ОТКРЫТ К ПРЕДЛОЖЕНИЯМ · ИНЖЕНЕРИЯ БЕЗОПАСНОСТИ
Junior специалист по анализу защищённости (пентест) | Бакалавр программной инженерии
Living after 0x7c00
Признание
Отсутствие параметра state в GET /connect/google позволило привязать Google-аккаунт злоумышленника к аутентифицированной сессии жертвы в DomainScope → полный захват аккаунта через Sign in with Google и закрепление доступа установкой пароля в My Profile.
Подтверждённая критическая уязвимость, выявленная в рамках авторизованной программы bug bounty DigitalOcean и отмеченная в Зале славы Bug Bounty.
Открыть профиль Bugcrowd ↗Подтверждённая уязвимость безопасности, ответственно раскрытая через программу bug bounty Pinterest и отмеченная в Зале славы Bug Bounty.
Открыть профиль Bugcrowd ↗Подтверждённая находка безопасности, представленная через официальную программу bug bounty Dell и отмеченная в Зале славы Bug Bounty.
Открыть профиль Bugcrowd ↗20+ суммарных признаний на Bugcrowd — Открыть профиль Bugcrowd ↗
Рекомендации и верифицируемые логи оценок — по запросу
HR и ATS · Подтверждено
The SecOps Group — 2026
Смотреть подтверждениеSecurityBlue Team — 2023
Смотреть подтверждениеIBM — 2023
Смотреть значокTryHackMe — 2024
ПодтвердитьИсследования
Ответственное раскрытие CSRF за $1,000 в привязке Google OAuth сервиса Verisign DomainScope — отсутствие проверки параметра state позволяло злоумышленнику привязать свой Google-аккаунт к профилю жертвы и захватить аккаунт. Включает санитизированный PoC и таймлайн вознаграждения.
Авторизованная оценка Blue Team: эксплуатируем тривиальный PHP RCE на Apache, сдерживаем его на рантайме профилем AppArmor, затем устраняем первопричину в коде. Включает сниппеты профилей, логи аудита и результаты валидации.
Развернул домашнюю SOC-лабораторию на ELK, инжестирующую 50k+ событий audit/syslog Linux — превратил шумные правила auditd в 5 детекций Sigma с маппингом на MITRE и триажировал алерты в Kibana с задокументированным снижением ложных срабатываний.
Контекст: Университетские исследовательские проекты, требующие программной реализации и документации академического уровня.
Обязанности:
Результаты:
Инженерная работа, развивающая системное мышление, архитектуру и инструментарий — не оценка безопасности.
Завершил стажировку по треку Penetration Testing & Application Security: лекции компании, CTF-задачи, лабораторные работы по эксплуатации уязвимостей.
Путь
Контекст
Практический взгляд на безопасность, сформированный тестированием и эксплуатацией реальных систем.
Движимый глубоким интересом к низкоуровневым механизмам, я воспринимаю кибербезопасность не просто как код, а как ремесло. Инженер-программист по образованию, исследователь наступательной безопасности по практике — специализируюсь на стыке качества прикладного кода и тестирования на проникновение веб/API, моделирования угроз и безопасной архитектуры.
Мой бэкграунд в программной инженерии Томского государственного университета формирует системный подход к архитектуре, документированию и автоматизированному инструментарию. На наступательной стороне провожу авторизованные оценки безопасности и выявляю критические уязвимости — с именными раскрытиями для Verisign, DigitalOcean, Pinterest и Dell, 20+ отметками на Bugcrowd, результатом Топ-5 во внутреннем CTF Bastion и опубликованными исследованиями.
Тестирую строго в рамках авторизованного scope, придерживаюсь ответственного раскрытия и выстраиваю оценки в соответствии с фреймворками OWASP ASVS, NIST CSF, ISO 27001 и руководством GDPR для построения фундаментально устойчивых систем.
16 notes in archive — Browse all →
Компетенции
Честная градация по опыту — Core · Applied · Familiar · Engineering — от сильного к знакомству, без процентов.
Практика в лабах и авторизованных оценках — регулярное применение, включая отчётность
Применение на стажировках и в лабах — нарабатывается глубина
Знакомство / лабы — в процессе освоения, не основная сила
Программирование, системы и профессиональная эффективность — поддержка тестирования и инструментария
Уровни отражают практику: Core — регулярная практика с отчётами · Applied — стажировки/лабы · Familiar — знакомство в лабах · Engineering — системы и профэффективность.
Следующий разговор