Böcek ödül avı dünyasında, XSS yükleri için kısa bir alana sahip olmak, bir hatadan yararlanmadaki fark olabilir … ve yükler için güzel bir alana sahip olmak gerçekten harika, lol.
Ocak ayında tam zamanlı hata Bounty’ye gittikten bir sabah, bana POC’ler ve yükler için güzel bir alan bulmaya karar verdim. Tam günlük bir yolculuğa dönüştü. Oldukça maceraydı. Etrafta geçirdim altı saat Domain-sağlayıcı API’lerini tersine çevirmek ve bunları bulma sürecini otomatikleştirmek. ASCII ve Unicode karakter sayılarının inceliklerine giriyorum ve bulduğum şeyler ilginçti.
Ascii ve Unicode
Yükler için alan adları söz konusu olduğunda, bazen her karakter önemlidir. Ascii ve Unicode karakterleri sayıları burada önemli bir rol oynar. Birçok Unicode karakteri ASCII’ye karar verir, yani bir XSS veya SSRF yükü hazırlıyorsanız, kısa bir alan bazen en iyi arkadaşınız olabilir.
Örneğin, bir alan adı 1.com Yoğun olmadığı için 4 ASCII ve 4 Unicode karakteri ile basittir. Ama sonra var rad.pwsahip olduğum. 5 ASCII karakteri var, ancak sadece 2 Unicode, çünkü “㎭” ve “㎺” her biri tek bir Unicode karakter.
En kısa alan avı
Amacım mümkün olan en düşük karakter sayısını bulmaktı, ideal olarak 3 ASCII ve 2 Unicode gibi 1.rs. Ne yazık ki, bunlar (çoğunlukla) alınmıştır. Bu yüzden, 4 ASCII ve 2 Unicode karakterine sahip bir etki alanı bulmaya manzaralarımı ayarladım.
Bununla birlikte, böyle bir alanın makul bir fiyata bulmak da bir zorluk olduğunu kanıtladı. Çok fazla arama yaptıktan sonra:
rad.pw: 5 ASCII, 2 Unicode ve “RAD Password” POCS için harika bir alandırt4.rs: 4 ASCII, 3 Unicode çünkü T4 yoğunlaşmıyor ve robotun katranları için kısakm3.pw: 5 ASCII, 2 Unicode. Bunu diğer ikisini bulmadan önce önce aldım. Birisi buna sahip olmakla ilgileniyorsa, gerçekten ihtiyacım yok, bu yüzden istersen bana bildirin.
Sidenote: Tüm bu süreç nedeniyle, bu aracı web siteme ekledim: ASCII – Unicode karakter redüktör
Gizli mücevherler ve pahalı bulgular
Aramam sırasında bazı ilgi çekici alanlara rastladım. Eğer savurganlık yapmak istiyorsanız, Nic.st. Gibi Alanlar rs.st mevcut, ancak ağır bir fiyat etiketi ile geliyorlar-4 karakterlik bir alan ve yıllık 29 € ücret nedeniyle 799 €.
Alanların Kutsal Kâsesi
Yine de nihai bulma ve 1500 € pahalı bir çift alan: 2.st Ve 9.st (ve belki 1-2 diğer [number].st alanlar), 3 ASCII ve 2 Unicode’dur. Bunlar nadir taşlardır ve onları daha fazla azaltmanın bir yolu yoktur.
Yoksa var mı?
Şimdiye kadar bahsettiğim tüm karakter sayısı Dönemi/DOT’u içerir, ancak teknik olarak, bir sayı ve bir dönemi birleştiren bir dizi Unicode karakter var, ⒉ Yani bunlar gibi ⒉st aslında daha küçük. Üzücü olan şey tarayıcılar (ve test ettiğim Unicode normalleştiricileri) ⒉ 2.sadece dönüştürüyorlar 2 ve dönemi bırakın. Yani, bu alanlar teknik olarak daha kısa olsa da, AFAICT uygulamasında çalışmazlar.
Düzenleme: tamam, bunu yeni öğrendim ⒉st dönüştürülür 2.st JavaScript ve Python’da.
Javascript:
Hem normalleştirin (‘nfkc’) hem de normalleştirin (‘nfkd’) “⒉st” → “2.st”
Python:
Hem unicodedata.normalize (‘nfkc’) ve unicodedata.normalize (‘nfkd’) de “⒉st” → “2.st”
Bana ne bulduğunu söyle
Tüm bu süper ilginç buluyorum, bu yüzden lütfen beni etiketleyin ve en iyi alanınızın ne olduğunu ve bir TLD veya bazı altın alanları olan bir şeyi kaçırdım.
– Joseph
Bunun gibi daha fazla içerik gönderdiğimi bilmek için e -posta listeme kaydolun. Ayrıca düşüncelerimi Twitter/X hakkında da yayınlıyorum.