Inon Shkedy

@inonst/a-deep-dive-on-the-most-critical-api-vulnerability-bola-1342224ec3f2" target="_blank" rel="nofollow noopener">medium.com/@inonst/a-deep… A Deep Dive On The Most Critical API Vulnerability - Broken Object Level Authorization

@hasolidit אני באופן אישי מוצא קורלציה ישירה בין אנשים שקוראים הרבה ספרי self help ואנשים שלא הייתי רוצה לחיות כמוהם. מרגיש שהמרדף אחרי עוד ידע ועוד כלים ״לחיות את החיים נכון״ בסופו של יום פשוט מאמלל אותך

הספר האחרון שקראתי הוא "4,000 שבועות: ניהול זמן לבני תמותה" מאת אוליבר בורקמן. הספר מאיר את העובדה העגומה ש-80 שנות אדם מסתכמות במשהו כמו 4,000 שבועות, ומכאן יוצא נגד האובססיה האנושית לגבי ניהול זמן, יעילות ופרודוקטיביות. הטענה הבסיסית שלו היא שהדרך לשלוות נפש עוברת בהבנה שנסיים את חיינו עם המון חלומות שלא התגשמו ומשימות שלא הספקנו. הספר מעודד דווקא קבלה והשלמה עם המגבלות: במקום לפתוח דלתות, הוא קורא לשרוף גשרים. במקום להתמקד ביצירת הזדמנויות, הוא מעודד לבחור במסלול אחד ולהכיר בסגירתם של אחרים. ובמקום להתמודד עם פחד מהחמצה (פומו) הוא דווקא קורא לשמוח מההחמצה (ג'ומו), כדי לפנות משאבים מנטליים להתמקדות דברים שאת כן עושה ולא באין-ספור הדברים שאולי החמצת.

@OrBergman @yantomr4 יותר ויותר אנשים מדברים את האמת בטוייטר

השראה

@hasolidit @yantomr4 סוף סוף מישהו שמעריך שירה

לא פחות מארבעה משוררים חתומים על הליריקה הזו

💥 2 TB internal drive mod for Bad Update users coming soon! 💥

📢 Today is the day! After about a year reverse engineering 4 different SSD controller brands, Xbox 360 HDD Maker is now available. For the first time, it is now possible to add an SSD to an unmodified, retail Xbox 360 console.

@tomergor @yantomr4 מזמין לנו שולחן לביקור שלי בארץ?

חשבתי שראיתי דברים פריפריאליים בחיי, אבל זה השיא

One of my favorite disclosed API breaches, discovered by my colleague @XeEaton I highly recommend reading it on your laptop to see how your cursor turns into a French fries container. eaton-works.com/2024/12/19/mcd…

I noted this post x.com/bugoverfl0w/st… for easily reading in my understanding. 31 API Tips by @InonShkedy #bugbountytips

@yantomr4 מסנן אותי אבל מצייץ בטוייטר אה קלב

מישהו מוכן להסביר לי למה לועגים לה (כולל פיטרסון ודמויות משמעותיות אחרות)? כי מה שאני רואה כאן זאת אישה משכילה וחרוצה שמחפשת לעבוד בכל מחיר, גם אם היא ממש אוברקווליפייד. מישהו במקומה לא היה מתוסכל מסיטואציה של חוסר מציאת עבודה במקצוע הנלמד? זה עונש ששמור לשמאלנים פתאום?

@amsterdamski2 AirFly - מאפשר להשתמש באיירפודס/כל אוזניות אל-חוטיות במערכת מולטימדיה של המטוס

מה המכשיר החשמלי שלכם שאתם פשוט לא מאמינים שהוצאתם עליו כל כך הרבה כסף ומצד שני זה שווה כל שקל? + תמונה

Join me in person @ Cincinnati/online! We'll talk about: 🔑Complex multi-step authorization breaches. 🤖Bots: how bad actors exploit the API economy for profit. 🔍Modern vs. Traditional: the shift away from traditional issues like injections, XSS, and XXE. meetup.com/api-security-m…

@yantomr4 סוף סוף נראה כמו בנאדם ולא כמו סמרטוט

יצאתי לרענון קצרצר. אני יודע שאני נראה רע אבל הייתם צריכים לראות את הבחור השני!

@yantomr4 שמור על עצמך קלב מישהו צריך להכין לי פו טבעוני

המ6רל גבוהה, הפלוגה במוטיבציה והראעבק באוויר. נשיב את השקט, ביחד!

@yantomr4 @DorDugy לא יכולתי לכתוב את זה בצורה מדוייקת יותר

@DorDugy @InonShkedy

אגב כל מילואים מחדש נזכר שחיל התקשוב זה החיל בצהל עם הפער הכי גדול בין הדימוי שהוא צורח (סייבר! התקשוב כמכפיל כוח בשדה הקרב! לוחמה התקפית תקשובית!) לבין העובדה שמדובר על חיל שמורכב מהחיילים השבורים ביותר שיש לצהל להציע. גאוני המחשבים הולכים ל8200 והתקשוב אוסף את הפצועים

@Alder_Birch_ As long as the EP actually returns data about the accessed object - It's pretty safe to use this method

@Alder_Birch_ Two main exceptions I can think of: 1. EP doesn't return data about the accessed object. For example: DELETE /photo/22 might return just 200 with a JSON : {"status":"ok"} 2. If two different returned objects are exactly the same size. For example:

-API Tip 28/30- #bugbountytip Save time by comparing response sizes instead of response bodies. E.g, - Generate 2 API calls to test for IDOR/BOLA, use 2 different IDs - 2 API responses have the same size? EP is probably not vulnerable

@Alder_Birch_ {"name":"inonsh":"age"28} {"name":"boreal":"age"21} // this one is less likely because usually JSON objects contain multiple params, and the likelihood of 2 objects to be the exact same size is low in most cases

@BolhaSec crossfit me faz mais estressado haha

Dica de #bugbounty Quando estiver num beco sem saída 1. Varie sua rotina tendo hábitos + saudáveis 2. Exercícios físicos, meditação, etc (cross fit não 🚫) 3. Disconecte-se das redes sociais (cuidado com excesso de café) Ps: brincadeira, crossfit pode também 👍 #bolhadev

@Secnik1 haha hack with your mind

@InonShkedy Also turn off all elctronics 🤓

-API Tip 30/30- #BugBounty Feeling stuck but have to find a critical vulnerability? 1. Wake up early in the morning. 2. Meditate, do some exercise. 3. Turn off your phone, disconnect from the world for several hours, drink a coffee. 4. Dedicate yourself to the process :)