价值两万美元的复制粘贴失误：当HackerOne“黑”了自己

“价值两万美元的复制粘贴失误：当HackerOne‘黑’了自己”

让我讲述一个我所研究过的最具讽刺意味的安全事件——全球领先的漏洞赏金平台HackerOne，因一个简单的复制粘贴错误，意外地将自己王国的钥匙拱手让人。

当时我正在查阅已公开的报告，发现了2019年的这个典型案例。这个故事提醒我们，无论安全意识有多强，人为失误仍可能导致灾难性的安全漏洞。

意外的交接

想象一下：一位HackerOne的安全分析师正试图复现一份漏洞报告。他们从浏览器控制台复制了一些调试信息，打算分享给研究员。但他们犯了一个关键错误——在粘贴的文本中，意外包含了自己的会话Cookie。

研究员haxta4ok00立即注意到了这一点。就在那里，以纯文本形式存在的，是一个有效的会话令牌，它授予了对HackerOne内部系统的完全访问权限。

发现的那一刻一定超乎现实：

• 研究员收到HackerOne工作人员的回复
• 注意到技术细节中有些不寻常之处
• 意识到自己看到的竟是一个有效的会话CookieFINISHED
  CSD0tFqvECLokhw9aBeRqvYTD3cAv2GUNlJNRecGo+IWI1OUg+VMi/VI+l4b5v2Iz6E3dn9tjMtpxXL71PQjA3yYz9UUaH5CIqqPCoPs6Za3/J4FPmkA+bYyfnGOoySn2Ph/lVgXqjI2QSU3RdHqSg==
  更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
  对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）