1）子域枚举

通过进行一些子域枚举，我发现了以下子域：phishme.thefacebook.com

如果您读过我以前的文章《我在Facebook上发现的一个奇怪漏洞的故事》，您已经知道我对这个403错误有多喜欢了。

2）Javascript文件暴力破解扫描

通过使用自定义的单词列表并强制执行以下路径：https://phishme.thefacebook.com/ ** .js

我找到了一个隐藏的Home.js文件（https://phishme.thefacebook.com/Home.js）

Home.js的代码审计

通过分析Home.js文件的代码，我发现了一个有趣的函数“ sendPhishRequest”，该函数使用XMLHttpRequest从某些特定链接中请求数据。

通过深入研究代码，我发现此功能的用法如下：

Util.sendPhishRequest(‘PhishGetItemData.ashx’, { itemId: itemId, ewsUrl: ewsUrl, token: token }

开始利用：

在尝试了几种随机令牌格式之后，我终于能够成功利用该错误来发送内部请求。

参数：

itemId: 123
ewsUrl: http://127.0.0.1:PORT
token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7Hg

POC：

https://phishme.thefacebook.com/PhishGetItemData.ashx?itemId=123&ewsUrl=http://127.0.0.1:PORT/&token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7Hg

堆栈跟踪有助于收集有关发送的内部请求的信息。

报告时间流程：

2020年8月7日：报道
2020年8月11日：审核
2020年8月11日：修补的
2020年12月3日：解决
2020年12月3日： $ 10000赏金奖励

一万美金的face book ssrf漏洞相关推荐

算捡漏么？我发现了一个值2万美金的 Facebook DOM XSS 漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队通过 postMessage造成的 DOM XSS 漏洞是一个被低估的漏洞,很多漏洞猎人基本不会注意这个漏洞. 最近,我开始查看客户端 ...
研究员发现 Google Cloud 项目中的 SSRF 漏洞，获1万美元奖金
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士摘要安全研究员David Schütz 发现谷歌 Cloud 项目中存在一个 URL 解析漏洞,可导致项目易受服务器端请求伪造(SSRF)攻击 ...
SSRF 漏洞危害大，应避免被利用攻击内网应用！| 原力计划
作者 | Qwzf 责编 | 夕颜头图 | CSDN付费下载自视觉中国出品 | CSDN博客前言 SSRF漏洞和CSRF漏洞有一些相似之处:CSRF跨站请求伪造,基于客户端的请求伪造:SSRF服 ...
独立开发变现周刊（第41期）：一个开源项目一个人每月收入8万美金
分享独立开发.产品变现相关内容,每周五发布. 目录 1.Budibase: 开源的低代码平台 2.沃尔玛通过SEO每月获得2.5亿流量的秘密 3.DesignJoy: 一个人的设计团队,月收入9万美金 ...
独立开发变现周刊（第51期）：辞去普通程序员工作，独立开发产品年收入20万美金...
分享独立开发.产品变现相关内容,每周五发布. 目录 1.小舒同学:让我好好整理下你的收藏夹 2.VistaCreate: 免费的在线平面设计工具 3.WhatRuns: 帮助您识别任何网站上使用的技术 ...
报名 | 赢取20万美金！Call For Code编程马拉松北京站来袭！
你想通过技术改变未来的世界,并挽救生命吗? 你想组织小伙伴一同参赛,并获得20万美金吗? 你想和全球专业的开发者一同开发,并学习最前沿的AI.IoT等技术吗? 如果你内心中的答案是肯定的话...... ...
渗透知识-SSRF漏洞
SSRF漏洞攻击原理及防御方案 01 概念服务端请求伪造(Server-Side Request Forgery),指的是攻击者在未能取得服务器所有权限时,利用服务器漏洞以服务器的身份发送一条构造好 ...
年薪50万美金的工程师到底牛在哪里？
为什么80%的码农都做不了架构师?>>> 年薪 50 万美金的工程师他们究竟做哪些事情,或是拥有哪些技术,让他们如此值钱?这些东西有办法"学"吗? 之前 B ...
一台加密货币ATM机月营收额高达3万美金
一台加密货币ATM机月营收额高达3万美金

一万美金的face book ssrf漏洞