security - 如何最好地向您自己公司的 Web 开发团队展示安全漏洞？

Question

想象以下场景:

你在 Big Co. 工作，大厅里的同事在 Big Co 的公共(public)博客系统的 Web 开发团队中工作，Big Co 的许多员工和一些公众人士都在使用该系统。博客系统允许任何 HTML 和 JavaScript，并且您被告知这是一个选择(不是偶然的)，但您不确定他们是否意识到这一点的含义。

所以你想说服他们这是一个坏主意。你写一些演示代码，在自己的博客中植入 XSS 脚本，然后写一些博文。不久之后，首席博客管理员(楼下)访问了您的博客文章，XSS 将他的 cookie 发送给您。您将它们复制到浏览器中，您现在以他的身份登录。

好的，现在你以他的身份登录了……你开始意识到继续“破解”博客系统可能不是一个好主意。但你是个好人!登录后不碰他的账号，绝对不打算公开这个弱点；您可能只是想向他们展示公众能够做到这一点，以便他们可以在恶意人员意识到同样的事情之前修复它!

从这里开始最好的行动方案是什么？

Answer 1

真的取决于你在公司的职位，大厅里的人的性质等等......

提出一种选择:

走到他们面前，用抽象的术语描述威胁(“有人可以劫持你的 cookie，这反过来……”)，然后问他们是否想看演示？如果有很大的自负，而你真的希望他们解决它，不要与整个团队交谈，而只是与团队负责人交谈。

如果他们同意，请等待几个小时，然后以“他”的身份重新登录，并在系统中做一些非破坏性但引人注目的事情——你在他们的许可下这样做了。他们可能会留下深刻的印象，并确保孔得到修复。

如果他们不同意并告诉您离开，那么您将不得不权衡您的选择:要么将其带到更高的地方，要么将其掩埋。通过提及该问题，您将放弃所有匿名发送的选项。

如果你不能 100% 确定决策链中的每个人都是合理的并且完全理解你在做什么，并且这是为了公司的利益，我不会做任何流氓“黑客”——总是说话首先是关于它，尤其是在大公司环境中。这些东西很容易被误解为对您来说是恶意的——尤其是如果有人会因为建立这个安全漏洞而感到尴尬，并想把责任推给其他人。