Koleżka myślał, że robi LABy z bezpieczeństwa webowego. A znalazł podatność path traversal jako root. W serwisie portswigger.net :-)

Portswigger to producent chyba najbardziej znanego narzędzia do testowania bezpieczeństwa aplikacji webowych – Burp Suite.

Za to znalezisko wypłacono $5000 w ramach bug bounty. Co my tu mamy? Opis zaczyna się dość nietypowo:

Nie zamierzałem tego zgłaszać, myślałem, że to laboratorium [do ćwiczenia podatności webowych], ale po mojej pierwszej analizie wydaje się to realne znalezisko

I wasn’t going to report it, I thought it was your laboratory but after my first analysis this seems real.

Wygląda na to że cały trick polegał na:

1. Rekonesansie ścieżki w podatnym serwisie (https://portswigger.net/cms/audioitems/)
2. Wykorzystaniu podwójnego slasha // (https://portswigger.net/cms/audioitems//etc/shadow)

Efekt?

Po raptem pół godziny od zgłoszenia, ekipa z Portswigger odpowiedziała dość konkretnie:

that doesn’t look good

Po ~trzech godzinach od zgłoszenia bug był poprawiony, a zgłaszający otrzymał $5000.

~ms