Cross-Site-Scripting (XSS), yıllardır zafiyet listelerinde kendine ilk sıralarda yer bulan ve halen özellikle birçok web uygulamasında bulunabilen önemli zafiyetlerden biri. Hal böyle olunca ödül avcılığı programlarının da hatırı sayılır ödüller kazandıran güvenlik açıklarından birisi olması kaçınılmaz oluyor.
Bu yazımızda Hackerone bug bounty platformu üzerinden toplamda 9.150 dolar ödül kazanmış beş raporun teknik incelemesini yapacağız ve bu raporlar vasıtasıyla özellikle dikkat etmemiz gereken noktalara değineceğiz.
Glassdoor.com – Reflected XSS
Tür: Reflected- Ödül: 500 $
Güvenlik araştırmacısı raporunda glassdoor.com’da bir reflected xss açığı bildiriyor.
İlk olarak araştırmacının kanıt olarak sunduğu bağlantıyı incelemeye alalım ancak bağlantı adresi biraz karmaşık görünüyor. Bu nedenle bir “url decoder” yardımıyla bağlantıyı daha okunaklı hale getirelim.
https://www.glassdoor.com/Location/All-Tesla-Office-Locations-E43129.htm?DIFFICULT=> (1)
Evet biraz daha okunaklı hale geldi ve şimdi daha iyi bir inceleme yapabiliriz.
Araştırmacı hazırlamış olduğu javascript koduna klasik