SULTAN ALJOHANI

Penetration testing | Bug bounty

[SULTAN ALJOHANI @hw16]

@oxflask @BugBountySA @SAFCSP ماشاء الله الف مبروك يا طلال مستحقه وتستاهلها

[SULTAN ALJOHANI @hw16]

@0xomar0 @BugBountySA @SAFCSP @TuwaiqAcademy ماشاء الله تستاهل ياعمر 👏👏👏

[SULTAN ALJOHANI @hw16]

@Tur24Tur @kalilinux @PlayStation 👏👏👏amazing

[SULTAN ALJOHANI @hw16]

@3zizMe_ @CatchifySA ماشاء الله يابو ماضي اسطوره 👏👏👏

[SULTAN ALJOHANI @hw16]

@Tur24Tur @hackthebox_eu Congrats brother

[Abdullah 🇸🇦 @A_cyb3r]

ليوم أشارك ايجنت بسيط كنت استخدمه وهو اتمتة عملية اصطياد الثغرات bug bounty مع ذكاء اصطناعي يحلل النتائج بشكل بسيط.

- الهدف من الايجنت: تقليل الوقت الضائع بين الأدوات، وتقليل النتائج غير المفيدة.

- الفكرة بسيطة: تشغل أمر واحد، وتحصل على تقرير جاهز.

كيف تمشي العملية
1) Recon
تجميع الـ subdomains من:
subfinder، assetfinder، https://t.co/NHQIn4I6Kf، C99
ثم استخراج URLs وملفات JS وparameters عبر waybackurls وkatana

2) Scanning (بالتوازي)
تشغيل الأدوات الأساسية دفعة واحدة:
httpx → تحديد الـ live hosts
nuclei → CVEs، misconfigs، takeovers
CORS engine → مدمج
ffuf → مسارات مخفية و admin panels
dalfox → XSS + PoC
arjun → parameters مخفية
nmap → open ports
SQLi engine → مدمج

2.5) JavaScript Analysis
تحليل ملفات JS باستخدام Regex + AI لاستخراج:
API keys (AWS / GitHub / Stripe)
JWT tokens
endpoints داخلية
DOM XSS
hardcoded secrets

3) AI Validation
كل نتيجة يتم تقييمها:
هل هي حقيقية أو false positive
تحديد مستوى الخطورة
توليد PoC
كتابة impact + remediation

4) Report
تقرير Markdown جاهز يحتوي على:
Executive Summary
Risk Score
تفاصيل كل ثغرة مع الدليل والـ PoC

- مميزات تقنية
مبنية بـ Go (سرعة وتنفيذ متوازي)
تدعم: DeepSeek، Claude، OpenAI، OpenRouter
تقليل فعلي للـ false positives
مرونة في التشغيل:
--js-only
--skip-recon
--skip-scan

الفكرة قابلة للتطوير ..

المشروع مفتوح المصدر على GitHub
للاستخدام في البيئات المصرح بها فقط

https://t.co/PzIbXJSj7F

[CTRL @ctrl2030]

الربع الاول من 2026 كشف لنا باحثيين متميزين جدد في @BugBountySA ، جميل ان نرا متميزين سعوديين نفخر بهم .

[SULTAN ALJOHANI @hw16]

@0xomar0 @SAFCSP @BugBountySA ماشاء الله ألف مبروك يا عمر تستاهل 👏👏

[SULTAN ALJOHANI @hw16]

@Tur24Tur 😂😂😂😂😂😂😂

[SULTAN ALJOHANI @hw16]

@0xomar0 وانت بخير وصحة وسلامة
اللهم امين

[SULTAN ALJOHANI @hw16]

@c4sper0 وانت بخير وصحة وسلامة
الله يقومها بسلامة ويشفيها ويعافيها

[Tur.js @Tur24Tur]

Hello, the agent found multiple XSS on an open source project on GitHub i deployed it locally on Docker and set up one account. After the agent found the XSS, I told him to write the steps he followed to be shared with everyone. It was an interesting one how he navigated the website step by step and linked the pieces together to achieve an exploit

Whenever I find any interesting results, I'll make sure to share them.

Finding Stored XSS in a CMS — An Automated Agent's Approach

TLDR

- Target: a modern CMS using Vue.js frontend
- Found 2 stored XSS in 22 minutes (157 tool calls)
- Root cause: asset title rendered via v-html without escaping
- Impact: session hijacking (no HttpOnly cookie), admin takeover

How It Went

1. Logged in, checked headers — no CSP, no HttpOnly on session cookie. Vue.js frontend means auto-escaping by default, so I needed to find where the app opts out.

2. Downloaded all JS files and grepped for dangerous sinks: innerHTML, v-html, insertAdjacentHTML. Most were sanitized or safe. One file stood out — the asset field renderer built raw HTML with template literals and fed it into v-html.

3. Tested many surfaces that did NOT work: model names, content fields, WYSIWYG editor, login redirects, API errors, color/tag fields — all escaped or stripped.

4. Found the gap: asset titles go into the render function unsanitized. Uploaded a text file, set the title to `<img src=x onerror=alert(2)>` (29 chars, fits the 30-char truncation limit). Linked it to a content item. Visited the items list — alert fired.

5. Confirmed impact: document.cookie is readable (no HttpOnly), no CSP blocking inline scripts. Any user with asset permissions can plant the payload, and it fires when any admin views the page.

Key Takeaways

1. Source code analysis beats blind fuzzing — reading JS files and finding the exact sink saved hours.
2. v-html is the Vue XSS keyword — every v-html that touches user data is a potential bug.
3. Template literals are just string concatenation — they do not escape HTML.
4. Asset metadata is an overlooked input surface — most testers focus on content fields and URL params.
5. Truncation is not sanitization — 29 characters is plenty for an XSS payload.

#BugBounty #AgenticAI #InfoSec

[Omar Alzughaibi @Omarzzu]

https://t.co/YU0vDtMYme

[SULTAN ALJOHANI @hw16]

@Omarzzu ماشاء الله ابدعت يا عمر و المقالة دسمة و تريكات و التخطيات لفل جديد 🔥

[SULTAN ALJOHANI @hw16]

@Tur24Tur Thanks for sharing and for bringing childhood games back to life. Awesome work keep it up

[Tur.js @Tur24Tur]

https://t.co/rk3Feoxlpe

[Tur.js @Tur24Tur]

Building a custom SSL pinning bypass for Android no Frida, no LSPosed, no Xposed pure native approach loaded via Zygisk works on banking apps
Some RASP solutions still detect the module working on fixing that

Happy to share once it's polished
#arm64 #android #bugbounty

[SULTAN ALJOHANI @hw16]

@0xomar0 ابدعت يا عمر 👏👏

[SULTAN ALJOHANI @hw16]

@HitmanF15 @Bugcrowd legend for all time 👏

[Abdulaziz @stuipds]

كيف قدرت اكتشف ثغرات حرجة في اكبر شركة توصيل للطعام؟ فوق ال+20,000$

1- اختراق فوق ال380K الف مطعم
2- GraphQL Path Traversal Led to Modify Menu Price
3- سحب ارباح اي سائق في الشركه

حياكم الله ان شاء الله تستفيدون.

عند التعامل مع تارقت ضخم، اكبر خطأ هو انك تبدا مباشرة بالfuzzing او الريكون الغير مفهوم بدون فهم المنظومة. أول ما ركزت عليه هو اني افهم الـ Business Logic، لأن كثير من الثغرات الحرجة في المنتجات الكبيرة تكون منطقية اكثر.

الشركة عندها اكثر من نوع مستخدم: عميل يطلب (Customer)، سائق يوصل (Couriers)، مطعم يستقبل (Restaurant).

كل طرف له موقع وتطبيق خاص وAPIs مختلفه. عادة هذا يعني ان النظام معقد، ومع التعقيد تزيد الثغرات, وهذي افضل فرصة بالنسبة لك كبق هنتر انك تستعملهم كلهم عشان تطلع ثغره وهذا اللي صار.

-1 Stealing Money Allowing Withdrawal Of Couriers To Attacker. $3,000

زي ماهو واضح بالعنوان قدرت اني استغل الثغرة هذي بحيث ان فلوس سواق الشركه تتحول للبطاقتي.

بالبدايه بيجيكم تساؤل كيف قدرت القاها, للسواقين الشركه لهم تطبيق كامل قدرت اني ادخل على حسابي الي سويته وانا اتصفح التطبيق شفت شي غريب!
لفت انتباهي وجود ميزة مالية حساسة: “Fast Cash”. الفكرة بسيطة السائق يقدر يسحب أرباحه مباشرة على بطاقته بدل ما ينتظر التحويل المعتاد.

في اول ريكويست حاولت اسوي setup للمعلومات بطاقه بعدين جاني API غريب مربوط مع Stripe

عشان توضح الصوره Stripe يسوي Tokenize للبطايق للشركه هذي ويحفظها بسيرفر خاص ويعطي بطاقتك unique ID بحيث انها تكون محميه وهذا دايقرام بسيط يشرح الي يصير
زي ماهو موضح بالريسبونس عطانا توكن ايدي بناء على البطاقه طيب لو مشينا على الفلو حق التطبيق بنلاحظ الريكويست الثاني غريب جدا.