shikata ga nai

Private? There is no such things.

Forcing for a bounty$$を訳してみた

Hello there, ('ω')ノ

 

賞金のための強制を。

 

脆弱性:

 承認の欠陥

 

記事:

 https://rafi-ahamed.medium.com/forcing-for-a-bounty-b637c468d7bd

 

ツール:

 Burp Suite

 

強制ブラウジングとは、攻撃者がアプリケーションによって。

参照されていないリソースを列挙してアクセスすることを目的とした攻撃で。


どうやってバグを見つけたかというと。

HackerOneのプライベートサイトをテストしていて。

そのサイトは教育用ビデオを販売していて。

ユーザは支払いなしでビデオのプレビューを行うことができて。

しかし、ビデオのプレビューは15秒以内で。

そこに脆弱性があって。

 

いつものように、Burp Suiteを使用してインターセプトをオンにして。

以下のようなエンドポイントに気づき。

 

f:id:ThisIsOne:20211014155422p:plain

 

しかし、エンドポイントは別のサブドメインにあったので。

サブドメイン名を見ると、組織はこのサブドメインを使用して。

すべてのビデオやその他のものを保存していることがわかて。


それで、すぐにエンドポイントにアクセスして。

何かを見つけることができるかどうかを確認することに。

しかし、何も得られず。

 

f:id:ThisIsOne:20211014155519p:plain

 

次に、エンドポイントに下記のようなものがあることに気付くことに。

下記を取り外してみると。

 .thumb.trailer

 

f:id:ThisIsOne:20211014155539p:plain

 

完全なビデオを手に入れたことに驚いて。

これで、支払いなしで有料のビデオを見ることができて。

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain