# Write-up Bug Bounty Masterclass

Gần đây, top 5 hunter mọi thời đại trên hackerone [nagli](https://hackerone.com/nagli?type=user) có [mở một khóa học free](https://www.wiz.io/bug-bounty-masterclass) cho anh em muốn bắt đầu tham gia bug bounty. Thi xong có [cert](https://www.wiz.io/bug-bounty-masterclass/certificate/7a12756d-596f-46cd-a16f-4a74bf6f56f9) luôn nha. Nay mình làm write-up cho anh em tiện tham khảo và dễ dàng vượt qua 9 bài test để lấy cert.

Các chall ctf này đều được anh [nagli](https://x.com/galnagli/) mô phỏng lại các lỗi trong thực tế mà anh em hay gặp.

## Major Airline Data Dump
Dùng `subfinder` để tìm các subdomain thì tìm ra 2 subdomain liên quan đến chall này `airlines.bugbountymasterclass.com` và `api.airlines.bugbountymasterclass.com`.
Dùng `httpx` để hiện thị rõ title và status code của các subdomain.
Dùng `nuclei` để quét thì phát hiện được `api.airlines.bugbountymasterclass.com` dùng `swagger`.

Ta thấy `/api/getMemberships` làm lộ ID của user.

Các api khác như `/api/getBooking` và `/api/getMembership` cần ID để thực thi. Vậy đây là lỗi api để lộ thông tin nhạy cảm.

## Domain Registrar Data Exposure
Dùng `ffuf` để fuzzzing thì tìm được `/uploads`.
Trong mục `/uploads` để lộ database của trang web.

## Logistics Company Admin Panel Compromise
Bài này khá ảo dạng blind xss mà mình bấm bừa phát ra flag luôn nên đoán author không cho server cleanup dữ liệu mỗi lần làm nên chỉ cần một người làm được thì nó nhả flag ra luôn.

## Logistics Company Admin Panel Compromise
Bài này hơi lỏ chỉ cần khởi 1 S3 service trên AWS rồi đặt bucket là `www.fintech.net` rồi cấu hình static web hosting một file `index.html` là cái xml trên là đc. Nên cũng chỉ cần một người làm được thì nó sẽ nhả ra flag. Mình đoán thế =)).

## SSRF Vulnerability on Major Gaming Company

Thử dùng `collaborator` của burp để test ssrf nó có phản rồi về không. Nhưng không thấy.
Thử payload cơ bản `http://127.0.0.1:80` thì nó ra flag.

## Open Deepseek Database

Dùng `naabu` để scan port của `deepleak.bugbountymasterclass.com` thì ta được port `9000`.

Scan với `nuclei` với `-tags Clickhouse` thì được 1 ra được 1 vulnerbility.

Tiếp tục dùng `curl` để truy vấn các cột của bảng.

## Github Authentication Bypass on Major CRM

Dựa vào gợi ý thì ta tìm `bugbountymasterclass.com` trên github.
Vào history xem lịch sử của file `.env`.

## Breaking into a Major Bank

Dùng `nuclei` scan `bank.bugbountymasterclass.com` với `-tags Springboot`.
File `heapdump` là một bản chụp (snapshot) của bộ nhớ `JVM`.
- `Credentials`: Mật khẩu database, API keys của bên thứ ba (AWS, Twilio, SendGrid...).
- `Environment Variables`: Các cấu hình nhạy cảm mà dev thường giấu trong file .env hoặc hệ thống.
- `Sensitive Data`: Thông tin người dùng, token phiên làm việc (session tokens) đang active.


## 0 Click Account Takeover via Cookie Switching


Bài này thì ta làm việc với 2 domain `prod.router-resellers.bugbountymasterclass.com` `stage.router-resellers.bugbountymasterclass.com`.
Với `stage.router-resellers.bugbountymasterclass.com` thì ta có thể đăng nhập được với tư cách khách. Nhiệm vụ thì ta phải vào được `/dashboard` của `prod.router-resellers.bugbountymasterclass.com` bằng cookie.


Đầu tiên ta lấy cookie của `stage.router-resellers.bugbountymasterclass.com/dashboard`
sau đó copy nó để phiên của `prod.router-resellers.bugbountymasterclass.com` với `Name:Value` tương ứng là `session:.eJw9y00LQ...`.