникать в сеть, захватывать контроль над серверами, тут чисто веб.
Нашел баг - зарепортил баг.
И эти ваши революционные базы тут ни при чем.
ОП приврал конечно что в баг-хантера может вкатиться любой нужно лишь прочитать мануал, воткнуть ковычку в аргумент строки и получит свои 300-500 бачей.
Так же что в день тратишь по 2-3 час на хантинг тоже пиздабольство, на поиск и отработку xss, скули. Это больше похоже на слепой вбив xss в каждую форму, аргумент строки - вдруг повезёт. Не повезло - хуй с ним пойду играть в игоры, повезло - заебись дайте денег.
Не осуждаю, если тебе за такую хуйню выплачивают то мб оно и заебись, но стоит задуматься что имеет смысл тратить больше времени на изучение и брать вендора серьезнее, там и выплаты больше, и опыт совсем иной. Согласись что 5к получит куда причине чем 2-3 раза по 150$.
Хантинг по больше степени это исследование если ты понимаешь на чем написан сайт, какой движок, Фреймворк он использует то уже автоматом не сложно догадаться как он обрабатывает формы, запросы, ескейпит вывод. К чему все это говорю - к тому что программирование знать тут будет полезно, многие вещи так или иначе приходится автоматизировать подтачивать под текущию задачку, самое простое написать свой сервер для подделки ответа чтобы засунуть шелл. Вообще ниши баг-хантинга на уровне xss и системами автоматического анализа - burp и его производные, достаточно умирающая потому что тут очень дохуя нахлебников которые вбивают xss 24/7 и выигрывает тот кто первый написал репорт. А burp есть у каждого вендора и так же сканит 24/7. Многие открытые баунти уже не принимают репорты с таких автоматических анализаторов.
Так же что в день тратишь по 2-3 час на хантинг тоже пиздабольство, на поиск и отработку xss, скули. Это больше похоже на слепой вбив xss в каждую форму, аргумент строки - вдруг повезёт. Не повезло - хуй с ним пойду играть в игоры, повезло - заебись дайте денег.
Не осуждаю, если тебе за такую хуйню выплачивают то мб оно и заебись, но стоит задуматься что имеет смысл тратить больше времени на изучение и брать вендора серьезнее, там и выплаты больше, и опыт совсем иной. Согласись что 5к получит куда причине чем 2-3 раза по 150$.
Хантинг по больше степени это исследование если ты понимаешь на чем написан сайт, какой движок, Фреймворк он использует то уже автоматом не сложно догадаться как он обрабатывает формы, запросы, ескейпит вывод. К чему все это говорю - к тому что программирование знать тут будет полезно, многие вещи так или иначе приходится автоматизировать подтачивать под текущию задачку, самое простое написать свой сервер для подделки ответа чтобы засунуть шелл. Вообще ниши баг-хантинга на уровне xss и системами автоматического анализа - burp и его производные, достаточно умирающая потому что тут очень дохуя нахлебников которые вбивают xss 24/7 и выигрывает тот кто первый написал репорт. А burp есть у каждого вендора и так же сканит 24/7. Многие открытые баунти уже не принимают репорты с таких автоматических анализаторов.
Ты, имея уровень специализированных знаний выше среднего (больше, чем у меня, говнокодера на ставке $10/h), можешь выжать из этого занятия ~20к рублей в месяц, и то не регулярно.
Объясни, почему ты считаешь это хорошим вариантом для вкатывания анона, абсолютно незнакомого с принципами веб-разработки?
По мне проще и прибыльнее устроиться дворником и договариваться с фирмами на чистку их прилегающей территории. Так, к примеру, когда у меня был бизнес, я платил 3к в месяц за то, что дворник чистил крыльцо 1 раз в неделю, и то этот пидор умудрялся всю плитку поколоть своей тяпкой. Только в этом же доме было еще около 20 организаций. Физическая работа на свежем воздухе, а не сидение полускрюченным за монитором и трата последних нервных клеток на изучение параши, которая уже в процессе изучения становится на 50% неактуальной. Хуй знает, хуй знает
>Спрашивайте свои ответы.
никто не платит толком.
Ебать там майлру платит.
Тут есть почтенные господа, которые занимаются бустом аккаунтов КС ГО? Хочу вкатиться на funpay, но возможно есть площадки, где можно работать на буржуев или лучшая альтернатива фанпею
> Ring -2 rootkits
Обосрался. Ебать ты графоман, все модные словечки в одну гребенку собрать решил?
Братиш, добро пожаловать. С пастой поговорил?
Соблюдаю традиции, не мешай, зеленый.
Объясните, если это все так просто, что нужно прочитать лишь 1 книгу, почему за это вообще платят деньги? Неужели разрабы сайтов сами не могут протестить его на баги?
ОП тебя наебал, все просто
И хули мне делать блять, если в моей стране платипалка не позволяет принимать деньги на счет?
Это в какой стране?
В России например вроде их хуй потратишь, хотя мб у меня устаревшая инфа ибо пользовался давно пиздец.
Бацьковщина.
По тому что блядь долбоебом не будь, там тестировщикам итак платят 300к наносек, а все теже люди, пропустят баг и компания потеряет нахуй теже 5 лямов/сек. Тут нужен эффект мимокрока, который случайно найдет ошибку и получит свои $10 000 чем ее же найдет блек и продаст кому надо за $50 000 а те уже наебнут на 5 лямов/сек. Вопросы?
А можно бабки получать денежным переводом? Пэйпал в России не работает же.
>Пэйпал в России не работает же.
>Какой же ты долбоеб
Тут скорее расчёт на то, что местные хомячки рванутся бесплатно тестить сайты, тогда как за это принято платить.
Вон, уже и мейл.сру вкинули всё как положено.
> пейпал
Ты шо, долбаеб? На х1 можно получать в биткоинах, ты же хацкер, а не скамерсант-грязношляпник
Мэйл.сру не платит.
Олд тут? зайди в скупе
> вкшная
Газизов, иди в другое место пиарь, ты что на двачах то забыл?
Да никто не будет платить мимокроку. Они, скорее всего, только с юр.лицами работают по договору.
Устаревшая инфа.
Выводишь с палки себе на карту. Только верифиакация нужна + банковские реквизиты карты, номер счета и т.д.
>Они, скорее всего
Т.е. ты даже не знаешь, а говоришь.
Я вот знаю только C/C++ на начальном уровне и азы программирования. Что мне стоит сначала узнать по HTML и работе www.?
Я вот не знаю ничего по прогроммирования. Что мне стоит сначала узнать по HTML и работе www.?
Про HTML - что есть вообще такое понятие тэг и у него есть атрибуты. Ты не верстальщик и знать чем div от table отличается не надо.
Про www - знать как протокол работает. Чем GET от POST отличается, что такое HEAD, OPTION, PUT и прочее. Как данные передаются и принимаются.
Спасибо, анон
Дядя все акки в ксочке бустяца приватсофтом. Твои потуги никому еинужны
тредик жив
> никаких специальных знаний
> XSS SQL
Пошел нахуй отсюда
Хочу вкатиться, начать с пашки - потому что я как зумерок хорошо ее знаю.
Решил почитать раскрытые репорты, в некоторых не понял о чем речь. Кто может пояснить? Вот ссылки на самые непонятные:
https://hackerone.com/reports/377542
https://hackerone.com/reports/292761
https://hackerone.com/reports/337734
https://hackerone.com/reports/370629
Решил почитать раскрытые репорты, в некоторых не понял о чем речь. Кто может пояснить? Вот ссылки на самые непонятные:
https://hackerone.com/reports/377542
https://hackerone.com/reports/292761
https://hackerone.com/reports/337734
https://hackerone.com/reports/370629
На каких сайтах уязвимости находил?
>https://hackerone.com/reports/377542
Cisco Adaptive Security Appliance - Path Traversal
Маршрутизатор поимели
>https://hackerone.com/reports/292761
Х.з., само описание не доступно.
>https://hackerone.com/reports/337734
Тут описание есть.
>https://hackerone.com/reports/370629
Тут тоже
От хостеров до личных сайтов
Сдох
Я слишком тупой даже для этого(
Поздравляю.
Да ерунда это всё - просто удачно апостроф в какой-то инпут подставили. Так что ты верь и не сдавайся, иди дырку к совему миллиону.
Как планируешь дальше жить?
Очевидно выпиливаться, когда мама умрет
С первой попытки?
Ну да
Чё за бред, ОП? Я не думаю,что в каком-нибудь ВК или даже менее серьёзном проекте не проверяют get/post, даже я в своём говнопроекте чекаю это всё и экранирую любой отображаемый ввод. Меня в таком случае могут взломать?
Тут уже были ссылки на недавние закрытые баги в ВК, где не проверяли ввод.
Пизда, ну чё за долбоёбы там сидят в команде. Даже я, блять, говно без образования и опыта это делаю для всего вообще, и то джаст фор лулз, а там уёбки эти сотни тысяч гребут.
Ты тоже можешь наебаться.
Даже не по своей вине. Например компонент какой-нибудь будет с ошибкой. Или тупо из-за неправильной настройки сервера получишь удаленное исполнение кода.
https://github.com/neex/phuip-fpizdam
Это один из самых больших эксплойтов за последнее время. Он на хакерньюс неделю висел. Я не думаю, что такое особо часто случается.
Ну это просто как пример, когда ты защитил себе анус, небо, аллаха, а тебя все равно взломали.
Посоветуйте книги
Бля, хочется вкатиться, даже принципы работы уязвимостей понимаю, да и сам линуксойд со стажем, но времени вообще нет. Да и не верю, что затея окупается. На хакерване периодичность оплат в днях промежутки, а это же матёрые баунти хантеры сидят.
Ищи тут в треде real world buh hunting
Она на инглише, зато с реальными примерами из жизни.
Хакерван это так себе тусовочка, там бывает и по пол-года баунти ждут.
Но я тебе бы не советовал сразу на баунти рассчитывать, ты просто поищи баги, потренируйся для начала.
Попробуй другие площадки. Oenbugbounty, https://www.zerocopter.com/researchers
@takingbackmyheartfromyou
> Oenbugbounty
openbugbounty
быстрофикс
Оп, если ты ещё здесь оставил бы данные для связи.
Лучше свои оставь.
Спасибо, ОП, какой инструментарий используешь? Долго этим занимаешься?
OWASP ZAP, потому что Burp у меня не завелся, что-то про версию явы ругался.
Это с какого сайта у тебя стата?
Благодарю
Телега @quecalled. Хочется вкатиться но времени пока нет. Просто вдруг вопросы появятся - я спрошу.
Оп, братишка, за 2 дня, что живет тред не нашел ничего нового из багов?
Я отдыхаю. Жду оплаты.
Завтра, может быть, начну дальше искать.
И он пришлет бабки? По разговору так и не скажешь, типа ну ок, спасибо, братан.
почему I tested а не I have tested?
Там еще два письма скрыто, обещал разобраться с погроммистами и выдать премию.
Потому что я на уровне London is the capital of great Britain.
Алсо, знаешь ли ты лично ребят, которые зарабатывают на этом 5к и более? У меня сложилось впечатление, что за один месяц можно заработать, а на следующий нихуя не найти.
Ну оно примерно так и есть. Большинство из тех, кто может в 5к баги - и так работу хорошую имеют.
А я по мелочи вот побираюсь, зато более-менее стабильно.
Желаю тебе удачи, бро. Пожалуйста, создавай еще треды. Порог вхождения в эту тему достаточно высок, ты не наплодишь себе конкурентов, а мне и другим анонам будет очень интересно последить за тобой. Или может канал заведи в телеге, я не знаю. С удовольствием бы почитал.
мимо-погромист
Спасибо.
Я подумаю насчет канала в телеге, там можно будет на примерах показать как это делается.
да, ОП, давай перекат в телегу, очень интересно
Ладно, подписывайтесь на канал, а я потом что-нибудь туда накидаю. t me/xor1337
Галку забыл поставить.
макабу шатает штоле?
Скорее всего реклама запрещена.
Попробуй обойти фильтр, ты же хакер, ёпта.
Сколько в месяц выходит? Если все полеченные тобой средства поделить на число месяцев?
Тут невозможно сосчитать, т.к. иногда месяца три ждёшь оплаты, а иногда на следующий день получаешь.
В августе, например, я ничего не получил.
Это понятно, но сколько ты поднял за это время? Ну к примеру, с начала заказа выплаты.
Вот тут многие из вас пишут, что хотят найти заработок/приработок в интернете, чтоб хотя бы 100р в день и не сильно напрягаться. Но при этом программирование - это сложно, ставки - слишком рискованно, фрилансить - воевать со школьниками за дошираки.
Есть такая штука как Bounty Hunting. Это когда ты ищешь на сайте уязвимость, а потом владельцы сайта выплачивают тебе награду (bounty). В отличие от программирования тут никаких специальных знаний и образования не требуется. Банальную reflected XSS каждый может найти, прочитав немного об этом.
Всякие крупные конторы типа AT&T, Facebook, VK и прочие платят за эти XSS иногда аж $500. Индусы семьями живут на эти деньги. При этом они в большинстве своем тупо как макаки ищут и потом спрашивают "i found a XSS, but how to convert > and < into < and >?"
Сам я закатился в эту тему около четырех месяцев назад. Трачу на это от силы пару часов в день, и то не каждый день.
На пиках пруфы моих наград. Paypal внезапно запросил дополнительную верификацию, поэтому в октябре почти ничего не делал, ждал 20 дней пока не верифицируют
Спрашивайте свои ответы.