Это можно считать байпассом? 😁

Google Play даёт установить приложение либо после проверки их антивирусом, либо после ввода графического ключа/пароля (фрагмент видео с черным экраном — это ввод неверного ключа).
Однако, если отменить установку и попытаться установить заново — окно исчезает)
Зачем тогда ввод ключа нужен, спрашивается.

#копаемся

Это даже не шутка.
Человеку, который в гугле нашёл баг раскрытия номеров телефонов, после аппеляции дали $5к.
Ровно столько же дают за второе место на квалах гугл цтф.

https://capturetheflag.withgoogle.com/
https://brutecat.com/articles/leaking-google-phones

Чтобы повысить свою популярность , Павел Дуров ввёл проверку на авторство его цитат.
План сработал. Теперь его имя звучит из каждого канала.
#meme

Мини обзорчик на BrutDroid — мультитула для багхантеров мобилок.

Основное меню состоит из 6 частей:

1. Create Virtual Device
Просто инструкция по установке эмулятора (aka «делай сам»).

2. Root Emulator
Для рутирования загружается Magisk и rootAVD.bat, однако adb root & remount всё же придётся сделать.

3. Install Tools
Устанавливает Frida, Objection, Reflutter на ноутбук, альтернатива pip install.

4. Configure Emulator
Тут можно установить и запустить фриду уже на эмулятор, а также установить сертификат бурпа.

5. Frida Tools
Красивая обёртка команд фриды, у меня они не сработали.

P.S. — хоть инструмент и может много, но я всё же подожду пока исправят баги а ля «Frida not found/r/nSuccess bypass».
Пока надёжней ручками.

жиза

Билет на VK Fest СПб 5-6 июля, 2 дня

Участников: 5
Призовых мест: 1
Дата розыгрыша: 20:00, 04.07.2025 MSK (завершён)

Победители розыгрыша:
1. kappapapa - 3hql7s

Разыгрывается билет на VK fest в Питере.
Если не собираетесь приходить на фестиваль — пожалуйста не участвуйте :)

Первый розыгрыш в канале, получается)

Как найти баг на $50000 не смотря в скоуп.
https://hackerone.com/reports/1087489

В интернете гуляют посты о уязвимости при обработке punycode-символов.

Атака заключается в том, что некоторые сервера неправильно приравнивают à к a, что приводит к Account Takeover.

Для воспроизведения уязвимости, в ТГ предлагают примерно следующие действия:

1. Зарегистрировать аккаунт на обычный email
Пример: [email protected]

2. Повторно зарегистрироваться, но с punycode
В запросе на регистрацию меняем a на à.
Пример: kevgen@ucà3jyj0f7608o7senahwjw0iroic90y.oastify.com
Если сервер возвращает а ля mail exist, значит он считает что a == à, что позволяет получить ссылку сброса пароля на почту атакующего.

Я начал проверять ру багбаунти программы описанным способом (через collaborator) и за вечер нашёл 3 уязвимых сервиса (странно?).

Часть 1/2.
@k3vg3n_ch

Однако получение отстука на коллаборатор не всегда является признаком уязвимости!

Хоть сервер и приравнивает à к a, но это не значит что он пришлёт ссылку восстановления на почту атакующего.
Примеры взаимодействия на картинке.

Для полного PoC были куплены домены с символом a и à и почтовые серверы. И после повторной проверки уязвимостей с разными почтами все 3 оказались false-positive.
Коллизия адресов происходила, но почту атакующего ничего не приходило. Сервер всё равно слал ссылки восстановления на почту жертвы.

Часть 2/2.
@k3vg3n_ch