IP4M1R
عکس
کسب مقام چهارم تو مسابقات امنیت بلو سی تی اف (بلو بانک).
جا داشت بهتر باشیم ولی با مشکلاتی که پیش اومد تونستیم به همینجا برسیم امیدوارم دفعات بعدی رتبه بهتری بیاریم ،تجربه خوبی بود .
1 · 132 · IP4M1R
Anatomy of a Critical Bug — Chaining IDORs
یه رایتآپ جالب دیدم دربارهی یه باگ API که نکتهی اصلیش فقط پیدا کردن IDOR/BOLA نیست؛ چیزی که جذابش میکنه اینه که مهاجم از اطلاعاتی که از یک API میگیره، برای پیدا کردن و بررسی endpointهای دیگه استفاده میکنه.
سناریو از یه endpoint مربوط به سفارش شروع میشه؛ با تغییر orderID مشخص میشه که سرور ظاهراً بررسی نمیکنه کاربر واقعاً صاحب اون سفارشه یا نه. بعد داخل response اطلاعات و IDهای دیگهای وجود داره که میتونن سرنخ endpointهای مرتبط بعدی باشن.
یعنی بهجای اینکه بگی:
خب، یه IDOR پیدا کردم، تموم.
باید از خودت بپرسی:
این response چه اطلاعات جدیدی بهم داد که میتونم باهاش APIهای دیگه رو بررسی کنم؟
همین طرز فکر باعث میشه چند ضعف ظاهراً معمولی، وقتی کنار هم قرار میگیرن، impact خیلی بزرگتری پیدا کنن.
چیزی که من از این رایتآپ بیشتر دوست داشتم، بخش Chaining بود؛ اینکه هر response رو بهعنوان سرنخ برای مرحله بعدی ببینی، نه فقط نتیجهی نهایی request.
🔗برای خوندن رایتآپ کلیک کن
#BugBounty #API #BOLA #IDOR #WebSecurity #CyberSecurity #Pentest
26 · 733 · IP4M1R
اگر خواستید وضعیت اینترنت چک کنید ببینید اختلال داره یا نه این سایت چیز خوبیه
https://covered.ir/fa/incidents
131 · IP4M1R
عکس
عکس
عکس
بچهها یه مورد جالب دیدم، گفتم بگم شاید به درد یکی بخوره 😂
یه اکانت با اسم «هکر کلاه سفید» پیدا شده که ادعا میکنه فقط با داشتن شماره موبایل یه نفر میتونه از راه دور وارد کل گوشیش بشه.
ازش پرسیدم یعنی واقعاً فقط شماره موبایل کافیه؟
گفت: «بله» 😂
بعد که پرسیدم مکانیزمش چیه، توضیحی که داد این بود که «وارد فایل میشی، شماره موبایل رو میزنی و وارد گوشی میشی» و گفت چون IP آمریکا دارن، میتونن این کارو از راه دور انجام بدن.
بعد برای این کار ۴۰ میلیون تومن قیمت داد؛ نصف اول کار و نصف بعدش.
حتی یه ویدئو هم بهعنوان نمونه کار فرستاد.
منم یه کم کنجکاو شدم و آیدی روی ویدئو رو سرچ کردم؛ یه کانال دیگه با حدود ۴ هزار ممبر پیدا کردم. داخل اون کانال هم آیدی سفارش چیز دیگهای بود.
حالا اینکه اینا باهم کار میکنن، ویدئو رو خریدن یا طرف صرفاً ویدئو رو برداشته، من نمیدونم و ادعایی هم در موردش ندارم.
ولی چیزی که مشخصه اینه که این شخص چنین ادعاهایی کرده و در ازاش ۴۰ میلیون تومن درخواست کرده.
گفتم عمومی کنم که اگه کسی با این اکانت یا همچین ادعایی برخورد کرد، قبل از اینکه پولی واریز کنه حتماً بیشتر تحقیق کنه.
😂
104 · عکس
عکس
عکس
عکس
عکس
عکس
عکس
عکس
عکس
عکس
4M1R
@Time1Netbot
دوستان عزیز این ربات واسه یکی از رفیقامون و تازه شروع کرده و نیاز به حمایت داره
ربات واسه فروش کانفیگ میخام اگر امکانش هست تو کانالاتون به عنوان تبلیغ بزارید، تست رایگان هم داره واسه سرعت و اینکه خودمم استفاده میکنم کانفیگ هاش خوبه
دمتون گرم❤️
1 · 291 · سلام خوبستین ؟
1 · 95 ·