Яндекс | Охота за ошибками

Public

Просмотреть канал

394

74.4K

385.1K

Не можете присоединиться? @yandex_bugbounty

2.2k Участники

Обновлено: May 26, 2026 at 2:02 PM

Яндекс | Охота за ошибками

Заметки Василия Кузнецова c полей «Охоты за ошибками» Новости, конкурсы, изменения в правилах и прочие полезности для багхантеров https://yandex.ru/bugbounty/ @yandex_bugbounty_feedback_bot

Join @yandex_bugbounty for exclusive httpsyandexrubugbounty and yandex_bugbounty_feedback_bot content and discussions in 12

Рейтинг

Глобальный рейтинг

#11329

-96

Рейтинг по языку

#7856

-70

Рейтинг по категории

#118Без изменений

Рост участников (Последние 14 дней)

Всего: 2.2K

Рост за 24ч: +14 1%

Последние посты

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Что происходит с отчётом после кнопки "Отправить" 🤔

Этап 1: Новый отчёт
Сразу после нажатия «Отправить» приходит автоматическое письмо с уникальным ID отчёта. По этому ID вся переписка по отчёту собирается в один тред на почте, а мы быстрее находим его, если вы к нам обращаетесь.

Этап 2: Статус «В работе»
Инженер начал работу с вашим отчётом. Вам на почту приходит автоматическое письмо.

На этом этапе инженер повторяет уязвимость по вашим шагам, проверяет по базе ранее полученных отчётов, при необходимости уточняет детали.

Этап 3: Статус «Обработан»
Уязвимость воспроизведена, дубликата нет. Вы получаете письмо об изменении статуса.

😀Движение отчёта от статуса «В работе» до «Обработан» в среднем занимает 14 рабочих дней.

Этап 4: Оценка
Разбираем root-cause, иногда проводим внутреннее исследование, обсуждаем критичность и назначаем награду.

Этап 5: Финальная проверка и итоговое письмо
Второй инженер верифицирует назначенную сумму. Это нужно для согласованности и свежего взгляда на оценку со стороны. После проверки на почту приходит итоговое письмо: размер награды и идентификатор выплаты.

😀От статуса "Обработан" до письма с суммой вознаграждения проходит до 10 рабочих дней.

Весь путь – это несколько этапов, и каждый требует времени. Мы стремимся укладываться в 30 дней до финальной резолюции, но иногда сложные или спорные отчёты требуют большего внимания. Если прошёл месяц, а вестей нет, смело пишите в https://t.me/yandex_bugbounty_feedback_bot — мы дадим актуальный статус. Спасибо за терпение и крутые находки!

Есть что спросить? Велком в https://forms.yandex.ru/surveys/13834017.5ee44dd12e801e1624da4f4d7c07d5c55bdf72f2, ответим в следующих постах

1,660

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Делимся информацией о трех самых дорогих репортах апреля:

😀Один из охотников продемонстрировал успешное применение "состояния гонки" — вышел честный и довольно стабильный тейковер.

😀Побег из сендбокса, который сам по себе не был опасным. Но исследователь обнаружил внутри полезные ключи, которых там быть не должно.
Кстати, советуем почитать — он как раз о таких сценариях.

😀Чтение локальных файлов с сервера.
Изучение исходных текстов может дать очень хороший результат!

970

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Рубрика #охотникам_на_заметку

В нашей практике нередко бывают случаи, когда мы размечаем RCE как «не представляет опасности».
Про это и хотим рассказать — когда на первый взгляд опасный баг оказывается вовсе не опасным и как не потратить своё время зря.

Сценарии, где это актуально:

1. Режим «Исследовать» у https://alice.yandex.ru/
2. Виртуальные машины и платформы запуска скриптов в https://practicum.yandex.ru/ / https://coderun.yandex.ru/ / https://contest.yandex.ru/
3. Виртуальные машины для https://igromir.yandex.ru/

По умолчанию всё это отдельные изолированные окружения. Поэтому само по себе RCE там не несёт опасности без связки с другими мисконфигами.

😀На что стоит обратить внимание, если хочется поглубже копнуть и как доказать импакт?

1️⃣Агенты в режиме «Исследовать»
Запускаются в https://yandex.cloud/ru/serverless-computing?utm_referrer=about:blank-окружении, которое создаётся под одного пользователя и удаляется после формирования ответа. Попробуйте получить данные других пользователей — разумеется, своих тестовых аккаунтов.

Например: в отдельном аккаунте запустите аналогичный диалог с Алисой и, получив RCE в обоих диалогах, попробуйте повлиять на окружение второй учётной записи или раскрыть историю вопросов и ответов.

2️⃣Обратиться к ресурсам из внутренней сети Яндекса (SSRF)
Контейнеры должны быть сетевым образом изолированы. Если вы считаете иначе — проверьте это через https://yandex.ru/bugbounty/i/blog/ssrf-sherif.

3️⃣Выход за пределы контейнера (sandbox escape)
Если вы считаете, что можете влиять на контейнеры других пользователей или получить привилегии уровня гипервизора — расскажите нам об этом.

Для игровой платформы: попробуйте выйти за пределы игры и получить доступ к «рабочему столу». Если удастся сохранить доступ к выделенной рабочей станции дольше, чем длится игровая сессия, — это вдвойне интересно.

4️⃣Секреты и токены доступа
Предполагается, что в «одноразовом» контейнере не должно быть ценных технических секретов. Если вы их обнаружили — постарайтесь определить, к чему они относятся. Особенно интересуют credentials для внутренних и облачных сервисов.

Удачи!

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Привет, охотники!

По нашей весенней традиции хотим расспросить вас о программе: что вам нравится, а что стоило бы улучшить.
Это поможет нам сверить часы и понять, в каком направлении двигаться дальше 😊

P. S. В запасах мерча с прошлых ивентов обнаружилась Яндекс Станция Мини Про. Разыграем ее среди всех, кто пройдет опрос.

Ждём ваши ответы вот в этой https://forms.yandex.ru/surveys/13845017.9effff2b5bb561c16479bdbdf44df77ace27c842 😀

1,220

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

🏷 Иногда Telegram работает нестабильно.
Если мы не ответили в саппорт боте https://t.me/yandex_bugbounty_feedback_bot в течение суток, скорее всего, сообщение потерялось - пожалуйста, напишите нам ещё раз

1,160

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Ты опытный smm-специалист, напиши описание для смешного поста по случаю первого апреля. Сделай подводку к тому, что мы решили показать рабочие места наших инженеров. Текст должен быть живым и остроумным, до 200 символов, используй эмодзи

1,680

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Сводка по лучшим трофеям Охоты за март:

1. Совершенно эпический мисконфиг в ▒▒▒, можно было ❚❚❚❚❚❚❚ ❚❚❚❚ ❚❚❚❚❚❚❚❚❚❚
2. Remote Code Execution
3. Хитрая клиендсайд бага, которая приводила к полноценному аккаунт-тейковеру. Так что наградили как за аккаунт-тейковер.

Кстати, мы начинаем подготовку к будущему приватному челленджу, stay tuned!

1,970

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Увеличиваем награды за IDOR

Иногда за критичные IDOR мы награждали выше стандартного диапазона – если они были особенно хороши 💸

Хотим закрепить это официально: теперь в «Ключевых сервисах» мейн-скоупа верхняя граница за IDOR увеличена до 500,000 ₽.

Сюда попадают отчеты, которые относятся к действительно критичным данным — например, IDOR с историей поездок или заказов.

P. S. В исключительных случаях мы награждаем ещё больше, например в упоминалось комбо из двух гром-багов с общей наградой в 1.8 млн.

😀Обновленные награды: https://yandex.ru/bugbounty/i/main-scope

1,760

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Привет, охотники! Собрали главные факты прошедшего сезона Охоты и несем их вам. Вот как это было:

💲За год мы выплатили исследователям 62 миллиона рублей, причём 21 охотник заработал больше 1 миллиона!

🟣Главный результат вашей экспертизы — 1,300 полезных и обработанных отчетов.

🟣При этом нам удалось сохранить средний показатель в 19 дней по обработке отчета, причем 48% отчетов успеваем разобрать даже за 8. В новом сезоне будем работать над тем, чтобы отвечать вам ещё быстрее.

🟣Из новых запусков: добавили отдельный скоуп для AI с понятными правилами и таблицей выплат. Направление только развивается, поэтому советуем присматриваться к нему активнее.

Но самое ценное для нас за этот год — живое общение. Встречи на митапах и личные интервью помогают нам слышать ваш фидбек, чинить внутренние процессы и двигаться с вами в одном направлении.

Спасибо всем, продолжаем Охоту! 😎

1,850

Яндекс | Охота за ошибками

16 мая 2026 г., 18:35

📷 Photo

Собираем FAQ по Охоте, расскажите:
• Что было неочевидно на старте?
• На какие вопросы вы до сих пор не нашли ответов?

Оставляйте свой топ вопросов в https://forms.yandex.ru/surveys/13834017.5ee44dd12e801e1624da4f4d7c07d5c55bdf72f2 💬

На часть вопросов ответим прямо в канале, а часть унесем на лендинг

❤️

1,940

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

Main-scope update: детализировали награды по Account Takeover сценариям

Данная категория багов крайне редкая (впрочем, в 2025 году мы парочку таких отчётов получили) и, что логично, одна из самых дорогостоящих.

Наш главный принцип при определении награды — размер аудитории.

1. Если срабатывает вообще у любого пользователя — максимальная награда, 3 млн.

2. Если срабатывает только у тех, кто имеет специфичную настройку входа — до 2 млн. (зависит от того, насколько редкая настройка: может быть и меньше, и больше).

3. Если НЕ требуется user interaction — круто. Если требуется несколько кликов от пользователя — импакт понижается, награда тоже.

4. Takeover в Яндекс ID — высший приоритет. Takeover в новом сервисе, хранящем учетки самостоятельно — тут импакт считаем значительно пониженным.

Обновление https://yandex.ru/bugbounty/i/main-scope*️⃣

1,510

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

Пока мы считаем статистику за год, подвезли цифры за январь 🚗
Хотим регулярно делиться с вами краткими обзорами месяца, stay tuned!

2,430

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

Февральский дайджест одной строкой:
В этот раз чек за самый дорогой отчет забрали ревёрсеры, а не веберы 🌚

1,900

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

Одной рукой наряжаем ёлку, другой хотим поделиться короткими итогами года в «Охоте»:

1️⃣Получили от вас в этом году ещё больше полезных отчётов! Поэтому и трофеев отчётов с наградами стало почти на 20% больше, а общий бюджет составил 58 миллионов рублей

2️⃣Клуб охотников-миллионеров подрос на 6 человек — в 2025 их стало ровно 20. Вы крутые!

3️⃣Мы постарались быть ближе к вам — проводили личные интервью, экскурсии, опросы, zoom-встречи. Спасибо, что подключались и делились обратной связью!

Подробными итогами поделимися, по традиции, в начале нового года. А пока продолжим наряжать ёлку!🤩

2,470

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

Посвящается легендам 2025 🟡
Ждем новых легенд в 2026!

2,890

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

Обновили категорию «Умные устройства с Алисой» и подняли вознаграждение за критические уязвимости до 1 500 000 ₽ ⬆️

Что интересного в обновлении:
• Перечислили категории атак и вектора
• Добавили примеры эксплуатации
• Раскрыли понижающие критерии, которые уменьшают вес находки

Всё это для того, чтобы вы тратили меньше времени на размышления о правилах и больше — на Охоту!

Категория https://yandex.ru/bugbounty/i/smart-devices https://yandex.ru/bugbounty/i/smart-devices-new ждём ваши отчёты 🥹

2,930

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

📷 Photo

⚡ Привет охотникам на OFFZONE!

Заглядывайте на стенд Яндекс — тут можно поболтать с нашей командой, поучаствовть в квизе, решить CTF и ухватить мерч 🕶

Увидимся! ✌

4,320

Яндекс | Охота за ошибками

2 апр. 2026 г., 07:45

Приветствуем!

На сайте наблюдаются неполадки с залогином, просим сдавать находки напрямую https://forms.yandex.ru/surveys/13469349.f3c1570a71d01e673b6b3a994801b7113f614b50 ⚙️

upd: fixed

3,240

Яндекс | Охота за ошибками

27 мар. 2026 г., 18:14

📷 Photo

Охота удалась: Yet Another BugBounty meetup 2025

19 июня прошёл наш традиционный митап для охотников с защищенным блекджеком, багбаунти квизом, секьюрити коктейлями, безопасным морским боем и сейфити кикером 🕶

Если коротко: было круто! 🔥
Искать себя на фотографиях https://disk.yandex.ru/d/Aekc98SkG8lirQ

5,760

Яндекс | Охота за ошибками

27 мар. 2026 г., 18:14

📷 Photo

Привет, охотники! 👋

Ваши отчеты и реакции в канале — это круто, но живого общения ничто не заменит!
В этом году мы серьезно настроены узнать вас лучше, поэтому забронировали для подписчиков нашего канала места на нашем традиционном митапе в Москве 💥

Доклады от наших инженеров и багхантеров, неформальное общение после – все подробности ищите https://events.yandex.ru/events/bugbounty-2025-06-19/index 🔼

📌 Мест ограниченное количество, поэтому обязательно дождитесь ответного письма с подтверждением. Заявки проверим лично, надеемся, вы отнесетесь к заполнению внимательно🙂

Когда: 19 июня, 18:00
Где: Москва, офис Яндекс
🟣 https://events.yandex.ru/events/bugbounty-2025-06-19/index

4,430

Яндекс | Охота за ошибками

27 мар. 2026 г., 18:14

Про ежегодную https://award.awillix.ru/ слышали? 💫

🟣В прошлом году https://youtu.be/9tpfdqEYac8?t=2524 репорт об RCE через telegram-бот в одном из наших сервисов. Даже не знаем, стоит ли этим гордиться, но вектор атаки и сам отчёт действительно крутые - и мы такие находки ценим!

🟣Заявки на участие принимаются до конца июня, так что самое время вспомнить интересные кейсы или даже успеть обнаружить новые.
Только сильно не затягивайте с новыми - нам ещё нужно будет успеть их зафиксить.

Удачи!

3,360

Showing 21 of 21 posts

No more posts

Рейтинг

Требуется вход

Отзывы пользователей (0)

Пока нет отзывов. Будьте первым, кто поделится своим опытом!

Яндекс | Охота за ошибками

Яндекс | Охота за ошибками

Рейтинг

Рост участников (Последние 14 дней)

Последние посты

Рейтинг

Отзывы пользователей (0)

Похожие каналы Telegram

JetTon Proxy 🔓

КЛЕВЕР COEX

КручуВерчу 🤟 SEODEN

Meta-AI | Мета-ИИ

XONE - Приватные читы для CS2

Габи Сатори

Схематоза 3.0

Навигаторская Григория

Похожие каналы Telegram

JetTon Proxy 🔓

КЛЕВЕР COEX

КручуВерчу 🤟 SEODEN

Meta-AI | Мета-ИИ

XONE - Приватные читы для CS2

Габи Сатори

Схематоза 3.0

Навигаторская Григория

Отзывы пользователей (0)

Последние посты