Jak wygrałem XSSMas Challenge 2016: Wykradanie tokenów i hakowanie jQuery
Jak wygrałem XSSMas Challenge 2016: Wykradanie tokenów i hakowanie jQuery
XSSMas Challenge 2016 to wyjątkowe wydarzenie, które przyciągnęło uwagę wielu specjalistów od bezpieczeństwa. W tym artykule opiszę, jak udało mi się zdobyć nagrodę, wykorzystując techniki takie jak wykradanie tokenów i omijanie Same-Origin Policy.
Kluczowym elementem mojego rozwiązania było wykorzystanie Service Workera. Aby zarejestrować go poprawnie, zastosowałem następujący kod:
navigator.serviceWorker.register("https://xssmas2016.cure53.de/token.jsonp?callback=...").then(ev=>location=1);
Po udanej rejestracji, przeglądarka przekierowuje użytkownika do innej podstrony, co pozwala na odwołanie się do Flasha. To z kolei umożliwia pobranie i wyświetlenie tokenu. Finalny kod, który udało mi się stworzyć, okazał się kluczowy dla mojego sukcesu.
Podsumowując, rozwiązanie XSSMas Challenge 2016 wymagało kreatywnego podejścia oraz głębokiej wiedzy z zakresu bezpieczeństwa sieciowego. Moje doświadczenie pokazuje, jak ważne jest ciągłe doskonalenie umiejętności w dziedzinie cyberbezpieczeństwa.
Na podstawie: Źródła
