赚取50000美元的5个顶级 XSS PoC
通过 5 个顶级 PoC 学习精英白帽寻找 XSS 的方法与技巧。 PoC1:文件上传+CSRF 寻找易受攻击的端点 在支持聊天功能的窗口拦截文件上传(Burp Suite → POST /uploa...
骨哥说事公众号首发地
通过 5 个顶级 PoC 学习精英白帽寻找 XSS 的方法与技巧。 PoC1:文件上传+CSRF 寻找易受攻击的端点 在支持聊天功能的窗口拦截文件上传(Burp Suite → POST /uploa...
概述 安全研究员 gamer7112 通过利用配置错误的 postMessage 处理器,在 Upserve 的登录页面(https://inventory.upserve.com/login/)上发...
背景介绍 漏洞位于“organization name”(组织名称)字段,由于该字段接受并存储了未经过滤的用户输入,因此这些输入一旦被呈现在公共页面上,恶意的 Javascript 代码就会在用户的浏...
前言 当 Web 应用程序采用 URL 参数并将用户重定向到指定的 URL 而不对其进行验证时,就会发生开放重定向。 /redirect?url=https://evil.com –>...
前言 今天和大家分享一个国外白帽子在一个私有赏金项目上有趣发现的故事。 发现 通过 Subfinder白帽小哥发现一项服务只提供了一个注册表单和一个个人资料页面,此外,还可以注册参加不定期的特定调查。...
前言 一次渗透测试中,白帽小哥发现了 2 处 CSRF 漏洞,但不幸的是 CSRF 不在赏金范围内。 于是小哥开始尝试搜索JS文件,白帽小哥通常的做法是利用Chrome的开发者工具搜索特定的关键字或A...
1.central.uber.com的开放重定向漏洞 厂商:Uber 赏金奖励: $8,000 漏洞披露:未披露 2.uber.com 的开放重定向及反射XSS多个漏洞 厂商:Uber 赏金奖励:$3...
前言 遇到WAF相信大家会很沮丧,今天就分享一个绕过WAF实现XSS的基本思路。 通过上图可以看到中间的CloudFlare防火墙将作为右侧服务器的代理服务器。 服务器是labs.hackxpert....
前言 该APP在Hackerone上为“私有项目”,白帽小哥在该APP中发现了一处有趣的Bug,分享给各位。 故事开始 该APP有两个Activity。 一个我们姑且称之为com.activity.w...
背景介绍 今天分享国外一个白帽小哥Crypto通过发现Apple某网站XSS而获得5000美元赏金的故事。废话不多说,让我们开始吧~ 狩猎过程 易受攻击的 Apple 服务网站是:https://di...