XSS на ozon.ru

Discussion in 'Уязвимости' started by oliday, 12 Jan 2016.

  1. oliday

    oliday Member

    Joined:
    6 Jan 2016
    Messages:
    16
    Likes Received:
    25
    Reputations:
    11
    Приступим.
    Дело было вечером, Делать было нечего.
    Я рыскал по всему рунету в надежде найти 1 интересную вещь. (Модель ноутбука)
    Как вдруг я наткнулся на ozon.ru
    Уже позже я узнал, что это 1 из крупных магазинов в рунете.
    Мне стало очень интересно что это за магазин?
    И от своего "природного" интереса я ввёл в строку поиска:
    </script>alert(1)</script>
    Я увидел, что сервер оставил только alert(1)
    Это уже значило что фильтровал он самую малость.
    ( в данном случае он смог отфильтровать только <script> )
    Ну что же.
    Я вспомнил, что читал на хабре про приём с Unicode.
    Приступим.
    Откопав таблицу знаков Unicode, я перекодировал payload.
    получилось вот это:
    u0061lert("hack")
    Далее я проверил фильтруются ли следующие символы:
    ',|,\,) и другие.
    И получил на выходе:
    '|\u0061lert("hack")|'
    Ну что же, проверим?
    [​IMG]
    ну, так вот.
    немного обрадовался. Пошёл писать в поддержку озона.
    увы, но не все ценят "безопасность".
    [​IMG]
    Это лишь пример.
    кому не так трудно, накиньте на чай.
     
    #1 oliday, 12 Jan 2016
    Last edited: 13 Jan 2016
    ArmusIAm, gQd, Payer and 4 others like this.
  2. 5maks5

    5maks5 Elder - Старейшина

    Joined:
    29 Aug 2010
    Messages:
    452
    Likes Received:
    264
    Reputations:
    40
    Работает до сих пор. Пруф. Зелени этому господину и вперед - за куками?
     
    erwerr2321 likes this.
  3. Zen1T21

    Zen1T21 Member

    Joined:
    13 Jan 2013
    Messages:
    157
    Likes Received:
    37
    Reputations:
    2
    '|alert("hack")|'
    И так работает
     
  4. erwerr2321

    erwerr2321 Elder - Старейшина

    Joined:
    19 Jun 2015
    Messages:
    4,229
    Likes Received:
    26,181
    Reputations:
    147
    Умница! ВСЁ работает!
     
  5. BabaDook

    BabaDook Well-Known Member

    Joined:
    9 May 2015
    Messages:
    1,066
    Likes Received:
    1,565
    Reputations:
    40
    в хроме работает
     
  6. kingbeef

    kingbeef Reservists Of Antichat

    Joined:
    8 Apr 2010
    Messages:
    373
    Likes Received:
    164
    Reputations:
    126
    Такой код не сработает никогда.
     
    _________________________
    moveax3 and ArmusIAm like this.
  7. 5maks5

    5maks5 Elder - Старейшина

    Joined:
    29 Aug 2010
    Messages:
    452
    Likes Received:
    264
    Reputations:
    40
    Fixed.
     
  8. oliday

    oliday Member

    Joined:
    6 Jan 2016
    Messages:
    16
    Likes Received:
    25
    Reputations:
    11
    коллега нашел sql иньекцию.
    сплоит почти дописан.
    посмотрим на реакцию азона.
    возможно продадим в хорошие руки)
    удачи
     
  9. erwerr2321

    erwerr2321 Elder - Старейшина

    Joined:
    19 Jun 2015
    Messages:
    4,229
    Likes Received:
    26,181
    Reputations:
    147
    Тоесть ты решил и эту язву загубить?!

    :(
     
    Payer likes this.
  10. oliday

    oliday Member

    Joined:
    6 Jan 2016
    Messages:
    16
    Likes Received:
    25
    Reputations:
    11
    я им отписал о находке.
    ежели нету наград, то пусть пойдут лесом...
    я лучше тут продам или на хф.
    пусть бд льют.
    похуй
     
    Payer and private_static like this.
  11. 5maks5

    5maks5 Elder - Старейшина

    Joined:
    29 Aug 2010
    Messages:
    452
    Likes Received:
    264
    Reputations:
    40
    А суть? Каталог Озона доступен для выгрузки. Пароли - под хэшем.
    В чем цимус, Карл?)
     
    moveax3 likes this.
  12. smack

    smack Active Member

    Joined:
    25 Aug 2013
    Messages:
    210
    Likes Received:
    157
    Reputations:
    3
    База для email/sms рассылки.
     
  13. 5maks5

    5maks5 Elder - Старейшина

    Joined:
    29 Aug 2010
    Messages:
    452
    Likes Received:
    264
    Reputations:
    40
    Слабый аргумент. Баз для рассылок итак пруд-пруди.
     
  14. {iddqd}

    {iddqd} Member

    Joined:
    22 Dec 2011
    Messages:
    170
    Likes Received:
    97
    Reputations:
    2
    какеры думают, что там номера кредиток прямо в текстовом файле на рабочем столе лежат
     
  15. erwerr2321

    erwerr2321 Elder - Старейшина

    Joined:
    19 Jun 2015
    Messages:
    4,229
    Likes Received:
    26,181
    Reputations:
    147
    Ты сообщил, они пофиксили!
    Сообщи за вторую и её постигнет та же участь!
    Всё в нормах... white!
    Но ты ж хотел монетизировать находку...? тогда мне не понятен этот твой
    :)
     
    Found likes this.