[翻译]价值$4,913的SSRF | 我最高的赏金!
嗨,大家好!
希望您一切安好,今天我要写一篇有关我最好的发现之一和有史以来最高的赏金的write-up。这是我在 Dropbox Bug Bounry计划 中发现的SSRF—服务器端请求伪造漏洞。
第一眼看,Dropbox计划对我来说非常有趣,因为它具有最佳的支付和及时的响应时间,因此我选择挖 Dropbox Bug赏金计划政策中提到的Hellosign。
我开始在app.hellosign.com
上搜索主应用程序,发现了具有从Dropbox、GDrive、BOX、OneDrive、EverNote导入文档的功能。此时,SSRF已经进入到我脑海里,因此我从Dropbox导入功能开始,我看到了以下请求:
我将file_reference
参数的值更改为burp collaborator URL,但我得到404
关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/