Пентестер на мотоцикле

Public

Просмотреть канал

Не можете присоединиться? @hackerbiker

993 Участники

Обновлено: May 5, 2026 at 3:10 PM

Пентестер на мотоцикле

Блог, посвященный профессиональному росту в области кибербезопасности и мотоциклам (P.S. мотоциклы в ближайшем будущем) Вопросы/сотрудничество/реклама: @daffier ⚠️ All for educational purposes only!

Join @hackerbiker for exclusive only and purposes content and discussions in 12

Рейтинг

Глобальный рейтинг

#456

Рейтинг по языку

#45

Рейтинг по категории

#23

-1

Рост участников (Последние 3 дней)

Всего: 993

Рост за 24ч: +0 0%

Последние посты

Пентестер на мотоцикле

23 апр. 2026 г., 16:03

📷 Photo

🎉 Первый годик!

Ровно год назад, , появился канал "", и благодаря вам он продолжает расти! Ваш интерес это лучший стимул двигаться дальше, писать больше и делиться полезным!

Спасибо каждому за подписку, активность и поддержку — именно вы делаете этот проект живым.

Дальше только интереснее! 🏍

1,250

Пентестер на мотоцикле

23 апр. 2026 г., 16:03

📷 Photo

😈 Нашёл 0-day... почти

Недавно на проекте по пентесту было обнаружено уязвимое коробочное решение Directus v9.23.3.

Directus — это open‑source платформа для управления данными, которая превращает любую SQL‑базу в headless CMS, предоставляя автоматическую REST и GraphQL API и удобный веб-интерфейс для управления контентом.

С таким ПО я столкнулся впервые, поэтому принялся ресёрчить все возможные там API-эндпоинты, файловую структуру и искать уже известные уязвимости (CVE).

Первым делом встала задача определить версию Directus. Немного покопавшись в интернете, обнаружился эндпоинт, раскрывающий версию ПО в одной из констант JS-файла по пути "/admin/assets/...js":
const jN="9.23.3"
Это позволило отсортировать все CVE под данную версию.

Уязвимостей было обнаружено полно, но в рамках этого поста хочу акцентировать внимание на ключевой, которую обнаружил сам, — загрузка любых файлов в админскую Библиотеку файлов без аутентификации + раскрытие списка файлов на эндпоинте /files. Получить доступ к любому файлу можно, зная его ID. После загрузки файлу автоматически присваивается идентификатор, и он становится доступен по публичному URL вида /assets/.

▎ Риски:
➡️Загрузка вредоносного ПО. Злоумышленник может поместить исполняемые файлы или скрипты, что при их запуске приведет к компрометации системы;
➡️Фишинговые атаки от имени компании с помощью публичных ссылок /assets/;
➡️Доступны все файлы в "Библиотеке файлов" без аутентификации: невозможность конфиденциально хранить документы и прочую чувствительную информацию для компании;
➡️А также другие риски в имеющихся уязвимостях, речи о которых в данном посте нет.

▎ Рекомендации по устранению уязвимостей:
✅Ограничить публичный доступ к конечной точки загрузки файлов — требовать аутентификацию и авторизацию для загрузок;
✅Валидировать содержимое файлы по проверке сигнатуры (MIME, magic bytes);
✅Ограничить типы и расширения файлов. Явно запрещать исполняемые форматы (например, .exe, .bat, .sh, .php и т.п.) и другие нежелательные форматы. Разрешать строго только необходимых типов по белому списку;
✅Закрыть доступ к конечной точке /files для неавторизованных пользователей;
✅Обновить версию Directus — решит множество проблем разом.

▎ Для пентестеров, обнаруживших Directus в проде:
➡️1) Первым делом определите версию ПО;
➡️2) С имеющейся версией пробуйте эксплуатировать ряд CVEшек. Ссылки на списки оставил в конце поста;
➡️3) Обязательно проверьте наличие GraphQL со включённой интроспекцией. Мне также попались alias flood, мутация без аутентификации и т.д.

Часть уязвимостей в списках CVE эксплуатируется только при наличии сессии — это отличный кейс для серого ящика. На этом проекте я как раз работал по методикам чёрного и серого ящика.

UPD. Оказывается, это не уязвимость в самой коробке, а просто мисконфиг на проекте, допускающий загрузку файлов без аутентификации.

🔗 https://security.snyk.io/package/npm/directus
🔗 https://github.com/directus/directus/security
🔗 https://advisories.gitlab.com/pkg/npm/directus/

#кейс #материал

Пентестер на мотоцикле

23 апр. 2026 г., 16:03

📷 Photo

HTML Injection → Stored XSS → Hijack accessToken

Во время анализа одного из веб-приложений наткнулся на поле, которое обрабатывает ввод без должной фильтрации.

Примечение: cервис фильтрует Похожие каналы Telegram
Та самая звездочка1230
Антитеррор Урал12k0
Школа МИБ2.3k0
Digital Energy 5.04300
Гарда2.4k0
КиберТопор1.9m0
ИМВЭС НИУ ВШЭ1.5k0
КиберПул31.3k0
Отзывы пользователей (0)
Пока нет отзывов. Будьте первым, кто поделится своим опытом!
Последние посты
Пентестер на мотоцикле
23 апр. 2026 г., 16:03
📷 Photo
🎉 Первый годик!

Ровно год назад, , появился канал "", и благодаря вам он продолжает расти! Ваш интерес это лучший стимул двигаться дальше, писать больше и делиться полезным!

Спасибо каждому за подписку, активность и поддержку — именно вы делаете этот проект живым.

Дальше только интереснее! 🏍
1,250
58
0
Пентестер на мотоцикле
23 апр. 2026 г., 16:03
📷 Photo
😈 Нашёл 0-day... почти

Недавно на проекте по пентесту было обнаружено уязвимое коробочное решение Directus v9.23.3.

Directus — это open‑source платформа для управления данными, которая превращает любую SQL‑базу в headless CMS, предоставляя автоматическую REST и GraphQL API и удобный веб-интерфейс для управления контентом.

С таким ПО я столкнулся впервые, поэтому принялся ресёрчить все возможные там API-эндпоинты, файловую структуру и искать уже известные уязвимости (CVE).

Первым делом встала задача определить версию Directus. Немного покопавшись в интернете, обнаружился эндпоинт, раскрывающий версию ПО в одной из констант JS-файла по пути "/admin/assets/...js":
const jN="9.23.3"
Это позволило отсортировать все CVE под данную версию.

Уязвимостей было обнаружено полно, но в рамках этого поста хочу акцентировать внимание на ключевой, которую обнаружил сам, — загрузка любых файлов в админскую Библиотеку файлов без аутентификации + раскрытие списка файлов на эндпоинте /files. Получить доступ к любому файлу можно, зная его ID. После загрузки файлу автоматически присваивается идентификатор, и он становится доступен по публичному URL вида /assets/.

▎ Риски:
➡️Загрузка вредоносного ПО. Злоумышленник может поместить исполняемые файлы или скрипты, что при их запуске приведет к компрометации системы;
➡️Фишинговые атаки от имени компании с помощью публичных ссылок /assets/;
➡️Доступны все файлы в "Библиотеке файлов" без аутентификации: невозможность конфиденциально хранить документы и прочую чувствительную информацию для компании;
➡️А также другие риски в имеющихся уязвимостях, речи о которых в данном посте нет.

▎ Рекомендации по устранению уязвимостей:
✅Ограничить публичный доступ к конечной точки загрузки файлов — требовать аутентификацию и авторизацию для загрузок;
✅Валидировать содержимое файлы по проверке сигнатуры (MIME, magic bytes);
✅Ограничить типы и расширения файлов. Явно запрещать исполняемые форматы (например, .exe, .bat, .sh, .php и т.п.) и другие нежелательные форматы. Разрешать строго только необходимых типов по белому списку;
✅Закрыть доступ к конечной точке /files для неавторизованных пользователей;
✅Обновить версию Directus — решит множество проблем разом.

▎ Для пентестеров, обнаруживших Directus в проде:
➡️1) Первым делом определите версию ПО;
➡️2) С имеющейся версией пробуйте эксплуатировать ряд CVEшек. Ссылки на списки оставил в конце поста;
➡️3) Обязательно проверьте наличие GraphQL со включённой интроспекцией. Мне также попались alias flood, мутация без аутентификации и т.д.

Часть уязвимостей в списках CVE эксплуатируется только при наличии сессии — это отличный кейс для серого ящика. На этом проекте я как раз работал по методикам чёрного и серого ящика.

UPD. Оказывается, это не уязвимость в самой коробке, а просто мисконфиг на проекте, допускающий загрузку файлов без аутентификации.

🔗 https://security.snyk.io/package/npm/directus
🔗 https://github.com/directus/directus/security
🔗 https://advisories.gitlab.com/pkg/npm/directus/

#кейс #материал
Пентестер на мотоцикле
23 апр. 2026 г., 16:03
📷 Photo
HTML Injection → Stored XSS → Hijack accessToken

Во время анализа одного из веб-приложений наткнулся на поле, которое обрабатывает ввод без должной фильтрации.

Примечение: cервис фильтрует 1,120
27
0
25
0
5,810
35
0
1,820
31
0
2,180
20
0
1,820
43
0
1,120
15
0
1,220
23
0