Genelde otomasyon yapanlar hepsini hallediyor; Subdomain takeover konusuna vaktim olmasa da fikrim var. Bir gün mutlaka denk geliriz.Bende sana Sulekha.com HACKED konusunu incelemeni öneririm — kastettiğim buydu. İyi günler.
wiley.com Hacked
- Konuyu başlatan ArchieN
- Başlangıç tarihi
Aws ve subdomain takeover arasında ki fark nedir acaba? Peki biz buna subdomain takeover diyoruz siz farklı bir şey ama kimse ne olduğunu tam bilmiyor sanırım. Ben biraz hatırlatma yapayım 2016 falandı sanırım gece ekibine bunu öğrendiğini ve yapmamız gerektiğini söyledi DC de sabahlara kadar yapıldı. Şimdi ki farkı nedir anlatın da dinleyelim diyoruz tık yok. Bu domainleri size gece veriyor açın konu diyor.
Ekstra olarak aws de ciddi açıklar olabilir falan diye bir şeyler yazmışsın yönlendirme dışında ne yapabiliriz bunları açıklar mısın? Açıkladıktan sonra bunları neden yapamadığınızı da anlatırsan iyi olur.
Dikkatli bir şekilde inceleme yaptığın için senide tebrik ederim. Herkes hek yapmış diyip geçiyor kimse nedir diye sorgulamıyor.
Mesela adam gidip diyor: “Open redirect ile JavaScript olan siteye yönlendirsem, Open Redirect → XSS olur mu? Rapor geçerli olur mu? Bu site XSS çalıştırmaya sebep oluyor.”
Kardeşim, direkt JavaScript içeren linki ver.
Başka örnek vereyim: CSRF'te POST isteğinde, Origin'den kaynaklı bir open redirect oluyor. Adam bunu sömürmek için kod yazıyor, sen onun için kod yazacağına, git — o senin exploit sitene gittiğinde daha farklı şeyler yaptır.
Beni anladığınız için teşekkür ederim.
- Konuyu başlatan
- #24
Sadece gece hoca basmıyor. "gece veriyor açın konu diyor." demişsin öyle bir şey yok. Ekibimdeki herkes ayrı emek ve çaba gösteriyor; kimsenin emeğine laf ettirilmesine izin vermem. Ekip içindeki işleyişi bilmeden böyle bir şey söylemen hoş değil. Madem biliyorsun, çoğu markanın bu tür konulara önem verdiğini, marka itibarının zedelenebileceğini ve phishing gibi saldırılarda bu subdomainlerin kullanılabileceğini sen de biliyorsundur daha önce açılan subdomain takeover konularına herhangi bir tepki göstermemen bizim açtığımız konulara özellikle benim konuma tepki göstermen çok şüphe verici.
Son düzenleme:
Yanlış bir gözlenim içerisindesin diğer arkadaşlar stajyer yüklenmek istemedim fakat sen biraz eski gece ise bu işi başlatan kişilerden o yüzden her ikinizin konusuna yazdım. Sizden eski bir çok ankacı bu konuları bilir zaten bence garipseme böyle tepkileri. Düzgün bir şekilde ne açığı ile yaptığınızı dile getirmiyorsunuz bu çok kötü bir durum. Umarım gece en iyi şekilde detaylı bir anlatım yapar size tabi serverları salmak isterse..
Bu arada senin kim olduğunu bilmem etmem hiçte önemi yok sadece yaptığınız işlerin ne olduğunu bilin yeterli, kötü bir niyetim yok bilmemek değil öğrenmemek ayıptır.
- Konuyu başlatan
- #26
Subdomain takeover olduğunu daha önce hem burada hem de diğer konularımda belirtmiştim, yaptığımız işide biliyoruz bu arada.
Israrla bizim bilmediğimizi sadece gece hocanın bildiğini söyleyip duruyorsun yanlış düşünüyorsun bunu sana kanıtlamak zorunda değilim kendi sorumlularım biliyor zaten.
