CVE-2023-5480
Severity: High
Bounty: 16000$
Обновляем хромы
https://chromereleases.googleblog.com/2023/10/stable-channel-update-for-desktop_31.html

Одобрили мой доклад на Standoff Talks
Рад буду всем кто будет слушать)
https://hackingweek.ru/standoff-talks/#!/tab/662239703-1

Зачитал рэп в эфире moscow hacking week

Для тех кто не был на стэндофф талкс - прочитал доклад про клиент сайд
https://youtu.be/OultSpvKLiQ?si=HJkNMHOQapTE9OJ-

Hacks 3 все!

На этот раз не все так радостно и денежно оказалось. Но хорошо защищенные сервисы тоже надо ломать.

Импакт отсутствует
Деньги присутствуют
P.S. кто там бб вк хейтил?

Решил завести твиттер

https://twitter.com/slonser_

В нем в феврале выпущу ссылки на свой ресерч браузеров, и то почему все говноеды, а я д'Артаньян

Для тех кто не видел.
Яндекс открыл XSSmas

XSS в ID, Почте, Диске
400 000 руб. — 500 000 руб.
XSS в прочих сервисах, с возможностью получения чувствительных данных
300 000 руб. — 350 000 руб.
Blind XSS, срабатывающие во внутренних «админках»
250 000 руб.
XSS в остальных сервисах, без возможности получения чувствительных данных
100 000 руб. — 150 000 руб.

Отправил 1 репортик для галочки, Яндекс исправил давние ошибки и начал действовать молниеносно ( пруф на скрине )
Даю вам фору до нового года, так как умер в делах)

Все пишут итоги года и я попытаюсь.
Что произошло в моей жизни?
- Отправил на регистрацию 20 CVE
- Поучавствовал в Standoff Hacks x2
- Занял в составе CBS топ 2 мира по ctftime
- Нашел серьезный 0day в хроме ( райтап написан, выложу в феврале )
Я не хочу писать много, просто хочу сказать спасибо всем людям, которые были со мной весь этот год
А подписчикам желаю удачных находок в следующем году!

Год начинается с репорта на 0day в net стеке голанга

Почистил канал и хочу его немного переформатировать
Мне встречается много прикольных уязвимости и приколов - хочу как то регулярнее о них рассказывать.

Если у вас есть прикольные референсы форматов - пришлите в комментарии ( буду благодарен )

Так же 25 числа заканчивается NDA на мой 0day в хроме, я думаю какой формат выбрать для публикации ( сейчас в планах просто грузануть на хабр ), если есть другие идеи реализации материала - предлагайте

Ну и для закрепа:
Кто я вообще такой?
- Slonser
- игрок команды  С4T BuT S4D,
- сотрудник SolidLab
- co-founder neplox.security
- Гений, багбаунтер, пентестер и филантроп

Правила канала:
Правил нет, но если вы мне не понравитесь, я вас забаню.

Ну и канал теперь открытый: https://t.iss.one/slonser_notes

#quick #XSS
Многие забывают, что парсинг html на бекенде - довольно сложный процесс. Поэтому на уровне даже стандартных парсеров популярных языков программирования - он не реализован полностью
Рассмотрим код на python:

from html.parser import HTMLParser

class MyHTMLParser(HTMLParser):
    def handle_starttag(self, tag, attrs):
        print(f"{tag}")
        for attr in attrs:
            print(f"  ->{attr[0]}: {attr[1]}")

    def handle_endtag(self, tag):
        pass

    def handle_startendtag(self, tag, attrs):
        print(f"{tag}")
        for attr in attrs:
            print(f"  ->{attr[0]}: {attr[1]}")

    def handle_data(self, data):
        pass

html_string = input()

parser = MyHTMLParser()
parser.feed(html_string)

Этот код выводит теги и их атрибуты.
При этом стандартная библиотека питона не учитывает, что для тегов

"iframe", "noembed", "noframes", "noscript", "plaintext", "title", "textarea", "xmp"

Содержимое не обрабатывается как html теги
Соответственно при вводе:

<textarea><a href="x></textarea><img src=x onerror=alert()//">

Результат парсинга будет выглядеть следующим образом:

textarea
a
  ->href: x></textarea><img src=x onerror=alert()//

В то время как в браузере это будет выглядеть следующим образом:

            <textarea>&lt;a href="x&gt;</textarea><img src="x" onerror="alert()//&quot;">

И соответсвенно выведется alert()
Вещь баянистая, но многие про это забывают при той же эксплуатации Server Side XSS

Попробую такой формат заметок

Golang net/mail address spoofing
Позволяет подменить адрес отправителя/получателя в электронном письме
https://twitter.com/slonser_/status/1746036614508204260
P.S. Эксплуатация происходит при парсинге хедера From, который приходит со стандартного smtp
Условно smtp сервера gmail позволят вам отправить сообщение с хедером

 (<[email protected]>,) <[email protected]>

Что при обработке на бекенде go целевого приложения приводит к ошибкам