я по итогу репорт сдал лишь с упоминанием "а еще я могу слить исходники, секреты, ключи и токены", но в репорте этого не продемонстрировал


по итогу сижу и думаю, что мб и зря...потому что оценили ниже, чем я рассчитывал)

Валера блечер. вот пруф:

{    
"Account": "7876********",    
"UserId": "AIDA*****************",    
"Arn": "arn:aws:iam::7876********:user/*********_production"
}

а так и есть. по ощущениям мало кто делает качественную оценку. исключение только в мэйлру. когда тебе реально не нужно ничего крутить и ты знаешь что чуваки из мэйла сами качественно это сделают.

здоровья и счастья сотрудникам ИБ мейлру

Amen

но все ж не без осечки. Однажды Вадим мой репорт в мэйл закрыл в н/а. пришлось прибегнуть к одной уловке после чего репорт был переоткрыт и все же правильно оценен.

Я находил nginx alias path traversal и зарепортал только чтение файла типа index.js, где были исходники не очень полезные. Потом брутом я нашел config.js где были секреты.
Так вот, без упоминания секретов мне заплатили $150. После того как я сказал - ребята там же еще секреты ликаются, добавили баунти до $400
Так что это скользкий момент обычно

Кстати, моя история про мейлру))

я не топлю за то чтоб все бежали и делали постэксплуатацию. но у меня был реальный случай со скулёй. была скуля в приложении. пользователь там был dba. команда апсек самой компании пришла и сказала - ну не, это барахло и это мидл. сервис не популярный. пользователей на нем почти нет. бизнес рисков не видим. Мидл влеплен был просто из-за нежелания платить. Оплачивают только хай и крит. В итоге я успел крутануть до фикса чтение таблиц. Нашел таблицу пользователей приложения. Достал юзернэймы и пароли. Зашел в приложение. Залил ксс на dashboard внутри на всех пользователей. Плюсом залил шелл но не нашел возможности его выполнения(да и не особо пытался). И показал это как риск который был не оценен. Репорт перевели в хай и дали ревард.

ну ты и вандал, хсс раскатать на всех юзеров в проде

Мощно, да)

ну потом со мной в такие игры больше не играли. и давали заслуженные уровни рисков. юзеров было там не шибко много. штук 20-30.

у меня щас тоже приколюха с одной прогой. закрыли отчет как дубль. попросил инвайтнуть в ориджинал репорт. сказали что оказывается ориджинал репорт вообще resolved. морозятся по сей день. хрень какую-то отвечают постоянно

когда уже появится профсоюз бугхантеров?!

сколько можно терпеть эту херню со стороны триажеров

го ворвемся в офис х1

все больше и больше прихожу к тому, что буду делать платформу для отзывов и рейтинга на проги в х1.. даже на приватные

дак вот с Поляковым обсуждали что багбаунтеры в большинстве своем слишком скромны и не умеют отстаивать свои права

время идет а проблемы все те-же

надо делать услугу - повысим ваш ревард за процент. просто добавьте нас в репорт и мы там всем покажем 👊