【Hackerone 500美金漏洞赏金案例】助力你成为漏洞挖掘专家！

今年一月，shopify.com电商网站纰漏了23年的一个XSS漏洞，该漏洞价值500美金赏金，算是中等价格的一笔赏金了。

01 漏洞概述

• 漏洞名称：Reflected Cross-Site Scripting (XSS) on help.shopify.com

• 报告提交者：becfe31193676118ae5073d

• 受影响平台：所有语言版本的 help.shopify.com，例如 https://help.shopify.com/es/

• 报告提交日期：2023年4月9日

02 漏洞出现点

• URL：https://help.shopify.com/en/support/confirm-account-details

• 参数：returnTo

• 漏洞触发条件：当 returnTo 参数使用 javascript: 协议时，可以注入恶意脚本。

03 漏洞利用方式

• 利用步骤：

1. 打开特定 URL，包含 returnTo 参数指向恶意脚本，例如： https://help.shopify.com/en/support/confirm-account-details?returnTo=javascript:alert(document.cookie)

2. 账户保持者点击该 URL 中的“继续”按钮。

3. 恶意脚本执行。

• JavaScript://%250Aalert?.(document.domain)//

04 漏洞时间轴

• 2023年4月9日：漏洞报告提交给 Shopify。

• 2023年4月12日：Shopify 回复称无法复现问题，并请求更多信息。

• 2024年1月25日：报告提交者更新信息，确认新创建的未配置完整个人信息的账户可以注入 XSS 负载。

加入网络安全新手村，开启你的黑客成长之旅！

🚀 新手也能成为大师！
你是否对网络安全充满好奇，却不知从何开始？别担心，我们为你准备了一切！

内部漏洞学习文档，结合案例教你如何挖掘SRC中的该类漏洞

📚 独家渗透秘籍
群主亲撰，深入浅出的渗透经验文档，让你快速掌握核心技能。

👶 保姆级实战案例
跟着步骤一步步来，从基础到进阶，每个案例都像是手把手教你成长。

🗣️ 实时问题解答
遇到难题？社群里的专家和同好随时待命，为你答疑解惑。

🔒 安全的环境，共同进步
在这里，我们不仅学习技术，更学会如何在安全领域中成长和贡献。

🌟 快加入我们，一起探索网络安全的无限可能！
点击加入，开启你的网安之旅，与志同道合的伙伴们一起成长！