Info sec блог

Bug bounty tip: Всегда проверяйте разрешённые сайты в CSP policy. Есть вероятность, что домен/бакет не зарегистрирован или CSP ссылается на хранилище файлового хостинга. Например, недавно обнаружил CSP, доверительный домен в которой был raw.githubusercontent.com.

Раскрыл старый, но тем не менее актуальный репорт на hackerone "Blind SQL injection in third-party software, that allows to reveal user statistic from rocket.chat and possibly hack into the rocketchat.agilecrm.com" https://hackerone.com/reports/433792. Изначально разработчики отказывались от раскрытия, но удалось их убедить. Попытаюсь раскрыть еще несколько репортов в ближайшем будущем.

Отпечаток пальца был отключен в последнем обновлении два дня назад, устройство, на котором наблюдается - IOS

Спустя несколько лет после выпуска приложения Приват24 разработчики Приватбанка удалили с приложения вход по отпечатку пальца. Ранее отправлял уязвимости в Bug Bounty, связанные со злоупотреблением данного функционала, но мне ответили что это фича и баг не собираются исправлять. Теперь его закрыли 🤷‍♂️

На самом деле, такой подход к клиентам действует намного лучше, чем любая платная реклама в соцсетях/рекламных сетях/билбордах/etc. Из-за должного отношения люди советуют твой продукт и он распространяется со скоростью света из-за коммуникации между людьми.

Насколько я помню, такого принципа придерживается Павел Дуров. Он не тратит деньги на рекламу Телеграм, а надеется на распространение с помощью пользователей, так как мессенджер удобный и конкурентноспособный.

Ещё немного о сервисе airbnb(немного не по теме, но история интересная):

Вчера я заказал апартаменты на airbnb, сегодня при заселении оказалось, что квартира мне не совсем подходит и я сделал полный рефанд денег за все дни пребывания.
Спустя пару часов позвонили с французского номера, это оказалась служба поддержки airbnb. Извинились, пожали плечами и пожелали удачи со следующим жильем. 🤷‍♂️

Вечером позвонила та же девушка из службы поддержки и сказала, что из-за потери некоторого количества моего времени руководство airbnb решило подарить купоны на $33 в качестве извинения, которые можно использовать для погашения чистой стоимости заказа. И указали, что существуют некоторые шансы разногласий с обоих сторон из-за человеческого фактора, с чем я полностью согласился. 👍

В итоге последняя квартира оказалась одной из лучших, в которых я побывал в данном городе и служба поддержки airbnb приятно удивили. Всем советую обращаться к ним, они действительно клиентоориентированные. 👩🏼‍💻

Вы не знаете, что такое настоящие пуш уведомления, если никогда не получали личное сообщение в приложении airbnb на аккаунт, привязанный к email и телефону 😭