From Easy Wins to Epic Challenges: Bounty Hunter Edition | Bug Bounty Village, DEF CON 32

Blake是一位從業七年的資深賞金獵人，擁有15年CTF經驗與18年總工作經驗，專精Web應用與PHP應用安全。他已在各平台累計賺取約200萬美元，對複雜攻擊鏈特別感興趣。本次演講分享了他在三家主要客戶身上的代表性發現。

Swisscom（瑞士最大電信商）提供了三個有趣的漏洞案例。最簡單的是測試環境完全暴露——SMS驗證碼固定為111，且測試環境與生產環境共享密鑰存儲庫。當測試環境登入功能故障時，Blake嘗試在生產環境預演（Pre）系統中使用測試PIN碼，結果成功登入。雖然極其簡單，卻能存取數百萬個IP位址後的用戶個人識別資訊。第二個漏洞體現了對細節的觀察——登入流程設置三個加密cookie，他發現通過複製SMS令牌cookie的內容到驗證碼顯示cookie中，由於使用相同加密方式，PIN碼會被解密並顯示在頁面上。第三個更詭異——只要收到SMS驗證碼後立即取消，系統仍會保持已登入狀態。

一個被Swisscom收購的公司使用了不知名的PHP CMS，暴露了複雜的漏洞鏈。該系統採用XML資料庫與檔案系統存儲（無SQL）。路徑遍歷防護試圖刪除`../`但有繞過方法（使用`../ pipe ../ pipe`），Blake利用此創建了特定目錄，進而刪除了唯一的`.htaccess`保護檔案，暴露XML資料庫。登入日誌資料庫包含所有用戶會話令牌。通過XML注入，他在用戶名中注入`<!ENTITY % include SYSTEM "path/to/login_logs">` 的XInclude指令，將登入日誌包含到被鎖定用戶資料庫中。由於該應用重新格式化XML文件，直接注入無法提取數據，但他發現通過XPath盲注可逐個字符竊取會話令牌——根據登入失敗次數與用戶鎖定状態的不同響應作為預言機，最終提取了管理員會話令牌並實現RCE。

瑞士郵政的支付系統包含有趣的邏輯漏洞。當交易超時（規定時間內未完成支付）時，系統預設返回成功而非失敗——這意味著只要在交易發起後等待足夠時間，就能免費獲得充值。該公司另一CMS使用非標準SQL分隔符與B64編碼功能。在備份恢復功能中，Blake利用未被清理的訂單備註欄位進行SQL注入。通過B64標籤注入特殊字符破壞SQL語法，並在恢復時注入更新語句，將序列化PHP物件寫入訂單資料。該物件包含的gadget鏈能夠刪除`.htaccess`檔案，從而繞過管理員認證機制。

最後一個大型PHP CMS的漏洞最為複雜。初始SSTI漏洞（`{php_code}`標籤）被官方修補後，Blake發現可通過在結束標籤前換行符來繞過正則表達式。但更有意思的是郵件RCE鏈，它涉及PHP double escaping、RFC 2047 MIME編碼與MTA參數注入的完美風暴。Laminas郵件庫先對寄件者地址進行escapeshellarg轉義，但mail()函數會再次應用轉義，導致參數注入。通過RFC 2047格式（`=?UTF-8?B?base64?=`或`=?UTF-8?Q?quoted?=`）編碼特殊字符，底線被定義為空格，Blake構造了一個payload來注入MTA配置參數。由於本地部分限制為64字符，他上傳了惡意MTA配置檔案，該檔案會將failed郵件的死信記錄寫入Web根目錄的`app.php`，最終實現PHP代碼執行。這個漏洞鏈因前置條件多（需短Web根、可上傳、郵件功能可用）而難以利用。