hackerone上TOP5的开放重定向漏洞
1.central.uber.com的开放重定向漏洞 厂商:Uber 赏金奖励: $8,000 漏洞披露:未披露 2.uber.com 的开放重定向及反射XSS多个漏洞 厂商:Uber 赏金奖励:$3...
骨哥说事公众号首发地
1.central.uber.com的开放重定向漏洞 厂商:Uber 赏金奖励: $8,000 漏洞披露:未披露 2.uber.com 的开放重定向及反射XSS多个漏洞 厂商:Uber 赏金奖励:$3...
前言 遇到WAF相信大家会很沮丧,今天就分享一个绕过WAF实现XSS的基本思路。 通过上图可以看到中间的CloudFlare防火墙将作为右侧服务器的代理服务器。 服务器是labs.hackxpert....
前言 该APP在Hackerone上为“私有项目”,白帽小哥在该APP中发现了一处有趣的Bug,分享给各位。 故事开始 该APP有两个Activity。 一个我们姑且称之为com.activity.w...
背景介绍 今天分享国外一个白帽小哥Crypto通过发现Apple某网站XSS而获得5000美元赏金的故事。废话不多说,让我们开始吧~ 狩猎过程 易受攻击的 Apple 服务网站是:https://di...
DOM XSS 一键帐户接管 寻找 DOM XSS 在登录流程的第 8 步, next 参数的值将放置在目标属性中,然后客户端 JavaScript 将使用该属性来重定向网页。 正如上图所看到的,目标...
背景介绍 今天,分享国外 Frog Sec 安全团队研究的一个案例,将看似简单的 DOM XSS 升级为复杂的一键式帐户接管,该攻击允许攻击者从应用程序的电子邮件发送合法的登录链接,当(无论是未经身份...
前言 最近一直在看国外的赏金平台,绕waf是真的难受, 记录一下绕过的场景。 初步测试 一开始尝试XSS,发现用户的输入在title中展示,那么一般来说就是看能否闭合,我们从下面图中可以看到,输入尖括...
背景介绍 今天来分享一位来自叙利亚安全研究员的一个挖洞案例,来看看他是如何将Self-XSS升级为存储型XSS的。 漏洞发现 由于漏洞披露原则,暂将目标网站统称为redacted.com,我们的白帽小...
背景介绍 今天来分享国外一位18岁白帽Amir Abbas的故事,让我们来看看他是如何在一个Web网站中最终获得7000美元赏金奖励的吧。 目标选择 话说某一天,白帽小哥经朋友介绍拿到一个 Hacke...
背景介绍 今天来分享2位国外白帽子在去年7月份,通过200小时(每天花上4-6小时)黑客挑战赛,最终收获$20,300美元赏金的故事。 选择目标 他们选择的目标是一家著名的大公司,因为该公司在赏金网站...