Concatenazione delle vulnerabilità per un impatto maggiore

Il concatenamento delle vulnerabilità combina più vulnerabilità di gravità bassa in un'unica catena di exploit con un impatto complessivo maggiore. Una catena composta da SSRF + accesso a IMDS + furto delle credenziali IAM ha un impatto molto superiore a quello di ciascun componente valutato singolarmente.

I programmi ricompensano l'impatto, non il numero di bug individuali. Una XSS di bassa gravità combinata con un bypass del self-XSS + CSRF per attivarla può costituire una catena di compromissione dell'account degna di una ricompensa alta/critica, invece di tre segnalazioni separate di bassa gravità.

Il self-XSS viene normalmente respinto (l'attacco è rivolto contro se stessi). Tuttavia, può essere concatenato con un CSRF che costringe una vittima ad attivare il payload XSS nella propria sessione. A quel punto l'attaccante può eseguire JavaScript arbitrario nel contesto della vittima, ottenendo la compromissione dell'account. Due risultati di bassa gravità formano una catena critica.

Una Server-Side Request Forgery che raggiunge soltanto l'infrastruttura interna (normalmente di gravità media) diventa critica se concatenata con l'accesso al servizio di metadati AWS EC2 (169.254.169.254) per rubare le credenziali IAM e utilizzare poi tali credenziali per ottenere il pieno accesso all'account AWS.

Un open redirect su example.com consente di reindirizzare le risposte di autorizzazione OAuth verso un URL controllato dall'attaccante. Se concatenato con una configurazione di phishing, permette di rubare i codici di autorizzazione OAuth, riscattarli lato server e ottenere il pieno accesso all'account. Due risultati di gravità media formano una vulnerabilità critica.

L'iniezione dell'header Host nelle email di reimpostazione della password consente di fare in modo che il link di reimpostazione della vittima punti a un server controllato dall'attaccante. Quando la vittima fa clic, l'attaccante riceve il token di reimpostazione e prende il controllo dell'account: l'iniezione dell'header Host (bassa) diventa una compromissione dell'account (critica).

Rifletta su ciò che fornisce ogni vulnerabilità: SSRF = capacità di effettuare richieste dal server, XSS = esecuzione di JavaScript nel browser della vittima, CSRF = possibilità di forzare azioni autenticate, open redirect = controllo della destinazione del reindirizzamento. Colleghi ciò che una vulnerabilità fornisce a ciò che un'altra richiede.

Quando segnala una catena, dimostri ogni passaggio con richieste e risposte HTTP distinte. Mostri la precondizione → il primo bug si attiva → fornisce X → il secondo bug usa X per ottenere Y → impatto finale. Ogni anello della catena deve essere dimostrato, non soltanto ipotizzato.

Componenti di catene ad alto valore: divulgazione di informazioni (rivela IP interni e nomi utente), SSRF (accesso interno), open redirect (furto di token come punto di passaggio), XSS (esecuzione di JavaScript), CSRF (forza azioni), IDOR (accesso ad altre risorse), JWT debole (falsificazione della sessione). Impari a conoscere bene tutti questi elementi.

Annoti i risultati apparentemente di basso impatto durante la ricognizione invece di scartarli. Un parametro riflesso che accetta soltanto valori numerici potrebbe essere utilizzabile in una catena. Tenga traccia dei risultati in un sistema di note locale e li riveda quando trova gli elementi di collegamento.

Dimostri le catene solo nella misura necessaria a provarne l'impatto. Se la SSRF consente di accedere a IMDS, mostri le credenziali restituite, ma non le utilizzi realmente. Documenti il percorso di escalation senza sfruttarlo completamente, per evitare di causare danni concreti.

Perché le vulnerabilità self-XSS vengono spesso respinte se considerate singolarmente, ma sono utili nelle catene?

Il concatenamento delle vulnerabilità trasforma risultati di bassa gravità in catene di exploit ad alto impatto. Comprendendo ciò che ogni vulnerabilità fornisce e ciò che rende possibile, i ricercatori combinano SSRF + IMDS, XSS + CSRF e open redirect + furto OAuth per dimostrare un impatto critico e massimizzare le ricompense.