Halo semuanya, saya ingin menuliskan sebuah temuan tentang pengambilalihan nama Subdomain milik pengguna lain. Sebelumnya saya jelaskan sedikit tentang bagaimana web ini bekerja.
Jadi, pada website yang sedang saya uji ini memilik sebuah fitur untuk mengatur nama Subdomain masing-masing sama seperti Shopify
Pengguna bisa mengganti nama subdomain mereka dengan nama lain, tentu saja tidak bisa mengganti nama subdomain ke yang sudah ada atau terpakai oleh pengguna lain.
- Update: Kalian bisa lihat video PoC nya di channel YouTube saya, atau buka tautan ini https://youtu.be/AB4bxwvOp4M (Lihat poc biar lebih jelas)
Bagaimana saya bisa mengambil alih nama subdomain pengguna lain?
Seperti biasa saya melakukan test pada beberapa fitur namun tidak menemukan apapun, fitur yang sangat menarik perhatian saya adalah mengatur Nama Subdomain, pengguna dapat melakukan perubahan nama subdomain masing-masing seperti berikut
Seperti gambar di atas Attacker adalah nama Subdomain saya, dan akan terlihat seperti https://attacker.redacted.com dan bagaimana jika saya mengubah nama subdomain tersebut ke nama Subdomain pengguna lain?
Saya mencoba melakukan nya maka respon akan terlihat seperti berikut “REDACTED Page URL has already been taken”
Lalu saya mencoba dengan menambahkan Spasi pada akhir nama subdomain, dan itu sangat mengejutkan. Saya berhasil mengganti nama Subdomain saya ke nama Subdomain pengguna lain.
Yeapp betul, saya menambahkan SPASI di akhir nama subdomain :p atau dengan url encode berikut %20 pada permintaan Burp Suite seperti berikut
Request
Parameter “campaign[redacted_slug]” dan “victim%20” Adalah nama Subdomain korban dengan menambahkan sebuah spasi dengan url encode.
Respon “202 Accepted” bahwa saya berhasil mengubah nama subdomain saya ke nama Subdomain milik korban, nama Subdomain sebelumnya
https://attacker.redacted.com berhasil di ubah ke nama subdomain korban https://victim.redacted.com
Saya langsung melaporkan temuan saya kepada Team mereka setelah 2 hari menunggu mereka membalas email saya, bahwa temuan tersebut valid dan saya di berikan hadiah $1250
Terima kasih sudah membaca tulisan saya, tetap fokus pada program kalian dan test semua fitur yang ada, jangan lewatkan hal kecil apapun.
Ikuti saya di twitter https://twitter.com/parkerzanta
1 komentar
"Seperti biasa saya melakukan test pada beberapa fitur...."
Terimakasih bang. Semoga rame viewers youtube dan webnya🙏