Минцифры запускает новый скоуп для поиска уязвимостей в государственных/социально значимых проектах типа госуслуг.

https://app.bugbounty.bi.zone/companies -> Минцифры России
https://bugbounty.standoff365.com/programs/ - > фильтруйте по "Новизне"

Расчехляйтесь, товарищ майор Родина-мать зовет!

#bb

Надеюсь, у вас все хорошо.

Немного багов перед Новым Годом никому не повредит, тем более, что обещал сделать дисклоуз, а слово надо держать.

Отсылка к https://t.me/ScriptKiddieNotes/229

Srored XSS в функционале поиска.

100k

Пытливый ум мог заметить, что скрин какой-то странный. Ну, так не обрезают картинки с пруфами.

Дело было в том, что задник был вырезаннен намеренно, потому что опытные хантеры по Яндексу сразу поняли бы, что имеет место быть баг в пользовательском поиске. То есть не просто поиск, а пользовательский, настраиваемый.

Далее текст оригинального репорта с пометками в cкобках, чтобы было более понятно.


>Шаги для воспроизведения

>Привет.

>Шаги:

>1. Перейти по PoC url: (По сути конечный результат, на данном этапе может быть непонятно)

>https://yandex.ru/search/site/?text={lol}&searchid=2832732

>2. Кликнуть в поисковую строку, чтобы отобразилась подсказка, XSS тригернется в контексте домена yandex.ru

>3???

>4. Profit!

>Почему:

>1. Cоздаем cвой кастомный поиск на https://site.yandex.ru/ (Яндекс багбаунти энджоер мог и должен был натыкаться на https://site.yandex.ru/. Чтобы ачивнуть ХSS было необходимо добраться до более тонких настроек пользовательского поиска/яузвимых уязвимых полей. Тогда это решалось так - добавляем свой домен, и его же добавляем в исключения, вселенная коллапсирует, и нас пропускает в настройки, что приводит к дополнительным настройкам, там, уже уязвимы поля и просто усидчивость/наблюдательность решает. Ну прост берешь и тыкаешь нагрузку )

>2. В настройках поиска:
>
>Где показывать результаты -> Показать результаты на Яндексе
>
>Поисковые подсказки - > для произвольного поискового запроса, в моем случае это набор "{lol}" добавляем полезную нагрузку в качестве подсказки "><img src=x onerror=alert(document.domain)> и сохраняем. Теперь нагрузка будет показывать при введенем поисковом запросе через подсказку и тригерить XSS. (Например, вводишь символ "a", выпадает полезная нагрузка с XSS, которая не фильтруется и отрабатывает. Вводишь "b/б" - все тоже самое. В итоге при любом вводе первого поискового символа можем добиться XSS)
>
>Тестировалось/воспроизводилось на win 10 64 + Mozilla Browser/Google Chrome
>
>Текущий результат
>https://owasp.org/www-community/attacks/xss/
>
>Ожидаемый результат и рекомендации
>Нет ответа
>
>Тип уязвимости
>Cross Site Scripting (XSS)
>
>Ссылка на скринкаст
>Нет ответа
>
>URL или IP
>https://yandex.ru/search/

Все сразу становится просто и понятно.

Чтож, новгодние на носу. И пора уходить в закат.

Еще пару багов по Яндексу.

1.

Вторая XSS в функционале поиска. Отсылка к https://t.me/ScriptKiddieNotes/259. Все тоже самое - отправная точка это https://site.yandex.ru/

Настраиваем пользовательский поиск с обязательным условием отображения поисковых результатов на главной Яндекса. В итоге там было еще одно уязвимиое поле, все банально до жути, просто стоило чуть попуститься и придти к тесту спустя некоторе время, чтобя взглянуть свежим взглядом.

Все как мы любим - есть уязвимое поле, есть "></script><svg/onload=alert(1)> и далее вы знаете.

100k.


#bb

2. Баг, которым я горжусь, потому что просто разыгралась фантазия.

Отправная точка - Я.Музыка.

Примерный сценарий атаки таков:

- Создаем свой безобидный плейлист, и наполняем его качественным контентом.
- Контент нравится(в теории), его лайкают, по количеству лайков мы можем судить, сколько и как.
- Меняем название этого плейлиста на наше, злобное, с полезноой нагрузкой.
- Имя меняется у всех, кто лайкал, при обновлении странички в браузере
- При генерации кода для вставки на свой сайт не фильтровался юзер инпут и мы могли в названии плейлиста пропихнуть тег <iframe>, закрыть его, и и добавить полезную нагрузку
- Таким образом приходим к тому, что среднестатиcтический пользователь Яндекс.Музыки мог добровольно, без всякой социнжнерии, добавить нагрузку к себе. Ну тут как бы не только XSS, но и что-то типа <?=$_GET[0];

Оригинальная картинка для репорта в аттаче.

Сначала оценили в 10k. Я расстроился, ибо это был полет чистой фантазии а не дрочь на параметры и все такое. Потом меня переспросили в чем суть. Я пояснил. Отправили 80k. Я доволен.

#bb

C наступающим и всех благ :3