openbugbounty.org

-

-

( Balooo v | 2023. 04. 11., k – 09:47 )

Ilyet nekünk is küldtek, az egyik domainünkre, sikerült popup ablakban megjeleníteni szöveget.  kapott egy új funkciót a functions.php, aztán megyünk tovább, én nem szóltam nekik, hogy javítva.

A levél amit küldtek valóban pofátlanság,  juteszembe ezekre az xss huszárokra rá lehet keresni is a tárgyban említett címen,  ügyesen listázzák mit találtak.

 

ps: az LG P880ak  vagy 4 évig dolgoztak a vásárlást követően :)

Nincs a világon se jó, se rossz. A gondolkodás teszi azzá... (W. Shakespeare)

Hallottál már arról a jogi fogalomról, hogy szándékosság?

Szándékosan követi el a bűncselekményt, aki magatartásának következményeit kívánja, vagy e következményekbe belenyugszik.

Véletlenül is lehet biztonsági hibát találni, de ebben az esetben könnyen bizonyítható ennek ellenkezője. Már önmagában a próbálkozások jellege és száma is elég, a levélváltás pedig teljesen egyértelművé teszi.

( dentzol | 2023. 04. 11., k – 11:37 )

Ezt a pénzkéregetést ne csináljatok soha, de soha ha önkéntes penteszternek álltok és hibákat jelentgettek. Kb ez az a minősitő körülmény ami miatt már megbasznak a biróságon.

( BaT | 2023. 04. 11., k – 12:29 )

Egy keresőmezőbe tudtak injektálni kódot. Valóban nem szűrtem rá. Vicces dolgokon kívül el nem tudom képzelni mire használható az így bejuttatott kód. Ehhez minimum el kellene juttatni valamelyik useremnek egy linket, ami a kódot tartalmazza.

Igen, pontosan ez a reflected XSS attack lényege. Pl. bejelentkezett felhasználó nevében lehet tranzakciókat indítani, vagy akár átvenni a fiókja felett az irányítást.

( LJ67 | 2023. 04. 16., v – 10:01 )

"Kaptam tőlük egy levelet,"

Kitől?

"All Open Bug Bounty emails are sent only from openbugbounty.org domain being digitally signed. All others are fake."

Azt hittem erről van szó:

https://www.openbugbounty.org/external-emails-alert/

Az álatakad enlített *****@gmail.com delikvens szeretne átvágni....

Gyakorlatilag az openbugbounty soha nem vizsgál semmilyen weboldalt, nem ír senkinek emailt.

Amennyiben kiírsz egy pénzdíjas bounty programot pl. a websoldalad ellenőrzésére, akkor sem ők foglalkoznak vele, ez csak egy közvetítő platform - amivel adott esetben jó kis pénzt lehet keresni, de azt sosem a kiírótól kapja a versenyző közvetlen....