Пятничное

Если получилось найти XSS, но CSP блокируют отправку данных на сторонний домен, можно проверить, нет ли на сайте в исключении Google Analytics.

Практически каждый сервис шлет аналитику, поэтому разработчикам приходится добавлять в белый список домен google-analytics.com.

Мы можем создать собственный трекер и использовать его для эксфильтрации и обхода правил. Пример со скриншота отправляет креды с JS-кейлоггера, которые отобразятся в личном кабинете.

https://github.com/usdAG/cstc

Расширение, которое нативно интегрирует все доступные преобразования из CyberChef в Burp Suite. Позволяет "на лету" использовать создаваемые "рецепты" в Intruder и Repeater.

Статья с примерами использования из блога разработчиков.

https://github.com/channyein1337/jsleak

It is easy-to-use command-line tool designed to uncover secrets and links in JavaScript files or source code. The jsleak was inspired by Linkfinder and regexes are collected from multiple sources.

Features:
— Discover secrets in JS files such as API keys, tokens, and passwords.
— Identify links in the source code.
— Complete Url Function
— Concurrent processing for scanning of multiple Urls
— Check status code if the url is alive or not

https://www.youtube.com/watch?v=zDB-SdT6_FI

С выходом нового видео, вспомнил о нескольких репозиториях с неплохими однострочники

https://github.com/twseptian/oneliner-bugbounty
https://github.com/KingOfBugbounty/KingOfBugBountyTips
https://github.com/dwisiswant0/awesome-oneliner-bugbounty

Дамп от UHG. Базы данных сайта косметики podrygka.ru.

В опубликованном сэмпле 200,025 пользователей со следующими данными:
— номер телефона
— ФИО
— хэш пароля
— емейл
— дата регистрации
— дата последнего входа

Всего слили около 2кк. строк.

Еще один способ обхода AWS WAF (прошлый читать тут).

Если в качестве тела запроса отправить JSON с чем-то вроде
{
  "cmd": "cat /etc/passwd"
}
то AWS WAF заблокирует запрос.

Но если отправить тот же JSON, но уже с двумя одинаковыми ключами

{
  "cmd": "foo",
  "cmd": "cat /etc/passwd"
}

То WAF выдаст ошибку Invalid JSON, так как парсит согласно RFC 8259. Этот стандарт говорит о том, что ключи должны быть уникальными.

Как обработается эта ошибка - определяется на уровне конфигурации. По умолчанию она настроена так, чтобы WAF продолжил выполнение запроса, независимо от того, что встретил недопустимый JSON.

А язык программирования, на котором написано само приложение, например, Javascript, руководствуется уже ECMA-262. Этот стандарт указывает, что лексически предшествующие значения для одного и того же ключа должны быть перезаписаны, и подразумевает подход «последнее значение выигрывает».

Поэтому AWS WAF выдаст ошибку, но пропустит запрос (вместе с пэйлоадом) к приложению из-за мисконфига, а приложение корректно обработает его и считает последний ключ.

Литрес.

В опубликованном сэмпле 3,083,410 строк с данными пользователей, среди которых:
— логин
— хэшированный пароль
— электронная почта
— ФИО
— дата продления подписки

Была сдамплена все таблица `users`, это более 97кк. строк.

https://github.com/robre/jsmon

Скрипт для мониторинга изменений в Javascript файлах. Принимает на вход ссылки, которые будут регулярно обходиться краулером. Сравнивает изменения и отправляет diff в Telegram.

https://appsec.guide/

Руководство по автоматизированному поиску уязвимостей от компании Trail of Bits. Рассказывают о процессах статического и динамического анализа, которые они используют в своей работе.

Пока что опубликована только одна глава, — про использование Semgrep и написание для него правил.