306‑е место в рейтинге Баг-Хантеров, на Standoff365 за 11 дней

За последние 11 дней я закрыл 8 отчётов на Standoff365. Четыре уже признали информативными, ещё четыре висят у вендора с потенциалом на P1/P2 и выплаты. Выхватил 306‑е место в рейтинге за такой короткий срок — и это только начало.

🔎 Разведка (Recon)
Любая охота начинается с поиска целей:
• Сбор поддоменов: subfinder, crt.sh, Google Dorks.
• Alive‑чек: httpx для отсеивания мёртвых хостов.
• Живые URL-параметры: waybackurls, uro для поиска уязвимых эндпоинтов.

💣 Эксплуатация
Полученные цели кормлю пейлоадами:
• XSS‑пул: <svg/onload=alert(1337)>, <details open ontoggle=alert(1337)>, <math> и <object> для обхода фильтров.
• SQLi‑тесты: ' OR '1'='1, ловля ошибок в ответе.
• Open Redirect: игрался с redirect=, next=, url=, двойным encode.
• CORS‑misconfig: ручной и автоматический чек через кастомный Origin.
• GraphQL: поиск /graphql, интроспекция, запрос juicy‑полей (email, phone, balance), брут ID для IDOR.

🛠 Технологический стек
Пишу код под любую задачу теста безопасности:
• 🐚 Bash — быстрые пайплайны, фаззинг, массовые проверки.
• 🐍 Python — CORS‑чекеры, API‑сканеры, GraphQL‑интеграции.
• 🌐 JavaScript — DOM‑XSS, клиентские PoC.
• 🦫 Go — кастомные сканеры и генераторы словарей.
• 🦀 Rust — быстрые сканеры и обработка большого объёма данных.
• 🐘 PHP — реверс CMS, PoC для LFI/RFI.
• 💠 C — нативные эксплойты и исследование бинарей.
• 💎 Ruby — модули для Metasploit.
• ⚙ Assembly — реверс и баги на низком уровне.
• 🔐 PowerShell — Windows‑инфра, пост‑эксплуатация.
• 🌀 Zsh — продвинутый шелл‑воркфлоу.

Такой разносторонний стэк помогает не зависеть от готовых тулов — я просто пишу нужный мне инструмент под конкретную цель.

❤️ Подход
• Максимум автоматизации, минимум слепого сканирования.
• Каждую находку добиваю руками в Burp Suite.
• Комбинирую разведку, эксплойт и аналитику.

🏁 Итог
306‑е место за 11 дней — это не финал, а разгон.
Когда вендор примет висящие отчёты, рейтинг может прыгнуть ещё на сотни мест.
Главное — иметь метод и уметь писать под него код. Всё остальное — вопрос времени.