我是如何"黑入"NASA而没进监狱的

Antonio Rivera Poblete 2分钟阅读 · 2025年9月13日

大家好，我是Antonio Rivera，一名安全研究员、漏洞猎人和道德黑客。我曾为多家公司提供安全防护，获得过漏洞赏金、名人堂提名以及感谢和认可信。

🌌 黑入NASA——充满挑战的旅程

让我告诉你——以道德方式黑入NASA并非一朝一夕之事。这一成就是我持续努力、学习并在其平台上进行漏洞挖掘的结果。

我正在一个类似vuln.nasa.gov的子域上进行探测，使用传统的手动测试方法：小型探测，寻找IDOR、CSTI、XSS等常见漏洞。

我点击了一个日历表单想看看它会做什么。没什么特别的：一个日期选择器，几个字段，那种人们构建后就忘记的用户界面。我决定尝试注入最简单的单引号payload：'

网站立即崩溃了。

出现的不是一个优雅的错误页面，也不是礼貌的"出了点问题"，而是一个丑陋的Django跟踪信息。调试模式处于开启状态。堆栈跟踪泄露了内部配置和环境细节，这些信息绝不应该公开。

简而言之，一个开发便利变成了敞开的大门。

国家航空航天局（NASA）- 漏洞披露计划 | Bugcrowd

Bugcrowd的漏洞赏金和漏洞披露平台将全球安全研究员社区与您的…连接起来

bugcrowd.com