BF
В том числе там был незадокументированный рест апи
Size: a a a
2020 November 13
BF
Давай там все домены тыкай, в общем
PН
Но нихуя так не оказалось! Простая проверка linkfinder'ом выявила, что даже версии жс скриптов разные, и обращаются они к разным эндпойнтам в зависимости от поддомена
Ну ты и копатель. +респэкт
BF
Ну ты и копатель. +респэкт
Меня это отвратило от той программы
SN
Меня это отвратило от той программы
Почему?
BF
Почему?
Да бесит просто. Сорок апи, и все они разные, и каждом сайт нужно вдоль и поперёк исследовать, чтобы каждый метод каждого апи найти
BF
И не только
PН
А прикинь там просто было хитрое преобразование имён и логики по поддомену. Что бы заебать исследователей
PН
Чисто тролли писали сайт
BF
🙋🏿♀️
BF
пять минут мем искал
PН
Ставлю класс
s
о, Маннергейм, гы
B
Да бесит просто. Сорок апи, и все они разные, и каждом сайт нужно вдоль и поперёк исследовать, чтобы каждый метод каждого апи найти
обычно надо брать юзера в приложеньке и тыкать кнопки - смотреть что генерится
B
так же сваггер в помощь
BF
обычно надо брать юзера в приложеньке и тыкать кнопки - смотреть что генерится
"брать юзера в приложеньке"... ебать, подумал, что это цтфный жаргон какой-то сначала.
B
еще есть всякие софтинки типа трейсэйбла что ищут шедоу айпи, с ними обычно надо договариваться что бы дали поюзать
BF
Ну сваггер-то сваггером, только там даже его не было. А раскурочивать каждый недокументированный метод, копаясь на каждом поддомене от каждого отдельного юзера...
B
Ну сваггер-то сваггером, только там даже его не было. А раскурочивать каждый недокументированный метод, копаясь на каждом поддомене от каждого отдельного юзера...
это внешний проект (пентест за деньги) или внутренний?
BF
Это бб