Телеграм канал «HackAdvisor»

TIMEWEB · BI.ZONE

🤔 Neutral · @Casual

«My experience with vendor is quite mixed.

I had a bug with great payout beyond my expectations, but more than that I had problems with triage team turning down good (or OK-ish) bugs or downgrading criticality level - and that was a quite common experience.

Recently reported few bugs that I expected to be High, but turned out to be dublicates to 6 month Medium report. While I agree that it is a dublicate, but disagree leaving these bugs wild for 6 months. Even if it is Medium by their threat model - It is quite a sad experience (but hey, they were ~quite honest about disclosing original report (in experience it is hit or miss, sometimes they blur required details, sometimes give full details), I liked that).

Thus I can't really recommend vendor, but can't say that they are really bad.…»

Read full review on HackAdvisor →

🔍 Флаг сдан. А что дальше — первый багбаунти-репорт?

Знакомьтесь: HackAdvisor — партнёр KubSTU CTF!

На платформе собраны bug bounty программы и отзывы исследователей — пригодится, если выбираете первую программу или присматриваете новую цель для охоты.

А ещё совместно с HackAdvisor мы подготовили для вас пару заданий — они уже ждут вас на борде! Открывайте таски, проверяйте гипотезы и забирайте флаги 🚩

Спасибо команде HackAdvisor за поддержку соревнования!

👉 Познакомиться с платформой

Yandex Bug Bounty · Self-Hosted

👎 Not recommend · Anonymous

«Долго хантил у Яндекса и в последнее время разочаровался. Очень долгий триаж, по несколько месяцев. Невероятно много дублей (посмотрите их зал славы), периодически сильно занижают выплаты без внятных объяснений. Год назад сказал бы что рекомендую; сейчас скорее наоборот, потраченное время не стоит того чтобы закапываться»

Read full review on HackAdvisor →

Al'fa-Bank · BI.ZONE

👎 Not recommend · @r0hack

«Качество обработки багов и уровень выплат сильно скатилось.

Для понимания приведу несколько примеров.

1. На мой взгляд, был сдан критический баг, позволявший получить много критических данных. Как полагается, мы показываем какой-то пример данных — мы же этичные, то есть необязательно устраивать весь деструктив. Но нет, с «Альфой» это не работает.
В таком виде, с парой примеров, я отправил репорт в конце июля. Баг был в скоупе, где максимум 400к, и я ожидал не менее 300–350к. И как вы понимаете мне назначают выплату на уровне Low, после нескольких итераций и долгих споров итоговая - 270к

Выглядит это примерно так, как если бы я отправил вендору RCE с выполнением id, а мне в ответ сказали, что это ерунда, и чтобы доказать импакт, нужно копать глубже и деструктивить.

2.…»

Read full review on HackAdvisor →

ATI.SU · Standoff365

🤔 Neutral · @manonthemoon

«Честно не очень.
Где-то есть внутренние процессы, из-за которых баг считается информативом, где-то уже залежавшиеся баги.
Выплаты тоже невысокие, но критов тут не находил.
В общем есть слегка негативное впечатление, плюс огромная часть скоупа "временно не претендует на вознаграждение" уже довольно долго.
Триаж адекватный, пояснения есть. Скорость полной обработки отчетов иногда не соответствует заявленной, вроде как в обе стороны, но перекос у меня был больше в плохую сторону)»

Read full review on HackAdvisor →