account takeover

На пентесте IAM-инфраструктуры SaaS-провайдера я потратил два часа на recon и fingerprinting стека - а account takeover занял 90 секунд. Один POST к эндпоинту сброса пароля, и сервер принял новый пароль администратора без email-подтверждения. Не zero-day, не цепочка из пяти уязвимостей - одна...

На пентесте финтех-компании в прошлом году мы получили initial access за четыре часа - без единого эксплойта. Публичный дамп Exploit.In (593 миллиона пар email:password, по данным Have I Been Pwned), фильтрация по домену заказчика, нормализация, прогон через OpenBullet 2 по корпоративному OWA -...

На red team-проекте против платёжного шлюза мы за четыре часа обошли три уровня антифрода: velocity checks на стороне эквайера, device fingerprinting от коммерческого вендора и поведенческую биометрию. ML-движок с ценником в семизначных цифрах пропускал card-not-present транзакции до 150 000...

Кнопка “Войти через Google” стоит на каждом втором сайте. Снаружи это один клик. Под капотом - редиректы, code flow, токены, проверка state, привязка учётной записи и несколько доверенных сторон, каждая из которых может всё испортить. Сами RFC здесь не главная проблема. База давно описана в RFC...

Год за годом, праздник за праздником а фрод не спит. Пока мы готовим подарки и строим планы на будущее, мошенники тоже не теряют времени даром. Они как Гринчи, только крадут не рождественское настроение, а деньги и данные. 2025 год был богат на мошенников, ущерб от фрода достиг астрономических...

Совсем недавно в парижском Cité des Sciences et de l’Industrie прошла хакерская конференция LeHack. В этот день у меня была прекрасная возможность встретиться и пообщаться с большим количеством технически подкованных людей, настоящих профессионалов своего дела, а заодно и отведать бесплатной...

Всем Салам. Эта статья является неким дополнением и продолжением этой статьи BruteForce, как недооцененный вид атаки (Account TakeOver) Предисловие Здесь разберем уязвимости, с которыми можно столкнуться при реализации SMS-аутентификации. Все описанные уязвимости не просто в теории, а со всеми...

Всем Салам. Решил поднять тему BruteForce атак, хотя многие, с пеной во рту, очень часто кричат, что это никогда не прокатывает, зачем об этом писать, ужасный вид атаки и т.д. Но не буду сейчас кому-то пытаться доказывать, что bruteforce имеет место быть, что это очень эффективный вид атаки...