【网络安全】我如何在旧的公共漏洞赏金计划中发现基于时间的SQL注入漏洞

未经许可，不得转载。

建议

如何挖洞别人没挖到的漏洞？

1.一定要测试集成API，BurpSuite扫描器可能无法覆盖这些API。

2.使用以下Google dork在现有目标中查找最近更新的页面，以发现新的功能或API进行SQL注入测试：

site: target.com after:10 september 2024

这些功能或 API 很可能还未被其他漏洞猎人探索过。

---

正文

我已经在这个漏洞奖励计划上进行了三年的漏洞挖掘。尽管这是一个非常老旧的项目，但我仍然能够在其中发现SQL注入漏洞。

目标：site.redacted.com

登录该应用程序后，发现有一个供已登录用户使用的聊天框功能，用户可以通过该功能获得支持服务。由于这个聊天框是第三方提供的，我起初并没有进行过多测试，认为它应当属于范围之外。然而，我注意到该聊天框中出现了一个新的功能——“连接AI助手”。当启动这个AI助手时，它会在主聊天框中打开一个AI对话窗口。

那么，这部分功能是否属于范围之外？

为了找到答案，我使用BurpSuite拦截器拦截了“启动AI对话框”的请求，发现该操作会触发一个API请求，向聊天代理发送授权令牌，令牌来自site.redacted.com。

授权完成后，AI对话框启动。当我在对话框中输入文本并发送时，API请求会被发送到我们的目标主机。

请求的URL格式如下（POST请求体中带有一些参数）：

https://site.re