@litrbooh Сегодня после нашего ежедневного созвона команды я занялся тестированием безопасности нашей системы. Сегодняшней задачей был поиск хранимых XSS уязвимостей в новом клиенте. Занимаясь этим была обнаружена одна не критичная уязвимость, которую я передал на исправление. После я решил посетить альтернативные клиенты т.к. подобные уязвимости у них могут негативно сказаться на всем проекте GOLOS, а не только golos.io. И сразу же обнаружил нестандартное поведение на goldvoice.club. Далее я дополнительно протестировал на уязвимости уже goldvoice, создав несколько дополнительных аккаунтов через goldvoice, а именно testxxx, testxx и testx. Уже завершая цикл проверки я узнал что владелец goldvoice уже обнаружил проблему, очевидно увидев в консоле сообщение "10", которое я выводил, находя баг. Далее владелец goldvoice сообщил что закрывает сайт на поиск уязвимостей. Ну а после был опубликован этот пост с демонстрацией т.к., судя по всему, владелец goldvoice исправит все проблемы и пользователи блокчейна GOLOS будут в безопасности.
Все действия, которые я выполнял, публично доступны в блокчейне.
в безопасность
@litrbooh каемся, мы переодически проводим тесты безопасности нашего сервиса.
@nickshtefan , вы молодцы, а на Голдвойсе @format-x22 чего делал?
@litrbooh Сегодня после нашего ежедневного созвона команды я занялся тестированием безопасности нашей системы. Сегодняшней задачей был поиск хранимых XSS уязвимостей в новом клиенте. Занимаясь этим была обнаружена одна не критичная уязвимость, которую я передал на исправление. После я решил посетить альтернативные клиенты т.к. подобные уязвимости у них могут негативно сказаться на всем проекте GOLOS, а не только golos.io. И сразу же обнаружил нестандартное поведение на goldvoice.club. Далее я дополнительно протестировал на уязвимости уже goldvoice, создав несколько дополнительных аккаунтов через goldvoice, а именно testxxx, testxx и testx. Уже завершая цикл проверки я узнал что владелец goldvoice уже обнаружил проблему, очевидно увидев в консоле сообщение "10", которое я выводил, находя баг. Далее владелец goldvoice сообщил что закрывает сайт на поиск уязвимостей. Ну а после был опубликован этот пост с демонстрацией т.к., судя по всему, владелец goldvoice исправит все проблемы и пользователи блокчейна GOLOS будут в безопасности.
Все действия, которые я выполнял, публично доступны в блокчейне.
@format-x22 , т.е. проникновение всё таки было - был внедрен скрипт выводящий в консоль "10"?
именно) одни отнекиваются, другие соглашаются))) более того, у них один из тестов именно серверный вариант для пхп?
@format-x22 ты лучше скажи, вы все уязвимости закрыть успели? повторно тестили?
@t3ran13 мы постоянно находимся в поиске, это не то дело, которое можно завершить
я имею ввиду после закрытию по второму кругу тесты были? помогло ли?