XSS漏洞披露与赏金分析：基于hackone平台数据观察.pdfVIP

XSS连环杀

看到师弟又在撸腾讯的站点，撸下不少注入，各种奖金礼品。他还在说想要进军

hackone。于是心里痒痒的，后来去看了看。现在hackone上uber的反射型XSS已经达到3000

美刀，特斯拉的XSS在200到500美金之间，offensive-security最低也有200美刀。于是就

有了下面的分析，据说某安全公司开发了一款安全产品，安全产品应该相当安全吧，其实安

全也是个不断完善的过程，所以开发迭代的过程是需要自身遵循一些原则（Princip）和规

则（Ru）并在模型范围内进行纵深防御，talkischeap，好，我们来分析看。

在测试的过程中，在本地了测试环境。文件app.js，原本在

分析的过程中耗费了大量的时间在调试函数和的定位（原本认为会存在多处或复杂

的函数调用关系）。在burpsuite上也找到了一些可疑输入点和可疑输出点。

虽说代码审计是最后绝技，但静态分析回溯的过程太过苦，即便找到可疑输入点，你需判

断用户是否，程序流程，输出是否有过滤，过滤能否被绕过，不断调试等审计技巧。

先说说文件app.js中的handleTabs，注释提示这是个功能修复左/右选项卡内容的函数。

一般来说挖掘DOMXSS会非常关注一些容易出错的输入点（sources）和输出点(Sinks)，而此

款产品使用了jquery框架。在jquery开发过程中也有非常多容易出错的地方，譬如：直接

向$()内传入字符串而没有过滤，而且是用户的，那么这是的。可参考：

与

触发app.js中的click

其中tabid变量获得的是锚后的字符串,并传入$()方法而没有进行任何过滤而触发jQuery的

XSSserialkill

Recently,IsawmyjuniorbrotheryingTencent’ssiteagain,andheboughtalotofinjectedandvarious

bonuses.Healsosaidonhiscircleoffriendsthathewantedtoenterhackone.SoIfeltitchyandwenttotake

alooklater.NowthereflectiveXSSonuberonhackonehasreachedUS$3,000,TeslasXSSisweenUS$200

andUS$500,andtheminimumoffensive-securityisUS$200.Sowiththefollowinganalysis,itissaidthata

securitycompanyhasdevelopedasecurityproduct.Thesecurityproductshouldbequitesafe.Infact,

securityisalsoaprocessofcontinuousimprovement.Therefore,theprocessofdevelopmentiteration

requ