Hello there, ('ω')ノ アカウント乗っ取りを。 脆弱性： アカウントの乗っ取り IDOR パスワードのリセット 記事： https://medium.com/@metikalakullai.gtl/my-p1-account-takeover-3293fc59e10 彼らのウェブサイトには招待機能があり。 その機能を使えば、…
Hello there, ('ω')ノ 2000 ドル相当の管理パネルで発生したブラインド XSSを。 脆弱性： ブラインド XSS 記事： https://medium.com/@feribytex/blind-xss-fired-on-admin-panel-worth-2000-abe2c83279b5 今回は、ブラインド ストアド クロスサイト スクリ…
Hello there, ('ω')ノ IDOR が大規模なアカウント乗っ取りにつながるを。 脆弱性： IDOR アカウント乗っ取り 記事： https://yaseenzubair.medium.com/idor-leads-to-mass-account-takeover-7548a03f5672 ほとんどの Web アプリケーションでは、特に認証に関…
Hello there, ('ω')ノ 5 分以内に $$$$ バウンティを手に入れた方法を。 脆弱性： RCE 既知の脆弱性を持つコンポーネント 記事： https://p4n7h3rx.medium.com/how-i-got-bounty-within-5-mins-f1448f6db9b5 Web サイトが Telerik UI を使用しており CVE-201…
Hello there, ('ω')ノ BugBountyカテゴリの記事数もようやく500に到達しました。 まともではない文章で記事を書いていますので、読みづらいかと思います。 そろそろ、ブログもセミナー同様にテコ入れをしていきたいと思っています。 ▼BugBountyReadingHandsO…
Hello there, ('ω')ノ タフなWAF（WAF Bypass）でターゲットにXSSを反映を。 脆弱性： 反映された XSS WAF バイパス 記事： https://jowin922.medium.com/reflected-xss-on-target-with-tough-waf-waf-bypass-3b7efd1ef2bc プライベート プログラムで Web ペ…
Hello there, ('ω')ノ 壊れた機能レベルの認証により、すべての企業ユーザの PII 情報が開示されるを。 脆弱性： 壊れた機能レベルの認可 情報漏えい 記事： https://webresearcher007.medium.com/broken-function-level-authorization-leads-to-disclosing-…
Hello there, ('ω')ノ クリティカル IDOR を発見し、最初の P1 脆弱性で $900 を獲得を。 脆弱性： IDOR 記事： https://medium.com/@abhisekr/discovered-a-critical-idor-and-earned-900-for-my-first-p1-vulnerability-57c1e72f42c1 IDORとは、安全でない…
Hello there, ('ω')ノ 4 つのクロスサイト スクリプティング (XSS) を見つけた方法を。 脆弱性： XSS 記事： https://medium.com/@DrakenKun/how-i-was-able-to-find-4-cross-site-scripting-xss-on-vulnerability-disclosure-program-e2f39199ae16 今回は、…
Hello there, ('ω')ノ ブラインド XSS から SSRFを。 脆弱性： ブラインド XSS SSRF 記事： https://akashc99.medium.com/blind-xss-to-ssrf-e2bc579976d 今回は、バグ ハンティング中に、PDF ドキュメントの生成を。 可能にするアプリケーション内の機能に…
Hello there, ('ω')ノ パスワード リセット機能によるアカウント ロックアウトのバイパスを。 脆弱性： レート制限バイパス 記事： https://akashc99.medium.com/bypassing-account-lockout-through-password-reset-functionality-8ff5c256f380 今回は、Web …
Hello there, ('ω')ノ 簡単な 2000$ レース コンディションを。 脆弱性： レース コンディション 記事： https://medium.com/@_deshine_/easy-2000-race-condition-b4d093c9bc3c 今回は、Race Condition がどのように重要になるかを。 このプログラムは、バ…
Hello there, ('ω')ノ ログインせずに管理ページで XSS を見つけた方法を。 脆弱性： 反映された XSS 記事： https://sl4x0.medium.com/how-i-found-xss-on-admin-page-without-login-fe165a5f89c2 今回は、ファジングが管理ページで XSS を取得するのにどの…
Hello there, ('ω')ノ CSRF + 保存された XSS がアカウントの完全な乗っ取りにつながるを。 脆弱性： 保存された XSS CSRF アカウントの乗っ取り 記事： https://medium.com/@bag0zathev2/csrf-stored-xss-to-leading-to-full-account-takeover-39e9a79533e3…
Hello there, ('ω')ノ 非常に単純なトリックによる完全なアカウントの乗っ取りを。 脆弱性： アカウントの乗っ取り アクセス制御の破綻 記事： https://medium.com/@xerox0x1/full-account-take-over-by-very-simple-trick-b4025a53047c 今回は、最初に Acce…
Hello there, ('ω')ノ AWS Cognito の設定ミスによるアカウントの乗っ取りを。 脆弱性： Amazon cognito の設定ミス アカウントの乗っ取り 記事： https://medium.com/@_deshine_/account-take-over-due-to-aws-cognito-misconfiguration-7b092c667ee3 今回…
Hello there, ('ω')ノ ビジネス ロジックの脆弱性 (アカウントの乗っ取り) から 1000 ドルを稼いだ方法を。 脆弱性： ロジックの欠陥 アカウントの乗っ取り 記事： https://andika-here.medium.com/how-i-earned-1000-from-business-logic-vulnerability-acc…
Hello there, ('ω')ノ ファイル名の操作により、webshell がアップロードされましたを。 脆弱性： 無制限のファイルアップロード 任意のファイル書き込み 記事： https://systemweakness.com/uploading-the-webshell-using-filename-of-content-disposition-…
Hello there, ('ω')ノ バグハンティング: S3 バケットへのオープンアクセスを。 脆弱性： AWS の設定ミス 記事： https://engrinside.medium.com/bug-hunting-open-access-to-s3-bucket-79f262a86a78 今回は、有名なride-sharing プラットフォームで、必要な…
Hello there, ('ω')ノ 電子メール フィールドのブラインド XSSを。 脆弱性： ブラインド XSS 記事： https://yaseenzubair.medium.com/blind-xss-in-email-field-1000-bounty-b19b25a23236 ブラインド xss があるところには、常に xsshunter があり。 PHP で…
Hello there, ('ω')ノ Vue JS 反映された XSSを。 脆弱性： 反映された XSS ブラインド XSS CORS の設定ミス UI の修正 記事： https://medium.com/@sid0krypt/vue-js-reflected-xss-fae04c9872d2 今回は、VueJS アプリケーションで反映された XSS を取得す…
Hello there, ('ω')ノ $$$ の認証を必要とするデフォルトの認証情報を含むページへのアクセスを。 脆弱性： デフォルトの資格情報 記事： https://medium.com/@adhaamsayed3/access-to-page-with-default-credentials-that-require-authenticate-e59cebf0bce…
Hello there, ('ω')ノ Web キャッシュ中毒 $$$? 価値がある？を。 脆弱性： Web キャッシュ ポイズニング XSS 記事： https://yaseenzubair.medium.com/web-cache-poisoning-worth-it-e7c6d88797b1 今回は、見落としがちであまり注目されていないバグについ…
Hello there, ('ω')ノ xss を ATO に変換する驚くべき方法を。 脆弱性： XSS アカウント乗っ取り 記事： https://medium.com/@nakah_/an-amazing-way-to-turn-a-xss-into-an-ato-40bc92772195 Flag_c0 は、Web サイトの閲覧中に XSS の脆弱性を発見し。 彼は…
Hello there, ('ω')ノ CRLF インジェクション — Cloudflare WAF で報奨金を得ることができたのはなぜかを。 脆弱性： CRLF インジェクション 記事： https://infosecwriteups.com/crlf-injection-xxx-how-was-it-possible-for-me-to-earn-a-bounty-with-the-…
Hello there, ('ω')ノ Nexus マネージャでの認証バイパス (バージョン 3.37.3–02)を。 脆弱性： 既知の脆弱性を持つコンポーネント 認証バイパス HTTP 応答操作 記事： https://sharanthehunter.medium.com/authentication-bypass-in-nexus-manager-version-…
Hello there, ('ω')ノ Bugcrowd プラットフォームでの最初のバグを。 脆弱性： レースコンディション 記事： https://medium.com/@EX_097/my-first-bug-in-bugcrowd-76decc1f9901 レースコンディションアタック（競合状態攻撃）は、特定の順序でタスクを。 …
Hello there, ('ω')ノ インドの会社から 4 桁の報奨金 (₹) を受け取った方法を。 脆弱性： リンク切れのハイジャック 記事： https://rv09.medium.com/in-this-article-ill-tell-you-how-i-got-a-4-digits-bounty-from-an-indian-company-38e39a29f99e ある…
Hello there, ('ω')ノ [GraphQL IDOR]数千人のユーザーのクレジットカード情報が流出を。 脆弱性： IDOR GraphQL 記事： https://infosecwriteups.com/graphql-idor-leaking-credit-card-information-of-1000s-of-users-d07eec732979 今回は、2 つの異なる G…
Hello there, ('ω')ノ パラメータハンティングからインジェクションを。 脆弱性： HTML インジェクション XSS 記事： https://infosecwriteups.com/param-hunting-to-injections-4365da5447cf 今回は、インジェクションに対する効果的なパラメータハンティン…