Size: a a a

2021 June 20

AK

Anton Kirsanov 🐸 in WebPwnChat
попробуй 1e4+1e4
источник

1

1.4.7/12 in WebPwnChat
без результатов. вообще. пустой респонс
источник

AK

Anton Kirsanov 🐸 in WebPwnChat
а {14-14} = 28?
источник

1

1.4.7/12 in WebPwnChat
не. ерунда в ответе какая-то
источник

1

1.4.7/12 in WebPwnChat
[2-2] = 4 ))))))
источник

AK

Anton Kirsanov 🐸 in WebPwnChat
(9-9)=18?
источник

1

1.4.7/12 in WebPwnChat
он только 2 и 3 воспринимает
источник

AK

Anton Kirsanov 🐸 in WebPwnChat
опять чтоли странный ctf
источник

1

1.4.7/12 in WebPwnChat
и это его почему-то вырубило
источник

1

1.4.7/12 in WebPwnChat
по всей видимости ты прав. тут просто сложение без учета любых иных символов
источник

GD

Gott sei Dank in WebPwnChat
Что, браузеры чутка корсы пофиксили? Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true . Пытался сделать на такую страницу корс запрос с креденшелами и получил ошибки по типу нельзя вставлять креденшалы когда access-control-allow-origin: *
источник

s

s̢̍̌͗ͧͫ͊ͧͫͮ̂̒̇̅̌̐͆́͡... in WebPwnChat
источник

PM

Privet Medved in WebPwnChat
В звездочку теперь креды не шлет
источник

GD

Gott sei Dank in WebPwnChat
да тоже прочитал, чутка не понравилось это, т.к. проебал аккаунт тейковер, там челы в html тупо все куки записывают))  Есть ли браузеры которые это еще не поддерживают?
источник

VV

Vladimir Vlasov in WebPwnChat
Старые версии только, скорее всего
Возможно, слоупок IE

Сам сейчас подобным вопросом задался, оставил ли кто-нибудь поддержку Flash
Нашел багу, похоже, жаль, что не в прошлом году :-)
Пытаюсь хоть для общего развития раскрутить
Похоже, единственный вариант это ставить какаху мамонта и запрещать обновляться
источник

1

1.4.7/12 in WebPwnChat
не теперь креды не шлет, а звездa и тру одновременно считаются невалидным сочетанием, ввиду чего браузеры в принципе блочат все запросы с ориджина
источник
2021 June 21

A

Artem in WebPwnChat
Вроде похожая трабла:
https://github.com/wireapp/wire-webapp/security/advisories/GHSA-382j-mmc8-m5rw
Насколько понимаю, на самой картинке могли написать инструкцию "для просмотра откройте в новой вкладке", чтобы пользователь так сделал и сам триггернул XSS внутри картинки.

“Wire didn’t validate whether a real image is uploaded or not, so you could change the content-type to text/HTML, allowing malicious JavaScript to be executed,” Gamble told The Daily Swig. “So, if you upload a valid image with an XSS payload at the bottom, the image is rendered fine. But once opened in a new tab, the XSS is then fired.”
https://portswigger.net/daily-swig/xss-flaw-in-wire-messaging-app-allowed-attackers-to-fully-control-user-accounts
источник

A

Artem in WebPwnChat
Хотя, я наверно ошибаюсь, так как контролируемый тобой домен вряд ли является поддоменом цели, и при открытии картинки в новой вкладке XSS выполнится в пределах твоего домена, а не целевого :-(
источник

GD

Gott sei Dank in WebPwnChat
так и естт, но подход интересный
источник
2021 June 22

A

Architector in WebPwnChat
Даже такое бывает ?))
источник