👩🏾‍⚖️ 🚉 🚰 जैसा कि मैंने "हबराब्र" या 10+ सक्रिय XSS को क्रैक नहीं किया 😉 👨‍✈️ 👯

हर कोई एक सुंदर नीले हब्रहाब पर एक्सएसएस की तलाश करने के लिए कैसे दौड़ा, यह देखकर उसने अपनी किस्मत आजमाने का फैसला किया। POST-s स्वयं xss, कई संदर्भों और वैक्टरों में बेकार, सबसे लोकप्रिय ब्राउज़रों (क्रोम / सफारी / यानी आदि) में फ़िल्टरिंग से शुरू होता है और उनके उपयोग और संचालन की जटिलता के साथ समाप्त होता है, यह बाकी के अग्रदूतों को छोड़ने और कुछ और की तलाश में जाने का निर्णय लिया गया था खड़ा है।

नंबर एक की कोशिश

सबसे पहले, प्राधिकरण और पंजीकरण की जांच करने का निर्णय लिया गया। मुझे याद आया कि "अद्भुत" XSS इस पोस्ट में पाया गया, जाहिरा तौर पर कुछ दिन देर से (और अगर थोड़ा पहले खोजा जाए तो क्या होगा?)। मैं XSS की खोज और परीक्षण के लिए गर्भपात उपकरणों का प्रशंसक नहीं हूं और क्रोम में निर्मित बहुत सुविधाजनक कार्यक्षमता पसंद करता हूं, जो आपको सभी हेडर को कर्ल में कॉपी करने और कंसोल के माध्यम से उपयोग करने की अनुमति देता है।

मापदंडों के साथ खेलने और कुछ भी नहीं खोजने के बाद, आदत से बाहर मैंने जाँच की कि 302 पुनर्निर्देशन गलत रास्ते के मामले में कैसे काम करता है और यह पता चला कि यह मुख्य डोमेन से पूरी तरह से अलग था।
सर्वर को भेजकर:

curl 'https://auth.habrahabr.ru//%22%3E%3Ch1%3Etest'

एक बहुत ही दिलचस्प जवाब मिला:

 <html> <head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8"> <title> !</title> </head> <body> <a href="http://habrahabr.ru/auth/"><h1>test/">http://habrahabr.ru/auth/&quot;&gt;&lt;h1&gt;test/</a> </body> </html>

जैसा कि आप अनुरोध से देख सकते हैं, पहली uri डालने को फ़िल्टर नहीं किया गया है, दूसरा फ़िल्टर किया गया है, यही कारण है कि XSS पहली नज़र में दिखाई देता है। हालांकि, नियमित ब्राउज़र के माध्यम से हमले की कोशिश करने और वादा किए गए एक्सएसएस को नहीं देखने के बाद, मैंने गहराई से खुदाई करने का फैसला किया और देखा कि चालाक सर्वर ने न केवल अंत में एक स्लैश जोड़ा, क्योंकि सर्वर ने हमें रीडायरेक्ट (वेब सर्वर के लिए एक अजीब नियम) के बजाय 404 वां दिखाया? habrahabr.ru/auth/%xss% पर भी फेंकता है, हमारे बग से बीएफएफ को निष्पादित करने का समय है। पहली समस्या को जल्दी और आसानी से हल किया गया था - जो कुछ भी करना था, उसे डाल दिया गया था "?" ताकि बाकी सब कुछ एक जीईटी पैरामीटर के रूप में "गिरा दिया" जाए:

curl 'https://auth.habrahabr.ru//%22%3E%3Ch1%3Etest?'

अब जवाब इस तरह से देखा गया:

 <html> <head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8"> <title> !</title> </head> <body> <a href="http://habrahabr.ru/auth/"><h1>test?/">http://habrahabr.ru/auth/&quot;&gt;&lt;h1&gt;test?/</a> </body> </html>

दूसरी समस्या मैं हल नहीं कर पा रहा था। IE <8 पर या उसी कर्ल के अलावा, कोड को हठपूर्वक निष्पादित करने का समय नहीं मिला।
यह कि मैंने दु: ख के साथ प्रयास नहीं किया, उदाहरण के लिए, मेटा-रिफ्रेश हटाने के लिए:

 var mr = document.getElementById("meta-refresh"); mr.parentNode.removeChild(mr);

लेकिन, दुर्भाग्य से, ताज़ा करने के शून्य समय ने मुझे कोई मौका नहीं छोड़ा और मैं आगे की खोज पर चला गया, क्योंकि इस तरह की अकुशलता मुझे शोभा नहीं देती थी।

प्रयास नंबर 2

पहली फ़ाइल के बाद, साइट के अन्य भागों में अपना हाथ छोड़ने और उनका प्रयास नहीं करने का निर्णय लिया गया था। Google और जादुई Google के उपयोग से, विभिन्न कंपनियों के भुगतान किए गए प्रोमो कंपनियों के कई पुराने और नए पृष्ठ पाए गए। सबसे हालिया प्रोमो पृष्ठों ने सभी हमलों का बहुत गंभीरता से विरोध किया, आउटपुट बच गया, कुछ स्थानों पर दो बार भी। विभिन्न प्रतियोगिताओं को याद करते हुए, जहां हेबर ने सामान्य लोगों को पंजीकरण करने की अनुमति दी, मैं habrahabr.ru/special/miss पर गया और पंजीकरण में विशेष पात्रों के साथ एक उपनाम का उपयोग करने की कोशिश की:

पंजीकरण की पुष्टि करते हुए, मैंने लंबे समय से प्रतीक्षित चेतावनी देखी:

उस पर निवासी होना असंभव था, क्योंकि यह प्राधिकरण के बाद प्रदर्शित होता है, उस ब्लॉक में जिसे उपयोगकर्ता देखता है। बेशक, आप CSRF के माध्यम से उपयोगकर्ता को अधिकृत कर सकते हैं (यह केवल प्राधिकरण के रूप में था), और फिर इसे हमारे XSS पर पुनर्निर्देशित किया, लेकिन ये हमारे तरीके नहीं हैं।

कुकीज या कहीं और उसकी आईडी न मिलने पर, उसने अधिकतम प्रोफ़ाइल आईडी के माध्यम से छाँटना शुरू किया और पाया:

शायद यह रोक सकता है और प्रशासन को रिपोर्ट कर सकता है, एक सक्रिय XSS है, कोई भी ब्राउज़र फ़िल्टर इसके लिए डरावना नहीं है ... लेकिन ... लेकिन मुझे अधिक चाहिए था!

गूगल की शक्ति

हैब्राभ सक्रिय xss डॉर्क:

site:.habrahabr.ru/special inurl:register

Google ने लगभग 10+ परिणामों का उत्पादन किया, जिनमें से अधिकांश थे, कुछ आम तौर पर मुश्किल से काम करते थे, आंशिक रूप से कवर किए गए थे, जैसे कि habrahabr.ru/special/panasonic/3d ।
मैंने एक बमर को पंजीकृत करने और देखने की कोशिश की: उपयोगकर्ता नाम वाला पैनल नहीं खुला, टिप्पणियां नहीं भेजी गईं ... कुछ भी काम नहीं किया। कुछ भी काम नहीं किया जब तक मैंने पृष्ठ के स्रोत को नहीं देखा और एक अद्भुत चीज देखी:

एक चौकस व्यक्ति तुरंत पंजीकरण के दौरान उपनाम की शुरुआत में जोड़ देगा "->" और पूरी तरह से काम करने वाली वेबसाइट प्राप्त करें:

HTML में क्या दिखता है:

फिर मैं सभी प्रकार के विशेष पृष्ठों से गुजरा और प्रशासन और इस लेख के लिए स्क्रीनशॉट एकत्र किए।
टिप्पणियों में प्रोफाइल आउटपुट में XSS:

कुछ परियोजनाओं पर समान XSS:

परिणाम

नतीजतन, 10 से अधिक सक्रिय एक्सएसएस पाए गए (हालांकि उनके बीच लगभग तीन अलग-अलग प्रकार के सत्य थे) और एक निष्क्रिय अंडर-एक्सएसएस, जिसके लिए 100,500 उपहार आमंत्रण मेरे मेल में आए! शायद मैंने अनइंस्टॉल किए गए पृष्ठों को छोड़ दिया, या बस इन प्रोमो के कुछ स्थानों पर अनफ़िल्टर्ड डेटा आउटपुट को नोटिस नहीं किया, लेकिन फिलहाल सबकुछ तुरंत प्रशासन द्वारा तय किया गया था, जिसके लिए बहुत धन्यवाद!

जैसा कि मैंने "हबराब्र" या 10+ सक्रिय XSS को क्रैक नहीं किया

नंबर एक की कोशिश

प्रयास नंबर 2

गूगल की शक्ति

परिणाम

More articles: