ANONYZ

I break stuff so you stay safe.

[ANONYZ @ANONYZ11]

@mamad_dev @voorivex on ke kheyli hal mide makhsosan age websocket bashe 🤤👌

[ANONYZ @ANONYZ11]

🔍 یه recon دستی زدم رو وب‌اپ
📱 رسیدم به API ثبت‌نام
📴 شماره‌های ثبت‌نشده ۴۰۴ می‌داد
📲 شماره‌های ثبت‌شده ۲۰۰ می‌داد
🚫 خبری از rate limit نبود
🕵️‍♂️ راحت می‌شد کل یوزرها رو با brute force درآورد
@voorivex

[ANONYZ @ANONYZ11]

@dear_gandalf @voorivex serfan flow mizaram baghie estefade konan ma kheyli vaghte bozorg shodim amo jon 😘

[ANONYZ @ANONYZ11]

@MAhmadi12489288 @voorivex ro yeki az subdomain ha injori bod
bekhatere hamine ke recon enghad moheme

[ANONYZ @ANONYZ11]

@ImErfaniom @voorivex barkat bashe
xss che jori gerefti wide recon ziad ya sniperi ?

[ANONYZ @ANONYZ11]

@SecurityTrybe satisfying 🤤

[ANONYZ @ANONYZ11]

@Fara_dst @voorivex barekat bashe

[ANONYZ @ANONYZ11]

@nexovir -fs zadam vali ghofli zade bod dige akhar -fc 403 zadam
vali kheyli bahal regex ghavi daran to in zamine 😂

[ANONYZ @ANONYZ11]

Yooo where am i fuzzing rn
just hit a .ir admin panel and got hit with 403s on every nsfw keyword 💀
#bugbounty #fuzzing #wtf

[ANONYZ @ANONYZ11]

@erfanrer ma bekhaym ino bezanim WAF be 18 ravesh behemon...

[ANONYZ @ANONYZ11]

@hagmorad1999 @voorivex ba top 10 owasp shoro kon

[ANONYZ @ANONYZ11]

باگ مشتی پیدا شد 😎
فلو:
1. کشف ساب‌دامین
2. دسترسی به Swagger
3. پیدا کردن API ادمین
4. Broken Access Control
5. تغییر نقش کاربران با یه درخواست POST ساده
6. Brute Force روی `merchantId` برای گرفتن دیتای حساس

رفقا، برای همچین باگی چقدر بهم می‌دن توی باگ‌بانتی؟
@voorivex #IDOR

[ANONYZ @ANONYZ11]

@Sadra_Seo ok shod

[ANONYZ @ANONYZ11]

i love swagger.
it tells me all the secrets. 🔓❤️
Broken Access High severity
#bugbounty #infosec #swagger #api
@voorivex ( شاید تو دوره نباشم، ولی الگوم تویی )

[ANONYZ @ANONYZ11]

vase idor az hamin api brute force zadam vali role normal gozashtam XD

[ANONYZ @ANONYZ11]

@Sadra_Seo rahat bash dada

[ANONYZ @ANONYZ11]

@erfanrer @voorivex fada saret . hunteri ke N/A nakhorde hunter nist 😂

[ANONYZ @ANONYZ11]

@ammighorbani @MiniMjStar @voorivex kole api website ke baraye developer sakhte shode dari
hata api ke faghat baraye admine :))

in be khodie khod bug hesab mishe age ro api bugam bezani ke dige ....

[ANONYZ @ANONYZ11]

Wide recon with tools like assetfinder and subfinder is great for quick surface coverage. But once you compare their output to your own crafted recon scripts, you realize how much they miss.
Automation is speed. Personal tooling is depth.
#BugBounty #Recon #InfoSec
@ammighorbani

[ANONYZ @ANONYZ11]

@ammighorbani awlie XD
wide recon automation mizaram karesh tamom shod miram rosh kar mikonam