Основы этичного веб-хакинга (перевод)
2. Уведомления об отмене подписки в Twitter
Сложность: Низкая
Url: twitter.com
Ссылка на отчет: merttasci.com/blog/twitter-hpp-vulnerability⁷
Дата отчета: 23 августа 2015
Выплаченное вознаграждение: $700
Описание:
В августе 2015 хакер Мерт Таски, отменяя подписку на получе-
ние уведомлений от Twitter, заметил интересный URL:
https://twitter.com/i/u?t=1&cn=bWV&sig=657&iid=F6542&uid=1134885524&nid=22+26
(Я сократил его немного для книги). Вы заметили параметр
UID? Оказалось, что это UID пользовательского аккаунта в
Twitter. Заметив это, он сделал то, что, как я полагаю, сдела-
ли бы большинство хакеров, он попытался изменить UID на
чужой и… ничего. Твиттер вернул ошибку.
Многие сдались бы, но Мерт был настроен решительно и
попробовал добавить второй параметр UID к URL, который
теперь выглядел так (опять же, я сократил):
https://twitter.com/i/u?iid=F6542&uid=2321301342&uid=1134885524&nid=22+26
и… УСПЕХ! Он сумел отменить подписку на уведомления для
другого пользователя. Оказалось, Твиттер был уязвим к HPP
при отмене этой подписки.
Выводы
Хоть описание и короткое, попытки Мерта де-
монстрируют важность настойчивости и знаний.
Если бы он оставил попытки после неудачи с
подстановкой чужого UID в качестве единствен-
ного параметра, или если бы он не знал об уязви-
мостях типа HPP, он бы не получил вознагражде-
ние в 700 долларов.
Так же, внимательно относитесь к параметрам
вроде UID, которые включены в HTTP-запросы,
поскольку за время моих исследований я видел
множество отчетов, которые включали манипу-
лирование их значениями и веб-приложения де-
лали неожиданные вещи.
#42517 в Разное
#1025 в Бизнес-литература
#5052 в Развитие личности
хакер, хакинг, основы этичного хаки...
16+
Отредактировано: 08.03.2019
Добавить в библиотеку 