La historia de cómo encontré por accidente un método para eludir la verificación de dominios de Google
(bugs.xdavidhu.me)Se descubrió que la expresión regular usada para verificar y evitar llamadas desde dominios no incluidos en la lista blanca tenía un error.
Si el nombre de dominio contiene / ? # \\, el navegador solo reconoce hasta antes de esos caracteres,
pero esa rutina no verificaba \\, así que si el código se ejecutaba desde aaa.com\\google.com, lo reconocía como si fuera un servidor de Google.
Después de reportarlo a Google, respondieron que el problema estaba en el propio parser de URI de Closure que se usaba en varios lugares dentro de Google, y que ya lo habían parchado.
El autor recibió una recompensa de 6,000 dólares por el bug.
1 comentarios
Pasó de ser un P4 a convertirse en un bug de nivel P1. Pero si son $6000, la recompensa se ve pequeña..
https://www.google.com/about/appsecurity/reward-program/