Những dòng code hài hước nhất phần 1

[mrwh1techiken]

Thì vừa qua, mình có thử 1 số payload xss trên 1 số trang web có tên miền là .vn, thì mục đích là để cảnh báo hoặc, ngăn ngừa tấn công mạng, thì mình cũng được 1 vài "chiến công" nhỏ thôi, nhưng trong quá trình pentest thì thấy 1 số website code giao diện rất bắt mắt nhưng lại quên đi vấn đề bảo mật và 1 vài trang có lỗi nhìn không muốn nói.

Như đây https://drive.google.com/file/d/1zXLM6eBRDAmB9zIG0oJqVVRNcT-1uX5u/view, nhìn qua tưởng lỗi xss nhưng không phải, lỗi này nó lạ lắm, sau khi gửi POC báo cáo nhưng không nhận phản hồi thì tôi thử "khai thác" nhỏ là dùng để xem nó có gây hại gì không, nhưng tôi nhận ra là khi mình dán url abc.com/?search=<script abc thì nhận ra là những input chứa payload và <> đều bị thằng wordpress xóa hết. Thế tôi tự hỏi làm quái nào mà dòng payload tôi hoạt động?

CÂU CHUYỆN ĐỔ VỠ
Tôi tá hỏa bất ngờ bật ngửa, khi mà nhận ra lỗi không nằm ở dòng location.search mà nằm ở history???? Thì như video trên thì tôi khó hiểu vì tại sao mà khi ra giao diện chính rồi mà vẫn hiện dòng alert, thì giờ đây tôi có câu trả lời. Khi ta ghi tìm abc, thì hệ thống nó sẽ tìm abc và hiện abc là lịch sử tìm kiếm, khi ta dán payload <script> thì wordpress nó sẽ lọc và xóa dòng đó, nhưng mà hệ thống vẫn ghi lại và hiện lịch sử tìm kiếm là <script>, giống như mua chiếc khẩu trang lọc 99% bụi nhưng lại tiếc tiền lộn ngược khẩu trang rồi mặc lại ấy.

VẤN ĐỀ ĐẠO ĐỨC VÀ SỰ CODE DỞ
Thì lỗi này chưa được fix nhưng tôi đăng lên, bởi vì lỗi này chả khai thác được gì, trừ khi ta vào trình duyệt nạn nhân rồi dán vào là xong thôi, nhưng nếu như có thật thì nguy to, bởi vì website này là website du lịch, có cả tích 1 tỷ tiền du lịch để đổi lấy gì đó, nếu như mà ai nhẹ dạ cả tin mà nghe theo dán payload vào thanh tìm kiếm thì mệt. Lúc tôi đăng là vào ngày 18/7 nhưng giờ vẫn chưa được sửa, có thể do họ thấy lỗi này chả khai thác được gì nên họ không sửa?
Maybe.