BXSS по почте (бумажной): https://twitter.com/iammandatory/status/1130646465095725056?s=21

Ну и вдруг кто-то пропустил: https://habr.com/ru/company/jetinfosystems/blog/450780/

Всем хороших выходных: Удалённое выполнение кода в nginx
https://habr.com/ru/news/t/454364/

OWASP Russia на AppSec Tel Aviv https://www.youtube.com/playlist?list=PLpr-xdpM8wG9Pl8MLCdkU1Dq34Cl0NPOc

Обход rate лимита при восстановлении пароля в instagram с помощью смены айпи адреса

https://thezerohack.com/hack-any-instagram

Меж тем хром выпилил xss аудитор: https://portswigger.net/daily-swig/google-deprecates-xss-auditor-for-chrome

Не прошло и n-лет, как Burp стал поддерживать веб-сокеты http://releases.portswigger.net/2019/07/professional-community-edition-2101.html

Эксплуатация cookie-based XSS
https://habr.com/ru/post/460101/

Прохладные истории про уязвимости веб-приложений от Бума

Забавные уязвимости современных веб-приложений, не современных веб-приложений и не веб-приложений тоже, от автора блога bo0om.ru

Приглашенный гость: Дмитрий Бумов
Интервью берёт: Антон Лопаницын
Чай: зеленый с жасмином, марка уточняется
Модератор: Павел Жовнер

Подробности в Телеграм-канале @neuronspace
Обсудить в Телеграм-чате @neuronspace_local

Дата: пятница 9 августа с 19:00 до 20:30
Адрес: Москва, м. Китай-город, Хохловский переулок 7/9 c2, 3 подъезд, 3 этаж. Хакспейс Нейрон.

Вход свободный
Ссылка для регистрации:
https://neuronspace.timepad.ru/event/1035260/

у нас появился свой блог на Хабре: https://habr.com/ru/company/owasp/

Пишет Сергей Белов: "И на старуху бывает проруха" - как-то я сам попадал в такую ситуацию. И в такой же ситуации недавно оказался HackerOne (H1).

В H1 самое ценное - это сообщенные уязвимости компаниям, которые хостят у них свои багбаунти программы. И раньше уже были ошибки, которые позволяли хотя бы частично получить доступ к этим данным и эти уязвимости им сообщали через их же багбаунти программу. И все это были "обычные" технические проблемы, но вот недавно случилось довольно необычное.

В H1 есть режим аутсорса, когда:
1) Они запускают багбаунти программу
2) Их специалисты разбирают репорты и занимаются развитием программы
3) Заказчик только получает уязвимости

Так вот в шаге 2 произошел сбой. Специалист H1 получил уязвимость от исследователя, не смог воспроизвести и (!) отправил свои шаги для воспроизведения обратно исследователю. Скопировав запросы "copy as curl" из браузера и подставив в тикет. А там - все куки == сессия. Исследователь подставил их в свой браузер и попал в аккаунт специалиста H1, в котором он имел доступы до тикетов программ, в которых он работал.

И эта история - поучительная. Как крупная компания разруливает такие сложные ситуации:

1) Заплатили $20к, несмотря, что по факту что это была человеческая ошибка. Т.е. не стали приравнивать к соц инженерии, что всегда запрещено правилами
2) Очень угловой случай, так как исследователь, вместо того, чтобы просто проверить доступ, еще потыкал админку и посмотрел репорты чужих программ. Такое бывает, эйфория. H1 посмотрели, что натыкал немного и простили, но сказали - что за постэксплойтинг вообще-то бан на всей площадке и больше так никогда делать не надо. С точки зрения правил - решение спорное, но это всегда частные случаи, сами с таким сталкиваемся
3) Сделаны правильные выводы: что проблема в т.ч. техническая, что можно даже регулярками мониторить, что в тикет не подставляются сенсетивные данные, как можно захарденить сессии и т.п.
4) Из непонятного: пишут, что будут привязывать сессию к устройству. Технически из браузера этого сделать нельзя, видимо будут обязывать ставить расширения всем своим сотрудникам или подобное
5) Из забавного: забанят использование аккаунтов из некоторых стран для своих специалистов (сам исследователь - с античата, в нашей программе - топ 11). Довольно странное решение, тем более о нем вообще писать, что будут его делать :)

А вот и сам детальный разбор - https://hackerone.com/reports/745324
Оригинальный пост: https://m.facebook.com/story.php?story_fbid=10206856685733779&id=1775876441

Ссылка на трансляцию: https://clc.to/owasp_msk_9