чего

Ну преобразования имеется ввиду

ну-да ну-да. пошел я на хрен

Мне кажеться это скорее теоретическая угроза. Большинство сайтов используют встроеные криптостойкие генераторы сессий

секвенсер же вообще не про подбор хешей, он показывает всякие совпадения ?

большинство сайтов в ББ.
но не большинство сайтов в принципе.
у некоторых сессии на куках основанные которые генерятся даже на времени посещения сайта

ну чтобы показать совпадения он должен понять какие значения в куках и токенах хранятся. для этого отдельные его фрагменты нужно расшифровать

кажется это не так работает

Он же просто берет строки и сравнивает их на наличие совпадений, определяет насколько они случайные etc..

Оо чат маску надел )

Пхахаха

я как-то дрочил эндпоинт авторизации и выписывал 1000 токенов.
Потом их скормил. Но секвенсер лишь выдал то, что "хрен ты этот токен подберешь". :)

ну это тоже информация ведь)

что не стоит время терять и надо смотреть дальше

тут недавно была история на медиуме, когда индус подобрал механизм генерации сессионного(или токена сброса пароля) у яху, сдал это в баунти, и даже не дожидаясь выплаты, запилил статью на медиуме, где подробно описал как подобрал закономерность в токенах.
История закончилась для него печально, статью удалили, индуса забанили в программе, баунти думаю он тоже не получил.
НО исходя из того что я в ней прочитал, такое sequencer мог бы подобрать

Подобрать еще раз и слить на форумах

я заметил, что как не индус в ББ, то абсолютно каждый "security engineer"

Фу таким быть)

информация должна быть свободной :)

Десять лет назад такое поведение было нормой