找黑客靠谱吗-网赌改分器-看我如何挖到Twitter的XSS漏洞并绕过了CSP

存有漏洞的网站为https://apps.twitter.com，当开发人员建立运用时能够设定服务平台（Website）找黑客可靠吗信息内容，用以出示对应用软件更为详尽的叙述，及应用软件下载等作用。

历经检测后发觉，Twitter的开发人员对该点键入的內容在服务器端的正则校验可能是那样：([https?:])\\w

仔细的同学们很有可能会发觉这一正则表达式的开始缺乏^字找黑客可靠吗符，在我们键入相近data:CONTENT#https://…这类url是能够根据认证的，因此 这时大家早已得到 了一个HTML引入。因为该网站CSP（內容安全设置）的限定，这里引入HTML编码并不会分析。

在对HTTP头查验后，我注意到script-src和object-src块中有好几个CSP（內容安全设置）配备不正确，运用这种配备缺点很有可能绕过twitter.com的CSP（內容安全设置）。CSP的标准以下所显示：

1

找黑客可靠吗 script-src https://connect.facebook.net https://cm.g.doubleclick.net https://ssl.google-analytics.com https://graph.facebook.com https://twitter.com 'unsafe-eval' 'unsafe-inline' https://*.twimg.com https://api.twitter.com https://analytics.twitter.com https://publish.twitter.com https://ton.twitter.com https://syndication.twitter.com https://www.google.com;frame-ancestors 'self';object-src https://twitter.com https:找黑客可靠吗//pbs.twimg.com; default-src 'self';...

见到这儿，object-src和script-src块马上造成了我的留意。历经一番剖析，我寻找一个可靠域（cdn.syndication.twimg.com 别名 syndication.twitter.com）服务器的JSONP endpoints。

一开始我觉得，根据运用object-src块的內容（https://pbs.twimg.com），这一网址能够将Flash文档（as picture/video extension with few bytes header）上传入Twitter的CDN网络服务器，将其做为内嵌式目标（embedded Object）以实行编码。殊不知因为对客户输找黑客可靠吗入长短的限定，我尝试实行的payload都由于太长而被断开，因此 这类运用方法最终沒有取得成功。我寻找一个可靠域下能够运用的点，写成了一个较短的payload，当引入到twitter.com的情况下代码执行，取得成功弹出窗口。

1

http://syndication.twitter.com/widgets/timelines/246079887021051904?dnt=true&domain=site.com&lang=en&callback=alert

在我们向服务器端要求，来源于syndication.twitter.com服务器的JSONP回应头有一个Content-Disposition字段名强制性将回到的內容做为压缩文件下载。可是，Chrome浏览器即便 将回到的內容做为配件免费下载但因为配备不正确的“unsafe-inline”CSP（內容安全设置）块代表着大家依然能够实行编码。

根据设定服务平台（Website）信息内容以下：

找黑客可靠吗 1

data:text/html,<script src="https://syndication.twitter.com/widgets/timelines/246079887021051904?callback=alert"></script>

手机客户端编码可能实行，弹出窗口。

PoC 演试视頻