Info sec блог

⭕️ Hackerone:

- Первый раз получил награду вместе с triaged в приватной bug bounty, от репорта до баунти прошло примерно 10 часов, думаю, это из-за различия в часовых поясах (компания из Америки), если бы я отправил репорт ночью, то была бы мгновенная выплата;

- С ростом репутации повысилось и количество приватных приглашений, их настолько много, что я не проверил даже и половины (принял приглашение в 32 программы);

- Обнаружил на avito.ru (8-е место среди самых посещаемых RU сайтов) 5 уязвимостей, две из них rce (их ещё рассматривают, остальные три уже triaged);

- Получил informative за disclosure information на hackerone.com/reverb вместе с наградой, первый раз такое. Большинство СНГ компаний не способны на подобное: вспомните хотя бы о Stored XSS уязвимости в личных сообщениях vk, в метатегах подгружаемой ссылки, - можно было прислать js в личные сообщения/на стену пользователя/группы, за неё сначала заплатили $500 hackerone.com/reports/181823 . Это произошло из-за некомпетентности или жадности сотрудников. Я больше склоняюсь ко второму варианту.