Привет!
Теперь у нас есть свой канал про «Охоту за ошибками» — Bug Bounty в Яндексе.

Здесь будут анонсы конкурсов, обновления в наградах или правилах, статистику по отчетам, приглашения на мероприятия и другие полезные новости для багхантеров.
А ещё тут можно будет встретить технический контент от инженеров-безопасников Яндекса — тех, кто лично занимается нашей «Охотой за ошибками» — например, раскрытие интересных отчетов.

Если хотите первыми узнавать о важных запусках, подписывайтесь на канал @yandex_bugbounty

Удачной охоты! 🥂

Знаете ли вы о нашем втором конкурсе по защите данных?

В этот раз мы ищем уязвимости доступа к данным через client-side (XSS, WebSockets, postMessage, JSONP, XSSI и др.).

⚡ Конкурс продлится до 31 января, в это время награда за интересующие уязвимости увеличена в несколько раз. Вы сможете получить до 500 тысяч рублей за обнаружение потенциальной угрозы.

🎁 Все подробности можно прочитать вот здесь.

А вы видели мерч «Охоты за ошибками»?

Помимо денежной награды (куда без неё!), мы хотим дарить нашим хакерам что-то физическое и осязаемое. Иногда тёплое, иногда плюшевое — а иногда просто забавное.

🎁 В декабре мы отправили первые посылки нашим самым активным охотникам. Идей у нас очень много, вручать будем по разным случаям, так что ждём ваших крутых отчётов!

Удачной охоты! ✌

Конкурс, посвящённый поиску XSS, завершён! ✅

За этот месяц мы получили от вас почти сотню XSS. Половину уже разобрали и резолюцию уже объявили, над второй половиной работаем :)

А пока что можем поделиться промежуточными результатами:
> Исследователи смогли найти способы, как добраться до httponly cookies.
> Сервис-воркеры снова в моде. Похоже, потому что о них недавно были доклады на ИБ-митапах.
> XSS на бескуковых доменах в совокупности с другими багами могут представлять вполне весомый импакт. Но подчеркнём: именно в совокупности.
> Если вы не следите за postMessage-«трафиком» (хотя бы таким расширением), то можете упустить приличную долю находок.

Спасибо всем участникам, ждём от вас новых отчётов! ⚪️

Привет, охотники!

Мы с приятными новостями: повысили награды в направлении «Умные устройства с Алисой» и заодно обновили приоритеты по устройствам. За критичные отчёты теперь можно получить до 1 млн рублей ⚡

За что можно получить такую награду? Например, если вы смогли найти способ удалённо выполнять команды на новой колонке и поморгать светодиодами :)

А если сценарий эксплуатации потребует участия пользователя или локальный доступ к устройству — то такая находка попадёт в категорию, где критичность ниже.

Впрочем, в скоупе программы не только сами устройства и их прошивки, но и сопутствующие веб-сервисы. Так что попробовать поискать баги смогут не только реверсеры и исследователи железа, но и любители веба — и найти что-то на стыке офлайна с онлайном ;)

Удачной охоты! 🔥

А вы знали, что сервисы Bookmate и band.link — это тоже Яндекс?

Даже если нет, то теперь точно знаете! Ну и заодно мы внесли их в скоуп Охоты ⚡️

Сможете подменить содержимое «Мастера и Маргариты» или пробраться в кабинет блогера?

Ждём крутых отчётов, ваш Фантех Секьюрити

P. S. Как и всегда, используйте только тестовые учётные записи, реальных пользователей атаковать нельзя)

⚡Новые категории в форме

Когда уязвимость затрагивает мобильное приложение или, например, Станцию, исследователи при заполнении формы отправки отчёта в поле URL часто указывают 127.0.0.1 или просто https://ya.ru.

Это увеличивает срок рассмотрения отчёта, ведь именно на основе URL наша автоматизация направляет отчёт в команду безопасности нужного сервиса.

Чтобы улучшить этот процесс, мы немного поменяли форму. Теперь там можно задавать категорию: Web, умные устройства или мобильные приложения.

Старайтесь указывать таргет точнее: это позволит быстрее получить ваш отчёт правильным инженерам, а значит, быстрее начать его триажить :)

Привет, охотники! Хотим поделиться основными итогами Охоты за 2023 год 🔥

Если считать 2023 год в цифрах:

–> 70 млн рублей— сумма наград за год (👆с 40 миллионов в 2022 году)
–> 736 — количество полезных репортов (👆на 37%)
–> 528 — число исследователей, которые сдали хотя бы один полезный отчёт (👆на 37%)
–> 378 — количество репортов с денежной наградой (👆на 24%)
–> Провели крупные конкурсы по поиску XSS и IDOR

На картинке выше можно посмотреть все важные итоги за 2023 год

Оставайтесь с нами — дальше больше :)

Скоро анонсируем новый конкурс!

Кто разгадал скоуп, ставьте 🐊

⚡️ Сезон охоты на Едадилов! ⚡️

Объявляем старт конкурса «Путешествие с Едадилом», где предлагаем поохотиться на уязвимости в *.edadeal.ru и других областях скоупа конкурса.

🎁 Удваиваем выплаты до 20 апреля.

Подробности конкурса можно найти тут.

Сможете накрутить кешбэк или, например, узнать, что покупают другие пользователи?

P. S. Как и всегда, используйте только тестовые учётные записи, реальных пользователей атаковать нельзя)

Удачной охоты!

Продолжаем нашу охоту за ошибками в Едадиле! 🐊

В первые недели конкурса нам прислали несколько десятков фантастических репортов. Не забывайте, что у нас есть много разных категорий — обратите внимание на поиск SQLi, IDOR, RCE, SSTI 😉

Присылайте ещё больше крутых отчётов!

Если вы продолжите так же репортить, мы подумаем о продлении конкурса 🔥

⚡ Продолжаем охоту за х2 ⚡

Мы решили продлить конкурс по поиску уязвимостей в Едадил до 30 апреля!

Ищите баги и получайте повышенные выплаты 🔥

📱 Сезон охоты на мобильные приложения! 📱

Объявляем старт конкурса «Автостопом по галактике», где предлагаем поохотиться на ошибки в популярных приложениях Яндекса.

⚡️ Обновили описание уязвимостей, примеры и правила для мобильных приложений.

🎁 Увеличенные выплаты до 10 июня, в это время награда за интересующие уязвимости повышена. Вы сможете получить до 1 000 000 рублей за обнаружение потенциальной угрозы.

Подробности конкурса можно найти тут.

P. S. Как и всегда, используйте только тестовые учётные записи, реальных пользователей атаковать нельзя)

Удачной охоты!

⚡Если вы сегодня на конференции Я Железо, то на стойке регистрации можете отхватить промокоды на бонусные награды за найденные уязвимости в сервисах «Алиса и Умные устройства».

Подробнее про программу можно почитать здесь.

Представляем вам Зал славы 2.0

😯 Теперь за каждую подтверждённую уязвимость вы получаете очки и попадаете в таблицу лидеров!

Долгое время Зал славы был простым списком багхантеров с наградами за репорт. Мы решили обновить Зал славы так, чтобы нахождение в нём стало более почётно и носило соревновательный характер, а имя багхантера стало заметнее.

В Зале славы 2.0 топ «охотников» будет составляться с нуля каждый квартал, чтобы новички не уступали старожилам программы и могли увидеть себя в списке лидеров сезона.

В будущем мы планируем использовать рейтинг для отбора на приватные конкурсы, вручения особых подарков и кое-чего ещё :)

При расчёте рейтинга учитываются несколько параметров, в том числе критичность и валидность сданных уязвимостей. Подробнее расскажем в отдельном посте.

⭐️ Удачной охоты, увидимся в Зале славы!

P. S. Своё имя и аватарку можно поменять вот тут https://id.yandex.ru/personal.
P. P. S. Дубликаты не влияют на очки.

Псс, мы к вам с посылкой...

⚡️ Объявляем старт конкурса «Охота на Доставку»!
Поохотьтесь на уязвимости в Доставке.

🎁 Удваиваем выплаты до 10 июля!

Как насчет бесплатно оформить доставку?

Подробности конкурса можно найти тут.

Удачной охоты!