8ug8ear

Последние публикации канала «8ug8ear»

1. 544 просмотров, 25 реакций, 16 июл. 2026 г.

   Когда триажер решил порофлить. Вот вроде сначала расстроилась, что импакт оказался низкий, а теперь смеюсь от отсылки. Хотя это моя самая низкая выплата. Раньше пивными багами считала - 3-5к, теперь нужно добавить шаверму в классификацию вознаграждения. Люблю такое, наверное поэтому не смотря на то что иногда в бб происходят эмоциональные американские горки - мне не надоело за 3 года.

   Открыть пост в MAX
2. 660 просмотров, 32 реакций, 15 июл. 2026 г.

   Приятно, хотя по таблице cutoffurmind уже обогнал и у меня второе место. Мерч я люблю. Интересно повезет ли мне в этом квартале.

   Открыть пост в MAX
3. 808 просмотров, 26 реакций, 25 июн. 2026 г.

   Режим багхантинга "ночной дозор" Этот квартал апрель-июнь я активно багхантила и вот что имею сказать по поводу повсеместного использования ИИшниц. Дано: * Ищу вечерами или в свободное время в качестве хобби не каждый день * Не самая быстрая рука на диком западе - не иду сканировать новые приватки в первые минуты их появления * Нет агентов в постоянном сканировании, но ими пользуюсь * Все что можно найти с помощью ИИ - находят с помощью ИИ более быстрые. Тут я даже не пытаюсь соревноваться * IDOR и простые BAC, которые могут найти агенты в режиме "вот тебе 2 аккаунта и ресурс найти все IDOR"…

   Открыть пост в MAX
4. 1.3K просмотров, 33 реакций, 28 мая 2026 г.

   В ту пятницу было завершение bugs 7. Сдала 8 отчетов со всякой мелочью: 4 дубля и 4 принятых. Наверное субьективный минус текущего багса, что почти весь скоуп был известный. Кроме 1 программы не было чего-то уникального или с повышенными выплатами. А одновременно с мероприятием вышло несколько интересных приваток - на том же https://bugbounty.bi.zone/ и в целом мой багхантерский энтузиазм как-то перешел снова на VK и еще 1 приватку. Афтепати было здоровское. Очень интересный доклад от Созага про локальный ИИ предтриаж, как и их презентация на награждении. Мы вместе с Enzo вели викторину по…

   Открыть пост в MAX
5. 1.8K просмотров, 59 реакций, 04 мая 2026 г.

   Апрель получился активный на багхантинг Сдала 32 бага: * 16 на standoff365 (10 приняты, 1 в работе и остальное дубликаты на шато тамань r0hack 2024 года и еще 1 очень странный информатив, когда импакт у баги есть, но риски приняты) * 16 на bizone bug bounty (1 принят, 12 в работе, остальное дубликаты) Как-то прям одинаково получилось - я не специально. В целом хоть и оценка багов была гораздо ниже чем я рассчитывала по очень странной причине, но я все-равно довольна. Самый успешный месяц в этом году.

   Открыть пост в MAX
6. 2.4K просмотров, 36 реакций, 09 апр. 2026 г.

   Чем больше багханчу - тем больше убеждаюсь, что в постоянном багхантинге для меня главным образом влияет 2 вещи: * Удача * Упорство // Помимо навыка пентеста Упорство помогает не бросить, если удача не сразу выбросила 21 - не смог ничего найти сразу, все заведенное стало дубликатами. Так же позволяет глубоко закапываться в домен. Долго смотрела одни и те же ресурсы и недавно это помогло найти несколько высокорисковых багов. Всем желаю удачи и продолжать искать. Тем более, что очень скоро багс 7 - так что запасаемся счастливыми дайсами. https://t.me/bizone_bb/651

   Открыть пост в MAX
7. 2.0K просмотров, 22 реакций, 19 мар. 2026 г.

   ИИшечка прочно вошла и не выходит из наших жизней. Багбаунти это тоже не обделило и есть как хорошие последствие этой иинтеграции, так и не очень. Собственна, вот есть условный Вася(имя вымышленное все совпадения с реально существующими Василиями случайны). Василий узнает из каких-то источников, что есть какая-то биг баунти и платят там биг деньги. Наш персонаж регистрируется на платформе бб, берет себе никнейм vasyan1337(все совпадения случайны, а никнейм вымышлен) и идет смотреть программы. Понимает, что это золотая жила, вон какие суммы платят. Денег хочется, а погружаться в то, как их…

   Открыть пост в MAX
8. 1.5K просмотров, 12 реакций, 19 мар. 2026 г.

   Про багбаунти со стороны вендоров. Такая жиза, что прослезилась. ИИ отличный инструмент в руках разбирающегося, но плохой в руках "а не знай, мне так ИИ сказал". Так что базовые знания веба все-таки нужны для багхантинга, чтобы не присылать RCE, SSRF и другие серверные уязвимости как "перейдите на сайт, откройте консоль браузера f12 и введите команду". Все были новичками и все сдавали фигню, будем честны, но эти начинания позваляли учится, развиваться и дальше приносить баги с импактом на Иб. Начинающий багхантер изучал и разбирался. А когда не приходя в сознания продолжать проделывать "друг,…

   Открыть пост в MAX
9. 2.1K просмотров, 54 реакций, 11 мар. 2026 г.

   Heisenbug_Broken_access_control_через_уязвимости_бизнес_логики.pdf

   Открыть пост в MAX
10. 2.1K просмотров, 21 реакций, 19 февр. 2026 г.

    CTF в реальной жизни Решила я недавно дописать статью, которая маринуется в черновиках хабра уже год. Потратила около 4 часов, подвигала туда-сюда картиночки, переписала и дописала тексты и не сохранила. Хабр же сохраняет черновики - так же работают все онлайн редакторы? Да? Да? Падма. jpeg. Но нет я открываю статью - она годовалой давности. Пытаюсь восстановить из бекапа - открывается статья годовалой давности. Вы можете сказать "зачем ты сразу пишешь статью на хабре" и будет правы - нужно было делать локально. Просто удобно смотреть сразу с версткой, а markdown после у меня на хабр криво…

    Открыть пост в MAX
11. 2.1K просмотров, 13 реакций, 16 февр. 2026 г.

    Псс, тут VK топ доклад анонсировали - "Новая эра багхантИИнга" на VK Security Confab . Уверена, что интересно будет всем: * Триажерам и им сочувствующим * Багхантерам * Все кто настраивает/играется с AI для тестирования и генерации тестовых данных Доклады без записи и есть повод приехать в Москву. Будет еще - сейчас идет формирование программы. https://team.vk.company/confab/?utm_source=tg&utm_medium=post&utm_campaign=cfp

    Открыть пост в MAX
12. 2.5K просмотров, 30 реакций, 21 янв. 2026 г.

    Уязвимости, найденные случайно Очень много багов, даже в багбаунти находятся и сдаются случайно. Зайти в определенный момент, увидеть ошибку и понять ее причину. Выполняя рутинные действия и внимательно наблюдая результат можно получить баунти. Если видите "странное поведение" - присмотритесь к нему, возможно, это будет проблемой безопасности. Какие это проблемы чаще всего у меня? * Различные broken access control * Получение секретов * И даже XSS. Был у меня опыт, когда я в рамках обучения в одном мессенджере скидывала пейлоады XSS, а они отрабатывали))) Я думаю, что багбаунти - это удача +…

    Открыть пост в MAX
13. 2.1K просмотров, 57 реакций, 16 янв. 2026 г.

    Как я играла и проиграла race condition Есть фича покупка услуги. Захотелось мне ее потестить на race condition. Кто не знает что такое race condition - это ошибка проектирования многопоточной системы при которой работа зависит от того, в каком порядке выполняются части кода. Подробнее читать тут и тут . Что обычно приходит на ум? * Положить на кошелек сумму 1-2 услуг и попробовать списать больше, загнав аккаунт в отрицательный баланс. * Если транзакция не связана напрямую с заказом, а есть некоторая проверка "оплачено", то попробовать за 1 операцию получить 2 услуги Решено - сделано. Но тут…

    Открыть пост в MAX
14. 1.6K просмотров, 19 реакций, 14 янв. 2026 г.

    Начала лежать в сторону багбаунти после праздников За праздники я отлично отдохнула Редко выходила из дома, много играла, смотрела фильмы и читала комиксы. Столько за целый год не играю. Ни о чем не жалею. Из пройденного рекомендую Tainted Grail: The Fall of Avalon и Chicken Police. Так же очень весело оказалось проходить в коопе Saint row 4. Праздники закончились, пора возвращаться в строй поиска уязвимостей. Удалось пока со скрипом. Вечером 3 часа выбирала куда же мне стоит закопаться на ближайшие пару месяцев: смотрела какие сервисы есть у яндекса, вк, wb и появилось ли что-то новенькое у…

    Открыть пост в MAX
15. 2.1K просмотров, 46 реакций, 29 дек. 2025 г.

    Душевный мерч и поздравление Я редко занимаюсь обзором мерча (иначе канал бы сменил направленность), но насколько это обалденно. Нашла всех из bizone bugbounty, а так же Bo0om, Freeman, Brain, W0lFreaK и Artebels. Можно разглядывать как ковер и искать остальных из комьюнити багбаунти. В мире AI генеративного контента - ручное и душевное целится особенно сильно. Если Вы подумали "хей, я тоже так хочу", то можно стать топ 10 на площадке bugbounty.bi.zone за 2025 (уже в следующем году за 2026) или стать информационным партнером.

    Открыть пост в MAX