Цитаты Heartbleed
Я не работаю на других. Мне главное чтобы мир развивался.
Я топ 40 хакер страны с мидл+ уровнем по веб пентесту.
Пол миллиона за месяц, просто тестируя сайты под музыку.
Я разом пентестил 80+ вендоров. Дай мне 100 миллиардов, в моей жизни ничего не изменится — у меня будет тот же ноутбук, та же ОС.
10 месяцев жил в морском контейнере на острове. Всю службу везде был главным штабным.
Я всю жизнь не работаю. У меня трудовой книжки даже нет.
Я всегда рос в нищете и не мог себе ничего позволить. Поэтому пытаюсь дать миру всё, что знаю.
В этом выпуске наш гость — Heartbleed, человек хорошо себя зарекомендовал в комьюнити, показался интересным специалистом. Вопросы были соответствующие его основной деятельности — веб пентест. Это по сути второе интервью для форума «Duty-Free«, ранее был релиз интервью с LockbitSupp, затем с Qilin (без разрешения, поэтому удалено).
Интервью с Heartbleed
1. Представься. Расскажи, чем сейчас занимаешься, над каким проектом работаешь. Топ‑3 своих достижения, которыми можешь поделиться.
Heartbleed: В узких багхантерско-хакерских кругах меня могут знать как Heartbleed. У меня нет каких-либо долгосрочно поддерживаемых проектов, мне нравится переносить свой опыт в виде заметок о находках, которые потом летят в канал. Достижения для меня странное слово, учитывая то, что с каждым годом я себе говорю «какой я был глупый». Двигаюсь по принципу «выполнил цель — ставь тонну новых», даже криту в банке уже не удивляешься.
2. Если бы ты начал изучать «веб-уязвимости» в 2026, то как бы ты построил roadmap? С чего начать новичку?
Heartbleed: Да точно так же, как и в 2023–2024. Шёл бы по самому быстрому практическому пути. Банальный, но легендарный метод: скармливаешь ИИшке сайт, просишь натренировать тебя на поиск топ-10 видов уязвимостей и пробуешь эксплуатировать на сайте её пейлоады. На 3-й раз повторения за ней ты уже будешь понимать принцип каждой уязвимости и сможешь тестировать другие сайты самостоятельно. Ну и понятное дело, раз 2026 — век ИИ, я бы посоветовал научиться запускать агентов. Для тестового агента я бы посоветовал денег вообще не тратить, а попробовать бесплатную связку Qwen Code + бесплатный токен с TokenRouter и дать ей задачу атаковать сайт. Когда поймёшь на практике, как работают уязвимости, можешь купить более сильную модель, подключить к агенту и работать с ней в симбиозе.
3. Что сейчас уже неактуально или попадается настолько редко, что не особо имеет смысл изучать с нуля (максимум сканером пройтись)? Например, SQL Injection — есть смысл осваивать новичку?
Heartbleed: Я считаю, что обязательно понимать все виды уязвимостей. Это не трудно, хватит пары часов, если не меньше. К сканерам я отношусь очень скептически, ибо базовые XSS или SQL сканеры в 99% случаев не найдут — это факт (да, первые 12 отчётов я сдал, используя только чистый браузер и руки, без сканеров). Из моего опыта на первое место поставил бы сканер директорий (ну или Nuclei с очень кастомными шаблонами) — он мне принёс намного больше профита и найденных мисконфигов, чем другие хитровыебанные сканеры. Новичок может начать изучать любые виды уязвимостей, хоть RCE — чем быстрее начнёт, тем быстрее найдёт. Время, потраченное на получение навыков поиска XSS, CSRF и подобных уязвимостей, редко приближает его к нахождению RCE даже через год 🙂 Но опять же, шансы найти критичные виды уязвимости есть всегда, но они довольно малы, и почему-то душевно я к ним не предрасположен, не получаю удовольствия от их поиска (но по случайным обстоятельствам пару критов смог занести), поэтому делал упор на более массовые виды уязвимости.
4. За какими исследованиями следишь, читаешь? Может, поделишься аккаунтами в x.com или блогами, которые читаешь.
Heartbleed: Ни за какими. В каналах мало что полезного, только тратишь своё время и силы. Багхантеры и хакеры очень не хотят делиться информацией, ибо, как говорится, это их «хлеб». Поэтому ты скорее всего не встретишь топа багбаунти, который тебя обучит своим тактикам — всё же у них развитие других на последнем месте. Когда я после тысяч статей пошёл впервые багхантить — понял, что проебал тонну времени впустую. Статьи ничего не дают, только практика и слепое развитие, как бы странно это ни звучало.
5. Как попасть в свою первую приватку? Что нужно сделать, чтобы тебя пригласили?
Heartbleed: Да ничего. Приватки ничего не значат. Можешь сдать пару отчётов, и тебе они в большинстве случаев уже могут начать прилетать. Ну или написать лицам багбаунти-платформы — они могут приглашать, и зачастую не откажут тебе при твоём желании потестировать что-то, даже если у тебя полупустой профиль.
6. Если у тебя будет задача стать ментором для полного чайника — какую стратегию построишь для него, чтобы он за максимально короткий период уже начал находить баги на реальных проектах? Возможно, с помощью ИИ или комбайн какой-то сделал.
Heartbleed: Я не жадный на знания. Все свои пейлоады, опыты и способы я описываю в своих каналах, поэтому любой человек может посмотреть, что я делал, как находил, и в принципе даже попытаться повторить мой путь. Я не сторонник гадать о сроках, ибо у самого был период, когда я месяц с утра тестировал ВК, и кроме 5 дублей и выгорания на пару месяцев ничего не получил (ладно, хороший опыт, хоть и болезненный). Надо сразу себя морально готовить, что багбаунти — это зачастую не про деньги, а про личный интерес и безболезненное развитие в веб-хакинге. Деньги — это следствие твоего безумного интереса.
7. Можно ли одновременно хорошо уметь пентестить инфру (AD, сети) и вебчик?
Heartbleed: Да, конечно можно, было бы желание и мотивация. Меня просто тошнит от пентеста инфры и сетей, а веб идеально подошёл. Знаю людей, у кого в точности да наоборот. Но развить внутрянку и веб, конечно, возможно (в принципе, как и всё в этом мире). Главное — найди то, чем тебе действительно нравится заниматься, и не надо создавать из себя «монстра хакинга». В той сфере, которая тебе не особо нравится, ты далеко не уйдёшь.
8. Как участвовать в зарубежных программах багбаунти с гражданством РФ? Есть обходные пути?
Heartbleed: Участвовать проблем нет. Основная проблема — это вывод денег. Ты до сих пор можешь пойти хантить и сдавать уязвимости на HackerOne или других международных багбаунти-платформах, но из-за санкций и проблем с выплатами это уже не так просто, как было раньше. Слышал, что некоторые выдают баунти криптой, но не проверял, муторно ли это.
9. Были ли мысли свернуть в тёмную сторону? Не обязательно ради денег, просто ради спортивного интереса?
Heartbleed: Смотря что понимать под тёмной стороной. Взлом камер, обучение веб-хакингу на своём колледже, да даже обычный крек лицензий на приложения — многие моралисты тоже считают тёмной стороной. Я не осуждаю ничего из этого, если это не приносит вред людям. Сам лично видел, как моих близких скамили на деньги, и видел их грусть на лице. Наверно, это наложило на меня какой-то отпечаток, вследствие которого я никогда не трогал темы, которые могут навредить человеку. Многие входят в чёрно-серые темы из «спортивного» интереса, многие багхантеры с этого даже и начинают. Мир не делится на чёрное и белое. Ответ на вопрос — да, были; это огромная ветка развития, которую ты не охватишь без входа в «серые» сферы.
10. Тебя пытались завербовать на тёмную сторону? К примеру, было такое, что писал незнакомый человек, закидывал донат, говорил слова поддержки и приглашал работать вместе с ним?
Heartbleed: Часто, кроме донатов, конечно. Но с возрастом становится больше того, что есть терять: появляется своя семья, ответственность за других людей и прочие тяготы. Поэтому даже перестал думать о таких темах. Если ты считаешь, что тебе нечего терять и ты готов рискнуть своей жизнью — это твой путь и твой уникальный опыт.
11. Есть секреты и фишки, которыми ты не готов делиться, или свои наработки, которые, если пошаришь в паблик, вставишь себе палки в колёса?
Heartbleed: Дублирую ответ на 6 вопрос: нет, я готов делиться всем. Но, впрочем, я тоже не идеален. Если схема особо прибыльная или важная для меня, то я эксплуатирую её пару месяцев, до тех пор, пока не пойму, что мне достаточно, и так же сливаю метод, но в разы позже. Наверно, причина в какой-то «детской» травме, когда вырос в нищете и мог обучаться только на всём бесплатном. Хочется отдать всё, что есть, таким же начинающим. В мире слишком большой перевес в сторону коммерции, даже оптимизаторы, которые пишутся за 5 минут, продают за деньги. Меня от этого тошнит.
12. Как поступишь, если тебя вендор кинет на выплату? Станешь ли ты сливать в паблик, угрожать или просто оставишь плохой отзыв?
Heartbleed: Было такое. Солью в паблик, но в обезличенном формате, чтобы никто не понял, какой вендор это сделал, но понял, что чтобы человек догадался, что именно такая ситуация со мной произошла. Отзыв тоже могу оставить на какой-нибудь платформе, и только интересующиеся мной люди могут уловить взаимосвязь и понять, о чём речь. Но юридически 1+1 ты не сложишь. Я не добрый и не плохой, я такой, какой есть. Но в любом случае, если я так поступил, значит, вендор действительно умудрился меня обидеть и не стал адекватно разговаривать, а я тот ещё спокойный и миролюбивый человек.
13. Есть ли в твоём кругу люди, которые нелегально двигаются? Ломают что-то без разрешения. Можешь ли ты поддерживать с такими связь? Не смущает это?
Heartbleed: Да, есть. И они такие же люди: добрые, отзывчивые, помогут, если тяжело. Меня это не смущает, если только они не приносят вред тем, кто этого не заслужил. А про ломание без разрешения: если 100 багхантеров соберёшь, из них дай бог 5 человек будет следовать правилам вендора. Никакой адекватный человек не будет условно понижать потоки сканера до 4, чтобы сканировать 2 дня вместо половины минуты. Даже в самых белых местах есть отдельное место «серому».
14. Ну и напоследок — кем себя видишь через 5 лет? Какими скиллами хочешь обрасти, чего тебе не хватает?
Heartbleed: Через кучу накинутого на себя клейма, что я веб-разработчик, хакер или осинтер, в конце концов я пришёл к тому, что я хочу быть «никем». Я не хочу иметь на себе клейма профессии, я хочу заниматься тем, что мне нравится в текущий промежуток времени. Я даже не могу предположить, куда меня жизнь заведёт через месяц, а тут срок про 5 лет. Я сразу же меняю сферу, если она мне начинает докучать, ибо зачем продолжать? Человек — это существо, имеющее больше 7 видов интеллекта и имеющее выбор среди десятка тысяч разных сфер.
Я уже давно не гонюсь за знаниями — при виде человека они стоят у меня на самом последнем месте, поэтому я бы хотел, чтобы ты вместе со своим личностным ростом и новыми знаниями не забывал о своих близких и людях вокруг. Я понимаю, эта сфера может вскружить голову, и ты можешь почувствовать власть от добычи информации на человека или взлома системы, но…
Каждая форма жизни заслуживает уважения и любви, по какой-то причине люди возомнили себя богами.
Если ты готов начать преобразовывать разрушающую энергию в пользу миру, то…
Давай за нами.
Твой Heartbleed a.k
heartbleed.ru
@heartbleeed
bugbounty.bi.zone/profile/Heartbleed
