A
Какая разница))) весь клиент сайд без выплат )))
Size: a a a
2021 June 30
VS
проблема в том что наличие xss не всегда дает ato. 🙂
VS
разница в импакте 🙂 импакт понятный бизнесу - это баг.
VP
а, ну см табличку, мы в том же скоупе что фудплекс и Сбермаркет. Пока да, XSS (те которые не блайнды в админках) без баунти. Дальше посмотрим по ситуации, возможно повысим линейку. Но скорее всего все повышения и изменения будут в рамках уже всей линейки в нашем разделе таблички, то есть если повысят то и у нас и в Сбермаркете
GD
бывает в некоторых местах ты не можешь полноценно сделать АТО, а тупо контролишь все действия пользователя, все вызовы апи и это не фиксят так как это фича, а не баг.
TM
Я тут тулзу для фаззинга XSS сделал, может кому интересно будет посмотреть. https://github.com/Timofey21/darlene
1
только гет запросы?)
НБ
да, без хранимок не интересно
TM
Ну пока да)
GD
без пецлоадов не то
TM
Так там есть пейлоады, просто не так много, потому что их разделять на модули нужно вручную
TM
Или всм что только alert?
1
в хак утилитах интересны больше не пейлоады, а методы их обфускации. одни из них просто берут словарь и обфусцируют нагрузку оттуда, другие генерируют под каждый таргет персонально в зависимости от получаемых ответов
TM
Ну тут они перемешиваются между собой, скрещиваются и появляются новые пейлоады
S
А не лучше ли научиться пользоваться тем что есть?
НБ
не всегда лучше...при велосипедостроении могут родится новые подходы и техники, если конечно постоянно развивать тул, а не бросить на старте
S
I
ридми похож (сравнил с гуглокешем)
S
Спасибо