一个5000刀的XSS

背景介绍

今天分享国外一个白帽小哥Crypto通过发现Apple某网站XSS而获得5000美元赏金的故事。废话不多说,让我们开始吧~

狩猎过程

易受攻击的 Apple 服务网站是:https://discussions.apple.com,该服务是苹果用户和开发者讨论问题的社区,如果你在这里注册,可以为自己创建个人资料并帮助他人或从他们那里获得帮助。

来看一个简单的配置文件示例:

这是一个简单的个人资料,如上图所示,你可以根据需要编辑"位置"和"个人简介"部分。那么如果在修改时加入XSS Payload的话会怎样呢?

使用的Payload如下:

"><svg/onload=alert(1)>

将上面的Payload放入个人资料的"location"部分,然后...

一个超级简单且容易利用的存储型 XSS 漏洞!通过这种方式可以轻松窃取用户和Apple员工的Cookie。于是白帽小哥立即通过电子邮件联系了 Apple SRC,经过3个月漫长等待,终于收到了一封Apple的回复邮件,如愿以偿获得了赏金奖励!

又是羡慕国外赏金的一天...咳咳~你学废了么?

相关推荐
孤水寒月3 小时前
基于HTML的悬窗可拖动记事本
前端·css·html
祝余呀3 小时前
html初学者第一天
前端·html
安全系统学习5 小时前
【网络安全】Mysql注入中锁机制
安全·web安全·网络安全·渗透测试·xss
耶啵奶膘6 小时前
uniapp+firstUI——上传视频组件fui-upload-video
前端·javascript·uni-app
视频砖家6 小时前
移动端Html5播放器按钮变小的问题解决方法
前端·javascript·viewport功能
lyj1689977 小时前
vue-i18n+vscode+vue 多语言使用
前端·vue.js·vscode
小白变怪兽8 小时前
一、react18+项目初始化(vite)
前端·react.js
ai小鬼头8 小时前
AIStarter如何快速部署Stable Diffusion?**新手也能轻松上手的AI绘图
前端·后端·github
深圳安锐科技有限公司9 小时前
深圳安锐科技发布国内首款4G 索力仪!让斜拉桥索力自动化监测更精准高效
运维·安全·自动化·自动化监测·人工监测·桥梁监测·索力监测
潘锦9 小时前
海量「免费」的 OPENAI KEY,你敢用吗?
安全·openai