По поводу сегодняшнего случая на DTF
Там есть блок опросов, который при загрузке страницы опрашивает по API его результаты - сколько за какой вариант проголосовали в числах и процентах, общее кол-во голосов и выбранный юзером вариант
КАК ОКАЗАЛОСЬ, на сайте при вызове метода в него просто подставляется hash опроса, после чего делается запрос на api.dtf.ru/v2.9/quiz/$HASH/results. Что же в этой схеме много пойти не так? Ну, например то, что сервер не валидировал HASH, а клиент ему слепо верит. Т.е. можно было при помощи простой схемы с ../ в хэше вызвать любой другой метод. Например redirect, который перенаправляет пользователя на сторонний сайт через 301 код.
По этому поводу я отписал Филлипу, на что получил ответ, что они проверят. На следующий день дыра была закрыта, но...
Но они просто заблочили точку и слеш в хеше...
Поэтому достаточно было просто закодировать два этих символа через URL encoding и продолжать красть токены через опросы...
Кстати, мобильное приложение этому подвержено не было, хз почему
Там есть блок опросов, который при загрузке страницы опрашивает по API его результаты - сколько за какой вариант проголосовали в числах и процентах, общее кол-во голосов и выбранный юзером вариант
КАК ОКАЗАЛОСЬ, на сайте при вызове метода в него просто подставляется hash опроса, после чего делается запрос на api.dtf.ru/v2.9/quiz/$HASH/results. Что же в этой схеме много пойти не так? Ну, например то, что сервер не валидировал HASH, а клиент ему слепо верит. Т.е. можно было при помощи простой схемы с ../ в хэше вызвать любой другой метод. Например redirect, который перенаправляет пользователя на сторонний сайт через 301 код.
По этому поводу я отписал Филлипу, на что получил ответ, что они проверят. На следующий день дыра была закрыта, но...
Но они просто заблочили точку и слеш в хеше...
Поэтому достаточно было просто закодировать два этих символа через URL encoding и продолжать красть токены через опросы...
Кстати, мобильное приложение этому подвержено не было, хз почему
Forwarded from /dev/stdout (direktor interneta)
очередной день когда я указываю эту почту для отправки чека в кфс
Forwarded from /dev/stdout (direktor interneta)
Ньюсач/Двач
❗️Угроза атаки БПЛА объявлена в Республике Татарстан и Самарской области, сообщили в МЧС
Штош...
Видимо, сегодня без договорнячка...
Видимо, сегодня без договорнячка...
Чё пацаны джейлбрейк на актуальной ios?
Telegram
Информация опасносте
для пользователей iPhone/iPad будет полезно проапдейтиться до последнего релиза 18.3 — там очень много фиксов, связанных с безопасностью, включая такие, что “Apple is aware of a report that this issue may have been actively exploited against versions of iOS…
Ну что, достаем финкпады на ХРюше и спидраним бан в дискорде?)
Telegram
Эксплойт