BUG賞金 | 將開放重定向與反射型XSS串聯

  • 2019 年 12 月 23 日
  • 筆記

圖片來源於網路

在一個星期日的早晨，醒來後我像往常一樣拿起手機並登錄我的Facebook帳戶，在滾動新聞提要時，我遇到了這個 showmax 的 facebook廣告 （showmax 是一個在線電影網站，就像 NetFlix 一樣）。

然後我點擊廣告並訪問該網站。根據我的原則，每當我訪問新網站時，我要做的第一件事就是通過搜索 " hackerone <site name>" 或 "<this site name> bug bounty" 等關鍵字來檢查該網站是否正在運營 Bug Bounty 項目。我在這裡使用了相同的方法，發現 showmax 正在 hackerone 上運營 Bug Bounty 項目。

最有趣的部分是，該項目（showmax）約有6個月沒有解決任何報告，這是發現一些 bug 的好機會。

我啟動了 Burp Suite 並再次訪問該站點，然後瀏覽該站點，打開出現在螢幕上的任何鏈接。

單擊"試用 14 天"後，將我帶到註冊頁面，然後將我重定向到付款頁面。坦率地說，我沒有萬事達卡或 Visa 卡（我曾用姐姐的朋友的:P），但是這次他們不在那兒，沒有給卡。

然後，我在 Burp Suite 中單擊以檢查 Burp 的 「歷史記錄」，滾動後，我從 " secure.showmax.com" 中看到了 Burp History 之一的請求正文中的內容，如下所示：

{payment_url:"https://secure.showmax.com/v97.3/website/payment/subscriptions/zooz_card/three_d_secure?redirection_url=https://payu.co.za......."}
"這是開放重定向！"，然後我嘗試修改重定向的 URL 修改為 google.com，這也生效了。那麼該是時候了為他們寫一個簡單的報告給 hackerone 處理了。
幾小時後他們就確認了。
接下來我想嘗試更深入一些，檢查我是否能將開放重定向串聯上反射型 XSS。Rodolfo Assis 的這篇部落格(XSS limited input formats)給了我很大幫助。
之後便是將 URL 從
https://secure.showmax.com/v97.3/website/payment/subscriptions/zooz_card/three_d_secure?redirection_url=https://google.com
修改為如下形式  
https://secure.showmax.com/v97.3/website/payment/subscriptions/zooz_card/three_d_secure?redirection_url=javascript:%250Aalert(1)
彈窗在瀏覽器直接觸發了！  
然後，我將其報告給 hackerone （與我之前開啟的報告相同）。

		  				

		  				

													

							

																
Tags:  

																

								

							

						

						
					

					
									

													
													
											


			



	

		
VirMach 便宜 VPS