大家好，今天我想告诉您一个有关我如何在ICQ中发现漏洞的故事，该漏洞使您可以连接到chat.agent`y上的几乎所有聊天记录。该漏洞位于api.icq.com中。
易受攻击的方法：将人们添加到聊天中。
mchat/AddChat
方法参数：
&aimsid= // &c=WebIM.jscb_tmp_c12813 //- &chat_id=680009979@chat.agent // , id &members=740645342 // uin , uin
因此，编写请求后，我们几乎可以连接到任何聊天。
发现漏洞
该漏洞非常严重，但是此漏洞有另一个优势。 当我连接到从未去过的聊天室时，在到达那里之前，我已加载了完整的聊天记录。
Hackerone漏洞报告
找到漏洞后，我立即前往hackerone.com。
我在ICQ中解决了该问题，并正在等待答案。4月23日（2个月前）
谢谢，检查并与开发人员讨论当前行为。
ICQ团队的回复。
之后，我开始等待……然后我得到了答案，这让我感到非常惊讶……
下午好
我们不确认是否存在漏洞。 其余的发现，如果有的话，请单独报告。
ICQ团队的回复。
我很长时间以来就开始证明存在漏洞。 我决定稍微吓一跳ICQ小组的成员。
你不够吗？ 我可以参加任何聊天，无论聊天是什么，所以我也可以看到人们在我之前谈论过什么。 好吧，只是不考虑漏洞。 我不会全力以赴。
谢尔盖·卡沙托夫（记者）。
整个过程一直持续到五月，现在他们终于给了我一个肯定的答案！5月11日
下午好
我们承认存在安全问题并将其付诸实践。 我们将通知您有关的更正。 付款安排在1周内。
ICQ团队
5天后，此漏洞已修复。
下午好
您发送的报告框架中的漏洞已修复。 请检查是否是如此。
ICQ团队
我确认了此修复程序，第二天，我收到了1000美元的漏洞奖励。
4周后，该报告开始向全世界展示。
一般来说，类似的东西。
谢谢大家
报告链接