professional cyberJunk

Joined August 2023
this crit was hilarious found an endpoint returning user PII based on a userId. swapping it for another user's ID just returned my own PII. removing the param gave a "user not found" error. every other endpoint returned 403 on ID swaps, so I got curious. Thread...
16
16
2
287
9,961
poked at it, got nowhere, so i asked claude to test it. 5 seconds later: claude found the IDOR. the catch? User-Agent. with a typical browser UA, the server returns your own record. with curl's UA (which claude used), or no UA, it hands you anyone's PII. Thread...
2
29
1,426
the suspected logic was basically something like: ``` if (isTypicalBrowserUA(userAgent)) { return getUserFromJWT(); } return getUserById(userId); ``` imagine your authorization logic depending on a User-Agent. what were the developers thinking? xD
1
1
37
1,304
After months of duplicates, I finally got my first bounties this month. :D Been using open-source AI models as a coworker throughout my hunting to speed things up and automate some of the boring stuff Gotta love open source. More are on the way.
19
1
1
240
6,296
اینترنت آزاد حق ماست حقمان را می‌گیریم✌🏼 سلام ۲۹ دی ماه ساعت ۱۱ شب با هجوم بیش از ۲۰ مامور وزارت اطلاعات در خانه دستگیر شدم و به بند ۲۰۹ اوین بازداشتگاه وزارت اطلاعات منتقل شدم. فردا در دادسرای ۳۳ مقدس با بیش از ۱۰ عنوان تفهیم اتهام شدم. از همه‌ی شما که صدای من بودید سپاسگزارم. ۱
46
150
6
1,430
117,752
کلاس OWASP یاشار از همه لحاظ (فنی و مایندستی) Game changer بود، بهترین دوره ای بود که تا الان گذروندم مطمئنم هانت قراره تجربه خیلی بهتری باشه و کلی قراره خوش بگذره، امیدوارم بتونم حداکثر استفاده رو کنم. Cant wait :D
خب بریم برای کلاس هانت guts که خیلی براش زحمت کشیدیم، کلاس سختیه و سالی یبار برگزار میشه. حتما کلیپ معرفی رو ببینین کامل، نظرات شاگردای دوره‌های قبلی هم بخونین کمک‌کنندس، امیدوارم کلاس خوبی داشته باشیم، سی یو voorivex.academy/class/
2
32
2,141
حدودا چهارماهه که شروع کردم امنیتو و خوندن پیشنیاز ها و مبانی، خوشحالم که تونستم چلنجو تا اینجا حل کنم و کلی بهم خوش گذشت دم یاشار و تیمش گرم میدونم که owap new zero هم قراره بمب باشه.
پیکار Zodiac رفت بالا، اگه تو امنیت «صفر مطلقین» کافیه پیکار رو باز کنین، دفترچه راهنما رو دانلود کنین و مرحله به مرحله جلو برین و کلی چیز یاد بگیرین. محوریت پیکار کاملا آموزشیه و سعی کردیم مفاهیم امنیت رو به ساده‌ترین شکل ممکن طراحی کنیم: z.voorivex.academy
3
37
3,066