Tarcísio retweeted
🐛 Bug Bounty Tip #8/30
Test every file upload endpoint like your life depends on it.
Checklist:
- Upload an SVG with <script> → Stored XSS
- Upload a PHP/ASPX file → RCE
- Upload a file with path traversal in the name → ../../shell.php
- Check if the file is served from the same origin
File uploads have paid for many bounty hunters' laptops. 💻
#BugBounty #FileUpload #RCE
Acabei de postar um artigo sobre minha CVE, essa falha não tinha impacto pq o PHP substituía caracteres importante para roubo de cookie de em xss e etc, então consegui bypass com algumas técnicas
tarcisioluchesi.github.io/Po…
Esquecia de mencionar que estou montando outro, para ter um impacto no usuário, mas já comprovei o xss e o bypass em teste foi comprovado, mas não é um bypass que leva a um impacto 🐱
XSS | Bypass do WAF da Cloudflare com um payload que eu mesmo desenvolvi hoje!
payload: %20%20onclick="/*comentário*/print%20(%27poystick
@XssPayloads
#BugBounty #wafbypass #xss #padraoinseguro
Tarcísio retweeted
Bug bounty tip for beginners: your first bug depends on the program you pick, not how good you are yet.
Need experience for your first role? Start with VDPs. No payout, but a clean writeup is proof you can do the work.
From my experience, Intigriti and YesWeHack have more approachable targets than HackerOne. Easier place to land your first valid find.
But the real move is mentality. Lock in on one program. Stay on it way longer than feels normal. Go deep, not broad.
Don't try to out-scan the AI pentesters. You won't. Go deeper than they bother to. That's the part they skip.
Narrow and deep beats wide and shallow. Word.
#BugBounty
Eu sei que existe muito iniciante, mas vcs não colocam nada, os cara que trabalham nem para mostrar seus artigos e tals, a comunidade é para contribuir, talvez faltou isso, já faz 1 mês que eu queria remover a comunidade, só queria um motivo, embora tenho esquizofrenia e problema
Tarcísio retweeted
Got invited to a private program and reported a sensitive API key in a public JS file. It was marked duplicate, so I waited for resolved.
Later, I reported the same exposure through an old JS file on Wayback Machine.
Final result: P3 Informational, 10 points.
Bug Bounty Tip #2: Old JS Secrets 🔍
1. Collect historical URLs from Wayback Machine.
2. Find JS files like config.js, env.js, app.js.
3. Check snapshots from different years (2021, 2022, 2024, 2025). Some may contain secrets, others may not.
#bugcrowd #bugbountytip #Bounty
XSS | Bypass do WAF da Cloudflare com um payload que eu mesmo desenvolvi hoje!
payload: %20%20onclick="/*comentário*/print%20(%27poystick
@XssPayloads
#BugBounty #wafbypass #xss #padraoinseguro
Tarcísio retweeted
SonicWall SSL-VPN entrou no KEV: CVE-2026-19868 deixa bypassar SAML (e o MFA q vem junto) se vc tem cred valida de outro metodo de auth.
CVSS 7.1, mas ja tem exploracao confirmada. se o firewall ta com SAML no SSL-VPN, isso é pra ontem, n pra segunda-feira.
#SonicWall #VPN
galera, eu me expressei meio errado nesse post, mas o post é focado para pentest e nao bugbounty, nao sei como funciona um pentest corporativo, é so uma dica e uma opinaio do que to fazendo, obrigado por me corrigerem, olha o comentarios antes de validar, e ate algo claro,
Para um relatório de pentest todas as cwe que são fraquezas catalogadas + de 900 são válidas, por isso acredito que uma aplicação não é 100% segura, pois cada pentest sabe uma certa quantidade, e lembrar de todas é algo "impossível".
Leiam a framework de pentest, metodologia de pentest(tô estudnado a ptes, estudem a cwe mitre atacker, estudem a owasp cheat cheet, estudem o hackertrick para técnicas avançadas para se dá bem tanto em bugbounty e pentest
#bolhasec #pentest #BugBounty #metodology #framework
Tarcísio retweeted
E digo mais: como criadora de conteúdo, influenciadora tech ou o que vocês quiserem chamar, parem de ficar gastando tempo rodando o feed e sonhando através das postagens dos outros.
“Ah, o fulano trabalha em tal lugar, a ciclana já foi para vários países, o beltrano tem X mil seguidores...”
Saiam das redes sociais, e vão fazer um curso, aprender uma língua nova, comecem projetos, um novo hobbie.
Mesmo que no início não dê dinheiro, mesmo que no início seja difícil: apenas comecem.
Eu passei o ano inteiro e pretendo continuar em 2027 trazendo mais e mais cursos, vagas e oportunidades gratuitas para que mais pessoas tenham acesso.
Mas a nossa vida só muda se a gente se movimentar. Como diz o ditado: O CARA TEM QUE SE MEXER.
Esse cara me ajuda a comprovar uma coisa quando a gente conversou, é um cara competente no que faz, e eu considero ele um hacker de verdade
Sou o Wesley aka dk4trin, fundador da @katrinasecteam
- já fui top 67 na Intigriti Global Rank
- mais de 1000 vulnerabilidades reportadas em bug bounty
- levei 1 ano e 1 mês para meu primeiro bounty (2021)
aqui eu posto achados, bounties, tips, reflexões relacionadas a bug bounty ou offsec
dúvidas, dicas ou se quer saber o que um atacante acharia no seu sistema antes dele achar, me chama na DM ;) 👉 katrinasec.com
Tarcísio retweeted
Pro tip for SSRF!
Blocking 127.0.0.1 does not necessarily account for every representation a parser may resolve as loopback. Depending on the parser, that can include case variations of localhost or shorthand forms such as 127.1.
Compare validation, normalization, DNS resolution, and the final request.
Explore the Academy SSRF labs 👇
portswigger.net/web-security…