shikata ga nai

Private? There is no such things.

FFUF and my first bountyを訳してみた

Hello there, ('ω')ノ

 

FFUFと私の最初の賞金を。

 

脆弱性:

 情報開示

 

記事:

 https://infosecwriteups.com/my-first-bug-bounty-21d3203ffdb0

 

ツール:

 pprof

 ffuf

 

XSSは現在巨大で、IDORS、HTTP Request Smuggling、SQLiなどと一緒に。

テストする必要がある上位5つの項目の1つであることは間違いなくて。

機密データの公開は、次のエンドポイントにあって。

 /debug/pprof/

 

Golangのnet/http/pprofパッケージは非常に強力で。

実行中の本番サーバをデバッグするのは簡単で。

 http://mmcloughlin.com/posts/your-pprof-is-showing

 

f:id:ThisIsOne:20211105173419p:plain

 

 https://pkg.go.dev/net/http/pprof

 

f:id:ThisIsOne:20211105172415p:plain

 

これらは基本的に、アクセスできないはずのいくつかのサーバー情報や。

パス、ソースコード、その他のファイルをリークしていて。

 https://vuldb.com/?id.141032

 

f:id:ThisIsOne:20211105172809p:plain

 

では、これらのタイプの脆弱性をどのように見つけるかというと。

まず、スコープ内のサブドメインのリストをコンパイルして。

.txtファイルとして保存して。

次に、Goで記述された高速Web fuzzerであるFFUFを使用して、リストを調べて。

/debug/pprof/でサブドメインをスキャンして、200の応答を探して。

以下では、FFUFのソースコードとそれを実行するために必要な。

コマンドが含まれていて。

 https://github.com/ffuf/ffuf

 

f:id:ThisIsOne:20211105172837p:plain

 

スキャンした後、同じプログラムの下に。

何百もの開いている/debug/pprof/dirsが見つかって。


脆弱性報奨金の捜索は困難で、最近では、一般に公開されることで急増していて。

賞金の有無にかかわらず、すべてのプログラムに参加するように。

最善を尽くすことで。

すべてのプログラムがポイントを獲得して。

プライベートプログラムへの招待状を取得するために使用できて。

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain