Shikata Ga Nai

Private? There is no such things.

A great weekend hack(worth $8k)を訳してみた

Hello there, ('ω')ノ

 

素晴らしい週末のハック (8,000 ドル相当)を。

 

脆弱性

 SQL インジェクション

 IDOR

 保存された XSS

 

記事:

 https://infosecwriteups.com/a-great-weekend-hack-worth-8k-9bfda8ab65b9

 

下記が今回、見つけたバグで。

 SQL インジェクション

 保存された XSS

 IDOR (読み取り専用)

 

SQL インジェクション:

これらの SQL インジェクションは、Burp Suiteの MATCH & REPLACE 機能から。

見つけたエラー ベースの SQL インジェクションで。

それが何かわからない場合は、次のようになり。

 

 

ここで、ご覧のとおり、param 値と他の多くのものを定義して。

目的の入力に一致させて置き換えることができ。

たとえば、パラメータ値を変更する必要があるパラメータ値の項目を追加し。

test > test' で結果が得られて。

 

match and replace がそれを見つけると、Burp自体で別の反応を見ることができ。

詳細については、次のようになり。

 

 

リクエストを切り替えると、結果が得られ。

その後、それを SQLmap に送信したところ、そこからデータを取得でき。

どのように見えるかを説明する必要はなく。

 

2 回目の SQL インジェクションも同じように発生し。

今回は test の代わりに test'' を追加しただけで、さらにエスカレートして。

データをダンプできる別のエンドポイントで発生して。

ただし、このために複数の非常に才能のある SRT と連絡を取る必要があって。

 

保存された XSS

それらのうちの 2 つを取得し、両方を獲得し。

これらの XSS は非常に単純で、まっすぐ進み。

入力フィールドでこのペイロードを 2 回使用する必要があり。

いくつか試してみましたが、うまくいきませんでしたが、これはうまくいって。

JS出力を見ていくつかのフィルタをバイパスする必要があり、それが反映されて。

 

 ‘><input autofocus onfocus=alert(1)>

 

これは 2 回発生し、autofocus 属性を使用して JS を反映する有名な XSS であるため。

同じペイロードXSS が 30 ~ 35 件以上報告されていると思われて。

 

IDOR:

ID が変わった他の人のデータを見ることができ。

2 か所で見つかりましたが、受け入れられたのは 1 つのレポートだけで。

IDOR はかなり一般的であり、今でもあちこちで見られ。

これには、Burpの拡張機能である AutoRepeater を使用し。

これには、ものを一致させて置き換えるオプションもあって。

 

 

ヒント:

マッチングと置換機能を使用して、バウンティでゲームを自動化し。

最も重要なことは次のとおりで。

ここには新しいものは何もありませんでしたが、そこから得られるものは。

時間をかけてすべてをチェックすることで。

 

Best regards, (^^ゞ