Un error a la vez: mi primer error pagado ($ 1,000 IDOR)

¡Hola a todos! Me alegro de verte de vuelta :) Hoy escribiré sobre mi primer error pagado, tiene una historia divertida, ¡así que sigue leyendo!

Aquí está el arte de la historia de hoy por rez0 :)

Entonces, comencemos con cómo encontré este IDOR

1. Configuración: estaba en clase de inglés en mi computadora portátil, que no es mi principal dispositivo de piratería. Estaba mirando a escondidas en Burp Suite, esperando que comenzara la clase y decidí mirar esta compañía específica.
2. Recon: primero comencé con el alcance de *.redacted.com, no sabía mucho sobre el reconocimiento de subdominios y lo que no importa en este caso. Además, en general, la mayoría de los errores que he encontrado en las plataformas han estado en la aplicación principal, así que no olvides verificar eso :) Comencé a navegar por todos los puntos finales del sitio, pero no había mucha funcionalidad. vidente. Una vez que he buscado todos los enlaces posibles en el sitio, pasé al segundo paso.
3. Analizar: una vez que tuve todos esos puntos finales, comencé a buscar en el mapa del sitio de Burp Suite, que se parecía a esto:

4. Exploit: una vez enviado, fui redirigido a un nuevo subdominio que parecía extremadamente antiguo, esto despertó mi interés por varias razones:

El nuevo subdominio era algo así como: http://link.XXX-XXX.redacted.com/manage/optout/. Cuando entré en un correo electrónico, recibí esta página que pedía "Volver a participar" o "No enviar correo electrónico". Luego miré la URL y vi ?profile_id=54613e813b35d0f1328c4533 … OK, estamos llegando a alguna parte;) Ahora voy a cambiar la identificación por 1 dígito a ?profile_id=54613e813b35d0f1328c4534 y ¡BOOM! Aparece un nuevo correo electrónico. Perfecto, ahora puedo cancelar la suscripción de cualquier usuario en esta plataforma que incluya solicitudes de restablecimiento de contraseña. También puedo enumerar correos electrónicos en esta enorme plataforma.

5. Informe: mi informe incluía todos los detalles anteriores y, en ese momento, no era el mejor para escribir informes, pero funcionó. Incluí los pasos para llegar a este punto final, 2 capturas de pantalla de diferentes correos electrónicos y un video completo de cada paso.

Aquí hay una línea de tiempo para referencia:

• Reportado: 2021–10–28
• Discusión interna: 2021–11–02 20:24
• Clasificación y recompensa: 2021–12–03 13:30
• Resuelto: 2022–02–09