Lucius_N_Stratovios

Investor | bug bounty hunter | security blogger

[bugcrowd @Bugcrowd]

Testing IDOR is not just swapping IDs in the URL.

If the obvious ?user_id=123 to 124 does not work, explore IDOR in:
🧵👇

[I'M H4CK3R 42 @luckyhacker43]

$1,500 CSP Bypass — https://t.co/W9Ngd0mXiQ

Johan Carlsson

Google Recaptcha script loads Angular. Nonce + whitelist but no strict-dynamic → stole nonce via JS → injected arbitrary script.

🔗 h1/2279346

---

🔗 https://t.co/pJWHoCMDix

[Web Security Academy @WebSecAcademy]

IDORs & BACs are still the most reported vulnerabilities 🔝

Explore our free lab to understand how this vulnerability works, guided by @hacksplained 👇

https://t.co/tmGpZoDYGa

[I'M H4CK3R 42 @luckyhacker43]

$33,510 RCE — GitLab

William Bowling

Manipulated Sawyer::Resource to override to_s and bytesize → injected Redis commands → Ruby deserialization gadget → RCE.

🔗 h1/1679624

---

🔗 https://t.co/pJWHoCMDix

[Bug bounty wizard @bugbountywizard]

How I Made $20k in One Week. Most people think bug bounty is luck. by cyber-ninjaaa
https://t.co/pFUKwUhLqB
#bugbounty #bugbountytips #bugbountytip

[I'M H4CK3R 42 @luckyhacker43]

$10,000 Google Bug Bounty: AppSheet RCE

BugTraceAI found deserialization RCE in AppSheet automation. Malicious .NET payload → PowerShell execution on Google's backend.

🔗 https://t.co/XiBqxr8dLi

---

More writeups like this? 👇

🔗 Want to perfect?👉https://t.co/pJWHoCMDix

[Het Mehta @hetmehtaa]

Bug Bounty using Claude and Burp Suite

https://t.co/f8OQ0LNnR7

[I'M H4CK3R 42 @luckyhacker43]

APIs are only as secure as the code behind them.

This write-up breaks down how SQL Injection still shows up in API endpoints, how attackers identify it, and what developers should do to stop it.

📖 https://t.co/EzELwxzBzJ

Join the team 👉 https://t.co/cADA5DUdp5

[Lucius_N_Stratovios @Mavin_Nattasit]

I am just completed the @THNCAbyNCSA Cybersecurity program!

Another step toward becoming a Security Researcher.

Now it's time to put the knowledge into practice through labs, web security, and bug bounty. 🚀

#Cybersecurity #THNCA #BugBounty #SecurityResearch

[November21 @AGiggle]

มีรุ่นพี่คนนึงเคยบอกว่า..

ถ้าเราตื่นมาวิ่งได้ทุกเช้า เราจะเจอเพื่อนคนแรก
ที่ชื่อว่า “วินัย”

พอได้เจอเขาบ่อยๆ เขาก็พาเพื่อนมาอีกหลายคน ชื่อว่า ความมั่นใจ, สุขภาพ, โอกาส, และตัวเองในเวอร์ชั่นที่ไม่เคยคิดว่าจะเป็น

สุดท้ายแล้วสิ่งที่เปลี่ยนชีวิตเรา ไม่ใช่การวิ่งตอนเช้า แต่คือการไม่ผิดสัญญากับตัวเอง

เครดิต : 02mon_

[cattodata🐱📊 @cattodata]

เพิ่งดูคลิปใหม่ของ 9arm จบ เพราะหัวข้อน่าสนใจ "หัวหน้าดี การงานดี รู้เร็วยิ่งดี" 🐱🔥
แล้วฟัง 9arm คือได้หัวหน้าดีมากก ทั้งช่วยเรื่อง Career Path และปกป้องเวลางานแทรกด้วย The best เคยมีหัวหน้าแบบนี้เหมือนกัน Role model มาก สมัยตอนอยู่ไทยหลายท่านเลย

ข้อคิดจากที่ฟัง สรุปได้ประมาณนี้

1. ตั้งเป้า Career Path ให้ชัดแต่แรกเลย
อย่าปล่อยให้ตัวเองเสียเวลาทำงานไปวันๆ โดยไม่มีเป้าหมาย ตั้งเลยว่าอยากไปถึงตำแหน่งไหน ตอนอายุเท่าไร แล้วเติมทักษะที่ขาดให้ถูกจุด ถ้าไม่สนใจ Career Path เลยหันมาสนใจนิดๆ ก็ยังดี จะโตขึ้นมาก

2. เลือกหัวหน้าที่เป็น "Mentor & Shield" (แต่อันนี้ก็ยังสงสัยว่าเลือกยังไง เลือกตอนสมัครงานใช่มะ ที่เคยเจอมาคือพอเข้ามาแล้ว หัวหน้าก็เปลี่ยนไปเรื่อยๆ หัวหน้าย้าย หัวหน้าออก)
หัวหน้าที่ดีไม่ได้แค่สั่งงาน แต่จะใส่ใจเรื่องการเติบโตของเรา ช่วยดัน และคอยปกป้องเราจากงานที่ไม่จำเป็น

3. พรีเซนต์ผลงานด้วย "Impact"
อันนี้สำคัญมาก สมัยทำงานใหม่ๆ ก็เขียนสไตล์ engineer แบบพี่อาร์มเล่า หัวหน้าบอกต้องเอา impact ขึ้นก่อนเลย เวลาเสนอผลงาน อย่านับแค่ปริมาณงานที่ทำ แต่ต้องโชว์ว่างานเราสร้าง Impact ต่อทีมและองค์กรยังไงบ้าง

4. ตอบตัวเองให้ได้ว่าต้องการอะไรจริงๆ
อยากจะขึ้นจุดสูงสุดแล้วสละเวลานอนรึเปล่า หรือ อีกแง่พอถึงจุดที่ต้อง Balance ชีวิต ครอบครัว และรายได้ลงตัวแล้ว การแบ่งเวลาไปทำ Passion อื่นก็เป็นเรื่องที่ดีเหมือนกัน

ลิงค์ youtube คลิปในเม้นจ้า ไปฟังกัน

#9arm #ข้อคิดการทำงาน #การพัฒนาตนเอง

[khan mamun @mamunwhh]

https://t.co/MO4eFnXgs4

[Brute @BRuteLogic]

JWT Authorization Bypass Testbed
https://t.co/DdhdyLZcIh

[Bug bounty wizard @bugbountywizard]

The Header That Signed Itself: Full Account Takeover in a Google SSO Flow by Abdelrhman Amin https://t.co/bnUusnXlsp

[What's Good Today @Whats9oodToday]

มหาวิทยาลัยสอนให้ทำงานเก่ง แต่ที่ทำให้รอดในที่ทำงานจริงคือ “ทักษะการอยู่ร่วมกับคน”

- สื่อสารให้คนเข้าใจ ไม่ใช่แค่พูดรู้เรื่อง
- Follow up งานโดยไม่ทำให้คนรู้สึกถูกเร่ง
- จัดลำดับความสำคัญ งานไหนต้องรีบ งานไหนรอได้
- กล้ายอมรับว่า “ไม่รู้” แล้วรีบหาคำตอบ
- รับ Feedback โดยไม่เอาอีโก้ขึ้นมาก่อน
- เขียนอีเมลและแชตให้คนอ่านแล้วอยากช่วย
- บริหารอารมณ์ตัวเองในวันที่ทุกอย่างไม่เป็นใจ
- รู้ว่าเมื่อไหร่ควรพูด และเมื่อไหร่ควรเงียบ

มีอะไรอีกมาแชร์กันได้ครับ 🤍

[Bug Bounty Insights 🪄 @bbr_bug]

Most bug hunters stop at X-Forwarded-Host and wonder why their cache poisoning reports get $500.

Someone spent 6 months studying CDN architectures.

Here's what separates $500 reports from $10,000+ critical findings:
🧵👇

[Om Patel @om_patel5]

CLAUDE HAS A SERIOUS PRIVACY PROBLEM RIGHT NOW, A HUGE NUMBER OF SHARED CONVERSATIONS ARE PUBLICLY INDEXED ON GOOGLE FOR ANYONE TO FIND

when you use claude's share feature it makes a public link. it turns out those links got indexed by search engines, so "share with anyone who has the link" actually became "anyone can find this by searching"

and people are pulling up genuinely alarming stuff:

> api keys, credentials and crypto wallets
> personal resumes with real names, addresses and phone numbers
> a lawyer working through a potential ethics violation
> an engineers internal company project details
> what appear to be peoples social security numbers
> and a crazy number of deeply personal chats people never imagined another human would read

anthropic never added a noindex tag to those shared pages, so search engines were free to crawl and list them

one line of code would have prevented the whole thing

this already happened to chatgpt about a year ago, same exact issue, but openai patched it fast

if you have EVER hit share on a claude chat, assume it could be public

go to settings > privacy > your data > shared chats > manage

delete anything you dont want the whole internet to see, especially anything personal or financial

[cattodata🐱📊 @cattodata]

เล่าเพิ่ม เมื่อวานบังเอิญเจอน้องคนไทยที่มาทำงานที่ออสเป็น Software Engineer ได้งานหลังเรียนจบที่ออส บ กำล้งจะสปอนเซอร์ต่อให้แล้ว คุยเป็น 186 PR ต่อเลย ยินดีด้วยมากๆ เลยค่ะ

แล้วคุยไปมา เคยอยู่ บ ที่ไทยเดียวกับเพื่อน โลกกลมมาก เค้าก็คุยเม้ากันไป
ซักพักน้องบอก จริงๆ หลัง บ นั้น ผมเคยอยู่อีก บ ที่ xxx มาก่อน

เห้ยยย!!! บ เก่าผม such a small world 😹
โลกกลมมาก เลยเม้ากันต่ออีก ทีมไหนยังไง สรุปว่าเราน่าจะอยู่ บ เดียวกันราว2 ปีเลย 55

Anyway เป็นอีกเคสนึงที่ได้งานจากวีซ่านักเรียนเลย เก่งมากๆเลยคับ

[VIEH Group @viehgroup]

FROM INTERNET
1)How a Simple Profile Setting Revealed Sensitive Credentials in a Bug Bounty Program
https://t.co/8iQSYE5ATG

2)Reverse Engineering APIs with Chrome DevTools: A Bug Bounty Practical Guide
https://t.co/0C1yMicf8V

3)How I Earned $10,000 From Microsoft (From Just 2 Bugs Out of 30+)
https://t.co/L43Z3tSqd5

4)An AI Agent Hacked Hugging Face. Here’s Exactly How It Happened — Step by Step
https://t.co/82SdaagDpe

5)How I found Critical Vulnerability In Government PSU that exposes Employee Very Sensitive Details through AI Chatbot
https://t.co/4L0IAfXoH9

6)SSRF with Blacklist-Based Input Filter:Write-up
https://t.co/ntGXlNOftU

7)Bruno Vulnlab write-up
https://t.co/uOe7xMDsZI

8)100 Cybersecurity Resources That Actually Matter
https://t.co/b2m5yiztZH

9)🚨 Critical Media Takeover: How a Base64-Encoded QA Secret Compromised Production 📸
https://t.co/bhTMMDsLio

10)When Security by Obscurity Blinds the WAF: From Client-Side Encryption to Critical SQL Injection — Part 1
https://t.co/cqAD8C7Jo8

#bug #bugs #bugbounty #bugbountytip #bugbountytips #hacking #hacker #ethicalhacking #ethicalhacker #ethicalhackers #cybersecurity

[Bug bounty wizard @bugbountywizard]

GitHub Open Redirect Bypass 3 (Total Earnings $2001) by asingh25377 https://t.co/f6iFnTRrLH