URL验证绕过速查表新增疯狂Payload

新IP验证绕过技术

除了现有的IPv4地址表示方法外，我们新增了以下被Chrome、Firefox和Safari支持的格式。以云元数据IP地址169.254.169.254为例：

• 169.254.43518
  部分十进制（B类）格式：将IP地址的第三和第四部分合并为十进制数
• 169.16689662
  部分十进制（A类）格式：将第二、三、四部分合并为十进制数
• 0xA9.254.0251.0376
  混合编码：IP地址的每个段可以采用不同格式（十六进制、十进制或八进制）。为保持工具高效性，我们不会生成所有可能组合，而是将第一段转为十六进制，第二段保持十进制，最后两段转为八进制

速查表现在还支持IPv6地址。当攻击者主机名中输入有效IPv6地址时，词表将更新为地址的扩展形式。若IPv6地址包含嵌入式IPv4地址，速查表会提取它并生成所有前述格式。该行为可在高级设置中禁用。

此外，您还可以使用特殊编码对结果IP格式进行编码，如圆圈拉丁字母和数字、全角形式甚至七段显示字符。要应用这些编码，请打开高级设置，进入标准化设置，并选择一个或多个编码选项。

用户信息解析差异

我们新增了一个针对用户信息解析差异的有趣payload（由@SeanPesce提交）：

1

https://example.com[@attacker.com

用户信息段中的左方括号字符[可能导致Spring的UriComponentsBuilder返回与主流浏览器解析不同的主机名值。这种差异可能导致开放重定向或SSRF等漏洞。测试该payload时，我们还复现了同次更新中修复的另一个漏洞。这完美展示了我们的URL验证绕过速查表如何用于识别现实世界漏洞。

CORS验证绕过速查表更新

我们最近更新了CORS绕过速查表，新增了包括与localhost正则实现相关的边缘案例和Safari特定域分割攻击技术（由@t0xodile提交）。这些更新解决了攻击者使用特殊字符操纵域以绕过验证检查的场景，例如：

1
2
3

https://example.com.{.web-attacker.com/
https://example.com.}.web-attacker.com/
https://example.com.`.web-attacker.com/

[返回所有文章]