Ⓜ
Может у меня карма такая. У всех так ?
Size: a a a
2020 June 04
D
Ребята кто знает можно байпассить csp unsafe-hashes?
D
Ребята кто знает можно байпассить csp unsafe-hashes?
'unsafe-hashes'
Allows to enable specific inline event handlers. If you only need to allow inline event handlers and not inline <script> elements or javascript: URLs, this is a safer method compared to using the unsafe-inline expression.
Allows to enable specific inline event handlers. If you only need to allow inline event handlers and not inline <script> elements or javascript: URLs, this is a safer method compared to using the unsafe-inline expression.
V
А как называется уязвимость, когда сайт отправляет какие-то запросы на localhost клиента? Что-то на подобие CSRF, только для localhost, комбо CSRF+SSRF?
в
Тогда можно не торопиться с заполнением
заполни лучше
i
заполни лучше
Уже. Вот только закончил)
i
Там сам черт ногу сломит. Баги проще искать, чем такие декларации заполнять
в
Уже. Вот только закончил)
поздравляю с находкой))
i
пасиба)
2020 June 05
MM
парни, никто https://github.com/abhinavsingh/proxy.py не пользовал для intercept'a https трафика с последующим анализом?
AS
Мне кстати прислали недавно) года полтора прошло)
Читал что они присылают письмо когда приняли реквизиты, тебе присылали?
AS
А то может рано я баунти жду, и они все еще даже реквизиты не обработали)
👾0
каким образом еще можно обойти загрузку, если чекается лишь расширение файла? маймы и содержимое не чекается
ЭК
каким образом еще можно обойти загрузку, если чекается лишь расширение файла? маймы и содержимое не чекается
Изменить расширение?
S
Читал что они присылают письмо когда приняли реквизиты, тебе присылали?
Вроде нет
ЭК
По идее xss должна же отработать? Я вышел из атрибута, и могу писать свои, но не работает чё-то.
ЭК
><' санитизируется, " единственное что можно использовать и ()
自
А зачем ' после алерта?
ЭК
Автоматом добавляется.