ICQ में कमजोरता ने किसी भी चैट में शामिल होने की अनुमति दी

सभी को नमस्कार, आज मैं आपको एक कहानी बताना चाहता हूं कि कैसे मैंने ICQ में एक भेद्यता की खोज की, जिसने आपको इसके chat.agent`y पर किसी भी चैट से जुड़ने की अनुमति दी।

भेद्यता api.icq.com में थी।
कमजोर विधि: लोगों को चैट में जोड़ें।

mchat/AddChat 

विधि पैरामीटर:

 &aimsid= //     &c=WebIM.jscb_tmp_c12813 //-  &chat_id=680009979@chat.agent //  ,   id  &members=740645342 //   uin ,    uin 

इस प्रकार, अनुरोध की रचना करते हुए, हम पूरी तरह से किसी भी चैट से जुड़े थे।

भेद्यता के अलावा मिला

भेद्यता काफी गंभीर है, लेकिन इस भेद्यता में एक और ट्रम्प कार्ड था। जब मैं एक ऐसे चैट से जुड़ा था, जहां मैं कभी नहीं गया था, मेरे पास वहां जाने से पहले एक पूरा चैट इतिहास लोड किया गया था।

हैकरोन भेद्यता रिपोर्ट

भेद्यता का पता चलने के बाद, मैं तुरंत hackerone.com पर गया
मैंने ICQ में समस्या को ठीक किया, और एक उत्तर की प्रतीक्षा कर रहा था।

अप्रैल 23 (2 महीने)

धन्यवाद, डेवलपर्स के साथ वर्तमान व्यवहार की जांच करें और चर्चा करें।
ICQ टीम का जवाब।

उसके बाद, मैं इंतजार करने लगा ... और फिर मुझे एक जवाब मिला, जिसे सुनकर मैं बहुत हैरान हुआ ...

शुभ दोपहर

हम एक भेद्यता के अस्तित्व की पुष्टि नहीं करते हैं। शेष पाता है, यदि कोई हो, तो अलग-अलग रिपोर्ट होनी चाहिए, कृपया।

ICQ टीम का जवाब।

मैंने बहुत लंबे समय से साबित करना शुरू कर दिया कि भेद्यता है। और मैंने ICQ टीम के लोगों को थोड़ा डराने का फैसला किया।

क्या आप पर्याप्त नहीं हैं? मैं पूरी तरह से किसी भी चैट में शामिल होता हूं, चाहे वह कुछ भी हो, इसलिए मैं यह भी देख सकता हूं कि लोगों ने मुझसे पहले क्या बात की। ठीक है, बस भेद्यता पर विचार न करें। मैं अच्छे नहीं सभी के लिए उपयोग करूँगा।

सर्गेई काश्तोव (संवाददाता)।

यह पूरी बात मई तक खींची गई, और अब उन्होंने आखिरकार मुझे एक सकारात्मक जवाब दिया!

11 मई

शुभ दोपहर

हम एक सुरक्षा समस्या को स्वीकार करते हैं और इसे काम पर लगाते हैं। हम आपको सुधार के बारे में सूचित करेंगे। भुगतान 1 सप्ताह के भीतर निर्धारित किया जाएगा।

ICQ टीम

5 दिनों के बाद, भेद्यता तय हो गई थी।

शुभ दोपहर

आपके द्वारा भेजी गई रिपोर्ट के ढांचे में कमजोरता तय है। कृपया जांचें कि यह ऐसा है।

ICQ टीम

मैंने फिक्स की पुष्टि की, और अगले दिन मुझे $ 1000 का भेद्यता पुरस्कार मिला।

4 सप्ताह के बाद, रिपोर्ट को दुनिया को दिखाने के लिए खोला गया था।

सामान्य तौर पर, ऐसा कुछ।

आप सभी का धन्यवाद।

रिपोर्ट लिंक