Satu Bug Sekaligus: Bug Pertama Saya yang Dibayar ($1.000 IDOR)

Halo semua! Senang melihat Anda kembali :) Hari ini saya akan menulis tentang bug berbayar pertama saya, ini memiliki alur cerita yang lucu jadi baca terus!

Inilah seni untuk cerita hari ini oleh rez0 :)

Jadi mari kita mulai dengan bagaimana saya menemukan IDOR ini

1. Setup: Saya berada di kelas bahasa Inggris di laptop saya yang bukan perangkat peretasan utama saya. Saya mengintip di burp suite, menunggu kelas dimulai dan memutuskan untuk melihat perusahaan khusus ini.
2. Pengintaian: Saya pertama kali memulai dengan ruang lingkup *.redacted.com, saya tidak tahu banyak tentang pengintaian subdomain dan apa yang tidak penting dalam kasus ini. Juga, Secara umum sebagian besar bug yang saya temukan di platform ada di aplikasi utama jadi jangan lupa untuk memeriksanya :) Saya mulai menjelajahi setiap titik akhir di situs, tetapi tidak banyak fungsi yang saya miliki melihat. Setelah saya menelusuri setiap kemungkinan tautan di situs, saya beralih ke langkah kedua.
3. Analisis: Setelah saya memiliki semua titik akhir tersebut, saya mulai melihat melalui peta situs burp suite saya yang terlihat seperti ini:

4. Eksploitasi: Setelah dikirimkan, saya dialihkan ke subdomain baru yang terlihat sangat tua, ini menarik minat saya karena berbagai alasan:

Subdomain baru itu seperti: http://link.XXX-XXX.redacted.com/manage/optout/. Ketika saya memasukkan email, saya mendapatkan halaman ini meminta untuk "Memilih Kembali" atau "Jangan Email". Saya kemudian melihat URL dan melihat ?profile_id=54613e813b35d0f1328c4533 ….. Oke, kita menuju ke suatu tempat ;) Sekarang saya akan mengubah id dengan 1 digit menjadi ?profile_id=54613e813b35d0f1328c4534 dan BOOM! Sebuah email baru muncul. Sempurna, sekarang saya dapat Memilih Keluar dari pengguna mana pun di platform ini yang mencakup permintaan pengaturan ulang kata sandi. Saya juga dapat menghitung email di platform besar ini.

5. Laporan: Laporan saya menyertakan semua perincian di atas dan pada saat itu, saya bukan yang terbaik dalam menulis laporan tetapi berhasil. Saya menyertakan langkah-langkah untuk mencapai titik akhir ini, 2 tangkapan layar dari berbagai email, dan seluruh video dari setiap langkah.

Berikut adalah garis waktu untuk referensi:

• Dilaporkan: 2021–10–28
• Diskusi Internal: 2021–11–02 20:24
• Diprioritaskan & Bounty: 2021–12–03 13:30
• Terselesaikan: 2022–02–09