2024年8月27日
利用开放式重定向、2FA 绕过等漏洞获取$1600赏金奖励
背景介绍 白帽小哥（debu8er）喜欢分享自己的漏洞发现过程，前不久白帽小哥开始在一个VDP（漏洞披露计划）中对 20 个漏洞报告进行分类，在这个过程中，他观看了很多教程视频，其中一个由Sean（z...
bugbounty
2024年8月21日
IDOR之如何打破订阅限制
前言 众所周知，很多订阅产品的管理页面中包含许多功能，如使用情况、数据、用户、访问等管理。 今天分享一个国外利用业务逻辑缺陷打破订阅时限限制的案例，废话不多说，让我们开始吧。 漏洞详情 白帽小哥偶然间...
2024年8月20日
价值 3500 美元的管理面板绕过漏洞
管理面板绕过 一句话概括：管理面板绕过是指攻击者用来获得对网站或应用程序管理界面的未经授权的访问的技术。 一旦未经授权访问了管理拌面，攻击者就可以操控系统、窃取数据或造成其它重大损害。此类漏洞非常严重...
2024年8月16日
hackerone上TOP5的开放重定向漏洞
1.central.uber.com的开放重定向漏洞 厂商：Uber 赏金奖励： $8,000 漏洞披露：未披露 2.uber.com 的开放重定向及反射XSS多个漏洞 厂商：Uber 赏金奖励：$3...
2024年8月8日
巧妙利用业务逻辑漏洞，实现Google帐户接管
背景介绍 国外白帽小哥在枚举 GoogleVRP 目标的子域时，注意到一个奇怪的子域。 该子域允许普通用户创建帐户登录到该帐户，于是小哥开始探索它提供的功能和提供的销售服务。 发现过程 白帽小哥首先使...
2024年8月6日
在 Instagram 上查看任何人的私人电子邮件和生日信息
概述 国外白帽子发现 Facebook Business Suite 正在从页面消息泄露有关 Instagram 用户的私人信息。 利用此漏洞，攻击者只需通过向任何 Instagram 用户发送消息即...
2024年7月30日
利用出色的侦察能力获得 2000 美元赏金
背景介绍 2024 年 5 月 15 日，凌晨 3 点，国外小哥‘寂寞难耐’，于是拿起手机尝试寻找一个新的赏金目标，很幸运，小哥发现了一个大约半小时前刚刚在intigriti.com上推出的新程序。 ...
2024年7月10日
一则SSRF漏洞的故事
背景介绍 该项目为一个云银行平台，使银行提供商能够根据他们的描述快速创建、推出和服务贷款和存款产品。 漏洞发现 白帽小哥正在测试的子域有两个权限Admin&User，他们在这两个权限之中发现了...
2024年6月25日
如何大规模搜寻泄露的敏感文件
背景介绍 随着纸质文件越来越不受欢迎，现在相当一部分重要数据和文件都存储在互联网上。 每天都有许多关于公司敏感文件泄露的消息被爆出，这些文件原本是供员工、投资者内部使用，或用于管理内部业务，如果不采取...