Часто встречаю мнение во всяких ИБ телегочатикаx, что на "старых" ББ программах профита не найти, все выпотрошено и вообще ну его нахуй. И подавайте нам свежий скоуп. Особенно ярко это проявилось, когда VKшечка только-только выкатила свои программы на стэндоффе365. Отчасти это конечно верно, но всегда есть нюанс.

Позапрошлым летом я решил поскрипткиддить на программах от Microsoft. И решил подготовить для вас серию коротких врайтапов, которые буду периодически постить. Ключевой идеей является то, что баги есть везде, порой на самом очевидном месте. И даже почтенный возраст ББ программы этому не помеха.

Посты будут сопровождаться скринами оригинального репорта с пруфами баунти.

Что ж, поехали.

Кейс №1

Я очень уважаю гуглдорки и сопутствующие сервисы типа waybackmachine. Идея простая, проходимся по интересующим нас доменам, собираем все, что содержит параметры в GET запросе, обрабатываем чем-нибудь массовым для профита. Например SQLmap(sqli), dalfox(xss), fuff(ssrf) и так далее. При желании можно вообще все это объединить в какой-нибудь темплейт для nuclei, который очень шустрый и гибкий. Но выбор инструментов дело сугубо личное, в зависимости от предпочтений.

Так и вышло с Case number 59881.

Скоуп *.sharepoint.com

Прошелся по гуглам доркам, собрал все в кучу, запихнул через плагин собранные url'ы c параметрами в burp через https://portswigger.net/bappstore/59a829852f914d5a9edb6dcc919dc4e5. В самом бурпе создал конфигурацию, чтобы сканер искал только XSS(хотел посмотреть, как будет работать, скорость, точность и так далее), обрезав все остальные типы сканирования и отрубив другие расширения и плагины.

Довольно быстро посыпались XSS'ки и стало понятно, что мы имеем дело с какой-то архитектурной ошибкой, которая приводит на пользовательских веб экземплярах sharepoint к уязвимости в строго определенном параметре.

Награда - 3k$

Ничего сложного, правда? И все на практически на виду, только протяни руку.

Добра.

#bb

Продолжаю публикацию некоторых моих репортов по ББ от мелкомягких, основной посыл в которых в том, что баги есть везде, порой в самых очевидных местах. Начало тут -> https://t.me/ScriptKiddieNotes/157

Кейс №2

Помню, была ебучая жара, и на съемной квартире не было кондиционера. Плюс мучила прокрастинация, потому что я давно не запускал burp suite.

Так было лениво искать баги, обливаясь потом, но я пересилил себя и зашел в свой личный аккаунт на https://ORGNAME.sharepoint.com/

И знаете что? Ты просто идешь в свой профиль, грузишь SVG файл с xss нагрузкой, и xss отрабатывает в контексте твоей орги, а, не как часто бывает, какого-то cdn ресурса.

С покерфейсом репортнул, конечно.

скрипткидди vs кулхацкеры 2:0

Банути - 3k$

Cпасибо посонам из Редмонда, что не заставили меня долго потеть, и позволили переключиться на что-то более полезное и осознанное - а именно на фарм мобов на пиратском сервере la2, ха-ха.

(Ну если вдруг кто совсем не въехал, это как зайти в свой профиль vk.com, грузануть svg файл с xss нагрузкой в свой аватар на главной, которая отработает в контексте именно vk.сom)

#bb

Пилю прохладную про Яндекс.

Околоббшное.

Полгода назад купил телек и прикрутил к нему ебучий онлайн-кинотеатр.

Телек оказался с заводским браком, обменял на другую модель, прикрутил и к нему онлайн-кинотеатр.

Недавно зашел в раздел "Мое" https://hd.kinopoisk.ru/personal и увидел, что какой чел смотрит кринжовые сериалы с моего аккаунта.

Ну, мы не пальцем деланные, какеры все-таки, идем в настройки, смотрим, ага, "Управление подпиской". Отвязываем старый привязанный девайс -> https://plus.yandex.ru/my

Логично, вроде, да?

Я успокаиваюсь(еще бы, какой-то хуй сидит и смотрит за мои бабки говенные сериалы про мусоров, а не аниме) на какое-то время, потом снова захожу в историю просмотров и вижу, что все продолжается.

Напрягаюсь, думаю, бля, может почту ломанули, хуй его знает, меняю пароли(хотя в истории активности чисто) еще раз чекаю что из привязанных девайсов только телек и мой телефон.

Нихуя, чел продолжает наслаждаться контентом.

В итоге, оказалось, что удаление девайсов через ебучий https://plus.yandex.ru/my не оказывет импакта, и эмпирическим путем было понято, что надо идти еще в кинопоиск(где ебучие дегенераты постят свои охуительные рецензии - как-будто кому не похуй и кто-то будет читать их графоманию) -> https://www.kinopoisk.ru/mykp/edit_main/

Какие выводы можно сделать?

Да хуй его знает, тут можно было бы завернуть про всякие эндпоинты и их влияние на функционал приложения, что мол всегда чекайте /v1/, /v2/, с телефончика еще, поменяйте блять GET на POST, ну или вообще еще на PUT, там, все надо тестировать же.

Но я ограничусь тем, что нахуй кинопоиск - лучше буду по старинке смотреть пиратки, ибо в душе я старый морской волк.

Потреблядство приводит к баттхерту)0)0

Добра :3

#bb

На https://github.com/features/code-search/ можно присоединиться к бета-тесту обновленного поискового синтаксиса по гитхабу.

Запилены полноценные регулярные выражения, что делает для багхантеров поиск всяких интересный штук, типа захардкорженных кредов/интересных эндпоинтов и так далее более гибким. Так что теперь можно прокачать и вывести на новый уровень старые добрые гитхабдорки.

#bb