A 250$ CSS Injection — My First Finding on Hackerone!を訳してみた

Hello there, ('ω')ノ

250 ドルの CSS インジェクションを。

　CSS インジェクション

記事：

今回は、どのように CSS インジェクションを発見し、ハッカーの公開プログラム内。

それを悪用したかを伝えるための初めての媒体で。

ページを開くと、国旗を変更する機能があることに気がついたので。

この機能がどのように機能するかを分析して。

国旗を変更するには、このエンドポイントに GET リクエストを送信するだけで済んで。

そこで、「country」パラメータの値をランダムな値に変更すると値が反映されて。

サイトは style 属性内で国パラメータを呼び出し、「.svg)」の後に追加し。

これを見て、XSS を悪用するさまざまな手法をテストし始めましたが。

残念ながら効果はなく。

しばらくして、CSSを作成したとき、「/*」を使用して「.svg)」を。

コメントしたことを思い出したので。

これをロードの最後に配置すると、その要素のスタイル全体を制御できるようになり。

概念実証：

この欠陥はフィッシング攻撃に利用される可能性がありますが。

ユーザ情報を盗むには、被害者が古いブラウザを使用する必要があり。

残念ながら、「スタイル」属性から抜け出すことはできず。

そこで、低い失敗として報告することに。

学んだ教訓：

このエンドポイントはかなり前から利用可能であり、多くのハッカーはこの時点で。

Dalfox のようなツールを通過したばかりであり。

Dalfox には欠陥が見つからなかったため、この機能は安全であると結論付けて。

ツールを 100% 信頼してはならず、常にコンテキストを分析して。

反省することを学んでいただければ幸いで。

Best regards, (^^ゞ

Shikata Ga Nai