Mohamed Amine Amani ( spy_x )

Full time bug bounty hunter 🕸️
Algeria 🇩🇿
Aéronautique engineer 🛬

[Youstin @iustinBB]

Cache Poisoning at Scale:
Identifying and Exploiting over 70 Cache Poisoning Vulnerabilities

https://t.co/cjkx8zsqb2

[Abdulaziz @stuipds]

كيف قدرت اكتشف ثغرات حرجة في اكبر شركة توصيل للطعام؟ فوق ال+20,000$

1- اختراق فوق ال380K الف مطعم
2- GraphQL Path Traversal Led to Modify Menu Price
3- سحب ارباح اي سائق في الشركه

حياكم الله ان شاء الله تستفيدون.

عند التعامل مع تارقت ضخم، اكبر خطأ هو انك تبدا مباشرة بالfuzzing او الريكون الغير مفهوم بدون فهم المنظومة. أول ما ركزت عليه هو اني افهم الـ Business Logic، لأن كثير من الثغرات الحرجة في المنتجات الكبيرة تكون منطقية اكثر.

الشركة عندها اكثر من نوع مستخدم: عميل يطلب (Customer)، سائق يوصل (Couriers)، مطعم يستقبل (Restaurant).

كل طرف له موقع وتطبيق خاص وAPIs مختلفه. عادة هذا يعني ان النظام معقد، ومع التعقيد تزيد الثغرات, وهذي افضل فرصة بالنسبة لك كبق هنتر انك تستعملهم كلهم عشان تطلع ثغره وهذا اللي صار.

-1 Stealing Money Allowing Withdrawal Of Couriers To Attacker. $3,000

زي ماهو واضح بالعنوان قدرت اني استغل الثغرة هذي بحيث ان فلوس سواق الشركه تتحول للبطاقتي.

بالبدايه بيجيكم تساؤل كيف قدرت القاها, للسواقين الشركه لهم تطبيق كامل قدرت اني ادخل على حسابي الي سويته وانا اتصفح التطبيق شفت شي غريب!
لفت انتباهي وجود ميزة مالية حساسة: “Fast Cash”. الفكرة بسيطة السائق يقدر يسحب أرباحه مباشرة على بطاقته بدل ما ينتظر التحويل المعتاد.

في اول ريكويست حاولت اسوي setup للمعلومات بطاقه بعدين جاني API غريب مربوط مع Stripe

عشان توضح الصوره Stripe يسوي Tokenize للبطايق للشركه هذي ويحفظها بسيرفر خاص ويعطي بطاقتك unique ID بحيث انها تكون محميه وهذا دايقرام بسيط يشرح الي يصير
زي ماهو موضح بالريسبونس عطانا توكن ايدي بناء على البطاقه طيب لو مشينا على الفلو حق التطبيق بنلاحظ الريكويست الثاني غريب جدا.

[👑 OFJAAAH 👑 @ofjaaah]

My New tool s3 ✅

https://t.co/b0I7WolGtD

#bugbounty #bugbountytips #tools #ofjaaah

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

اللهم عليك باليهود المعتدين، اللهم زلزل الأرض من تحت أقدامهم، اللهم اجعل كيدهم في نحورهم، واجعل تدبيرهم تدميرًا عليهم، اللهم خذهم أخذ عزيز مقتدر. 🤲

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

لا تُضيء في الظلام ، إلا إن كنت مستعدًا للقتال. وإذا أردت أن ترتقي فابحث عن أرض لا تُغتال فيها الأحلام
بل تجد فيها من يدعمك لتصبح واقع 🧠

[H1 Disclosed - Public Disclosures @h1Disclosed]

⚡ DoS Vulnerability via Cache Poisoning on https://t.co/0tU1n2KjjR and https://t.co/RjVNNZNu3D
👨🏻‍💻 @bassemsadaqah ➟ Shopify
🟧 Medium
💰 $3,800
🔗 https://t.co/wvFcHolwwr
#bugbounty #bugbountytips #cybersecurity #infosec

[Md Ismail Šojal 🕷️ @0x0SojalSec]

Use NextJS? Recon Tip by renniepak

A quick way to find "all" paths for Next.js websites:
DevTools->Console

console.log(__BUILD_MANIFEST.sortedPages)

javascript​:console.log(__BUILD_MANIFEST.sortedPages.join('\n'));

#infosec #cybersec #bugbountytips

[H1 Disclosed - Public Disclosures @h1Disclosed]

⚡ low-level p2p ping + tcp flooding leads to a remote crash in monerod
👨🏻‍💻 padillac ➟ Monero
🆘 Critical
💰 None
🔗 https://t.co/ZvQuH7wcCq
#bugbounty #bugbountytips #cybersecurity #infosec

[H4x0r.DZ 🇰🇵 @h4x0r_dz]

Too late

[Santiago Lopez @santi_lopezz99]

Be patient, great things take time.

[🇪🇨🍫 @bxmbn]

@rinz0h Scammers are not the problem, the problem is you who believe them, 99% of courses that the community provides are scams, and the other 1% won’t teach you anything, it’s always been that way and it won’t change

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

إلهي، انا عبدك الذي تعرفه وليس الذي يظنه الناس. اللهم اجعلني خيراً مما يظنون، واغفر لي ما لا يعلمون.

[د. عبدالرحمن @c1li9]

قبل وفاة الرسول ﷺ بـثلاثة أيام بدأ الوجع يشتد عليه💔
وكان في بيت السيدة ميمونة
فقال "أجمعوا زوجاتي"
فجمعت الزوجات
فقال النبي "أتأذنون لي أن أمرض في بيت عائشة ؟"
فقلن "نأذن لك يا رسول الله"
فأراد أن يقوم فما استطاع فجاء علي بن أبي طالب والفضل بن العباس فحملا النبي
وخرجوا به من حجرة السيدة ميمونة إلى حجرة السيدة عائشة فرآه الصحابة على هذا الحال لأول مرة
فبدأ الصحابة في السؤال بهلع:
"ماذا أحل برسول الله ماذا أحل برسول الله؟"
فتجمع الناس في المسجد وامتلأ وتزاحم الناس عليه
فبدأ العرق يتصبب من النبي بغزارة
فقالت السيدة عائشة "لم أر في حياتي أحداً يتصبب عرقاً بهذا الشكل ،
كنت آخذ بيد النبي وأمسح بها وجهه، لأن يد النبي أكرم وأطيب من يدي
فأسمعه يقول "لا اله إلا الله، إن للموت لسكرات"
فكثر اللغط في المسجد إشفاقاً على الرسول
فقال النبي "ماهذا ؟"
فقالوا: يا رسول الله ، يخافون عليك
فقال "إحملوني إليهم"
فأراد أن يقوم فما إستطاع
فصبوا عليه سبع قرب من الماء حتي يفيق
فحمل النبي وصعد إلى المنبر
فكانت آخر خطبة لرسول الله وآخر كلمات له
فقال النبي "أيها الناس، كأنكم تخافون علي"
فقالوا: نعم يا رسول الله
فقال "أيها الناس، موعدكم معي ليس الدنيا، موعدكم معي عند الحوض و والله لكأني أنظر اليه من مقامي هذا،
أيها الناس، والله ما الفقر أخشى عليكم، ولكني أخشى عليكم الدنيا أن تنافسوها كما تنافسها الذين من قبلكم، فتهلككم كما أهلكتهم،
أيها الناس ، الله الله في الصلاة ، الله الله في الصلاة
أيها الناس، اتقوا الله في النساء، اتقوا الله في النساء، اوصيكم بالنساء خيرا
أيها الناس، إن عبداً خيره الله ما بين الدنيا و ما عند الله، فاختار ما عند الله
''فانفجر أبو بكر بالبكاء وعلا نحيبه، و وقف وقاطع النبي : فديناك بآبائنا، فديناك بأمهاتنا، فديناك بأولادنا، و بأزواجنا، فديناك بأموالنا..!!!
وظل يرددها فنظر الناس إلى أبي بكر كيف يقاطع النبي
فأخذ النبي يدافع عن أبي بكر قائلاً "أيها الناس، دعوا أبا بكر، فما منكم من أحد كان له عندنا من فضل إلا كافأناه به، إلا أبا بكر ! لم أستطع مكافأته، فتركت مكافأته إلى الله عز وجل، كل الأبواب إلى المسجد تسد إلا باب أبي بكر لا يسد أبداً،
أواكم الله، حفظكم الله، نصركم الله، ثبتكم الله، أيدكم الله
أيها الناس، أقرأوا مني السلام و كل من تبعني من أمتي إلى يوم القيامة""...
وحمل مرة أخرى إلى بيته
وبينما هو هناك دخل عليه عبد الرحمن بن أبي بكر وفي يده سواك، فظل النبي ينظر إلى السواك ولكنه لم يستطع أن يطلبه من شدة مرضه،
ففهمت السيدة عائشة من نظرة النبي،
فأخذت السواك من عبد الرحمن ووضعته في فم النبي،
فلم يستطع أن يستاك به،
فأخذته من النبي وجعلت تلينه بفمها و ردته للنبي مرة أخرى حتى يكون طرياً عليه
فقالت "كان آخر شيء دخل جوف النبي هو ريقي، فكان من فضل الله علي أن جمع بين ريقي و ريق النبي قبل أن يموت،
ثم دخلت فاطمة بنت النبي، فلما دخلت بكت، لأن النبي لم يستطع القيام، لأنه كان يقبلها بين عينيها كلما جاءت إليه
فقال النبي "أدنو مني يا فاطمة"
فحدثها النبي في أذنها، فبكت أكثر !
فلما بكت قال لها النبي "أدنو مني يا فاطمة"
فحدثها مرة أخر في اذنها، فضحكت !
بعد وفاته سئلت ماذا قال لك النبي؟
فقالت: قال لي في المرة الأولى "يا فاطمة، إني ميت الليلة" فبكيت
فلما وجدني أبكي قال "يا فاطمة، أنتي أول أهلي لحاقاً بي" فضحكت
تقول السيدة عائشة: ثم قال النبي : "أخرجوا من عندي في البيت" وقال "أدنو مني يا عائشة"
فنام النبي على صدر زوجته، ويرفع يده للسماء
ويقول "بل الرفيق الأعلى، بل الرفيق الأعلى"
تقول السيدة عائشه: فعرفت أنه بخير !
ودخل سيدنا جبريل على النبي
وقال : يارسول الله، ملك الموت بالباب، يستأذن أن يدخل عليك، وما استأذن على أحد من قبلك
فقال النبي "ائذن له يا جبريل"
فدخل ملك الموت على النبي
وقال: السلام عليك يا رسول الله، أرسلني الله أخيرك، بين البقاء في الدنيا وبين أن تلحق بالله
فقال النبي "بل الرفيق الأعلى، بل الرفيق الأعلى"
و وقف ملك الموت عند رأس النبي
وقال "أيتها الروح الطيبة
روح محمد بن عبد الله
أخرجي إلى رضا من الله و رضوان و رب راض غير غضبان"
تقول السيدة عائشه: فسقطت يد النبي وثقلت رأسه على صدري
فعرفت أنه قد مات !
فلم أدر ما أفعل !
فما كان مني غير أن خرجت من حجرتي،
وفتحت بابي الذي يطل على الرجال في المسجد وأقول:
مات رسول الله، مات رسول الله
تقول: فانفجر المسجد بالبكاء
فهذا علي بن أبي طالب أقعد فلم يقدر ان يتحرك !
وهذا عثمان بن عفان كالصبي يؤخذ بيده يمنة ويسرى !
وهذا عمر بن الخطاب يرفع سيفه ويقول من قال أنه قد مات قطعت رأسه

فضلها فضلا وتابع التكمله أسفل التغريدة 👇🏻

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

26 رمضان 🌙

اللهم إجعل ما تبقى من أيام رمضان جابرة للقلوب، ساترة للعيوب ماحية للذنوب ومفرجة للكروب وبلغنا ليلة القدر يارب العالمين اللهم افتح لنا أبواب رحمتك وارزقنا من حيث لا نحتسب رزقاً حلالاً يرضينا وأبعد عنا يا رب شر خلقك اللهم وعدك ونصرك لاهلنا في غزة

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

@bxmbn any advice ?

[🇸🇦 Murtada Bin Abdullah (Rood) @0x_rood]

Recon power

1- collect acquisitions
2- find ASN
3- reverse whois
4- use Shodan
5- subdomain enum + brute force
6- port scanning
7- fuzzing
8- GitHub dorking

Credit: The Bug Hunter’s Methodology v4 @Jhaddix

#bugbountytips #infosec

[003random @rub003]

The $15,000 secret of viewing posts from private Instagram accounts.

https://t.co/VsWiZQUjHj

#bugbounty #bugbountytips #writeup

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

@QenaTechnology @Bugcrowd Grea can you share the write up ☺️ pls

[Justin Gardner @Rhynorater]

All my current bug bounty knowledge is gone.

Here's how I get it back and make $100k in the first year:

First, I've got to learn the basics. For this, I will make sure I understand at a high level how the components I'm working with function.

I'll need to understand...

[Mohamed Amine Amani ( spy_x ) @mohamed_laminea]

@j3seer @Hacker0x01 Write up