Ну формально у меня так, да. site.com/index.php?id=payload но тем не менее через браузер получаю urlencode, через curl всё отрабатывает как должно быть. Можно ли на эту тему какую статью или ещё какие мануалы почитать, как это проэксплуатировать? Понимаю, что сейчас браузеры всё это дело пофиксили наверное, но если как то извернуться можно, буду признателен.

XSS атаки с помощью Referer'а

Часто бывает, что веб-приложение вставляет на страницу сайт с которого перешел пользователь. И делает это без фильтрации данных. Основная проблема - современные браузеры преобразуют спецсимволы в их urlencode представления:

' в %27
" в %22
< и > в %3C и %3E соответственно.

Поэтому если сайт тупо вставляет содержимое заголовка Referer не декодируя ссылку, то с этим все сложно.

Ну разве что Internet Explorer, его параметры будут без URLENCODE. Перенаправив с такой страницы на уязвимую - выполнится наш js.

С адекватными браузерами не так гладко, однако Google Chrome не энкодит одинарные кавычки в пути (не в параметре). Поэтому если инъекция в одинарных кавычках атрибута или переменной в js, то эксплуатация не составит труда.

Для этого достаточно создать html страничку с подобным содержимым:

<script>
window.history.replaceState('', '', "/hello'-alert()-'/");
location.href="//vulnerabledomain/"
</script>

#xss #referer

Более того, Internet Explorer - имеет забавную особенность, если перенаправить пользователя с помощью заголовка
Location: http://mysite/"><script>alert()</script>/, то путь также не будет преобразовываться в urlencode.
Может кому-то пригодится в bugbounty :)

#xss #bugbounty

Двух факторку обход только маги найдут

Простые смертные по полтосику будут получать

Да и за 7к обход двух факторки ) на чёрном рынке такой эксплойт за 50000$ продать можно

Разве это не селф ?

Ок, давай подойдем с другой стороны.
Что такое xss?
Что такое self?

Вчера файлдискриптор напрягся)

(https://hackerone.com/filedescriptor?type=user)

Хех

Ещё бы

Там обход 2фа с получением доступа к юзеру

Можно продать нужным людям в умелые руки )

Мне вот интересно, за сколько такое ушло бы на черном рынке
Потому что потенциал заработка это десятки лямов баксов

Не больше 100к баксов

Смб эксплойты под 200к

Рсе так же