We Won Google's AI Hacking Event in Tokyo - Main Takeaways (Ep.122)
https://www.youtube.com/watch?v=T0N-H6B9r5g&ab_channel=CriticalThinking-BugBountyPodcast
https://www.youtube.com/watch?v=T0N-H6B9r5g&ab_channel=CriticalThinking-BugBountyPodcast
Você pode assistir aqui: https://youtu.be/ge2sgShzhxk
Fonte: https://www.linkedin.com/posts/abhisek-r_my-first-podcast-episode-is-now-live-had-activity-7329513780558680064-6UVj
Ementa que fiz para ver todos conteúdos de forma compactada:
🔹 Capítulo 1: Introdução a APIs (10 aulas) - Definição de APIs, SOAP vs REST (2 aulas), Autenticação/Autorização (OAuth 2.0, Basic Auth, API Keys - 5 aulas), Arquiteturas, Documentação, Exercícios (MCQ e assignments).
🔹 Capítulo 2: Ferramentas para APIs (4 aulas) - cURL, Postman, SoapUI, Python (fuzzing incluso).
🔹 Capítulo 3: OWASP API Top 10 2019 (22 aulas) - Explicação teórica (A01-A10: BOLA, Broken Auth, Mass Assignment, etc.) + 12 demonstrações práticas.
🔹 Capítulo 4: OWASP API Top 10 2023 (10 aulas) - Novas vulnerabilidades: BOLA, Broken Object Property Auth, Server Side Request Forgery, etc.
🔹 Capítulo 5: Documentação de Pentest (5 materiais) - Planos de teste, relatórios, reuniões de debriefing + exemplos (modelos de relatório e plano).
🔹 Capítulo 6: Firewalls de API (6 materiais) - Instalação, bypass de firewalls, boas práticas de segurança (PDFs e demonstração em vídeo).
🔹 Capítulo 7: Construção de APIs Vulneráveis (7 partes) - Exercícios práticos (lógica de negócio, injeção, autenticação quebrada) + PDFs explicativos.
🔹 Capítulo 8: Máquinas de Prática (4 arquivos) - Laboratórios Docker, aplicações de exemplo (Cheese Store) + scripts para exames.
🔹 Extras (Capítulo 99) - Vídeo introdutório sobre hacking de APIs (05APR25 - CC4).
🔹 Capítulo 1: Introdução a APIs (10 aulas) - Definição de APIs, SOAP vs REST (2 aulas), Autenticação/Autorização (OAuth 2.0, Basic Auth, API Keys - 5 aulas), Arquiteturas, Documentação, Exercícios (MCQ e assignments).
🔹 Capítulo 2: Ferramentas para APIs (4 aulas) - cURL, Postman, SoapUI, Python (fuzzing incluso).
🔹 Capítulo 3: OWASP API Top 10 2019 (22 aulas) - Explicação teórica (A01-A10: BOLA, Broken Auth, Mass Assignment, etc.) + 12 demonstrações práticas.
🔹 Capítulo 4: OWASP API Top 10 2023 (10 aulas) - Novas vulnerabilidades: BOLA, Broken Object Property Auth, Server Side Request Forgery, etc.
🔹 Capítulo 5: Documentação de Pentest (5 materiais) - Planos de teste, relatórios, reuniões de debriefing + exemplos (modelos de relatório e plano).
🔹 Capítulo 6: Firewalls de API (6 materiais) - Instalação, bypass de firewalls, boas práticas de segurança (PDFs e demonstração em vídeo).
🔹 Capítulo 7: Construção de APIs Vulneráveis (7 partes) - Exercícios práticos (lógica de negócio, injeção, autenticação quebrada) + PDFs explicativos.
🔹 Capítulo 8: Máquinas de Prática (4 arquivos) - Laboratórios Docker, aplicações de exemplo (Cheese Store) + scripts para exames.
🔹 Extras (Capítulo 99) - Vídeo introdutório sobre hacking de APIs (05APR25 - CC4).
Eu tinha um pé atrás com os conteúdos do XSSRAT por algum motivo, mas paguei pra ver e coloquei o cupom gratuito que tá rolando sobre essas vídeo aulas de API dele e a ementa parece ser muito boa. São 115 lições.
Já reservei o meu pra quando tiver tempo porque quero estudar mais sobre misconfigurations em Oauth.
Cupom: FEWSDVFVDSF
Link: https://thexssrat.podia.com/capie-lesson-material-no-cert
Fiquei sabendo por esse perfil no linkedin (creditos): https://www.linkedin.com/posts/dharamveer-prasad-64126a231_share-dont-be-selfish-dont-think-only-activity-7329809749749731328-tAZY
Proxychains:
Redireciona tráfego via proxy (ex: Tor) usando
LD_PRELOAD para interceptar chamadas de rede.Limitações:
- Não funciona com binários estáticos ou apps que usam syscalls diretas (ex: Zig).
- Risco de vazamentos se o app contornar libc.
Oniux:
- Isolamento kernel-enforced: apps maliciosos/não confiáveis não podem vazar, mesmo com syscalls brutas.
- Compatível com qualquer aplicativo (GUI, shells, etc.).
Instalação:
cargo install --git https://gitlab.torproject.org/tpo/core/oniux oniux@0.4.0 Fontes:
https://www.bleepingcomputer.com/news/security/new-tor-oniux-tool-anonymizes-any-linux-apps-network-traffic/
https://blog.torproject.org/introducing-oniux-tor-isolation-using-linux-namespaces/
🗽 Link para todas entrevistas
👉 EP01 - Zeroc00i & Ana (Advogada contratualista) | 🗓️ 20 Outubro (https://spotifyanchor-web.app.link/e/Z68Q0FwNVNb)
👉 EP02 - Conversa com o Arthur Aires | 🗓️ 2 Novembro (https://spotifycreators-web.app.link/e/OW8VDM2MuOb)
👉 EP03 - Conversa com o Gustavo Oliveira (fepame) | 🗓️ 13 Novembro (https://spotifycreators-web.app.link/e/Lw4DTOI2GOb)
👉 EP04 - Conversa com o Matheus Lambert @matheus_wnc | 🗓️ 21 Novembro (https://creators.spotify.com/pod/show/bruno-m268/episodes/Conversa-com-o-Matheus-Lambert-e2ra3ei)
Voltaremos a entrevistar e publicar um novo episódio nos próximos dias!
Clica no link a seguir que mandará uma mensagem com seu interesse em conhecer mais sobre nossos serviços. Tudo sem compromisso de venda, prometemos.
👉 https://bit.ly/attacybersececompliance
Hacker egoísta? Se curte os posts de bug bounty e offsec aqui, mas não compartilhou o canal, talvez seja só tímido!
Nós sabemos: hackers adoram stealth mode, mas compartilhar o link quebra a timidez e fortalece a comunidade.
Juntos, descobrimos vulnerabilidades (e amizades) que sozinhos passariam batidas.
Espalhe o conhecimento — não precisa ser um exploit, um DM basta. Afinal, até os melhores pentesters precisam de um network humano
A gente te ajuda nessa. Link pro grupo:
https://t.me/zeroc00i_news
Nós sabemos: hackers adoram stealth mode, mas compartilhar o link quebra a timidez e fortalece a comunidade.
Juntos, descobrimos vulnerabilidades (e amizades) que sozinhos passariam batidas.
Espalhe o conhecimento — não precisa ser um exploit, um DM basta. Afinal, até os melhores pentesters precisam de um network humano
A gente te ajuda nessa. Link pro grupo:
https://t.me/zeroc00i_news
Obrigado, Alexandre (permitiu disclosure do nome), por ter reportado que o link tava quebrado!
✅ Link corrigido
✅ Link corrigido
Caido Plugin!
---
Bug bounty, but multiplayer.
Drop is a new Caido plugin by Justin that lets you share scopes, replay tabs, and match & replace rules with your friends.
No more copy-pasting massive chunks of data.
Just head to Plugins > Community Store > Drop, install it and add your friends.
Then just Drop them a message.
Check out the demo and let us know what you think!
Link do post no linkedin: https://www.linkedin.com/posts/ctbbpodcast_bug-bounty-but-multiplayer-drop-is-activity-7328795207150325761-Suwd
---
Bug bounty, but multiplayer.
Drop is a new Caido plugin by Justin that lets you share scopes, replay tabs, and match & replace rules with your friends.
No more copy-pasting massive chunks of data.
Just head to Plugins > Community Store > Drop, install it and add your friends.
Then just Drop them a message.
Check out the demo and let us know what you think!
Link do post no linkedin: https://www.linkedin.com/posts/ctbbpodcast_bug-bounty-but-multiplayer-drop-is-activity-7328795207150325761-Suwd
👉 Confirma presença aqui: https://h1.community/events/details/hackerone-brazil-hackerone-club-presents-bounty-talks/
Post no linkedin: https://www.linkedin.com/posts/arthur-aires-93388211b_bounty-talks-hackerone-community-activity-7328784923178233857-5EOw
Email da PortSwigger:
Conheça o Burp Suite DAST amanhã (15 mai. 2025 12:00)
Junte-se a nós para uma análise exclusiva do Burp Suite DAST, a solução de nível empresarial, desenvolvida com base no scanner líder mundial que alimenta o Burp Suite Professional, o kit de ferramentas preferido dos pentesters.
Seja você um líder de AppSec, engenheiro de DevSecOps ou arquiteto de segurança, esta é uma demonstração ao vivo que você não vai querer perder.
📅 Data: Quinta-feira, 15 de maio
🕒 Horário: 12 hs (meio dia)
Link: https://go.portswigger.net/e/1066743/0265-WN-v45tnWJ5Tey51DtZgq7gqQ/fg6tt1/1282955307/h/8j7gLGSDFuR2JOAzeMGWsfqEniAvvT0i-aRWIz_-PH0
Conheça o Burp Suite DAST amanhã (15 mai. 2025 12:00)
Junte-se a nós para uma análise exclusiva do Burp Suite DAST, a solução de nível empresarial, desenvolvida com base no scanner líder mundial que alimenta o Burp Suite Professional, o kit de ferramentas preferido dos pentesters.
Seja você um líder de AppSec, engenheiro de DevSecOps ou arquiteto de segurança, esta é uma demonstração ao vivo que você não vai querer perder.
📅 Data: Quinta-feira, 15 de maio
🕒 Horário: 12 hs (meio dia)
Link: https://go.portswigger.net/e/1066743/0265-WN-v45tnWJ5Tey51DtZgq7gqQ/fg6tt1/1282955307/h/8j7gLGSDFuR2JOAzeMGWsfqEniAvvT0i-aRWIz_-PH0
Bug Bounty Virou Alvo de Golpistas com IA!
Relatórios falsos gerados por IA estão entupindo plataformas como HackerOne. Criminosos usam ChatGPT e afins pra criar textão técnico cheio de termos fictícios (funções que não existem, patches imaginários) e tentar lucrar com recompensas.
Caso recente: Um "pesquisador" mandou um report pro projeto curl citando commits inexistentes e falhas irreproduzíveis. A equipe do curl, que manja do código, detectou a farsa na hora. Mas outras empresas, sem expertise, pagam pra evitar stress – virou caixa fácil pra golpistas.
O esquema é simples: o relatório parece técnico, mas quando a equipe pede detalhes específicos (ex: "mostre onde tá essa função no código"), o scammer desiste ou inventa mais mentira. É pura enrolação automatizada.
Projetos open-source (Python, urllib3) já tão cansados de perder tempo checando lixo gerado por IA. E se plataformas como HackerOne não banirem esses perfis rápido, a credibilidade do bug bounty vai pro ralo.
Resumo da ópera: IA tá sendo usada pra poluir programas de recompensa com relatórios fake. Empresas precisam de equipes técnicas pra não cair nesse golpe.
Fonte: Sarah Gooding, Socket Security (06/05/2025).
https://socket.dev/blog/ai-slop-polluting-bug-bounty-platforms
Relatórios falsos gerados por IA estão entupindo plataformas como HackerOne. Criminosos usam ChatGPT e afins pra criar textão técnico cheio de termos fictícios (funções que não existem, patches imaginários) e tentar lucrar com recompensas.
Caso recente: Um "pesquisador" mandou um report pro projeto curl citando commits inexistentes e falhas irreproduzíveis. A equipe do curl, que manja do código, detectou a farsa na hora. Mas outras empresas, sem expertise, pagam pra evitar stress – virou caixa fácil pra golpistas.
O esquema é simples: o relatório parece técnico, mas quando a equipe pede detalhes específicos (ex: "mostre onde tá essa função no código"), o scammer desiste ou inventa mais mentira. É pura enrolação automatizada.
Projetos open-source (Python, urllib3) já tão cansados de perder tempo checando lixo gerado por IA. E se plataformas como HackerOne não banirem esses perfis rápido, a credibilidade do bug bounty vai pro ralo.
Resumo da ópera: IA tá sendo usada pra poluir programas de recompensa com relatórios fake. Empresas precisam de equipes técnicas pra não cair nesse golpe.
Fonte: Sarah Gooding, Socket Security (06/05/2025).
https://socket.dev/blog/ai-slop-polluting-bug-bounty-platforms
Socket
AI Slop Is Polluting Bug Bounty Platforms with Fake Vulnerab...
AI-generated slop reports are making bug bounty triage harder, wasting maintainer time, and straining trust in vulnerability disclosure programs.
