Top War Stories from a Try Hard Bug Bounty Hunter, Rhynorater | Bug Bounty Village, DEF CON 32

Justin Gardner 是全職 Bug Bounty 獵手，在這場 DEF CON 演講中分享了過去兩三年間發現的 11 個關鍵等級漏洞，總賞金在 $225-400k 之間。演講的核心邏輯是重現實時駭客大賽中"秀成果"環節的體驗，即透過深度技術講解展現漏洞發現的完整思路。

前期簡單漏洞：威脅模型與文件盲點

第一個 Nginx 403 繞過案例啟示了"威脅模型轉變"的危險。該企業將內部應用改為公開產品，但 Nginx 反向代理仍保留了原有的防禦規則。Justin 透過對比 Nginx 返回的 403（網路層）與應用層 403 的差異，推斷出防禦規則位置錯誤，進而嘗試 URL 編碼（%53）繞過黑名單，成功訪問 `/api/internal/get_all_users` 端點並洩露 450 萬使用者 PII。關鍵啟示是識別異常的錯誤頁面往往暗示了防禦位置不當。

第二個漏洞來自 OAuth 文件。該應用雖然聲稱使用 OTP 登入（無密碼），但文件中出現了密碼登入端點。在查閱 Authorization 憑證時，Justin 在 JS 檔案中發現了 Base64 編碼的憑證。用這些憑證呼叫 OAuth 端點後，該應用竟然接受了任意密碼並返回訪問令牌，導致千萬級賬戶任意接管。這說明在充分信任文件、閱讀 JS 程式碼尋找隱藏憑證的做法往往有奇效。

第三個漏洞更簡潔：某應用的 OAuth API 端點存在數字 IDOR，直接洩露密碼雜湊和密碼重置令牌。這個漏洞的發現需要 40 小時的應用熟悉過程，說明"深入"應用的各個功能模組是必要的前置工作，不應被忽視。

中等複雜度漏洞：多視角與連結攻擊

第四個漏洞是經銷商 CRM 應用的綜合利用。Justin 首先發現了隱藏在 JavaScript 中的功能標誌（feature flags），透過 Kaido Match & Replace 工具啟用了"訊息"功能。接著他從三個不同身份視角（客戶、經銷商、系統）交叉驗證，發現簡訊訊息介面同時存在三個漏洞：IDOR（可偽造任意經銷商和客戶 ID）、XSS（簡訊訊息內容注入惡意指令碼）和另一個 IDOR（獲取所有客戶資料）。攻擊鏈路為：傳送 XSS 有效載荷至自己的簡訊 → 在經銷商面板檢視時觸發 XSS → 在不可見的 OAuth iframe 中竊取授權碼 → 獲得經銷商會話令牌 → 用經銷商身份登入並檢視所有客戶 PII → 向所有客戶傳送包含 XSS 的簡訊（利用 IDOR 偽造發件人）→ 批次收集會話令牌。這個"連結"（chaining）過程充分展示了多個小漏洞組合後的指數級危害。

第五個漏洞源自 GitHub Issue 挖掘。某視訊會議應用的 Issue 記錄中提到"使用特定音訊裝置時參與者列表錯誤"。Justin 推斷音訊連線訊號是觸發參與者列表更新的機制，透過 Kaido Match & Replace 禁用該訊號的傳送，實現了在不出現在參與者列表中的情況下監聽會議（"snoop dog"）。這啟示是 GitHub Issues 往往隱含安全相關的線索。

遠端協議層漏洞：二進位制逆向與伺服器模擬

第六個漏洞涉及 Perforce 版本控制協議。該桌面應用允許連線遠端版本控制伺服器同步程式碼。Justin 透過閱讀 Perforce 協議文件，理解了 RPC 的二進位制格式，並用 Python 的 struct.pack 和 ChatGPT 的輔助開發了惡意伺服器。當受害者開啟包含惡意配置的檔案後，應用會自動連線攻擊者的伺服器。伺服器簡單地忽略 auth 過程並直接傳送 write 檔案命令，覆寫每 2 秒自動執行的 exe 檔案，實現遠端程式碼執行。關鍵啟示是即使不熟悉二進位制協議，透過文件自學與工具輔助也可快速突破。

硬體與配置層漏洞：深度系統理解

第七和第八個漏洞來自物理提取的路由器韌體。透過熱風焊臺和 BGA 讀卡器提取 EMMC 晶片後，Justin 發現了兩個配置注入漏洞。DHCP 配置漏洞在於"IP 保留"功能未轉義使用者輸入的 IP 地址，允許注入 DHCP 命令（如 `dhcp-script=run` 執行 shell 命令）。DNS Mask 配置漏洞更復雜：兩個注入點都需要 `user root` 指令來啟用 TFTP 服務，但該指令不能重複。解決方案來自安全研究者 Sam Erb：利用 DNS Mask 的 1025 位元組行長度限制，在短行中將 `user root` 放在註釋中（停在 1025 位元組邊界），在長行中讓它溢位到下一行並被正確解析。這說明漏洞往往源於系統的邊界條件而非程式碼缺陷。

二進位制應用與資料庫注入

第九個漏洞在版本控制二進位制應用中發現。Justin 用 dotPeek 反編譯 .NET 可執行檔案獲得原始碼，發現上傳檔案時會將檔名直接插入 SQLite 查詢。透過上傳惡意 SQL 注入檔名，他實現了資料庫命令執行，進而匯出使用者的 Chrome Cookie（也儲存為 SQLite 資料庫），最終實現了賬戶接管。這提示是即使是"老舊"的漏洞型別（SQL 注入）仍廣泛存在於非 Web 應用中。

最複雜的利用：多層認證繞過與協議偽造

第十和第十一個漏洞聚焦智慧家居攝像頭的多層認證機制。目標是在無使用者互動的情況下監聽攝像頭。攻擊鏈路包括： 1. 用 JADX 反編譯 APK，Frida + objection 繞過 Root 檢測與模擬器檢測 2. 發現自定義 TLS 固定實現，用 Frida 指令碼覆寫校驗函式 3. 發現 Burp 不支援 SIPS 協議，改用 Polar Proxy 作為透明代理 4. 分析 SIP 認證流程：應用向 `/API/get_sip_oauth_token` 請求令牌，令牌包含 from 和 to 欄位 5. 在 `/api/initiate_call` 中注入目標引數，將其反射到令牌的 to 欄位 6. 透過在 target 引數中注入分號和新的 from 欄位，生成偽造令牌 7. 發現 from 欄位由 .so 二進位制檔案設定且難以用 Frida 鉤取，改用十六進位制編輯器直接修改 APK 字串 8. 最終以自動應答裝置的身份（from=victim_device, to=victim）偽造呼叫，繞過 OAuth 驗證並獲得實時影片和音訊訪問

第十一個漏洞是變種利用：SIP 的第三方註冊特性允許一個使用者為另一個使用者註冊，攻擊者利用這一點將受害者的呼叫地址對映到自己的裝置，實現呼叫劫持。