Статья Блог начинающего Bug Хантера. Ищем баги за еду. Часть 2

Всем Салам. Много времени прошло с начала первой части. В последнее время не было желания вообще что-либо написать. И за этот период накопилось очень много, разных и интересных кейсов из Bug Bounty.

Сегодняшняя тема думаю многим будет интересна и многие смогут поучаствовать при желании. А речь пойдет о недавно открытой программе Bug Bounty от Азбуки Вкуса. И что мне понравилось в данной программе, то что оплату можно получать продуктами, точнее бонусами, которые придут на карту. Также можно и деньгами, но если бонусами, то это сумма умножается на 1.5. И вот какие плюсы, если получать бонусами.

• В полтора раза больше
• Огромное количество бонусов и карта становится платиновой
• А это бесплатный абонемент на кофе
• Всякие плюшки на дни рождения
• И возможность обменять бонусы на авиа мили Аэрофлота

Баги, которые я нашел подробно я описать не могу, пока еще. Но если в общем, то за этот период было найдено 8 багов на 6 900 000 млн бонусов.

• Несколько IDOR, один из которых очень критический
• Слив информации о пользователях
• Манипулирование текстами SMS
• CSRF уязвимости (захват аккаунта)
• XSS уязвимости

Выплаты не сильно большие, но для ритейла в РФ думаю очень даже неплохие суммы.
И я также выше упоминал, что можно будет поучаствовать, да, программа будет длиться до 1 июня этого года. Скоуп достаточно большой и проект простой для изучения в отличии от какой-нибудь блокчейн платформы, если хорошенько постараться можно найти еще кучу багов. За подробностями сюда:

Ссылка скрыта от гостей

Найденные уязвимости планирую разобрать чуть позже, когда уже все исправят.
А в следующей части подробно разберем такой тип уязвимостей, как IDOR. Может казаться, что это простая уязвимость, но это совсем не так. Есть очень много разных случаев, где казалось бы, как тут может быть IDOR, но он есть.
Всем удачи.

 

[explorer]

Маленький нюанс:

Вознаграждение выплачивается в течение 20 (двадцати) рабочих дней с момента подтверждения наличия уязвимости уполномоченными сотрудниками Компании, переводом денежных средств на указанный в заявлении банковский счёт, при условии подписания лицом, обнаружившим уязвимость, следующих документов (а также при условии соблюдении всех остальных положений оферты): акта оказанных услуг, заявления на выплату вознаграждения, согласия на обработку персональных данных в офисе Компании по адресу: г. Москва, Кутузовский проспект, д.36, стр.6. Наличие паспорта в целях удостоверения личности при выплате вознаграждения обязательно.

То есть если ты живёшь на Камчатке или ещё где, слетай-ка в Москву, да не попади под карантин, или к ментам в кутузку. В общем тема больше для москвичей.

 

[mrOkey]

Не плохо нафармил

 

[r0hack]

Маленький нюанс:

Вознаграждение выплачивается в течение 20 (двадцати) рабочих дней с момента подтверждения наличия уязвимости уполномоченными сотрудниками Компании, переводом денежных средств на указанный в заявлении банковский счёт, при условии подписания лицом, обнаружившим уязвимость, следующих документов (а также при условии соблюдении всех остальных положений оферты): акта оказанных услуг, заявления на выплату вознаграждения, согласия на обработку персональных данных в офисе Компании по адресу: г. Москва, Кутузовский проспект, д.36, стр.6. Наличие паспорта в целях удостоверения личности при выплате вознаграждения обязательно.

То есть если ты живёшь на Камчатке или ещё где, слетай-ка в Москву, да не попади под карантин, или к ментам в кутузку. В общем тема больше для москвичей.

Не, необязательно туда ходить. Можно просто заполнить и отправить на почту.
Я прямо в Adobe все заполнил и отправил.

 

[r0hack]

Погоди погоди, т.е. ты 4.6 млн превратил в 69 000 продуктами?

Если в рубли превращать, то бонусы / 100.

 

[littleV]

Если в рубли превращать, то бонусы / 100.

А в статье писал: "Также можно и деньгами, но если бонусами, то это сумма умножается на 1.5."
Дак все же где истина? 6.900.00 - это бонусы, которые (1.5 бонус = 1 рубль) или же "бонусы /100", т.е. (100 бонусов = 1 рубль).
Разница огромная.

 

[puni359]

А как ты доказываешь им , что у них есть уязвимость и ты её использовал?

 

[r0hack]

А в статье писал: "Также можно и деньгами, но если бонусами, то это сумма умножается на 1.5."
Дак все же где истина? 6.900.00 - это бонусы, которые (1.5 бонус = 1 рубль) или же "бонусы /100", т.е. (100 бонусов = 1 рубль).
Разница огромная.

На скрине отлично видно, что это бонусы. Упоминания, что это рубли нету.
Да, сумма умножается на 1.5, тоже на сайте, ссылку даже скинул.
А как формируются бонусы, все есть на офф сайте. Или вам нужно все разжевывать и копипасть официальные описания сюда?

А как ты доказываешь им , что у них есть уязвимость и ты её использовал?

Демонстрирую, что она есть. Для примера,

Ссылка скрыта от гостей

 

[mrOkey]

Это все ещё самопиар))
Возвращайся с ресерчами