Limited XSS ở binary.com
Xin chào,
Khoảng tháng 03, năm 2016, mình bắt đầu tham gia bug bounty. Là người có một chút trình độ, mà chả thấy làm được cái quái gì ra hồn cả, kiếm được chút ít $$ ăn mì tôm chắc cũng không tệ.
Do mới tham gia, do đó sẽ có nhiều bỡ ngỡ, và hơn nữa, tại sao developer và tester luôn luôn ghét nhau?, tại sao làm hacker mũ trắng lại khó?
Về cơ bản, hacker bây giờ sử dụng Burpsuite nhiều, nó chỉ đơn giản là dùng Burpsuite làm proxy cho trình duyệt, rồi manually xem qua tất cả các chức năng của cái ứng dụng web mà mình đang kiểm tra, rồi từ kinh nghiệm, mà reasoning trong não tìm bug (kiêu Expert System trong AI :D), bug XSS này là một trong vài bug đầu tiên mà mình kiếm được, cho nên cũng phải mất vài tiếng.
Cũng chả biết là mình đen hay đó, trong quá trình review, mình thấy payload của mình reflected lại trong page response, nghĩ ngay đến quả XSS thôi, Sau khi xem xét kỹ hơn, mình thấy nó reflected lại dưới kiểu dạng:
<input type="hidden" "payload_here" />
Lúc đầu, mình nghĩ đến onClick(), cơ mà thật tồi tệ, lên w3school đọc một hồi tất cả các cái on...(), chả tìm được kết quả nào. May quá, đến 02h sáng, sau khi nốc hết mấy lon bia, có lẽ thông minh hơn rồi, thấy lòi ra quả accessKey (nó chỉ chạy trên Firefox)
Cuối cùng full payload của mình là: https://www.binary.com/trade/last_digit_info?ajax_only=1&l=EN&underlying=frxBROUSD%27%20accesskey=%27x%27%20onclick=prompt%28document.domain%29%20bad=%27
ALT+SHIFT+X và một cái Popup xuất hiện,
Mình report ngay cho họ, response cũng thật nhanh "Duplicated", cũng may họ cho reference đến cái report mà mình bị trùng, và cho mình quyền xem, sau khi xem qua, mình thấy rõ ràng là mình đã Bypass được cái FILTER của họ đã dùng để FIX trước đó, mình liền comment và yêu cầu được có video xác nhận.
Và mọi chuyện bắt đầu từ đó, dù mình có cả Video xác nhận, họ vẫn cho rằng mình đúng, và không bao giờ chịu nhận sai, và bắt đầu có những lời lẽ có vẻ khá nóng nảy với mình.
Anyway, cuối cùng họ cũng cho mình cái minimum bounty: $100, số này ăn mì tôm cả tháng.
Khoảng tháng 03, năm 2016, mình bắt đầu tham gia bug bounty. Là người có một chút trình độ, mà chả thấy làm được cái quái gì ra hồn cả, kiếm được chút ít $$ ăn mì tôm chắc cũng không tệ.
Do mới tham gia, do đó sẽ có nhiều bỡ ngỡ, và hơn nữa, tại sao developer và tester luôn luôn ghét nhau?, tại sao làm hacker mũ trắng lại khó?
Về cơ bản, hacker bây giờ sử dụng Burpsuite nhiều, nó chỉ đơn giản là dùng Burpsuite làm proxy cho trình duyệt, rồi manually xem qua tất cả các chức năng của cái ứng dụng web mà mình đang kiểm tra, rồi từ kinh nghiệm, mà reasoning trong não tìm bug (kiêu Expert System trong AI :D), bug XSS này là một trong vài bug đầu tiên mà mình kiếm được, cho nên cũng phải mất vài tiếng.
Cũng chả biết là mình đen hay đó, trong quá trình review, mình thấy payload của mình reflected lại trong page response, nghĩ ngay đến quả XSS thôi, Sau khi xem xét kỹ hơn, mình thấy nó reflected lại dưới kiểu dạng:
<input type="hidden" "payload_here" />
Lúc đầu, mình nghĩ đến onClick(), cơ mà thật tồi tệ, lên w3school đọc một hồi tất cả các cái on...(), chả tìm được kết quả nào. May quá, đến 02h sáng, sau khi nốc hết mấy lon bia, có lẽ thông minh hơn rồi, thấy lòi ra quả accessKey (nó chỉ chạy trên Firefox)
Cuối cùng full payload của mình là: https://www.binary.com/trade/last_digit_info?ajax_only=1&l=EN&underlying=frxBROUSD%27%20accesskey=%27x%27%20onclick=prompt%28document.domain%29%20bad=%27
ALT+SHIFT+X và một cái Popup xuất hiện,
Mình report ngay cho họ, response cũng thật nhanh "Duplicated", cũng may họ cho reference đến cái report mà mình bị trùng, và cho mình quyền xem, sau khi xem qua, mình thấy rõ ràng là mình đã Bypass được cái FILTER của họ đã dùng để FIX trước đó, mình liền comment và yêu cầu được có video xác nhận.
Và mọi chuyện bắt đầu từ đó, dù mình có cả Video xác nhận, họ vẫn cho rằng mình đúng, và không bao giờ chịu nhận sai, và bắt đầu có những lời lẽ có vẻ khá nóng nảy với mình.
Anyway, cuối cùng họ cũng cho mình cái minimum bounty: $100, số này ăn mì tôm cả tháng.
Comments
Post a Comment