Arkiix's Blog

Последние публикации канала «Arkiix's Blog»

1. 462 просмотров, 14 реакций, 28 янв. 2026 г.

   Захват аккаунта через telegram-бот: от своего номера к чужому профилю Всего пять минут ожидания, один чужой номер телефона и обычная кнопка для получения ссылки — этого оказалось достаточно, чтобы обнаружить критическую уязвимость. Настолько минимальный сценарий…

   Открыть пост в MAX
2. 360 просмотров, 152 реакций, 28 янв. 2026 г.

   Захват аккаунта через telegram-бот: от своего номера к чужому профилю Всего пять минут ожидания, один чужой номер телефона и обычная кнопка для получения ссылки — этого оказалось достаточно, чтобы обнаружить критическую уязвимость. Настолько минимальный сценарий неожиданно вскрыл проблему в логике обработки данных. Читать 👉 https://blog.deteact.ru/account-takeover-thru-telegram-bot/

   Открыть пост в MAX
3. 1.1K просмотров, 5 реакций, 30 апр. 2025 г.

   Открыт приём заявок на Pentest Award 🏆 В прошлом году принял участие — крутой ивент: хорошие призы, интересные люди и ситуации из практики Если есть опыт, который хочется пошарить — рекомендую подать заявку. Доступны различные интересные категории, а работы можно подавать в обезличенном виде 🔗 Заявки принимаются на сайте — https://award.awillix.ru/

   Открыть пост в MAX
4. 1.5K просмотров, 20 реакций, 29 дек. 2024 г.

   VolgaCTF 2024

   Открыть пост в MAX
5. 6.0K просмотров, 29 реакций, 23 нояб. 2024 г.

   JWT blacklist bypass Как вы все знаете, JWT самодостаточен. Именно это делает его таким удобным, но некоторые обычные вещи становятся невозможными, например завершение сессии пользователя. Если пойти в Google с вопросом об отзыве JWT, вы наткнётесь на кучу обсуждений и предложений. Обычно подход заключается в занесении его в blacklist, который хранится, например, в Redis. В интернете много рекомендаций вроде: когда нужно отозвать токен, сохраняешь его (или его хэш) в Redis, а когда запрос с токеном прилетает на сервер — проверяешь, нет ли его там. Во время пентеста я заметил интересную…

   Открыть пост в MAX
6. 1.7K просмотров, 12 реакций, 19 нояб. 2024 г.

   В хакере вышла статья, написанная по моей работе с Pentest Award https://xakep.ru/2024/11/15/email-bugs/

   Открыть пост в MAX
7. 1.5K просмотров, 11 реакций, 07 авг. 2024 г.

   😆 Победители акции от TimeWeb В июне TimeWeb расширил скоуп и увеличил выплаты по своим программам. Чтобы отпраздновать это событие, мы провели совместную акцию. Победители — исследователи, сдавшие валидные отчеты по обновленным программам первыми. Героями стали: 1️⃣ arkiix 2️⃣ hermione 3️⃣ r0binak 4️⃣ HydrAttack 5️⃣ OkiDoki Поздравляем наших багхантеров! Они уже наслаждаются призами от нас и TimeWeb. Не пропускайте новые программы и события на нашей платформе ;)

   Открыть пост в MAX
8. 1.3K просмотров, 30 реакций, 02 авг. 2024 г.

   Сегодня в Москве прошла церемония награждения премии для этичных хакеров Pentest Award 2024 , организованная компанией awillix. Я занял второе место в номинации "**CK THE LOGIC" с историей двух интересных account takeover в одном из крупнейших интернет эквайринге. Надеюсь, позже появится возможность поделиться этой работой здесь. Спасибо всем причастным за организацию данного мероприятия, проявленный интерес к моей работе и приятные подарки 🔥

   Открыть пост в MAX
9. 888 просмотров, 24 реакций, 02 авг. 2024 г.

   Тут CyberR3bel взял 2 место в Pentest award 2024 в номинации HACK THE LOGIC. Поздравляем этого господина, заслуженная награда за топовую багу 🥳

   Открыть пост в MAX
10. 1.2K просмотров, 37 реакций, 30 июн. 2024 г.

    Сегодня мне исполнилось 2️⃣ 1️⃣ Этот год был насыщен новыми интересными знакомствами и мероприятиями, бесконечным развитием. Около года назад я получил свою первую выплату за найденную на багбаунти уязвимость, закончил учёбу, уволился из разработки для того, чтобы направить время на дальнейшее развитие в сфере инфобеза. С того момента я посетил кучу интересных профессиональных мероприятий, с 89cr3w стабильно катались на очные финалы различных ctf. Попробовал себя в роли спикера на Bugs Zone. К концу 2023 года попал в топ-10 хакеров на багбаунти площадке бизона. За год участия в багбаунти…

    Открыть пост в MAX
11. 1.2K просмотров, 2 реакций, 25 апр. 2024 г.

    🪲 Выложили доклады с BUGS ZONE 1️⃣ Да кто такой этот ваш триаж? Независимый исследователь Артем Бельченко провел несколько интервью с вендорами и поделился с нами тем, как проводят триаж в разных компаниях. 2️⃣ Сила Python в руках багхантера Независимый исследователь Аркадий Тен рассказал, что делать, если привычных инструментов Burp Suite не хватает для эксплуатации нужной уязвимости, и как эффективно использовать Python для поиска багов. Смотрите записи, делитесь с друзьями, ждем вас на следующих ивентах :)

    Открыть пост в MAX
12. 1.3K просмотров, 12 реакций, 23 апр. 2024 г.

    12 апреля в Москве проходил BUGZ.ZONE Вместе с @bughunter_omsk посетили тусовку и выступили с докладами про триаж и использование питона в поиске и эксплуатации уязвимостей. Записей докладов пока нет, держите фоточки)

    Открыть пост в MAX
13. 1.2K просмотров, 5 реакций, 24 мар. 2024 г.

    BUG BOUNTY. С ЧЕГО НАЧАТЬ НОВИЧКУ Багхантинг - одно из наиболее перспективных и быстрорастущих направлений инфобеза с довольно низким порогом вхождения для новичков. Очень часто мне пишут в личку сообщения с просьбой посоветовать литературу и интересные ресурсы для старта в ББ. В своей статье собрал небольшой список материалов, которые в свое время использовал и до сих пор использую для изучения.

    Открыть пост в MAX