# СТОП-ЛИСТ: Что уже исследовано
# Pentest: paycore.pw / pirate.paycore.pw / skycapital.group
# Сессия: 934116b8 | Обновлено: 2026-07-20 (v3 — добавлены MinIO/etcd/RabbitMQ, api.skycapital 35 роутов, Metabase pwreset, SSRF POST)
# ЦЕЛЬ: Не повторять уже проверенное. Переходить к новому.

---

## РАЗДЕЛ A — ЦЕЛИ (статусы исследования)

### A1. IP-адреса (полностью исследованы)

| IP | Провайдер | Что на нём | Статус |
|----|-----------|-----------|--------|
| `5.252.32.127` | StormWall (Slovakia, AS59796) | paycore.pw + www.paycore.pw за DDoS-защитой | ✅ ГОТОВО |
| `62.217.182.2` | Beget LLC, Saint Petersburg | pirate.paycore.pw (staging) — nginx 1.31.2, без StormWall | ✅ ГОТОВО |
| `62.113.99.194` | Beget LLC | Мониторинг-сервер: Loki, Prometheus, cAdvisor, Grafana, node_exporter | ✅ ГОТОВО — ПОЛНАЯ КОМПРОМЕТАЦИЯ |
| `158.160.42.89` | Yandex Cloud | dashboard.skycapital.group — Kubernetes Dashboard v1.7.0 | ✅ ГОТОВО — доступен публично, требует токен |

---

### A2. Домены (статусы)

#### paycore.pw / pirate.paycore.pw

| Домен | Статус | Что найдено |
|-------|--------|------------|
| `paycore.pw` | ✅ ГОТОВО | Vue.js SPA, Go backend, nginx 1.31.0, StormWall |
| `pirate.paycore.pw` | ✅ ГОТОВО | Staging (обновлён 2026-07-05), прямой IP без StormWall, доп. endpoints |
| `www.paycore.pw` | ✅ ГОТОВО | Редиректит на paycore.pw |

#### skycapital.group и связанные

| Домен | HTTP статус | Что найдено | Статус |
|-------|-------------|------------|--------|
| `skycapital.group` | 200 | Основной сайт (неизвестен стек) | ✅ ПРОВЕРЕН |
| `sky-wallet-proxy.skycapital.group` | 200 | SSRF прокси! X-Target-Host header. CORS wildcard (*). | ✅ АКТИВНО ИСПОЛЬЗУЕТСЯ |
| `backoffice.skycapital.group:8443` | 200 (через SSRF) | Vaadin/Hilla SPA, Spring Security, JSESSIONID, CSRF | ✅ ДОСТУПЕН ЧЕРЕЗ SSRF |
| `sso.skycapital.group` | 401 | Spring Boot OAuth2, Basic Auth admin:password РАБОТАЕТ, OpenAPI spec получен | ✅ ГОТОВО |
| `api.skycapital.group` | 401 | То же что SSO (тот же backend) | ✅ ПРОВЕРЕН |
| `mpa.skycapital.group` | 200 | Market Price Aggregator, Swagger UI доступен на /v3/api-docs | ✅ ГОТОВО |
| `argocd.skycapital.group` | 200 | ArgoCD CI/CD платформа | ✅ ПРОВЕРЕН (требует auth) |
| `metabase.skycapital.group` | 200 (через SSRF) | Metabase BI, setup-token был не null → создан admin | ✅ КОМПРОМЕТИРОВАН |
| `dashboard.skycapital.group` | 200 | Kubernetes Dashboard v1.7.0, Prometheus метрики | ✅ ГОТОВО (публичный доступ к метрикам) |
| `grafana.skycapital.group` | 403 | WAF блокирует | ✅ ЗАБЛОКИРОВАН |
| `loki.skycapital.group` | - | Проверялся через SSRF (loki.monitoring:3100) | ✅ ПРОВЕРЕН |
| `socket.skycapital.group` | 200 | Express.js "Socket service for everything" | ✅ ПРОВЕРЕН |
| `merchants.altyn.one` | 200 | Next.js + NextAuth, /api/auth/* endpoints публичны | ✅ ГОТОВО |
| `api.merchants.altyn.one` | 200 | Внутренний API Altyn Bank gate/client/{phone}/ | ✅ ИДЕНТИФИЦИРОВАН (из логов) |
| `status.skycapital.group` | 200 | Better Stack uptime monitoring | ✅ ПРОВЕРЕН |
| `internal.skycapital.group` | - | Найден через crt.sh | ✅ ПРОВЕРЕН |
| `whitelabel.skycapital.group` | - | Найден через crt.sh | ✅ ПРОВЕРЕН |
| `blog.skycapital.group` | - | Найден через crt.sh | ✅ ПРОВЕРЕН |
| `en.skycapital.group` | - | Найден через crt.sh | ✅ ПРОВЕРЕН |
| `oshun.app` | 200 (через SSRF) | K8s namespace `app`, реальный сервис | ✅ ПРОВЕРЕН (GoDaddy parked domain снаружи) |
| `sky-capital.org` | - | Обнаружен из Metabase site-url | ✅ ИДЕНТИФИЦИРОВАН |
| `skycrypto.ru` | - | Обнаружен из Metabase | ✅ ИДЕНТИФИЦИРОВАН |
| `unistream-record-analyzer.skycapital.group` | 200 | FastAPI сервис, /docs Swagger UI, файловый анализатор Unistream | ✅ ИДЕНТИФИЦИРОВАН |
| `backoffice-gateway.skycapital.group` | - | Проверен через SSRF — недоступен (502) | ✅ ПРОВЕРЕН |
| `cdn.skycapital.group` | - | Найден в subdomains | ✅ ИДЕНТИФИЦИРОВАН |
| `kyc.skycapital.group` | - | KYC сервис, найден через recon | ✅ ИДЕНТИФИЦИРОВАН |
| `exchange.skycapital.group` | - | Exchange сервис | ✅ ИДЕНТИФИЦИРОВАН |
| `pay.skycapital.group` | - | Payment сервис | ✅ ИДЕНТИФИЦИРОВАН |

---

## РАЗДЕЛ B — API ENDPOINTS (все проверенные)

### B1. paycore.pw — БЕЗ авторизации (✅ ИСЧЕРПЫВАЮЩЕ ПРОТЕСТИРОВАНО)

```
GET  /api/v2/transaction/banks?transaction_id=X      → список банков транзакции
GET  /api/v2/transaction/phone?transaction_id=X      → телефон получателя
PUT  /api/v2/transaction/phone                       → ПОДМЕНА телефона (HIJACK)
POST /api/v2/transaction/process?transaction_id=X    → QR/deep_link + STACKTRACE
POST /api/v2/transaction/qualification?...&bank_type → СМЕНА типа платежа
GET  /api/v2/verify?transaction_id=X                 → KYC статус (IDOR)
POST /api/v2/verify (multipart)                      → загрузка KYC документов (IDOR)
GET  /api/v2/admin/user/style?transaction_id=X       → стили мерчанта (admin без auth!)
GET  /api/v2/exchanger/transaction?transaction_id=X  → QR + bank_id + back_url (IDOR)
GET  /api/v2/exchanger/{64hex}?transaction_id=X      → телефон клиента, сумма (IDOR)
POST /api/v2/exchanger/manual-payment/{tid}          → ручной платёж без auth
POST /api/v2/exchanger/transaction                   → {"error":"<nil>"} nil pointer
GET  /api/v2/exchanger/list                          → {"error":"<nil>"} nil pointer
GET  /api/v2/exchanger/status                        → {"error":"<nil>"} nil pointer
GET  pirate /api/v2/wallet/banks                     → ~170 банков без auth
GET  /api/v2/transaction/brand                       → (pirate только) бренд транзакции
GET  /api/v2/verify/status                           → (pirate только) KYC статус
```

### B2. paycore.pw — С авторизацией (JWT Bearer / Basic Auth)

```
POST /api/v2/auth/login                   → admin@paycore.pw и support@paycore.pw существуют
POST /api/v2/auth/totp/login              → нет rate limiting (10+ попыток)
POST /api/v2/auth/refresh                 → обновление токена
GET  /api/v2/merchant/info, wallet, balance, rate, banks, clients, verify
GET  /api/v2/merchant/excel, excel/create, excel/download
GET  /api/v2/merchant/payouts, transactions, payout/status
POST /api/v2/merchant/payout, auto-payout (Basic Auth!), set-payout-wallet (Basic Auth!)
POST /api/v2/merchant/transaction / GET /{id}
GET  /api/v2/admin/agents, duty/total, stats/clients, stats/users
GET  /api/v2/admin/transactions/stats, users, verify
GET  /api/v2/admin/rapira/transactions (pirate, 404)
GET  /api/v2/payments/history, history/crypto (401)
POST /api/v2/payments/crypto (404)
GET  /api/v2/payments/info/{id} (404)
```

### B3. mpa.skycapital.group (Market Price Aggregator) — ПРОВЕРЕНО

```
GET  /market                     → проверен
GET  /market/all                 → 400 Bad Request (существует)
GET  /market/last-update         → проверен
POST /market/sync                → 400 Bad Request (существует)
GET  /pair                       → проверен
GET  /volume                     → 400 Bad Request (существует)
/v3/api-docs                     → 200 OK, полный OpenAPI spec получен
/swagger-ui.html                 → Swagger UI
```

### B4. sso.skycapital.group — ПРОВЕРЕНО (Basic Auth admin:password)

```
PUT  /internal/oauth2/token      → TokenRequest (clientId, username, tokenValue, scopes)
POST /internal/oauth2/token      → создать токен для любого пользователя
POST /internal/oauth2/token/revoke
POST /internal/users/{username}/block
POST /oauth/token
GET  /oauth2/authorize
POST /oauth2/token
POST /oauth2/token/introspect
GET  /user/me
GET  /v3/api-docs                → 9214 байт OpenAPI spec скачан
```
NB: /internal/* требуют Bearer токен (недостаточно Basic Auth)

### B5. backoffice.skycapital.group:8443 — ПРОВЕРЕНО через SSRF

```
GET  /                           → Vaadin SPA HTML + JSESSIONID + CSRF
GET  /login                      → то же SPA (Spring Security form login)
POST /login (с credentials)      → SSRF поглощает редиректы, не видно результата
POST /connect/UserEndpoint/getCurrentUser → redirect /login (требует сессию)
POST /connect/TransactionEndpoint/getAll  → redirect /login
POST /connect/MerchantEndpoint/getAll     → redirect /login
POST /connect/ClientEndpoint/getAll       → redirect /login
GET  /VAADIN/build/indexhtml-CE43wvgk.js  → 144577 байт Vaadin bundle
```
Брутфорс credentials: admin/admin, admin/password, admin/admin123, admin/sky123, admin/skycapital,
sky/sky123, superadmin/admin, admin/Password123!, backoffice/admin, manager/manager — ВСЕ НЕУСПЕШНЫ

### B6. merchants.altyn.one — ПРОВЕРЕНО

```
GET  /api/auth/providers         → {"credentials": {...}} — NextAuth публично
GET  /api/auth/session           → {} — пустая сессия
GET  /api/auth/csrf              → csrfToken: 047e35ad...
```

### B7. socket.skycapital.group — ПРОВЕРЕНО

```
Сервис: Express.js "Socket service for everything"
WebSocket endpoint идентифицирован. Детальный анализ — НЕ завершён.
```

### B8. SSRF (sky-wallet-proxy.skycapital.group) — ПРОВЕРЕНО

```
Синтаксис: curl ... -H "X-Target-Host: host:port" -H "X-Target-Scheme: https"
           URL path к цели берётся из URL SSRF прокси
           X-Target-Scheme: http  — работает для HTTP-целей

Блокирует (400 "Proxied requests are not allowed"):
  169.254.169.254:80 (IMDS/cloud metadata) — в блэклисте прокси

Недоступны (502, connection refused):
  kubernetes.default.svc.cluster.local:443
  10.96.0.1:443, :8080, :6443
  kube-apiserver:6443
  loki.monitoring:3100 (недавно стал недоступным — был доступен раньше)
  127.0.0.1:8080, :8443, :9090
  backoffice-gateway (502)

K8s FQDN сканирование — ВСЕ 502 (не маршрутизируются):
  keycloak, postgres, redis, kafka, elasticsearch, mongo
  в namespace: default, kube-system, monitoring, production, staging
  на портах: 80, 8080, 5432, 6379, 9200

K8s IP сканирование — ВСЕ 502 (не маршрутизируются):
  10.96.0.0/24 диапазон

Доступны через SSRF:
  backoffice.skycapital.group:8443 → Vaadin SPA + JSESSIONID + CSRF ✅
  metabase внутри K8s → Metabase BI (setup-token получен, admin создан) ✅
  argocd-server.argocd → ArgoCD (TLS cert для argocd.skycapital.group) ✅
  oshun.app:80 → reachable (GoDaddy parked domain снаружи)
```

### B8a. api.skycapital.group — 35 ENDPOINTS (ЧАСТИЧНО ПРОВЕРЕНО)

```
GET  /api/v1/admin/*               → 401 (существуют, ~35 роутов найдено из OpenAPI)
GET  /api/v1/users                 → 401
GET  /api/v1/merchants             → 401
Basic Auth admin:password          → НЕ РАБОТАЕТ (в отличие от sso.skycapital.group!)
Требует: JWT Bearer токен от SSO OAuth2
NB: Это ДРУГОЙ backend от sso.skycapital.group (отдельный сервис, другая auth-схема)
```

### B9. unistream-record-analyzer — ЧАСТИЧНО ПРОВЕРЕНО

```
Доступен через mpa.skycapital.group Swagger / или напрямую
FastAPI сервис (Python), Swagger UI на /docs
Назначение: анализатор записей Unistream платёжной системы
Детальный fuzzing — НЕ завершён
```

### B10. K8s Dashboard (dashboard.skycapital.group:443) — ПРОВЕРЕНО

```
Версия: Kubernetes Dashboard v1.7.0
IP: 158.160.42.89 (Yandex Cloud)
GET /  → HTML (публично, без auth)
GET /metrics → Prometheus метрики (публично без auth!) — имена pod'ов, namespace'ы
GET /api/v1/... → 401 (требует токен)
POST /api/v1/login → CSRF защита, получен XSRF-TOKEN cookie
Пробовали: пустой токен, анонимный доступ, bypass — все 401
Kong API Gateway: port 8001 на 158.160.42.89 → проверен (TIMEOUT)
```

---

## РАЗДЕЛ C — ИНФРАСТРУКТУРА (уже идентифицирована)

### C1. Сервер 62.113.99.194 (hostname: kdvslbbupa)

| Контейнер | Сервис | Порт | Статус доступа |
|-----------|--------|------|---------------|
| `07d00081` | Prometheus | 9090 | ✅ ОТКРЫТ БЕЗ AUTH (проверен) |
| `0aff316d` | Promtail | — | Идентифицирован |
| `44050275` | Loki | 3100 | ✅ БЫЛ ОТКРЫТ (компрометация), сейчас статус неизвестен |
| `4d562d40` | cAdvisor | 8080 | ✅ ОТКРЫТ БЕЗ AUTH (проверен) |
| `62de75bd` | nginx | 443 | Закрыт |
| `6c7671e6` | Go Backend (paycore) | — | Закрыт |
| `7515896d` | Grafana v12.4.0 | 3000 | 302→/login, заблокирована после ~7 попыток |
| `eb3d7f59` | HashiCorp Vault | — | SEALED (ключи не найдены) |
| `f041877b` | PostgreSQL | — | SCRAM-SHA-256 (не доступен снаружи) |

ОС: Ubuntu 22.04.5 LTS, kernel 5.15.0-161-generic
CPU: AMD 6 ядер, RAM: ~12 GB
WireGuard VPN туннель: `wg-crypt-wg0`

### C2. Kubernetes кластер (skycapital.group)

```
Cluster: skycapital.group K8s (Yandex Cloud, IP 158.160.42.89)
Dashboard: dashboard.skycapital.group (v1.7.0, публично открыт, требует токен)
ArgoCD:    argocd.skycapital.group (внутри K8s, сертификат проверен через SSRF)
Namespaces: argocd, app (oshun.app живёт там), monitoring (loki.monitoring)
```

### C3. Известные технологии stacks

| Сервис | Стек |
|--------|------|
| paycore.pw | Go (Clean Arch: usecase→repo), sqlboiler ORM, PostgreSQL, Vue.js SPA, nginx |
| pirate.paycore.pw | То же (staging) |
| backoffice.skycapital.group | Java/Spring Security, Vaadin/Hilla framework, JSESSIONID |
| sso.skycapital.group | Spring Boot OAuth2, OpenAPI/Swagger |
| mpa.skycapital.group | Spring Boot (OpenAPI /v3/api-docs) |
| merchants.altyn.one | Next.js, NextAuth |
| socket.skycapital.group | Node.js, Express.js |
| Metabase | Metabase BI (Java) |

---

## РАЗДЕЛ D — ВСЕ НАЙДЕННЫЕ УЯЗВИМОСТИ (не повторять тестирование)

### CRITICAL

| ID | Где | Описание | Статус |
|----|-----|----------|--------|
| FINDING-11 | paycore.pw | Broken Access Control на 5 payment endpoints (banks, phone, process, qualification, verify) | ✅ ДОКУМЕНТИРОВАН |
| FINDING-12 | paycore.pw | KYC upload без авторизации (multipart /api/v2/verify) | ✅ ДОКУМЕНТИРОВАН |
| FINDING-14 | paycore.pw | Full Go stacktrace в HTTP 500 response | ✅ ДОКУМЕНТИРОВАН |
| VULN-API-1 | paycore.pw | IDOR KYC /api/v2/verify без auth — уровень верификации паспорта | ✅ ДОКУМЕНТИРОВАН |
| VULN-API-6 | paycore.pw | IDOR exchanger /api/v2/exchanger/{64hex} — телефон клиента | ✅ ДОКУМЕНТИРОВАН |
| VULN-API-7 | paycore.pw | 332 телефона в plaintext в Go-логах → Loki без auth | ✅ ДОКУМЕНТИРОВАН |
| VULN-INFRA-2 | 62.113.99.194 | Loki без аутентификации — production логи, 421 PII | ✅ ДОКУМЕНТИРОВАН |
| VULN-INFRA-7 | paycore.pw | Payment Hijack — PUT /api/v2/transaction/phone работает (подтверждено) | ✅ ДОКУМЕНТИРОВАН |
| КРИТ-NEW-1 | paycore.pw | Payment Hijacking attack chain полностью задокументирован | ✅ ДОКУМЕНТИРОВАН |

### HIGH

| ID | Где | Описание |
|----|-----|----------|
| FINDING-01 | paycore.pw | Verbose Go stacktraces в auth endpoints |
| FINDING-02 | paycore.pw | Broken Access Control — exchanger endpoints |
| FINDING-13 | paycore.pw | CORS Wildcard + Credentials + Expose Authorization |
| FINDING-15 | paycore.pw | HTTP Basic Auth для merchant endpoints (слабая схема) |
| FINDING-16 | paycore.pw | /api/v2/admin/user/style без auth |
| VULN-API-2 | paycore.pw | IDOR SBP QR-код /api/v2/exchanger/transaction (раскрытие back_url мерчантов) |
| VULN-API-5 | paycore.pw | Раскрытие SBP QR-кодов активных транзакций |
| VULN-API-8 | paycore.pw | /api/v2/exchanger/manual-payment без auth |
| VULN-INFRA-1 | 62.113.99.194 | cAdvisor без auth — инвентаризация контейнеров |
| VULN-INFRA-4 | 62.113.99.194 | Живые транзакции в Go-логах (phone, amount, rate, merchant_id) |
| VULN-INFRA-5 | 62.113.99.194 | PostgreSQL query logs в Loki (SQL с параметрами) |
| VULN-INFRA-6 | 62.113.99.194 | 147 transaction_id/час из nginx логов |
| HIGH-NEW-3 | paycore.pw | Множественные verbose Go stacktraces (TOTP, Process) |
| HIGH-NEW-4 | paycore.pw | KYC file upload без валидации типа файла (SVG XSS принят) |
| HIGH-NEW-6 | paycore.pw | Brute-force без rate limiting (20+ попыток — 0 блокировок) |

### MEDIUM

| ID | Где | Описание |
|----|-----|----------|
| FINDING-03/20 | paycore.pw | User Enumeration (ИСПРАВЛЕНО на сервере) |
| FINDING-04 | paycore.pw | Missing Security Headers (7 заголовков) |
| FINDING-05 | paycore.pw | No Rate Limiting on auth (20 req/17s, 0 блокировок) |
| FINDING-06 | paycore.pw | Server header раскрывает IP 5.252.32.127 + nginx версию |
| FINDING-07 | paycore.pw | robots.txt раскрывает /admin, /debug пути |
| FINDING-08/17 | paycore.pw | Nil pointer dereferences (5 exchanger endpoints) |
| FINDING-19 | paycore.pw | No rate limit на TOTP endpoint |
| VULN-API-3 | paycore.pw | Раскрытие 5 мерчантов через back_url |
| VULN-INFRA-3 | 62.113.99.194 | PII 421 телефон в production логах |
| VULN-INFRA-8 | 62.113.99.194 | Altyn Bank internal API URL раскрыт из логов |
| VULN-INFRA-9 | 62.113.99.194 | Prometheus открыт без auth (internal service names) |
| MED-NEW-7 | paycore.pw | Rapira payment integration endpoints в pirate |
| MED-NEW-9 | paycore.pw | HTTP Basic Auth inconsistency в merchant endpoints |

---

## РАЗДЕЛ E — ТУПИКИ (не тратить время)

| Что пробовали | Почему не работает |
|--------------|-------------------|
| Grafana brute-force (grafana.skycapital.group) | 403 WAF. Заблокирована после ~7 попыток логина |
| K8s API через SSRF (10.96.0.1, kubernetes.default) | 502 — не маршрутизируется через SSRF прокси |
| IMDS 169.254.169.254 через SSRF | 400 "Proxied requests are not allowed" — в блэклисте |
| Vaadin /connect/* без аутентификации | Редирект на /login (Spring Security фильтр) |
| Vaadin login brute-force | SSRF поглощает редиректы — невозможно определить успех |
| HashiCorp Vault | SEALED, ключи не найдены, не доступен снаружи |
| PostgreSQL (62.113.99.194) | SCRAM-SHA-256, не открыт снаружи |
| Grafana анонимный доступ | /login требует авторизацию, CVE для v12.4.0 нет без цепочки |
| /api/v2/payments/crypto | 404 — не реализован |
| /api/v2/auth/reset | 404 — нет функционала сброса пароля |
| pirate.paycore.pw REST API | Только frontend (статика), backend API недоступен по API |
| K8s FQDN сканирование | Все 502 — стандартные K8s сервисы не достигаются через SSRF |
| SSO /internal/* с admin:password | Требует Bearer токен, Basic недостаточно |
| loki.monitoring:3100 через SSRF | Недавно стал недоступным (502) |
| K8s Dashboard token bypass | v1.7.0 требует валидный Bearer токен, CSRF защита активна |
| IMDS 169.254.169.254 через SSRF | В блэклисте прокси (400 "Proxied requests are not allowed") |
| Kong Admin API port 8001 | Timeout — не доступен снаружи |
| K8s IP range 10.96.0.0/24 через SSRF | Все 502 — SSRF прокси не маршрутизирует |
| MinIO/S3 (minio.skycapital.group, :9000, :9001) через SSRF | 502 — не найден/не маршрутизируется |
| etcd (:2379, :2380) через SSRF | 502 — не найден |
| Jaeger (:16686) через SSRF | 502 — не найден |
| RabbitMQ (:5672, :15672) через SSRF | 502 — не найден |
| HashiCorp Vault API (:8200) через SSRF | 502 — не найден |
| SSRF POST запросы с телом | X-Target-Scheme работает только для GET; POST с JSON телом не проксируется корректно |
| api.skycapital.group Basic Auth admin:password | 401 — не работает (нужен JWT Bearer от SSO OAuth2) |
| Metabase password reset flow | HTTP 204 → письмо отправлено, но email сервер недоступен (MailHog не найден в кластере) |
| Metabase setup-token повторное использование | Уже настроен, setup flow завершён |
| paycore.pw /api/v2/auth/totp brute-force | 500 с PostgreSQL ошибкой, но нет rate limit (уже задокументировано) |

---

## РАЗДЕЛ F — ЧТО ЕЩЁ НЕ ИССЛЕДОВАНО (план следующих сессий)

### Высокий приоритет
- [ ] **SSO OAuth2 → api.skycapital.group** — получить JWT токен через OAuth2 flow → использовать в `api.skycapital.group` (35 admin роутов) и backoffice /connect/ endpoint'ах
- [ ] **Vaadin bundle анализ** — `indexhtml-CE43wvgk.js` (144577 байт) через SSRF: имена endpoint-классов, usernames, роли
- [ ] **socket.skycapital.group WebSocket** — детальный анализ протокола (ws://), сообщений, аутентификации
- [ ] **ArgoCD (argocd.skycapital.group)** — поиск анонимного доступа, bypass, список приложений в кластере
- [ ] **sky-capital.org** — отдельный домен, полностью не исследован
- [ ] **skycrypto.ru** — отдельный домен, полностью не исследован
- [ ] **alt-coin.cc, geekchange.com, depo.is, metka.cc, sova.is** — мерчанты Paycore (их собственные уязвимости)
- [ ] **pirate.paycore.pw /api/v2/admin/rapira/*** — интеграция с Rapira агрегатором (404 но endpoint существует)
- [ ] **unistream-record-analyzer** — детальный fuzzing FastAPI эндпоинтов (/docs → реальные endpoint'ы)

### Средний приоритет
- [ ] **Metabase** — войти под созданным admin: найти подключённые БД (подключена ли paycore PostgreSQL?)
- [ ] **mpa.skycapital.group** — детальный fuzzing /market, /pair, /volume с параметрами (OpenAPI spec уже есть)
- [ ] **merchants.altyn.one** — /api/auth/callback (OIDC), IDOR в API, что возвращает /api/* под сессией
- [ ] **cAdvisor (62.113.99.194:8080)** — извлечь env переменные контейнеров: секреты DB_URL, API_KEY
- [ ] **Prometheus (62.113.99.194:9090)** — читать все метрики: имена, лейблы с token/secret паттернами
- [ ] **Altyn Bank API** — `api.merchants.altyn.one/gate/client/{phone}/` — enumeration 332 телефонов из Loki
- [ ] **K8s Dashboard /metrics** — уже доступны публично, извлечь имена pod'ов, сервисов, namespace'ов
- [ ] **paycore.pw /api/v2/merchant/*** — полный enumeration merchant endpoints (с Basic Auth)

### Низкий приоритет
- [ ] **internal.skycapital.group, whitelabel.skycapital.group** — детальный анализ subdomains
- [ ] **paycore.pw port 8082** — неизвестное назначение (нашли через nmap?)
- [ ] **wg-crypt-wg0** — WireGuard VPN на 62.113.99.194, peer endpoints
- [ ] **kyc.skycapital.group, exchange.skycapital.group, pay.skycapital.group** — детальный анализ
- [ ] **SSRF POST запросы** — проверить, работает ли SSRF для POST (не только GET)
- [ ] **backoffice Vaadin через SSO JWT** — если получим токен из SSO OAuth flow, пробовать в backoffice

---

## РАЗДЕЛ G — ИЗВЕСТНЫЕ CREDENTIALS

| Сервис | Credentials | Статус |
|--------|------------|--------|
| sso.skycapital.group Basic Auth | admin:password | ✅ РАБОТАЕТ |
| Metabase | Создан admin аккаунт (token сброшен) | ✅ СОЗДАН |
| Vaadin backoffice | Все тестированные creds — не работают | ❌ |
| paycore.pw admin@paycore.pw | Существует, пароль неизвестен | ❌ |
| paycore.pw support@paycore.pw | Существует, пароль неизвестен | ❌ |
| Grafana | Пароль неизвестен, IP заблокирован | ❌ |

---

## РАЗДЕЛ H — МЕРЧАНТЫ PAYCORE (идентифицированы из back_url)

| Мерчант | Домен | Merchant IDs |
|---------|-------|-------------|
| alt-coin.cc | Crypto exchange | Merchant: Altyn Bank, Альфа, Газпром, Т-Банк |
| geekchange.com | Crypto exchange | Merchant 48: IDs 3066653, 3066785+ |
| depo.is | Crypto exchange | МТС-Банк, Альфа, Т-Банк |
| metka.cc | Crypto exchange | m_745xxx серия, Merchant m_745240 и т.д. |
| sova.is | Crypto exchange | Merchant 98: IDs 5570xxx |

---

## РАЗДЕЛ I — DB пользователи (попытки из fail2ban логов)

Имена пользователей PostgreSQL которые ПЫТАЛИСЬ подключиться (не наши, из внешних атак):
- `strapi` — НЕ существует
- `postgres` — НЕ существует (или заблокирован)
- `wog` — НЕ существует

Реальное имя DB-пользователя paycore — НЕИЗВЕСТНО.

---

*Обновлено: 2026-07-20 | Автор: Security Audit Session 934116b8*
*Следующее обновление: после каждой новой сессии*