Hunt Aspnet (Grade A)Застрахован тест за сигурност на съдържанието, подходящ за Claude AI. Рейтинг A. Универсален тест за ASP.NET. Активно тестване на ViewState (зареждание и криптиране на сигнатури), отресурсване на машинния ключ, двойни парсери Bypass на MAC.

Защо този продукт съществува?

Мнозини от настройките на Claude за лов на бъгове са прекалено общи (едно голямо "сигурностно" запитване) или прекалено разделени (вие добавяте 30 свършени отчета и ги четете отново при всяко ангажимент). Нито един от тях не дава добри резултати след втория цел. Картотката е сградирана и валидирана чрез автномирните ангажименти, които изявиха различни възможности глупости: Издействие-лов на бъг - изкараха четири различни възможности, които стартовата 3-силна скала не могла да затвори: 1. Нямам хипотези - това са използували в преди валидиране → струващи се часа, което повреди валидността 2. Нямам тактики за програмиране - предавани са върху VRT в по-силно подразход на важности на резултатите 3. Нямам координация - резултатите, евидентите и ID на изпращане са разпределени из сред виртуалните каталози 4. Нямам гигиена за евидентиране - екранирани са били куките и лични данни на жертвите Външен червен-тимен ангажимент - изкачиха още 5 възможности, които повлияхе по-лошо на бъг-ловните default: 1. Сърдечни default-и заболявахе се реални резултати — ВАПТ мислене спряхе се от тестовете рано, когато се извършваха срещу защищени целеви обекти, където червен-тимените продължения ще бяха съгласили bypass веригите → червен-тимен мислене 2. Нямам среден ситуационен обзор - клиентската SOC поправен съгласил конфирмациите по

Asked by Olamide Fashola · Aug 12, 2025

Защо вашият модел се превключи по време на сесия?

Separate from refusals, and easy to miss. On Opus 5, a narrow set of higher‑risk cyber requests — Anthropic names exploit generation, binary‑based vulnerability scanning and penetration testing — fall back to Opus 4.8 rather than being refused. You get a notice and the response is labelled with the model that answered, but in a long agentic run that is easy to scroll past, so it can look like Opus 5 quietly got worse. See why Claude switched models. What to do depends on what you are actually doing: | Situation | What helps | |---|---| | Auditing your own code — reviewing a repo you own for defects | Say so. "Defensive review of my own repo", "check this against the OWASP Top 10", "secure refactor to remediate" describe the work accurately and read as remediation. This is not a workaround; the work genuinely is defensive. | | Authorized offensive work — live engagement, PoC for a bounty submission | This is what the bundle is for, and the supported route is CVP. Do not reword an offensive engagement to look defensive to get past a classifier — enroll instead. | | You just want the switching off | Settings → Capabilities disables automatic model switching. | /hunt states the engagement frame (authorized, scope‑bounded, remediable finding) on its first turn for exactly this reason — engagement context belongs in the session explicitly, not implied.

Asked by Rosalind Frost · Jul 19, 2025

Как работи?

6‑фазов, нелинеен работен процес — разузнаване → картографиране & ранжиране → лов → валидиране → доклад — като обхватът се налага в кода и има 7‑въпросен портал преди да бъде подадено каквото и да е. Два начина за управление: Обикновен английски — описвате какво тествате и съответните товарни умения се зареждат автоматично. /hunt scaffold + cbh CLI — структура на папка за ангажиране, състояние и оркестрация. → Ръководство за употреба & работен пример · 6‑фазова архитектура & карта умения‑към‑фаза · cbh CLI

Asked by Camille Laurent · Jun 4, 2025

Какво има вътре?

82 умения, автоматично заредени по тематика — без извикване по име. Покритие на външната повърхност на атаката: | Категория | # | Примери | |---|---|---| | Търсене в уеб приложения | 13 | XSS, SQLi, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, open‑redirect | | Автентикация & идентичност | 7 | auth‑bypass, session, OAuth, SAML, MFA‑bypass, ATO | | API & инфраструктура | 15 | GraphQL, gRPC, WebSocket, API‑misconfig, host‑header, RCE | | Напреднали & конкуренция | 6 | race‑condition, HTTP smuggling, deserialization, cache‑poison | | Специфични за рамка | 4 | Next.js, Node.js, Laravel, Spring Boot | | Корпоративна идентичност & облак | 3 | M365/Entra, Okta, cloud‑IAM‑deep | | Инфраструктура & устройства | 4 | VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM | | Търговия на Red‑team | 4 | redteam‑mindset, APK pipeline, supply‑chain recon, mid‑engagement IR | | Разузнаване & OSINT | 4 | web2‑recon, offensive‑osint, subdomain | | Работни процеси, отчети & специализирани | 11 | methodology, triage‑validation, evidence‑hygiene, VRT‑aware reporting | Пълно търсимо каталог → docs/skills.md. Също се доставя с 15 slash команди (/hunt, /recon, /report, …) и детерминистичен engine за ангажименти (engine/), който картографира повърхността на атаката

Asked by Fernando Rojas · May 27, 2025

Какво е това?

claude-bughunter е готов пакет от умения за системата Claude Code. Инсталира се еднократно и Claude Code спира да бъде чатбот и започва да се държи като старши изследовател по откриване на бъгове или оператор в червен отряд: познава техниките, шаблоните за вериги, VRT картите, CVE веригите на платформите и хигиената — и остава в обхвата. Четири нива се натрупват: Think — bb‑methodology + redteam‑mindset: 5‑фазен нелинеен работен процес, рамка за критическо мислене и дисциплина на червен отряд. Hunt webapps — 48 умения за лов, подбрани от 681 публичирани HackerOne доклади: модели за откриване по клас, полезни товари, таблици за заобикаляне и шаблони за вериги. Hit the perimeter — корпоративни платформени вериги (M365/Entra, Okta, vCenter, SSL‑VPN устройства, SharePoint, облачен IAM): текущи CVE вериги за 2024‑2026 + пост‑креденциално ескалиране. Ship it — триаж‑валидация + отчитане + хигиена на доказателствата: 7‑въпросната порта, VRT‑осъзната сериозност, OOS възражения, редактране на ПЛЛ, и доставки от червен отряд. Всичко се активира автоматично по тема — опишете какво тествате на прост английски и съответните натоварвания на уменията. Не се извиква по име.

Asked by Constantin Ionescu · May 17, 2025