Masato Kinugawa Security Blog: accounts.google.comに存在したXSS

Googleの脆弱性報酬制度の報酬がアップされましたね！ Google、脆弱性情報に支払う報奨金を大幅アップ - ITmedia エンタープライズ http://www.itmedia.co.jp/enterprise/articles/1306/10/news027.html Googleアカウントページに存在するクロスサイトスクリプティング（XSS）の脆弱性情報については3133.7ドルから7500ドル accounts.google.comのXSSは$7,500 だそうです。みつけたいですね！ みつけるのはかなり厳しいと思いますが、かつて2つみつけたことがあります。 今日はそのうち1つを紹介したいと思います。 oeパラメータを使ったXSS 2012年12月27日に報告し修正された問題です。 Googleは、一部のサービスで「oe」というクエリパラメータを付加することで、ページの表示に

[makimoto]

しぶい。

[kirte]

面白いなぁ

[efcl]

UTF-32が解釈できないブラウザ、IEの0x00を無視を利用して、ダブルクーオート等を入れ込んでinjectする

[sho]

Cool!

[ockeghem]

accounts.google.comのXSSが$7,500にアップされる前に、CoolなXSSを見つけて$5,000もらったお話。GJ!

[shinokiwa]

このXSSは真面目にすごいと思ってしまった…。

[khtokage]

@hiromi_ayase いこう！

[katzchang]

「Coolなバグだ」

[muddydixon]

「我々が大好きなアラートダイアログが表示されるという訳です」ｶｯｺｲｲ！

[SavingThrow]

http://gihyo.jp/admin/serial/01/charcode/0001

[ab_sn]

こうやってハックすんのね

[tmatsuu]

ほえー素晴らしい

[Journey]

かっこいい

[raimon49]

UTF-32をサポートしていないブラウザに対してメタ文字として誤認させる。こんなの良く思い付くなぁ。凄い。

[emergent]

おおー

[kougasha]

役に立たなそうな知識が役に立つのはワクワクするね

[n2s]

まさにXSSのバウンティハンターだな、Kinugawaさん…

[itochan315]

円安なのでUSDをもらうなら今というお話

[teppeis]

「今回の問題は、複数のページにわたって影響し、Coolなバグだとして、特別に$5,000をもらいました」

[t_f_m]

cool

[asuka0801]

やっぱり文字コード周りはコーディング時に見えない問題だけにセキュリティ的には熱いよなぁ

[sora_h]

やばい