[ BUG BOUNTY ] Self XSS + ClickJacking = Good XSS | Tokopedia

Hi sobat, bagaimana kabarnya ? semoga senantiasa sehat selalu dan diberikan kelancaran dalam aktifitasnya. ^-^

Tokopedia adalah perusahaan teknologi Indonesia dengan misi mencapai pemerataan ekonomi secara digital. Sejak didirikan pada tahun 2009, Tokopedia telah bertransformasi menjadi sebuah unicorn yang berpengaruh tidak hanya di Indonesia tetapi juga di Asia Tenggara. — Wikipedia.

Awal cerita…., pada saat mencoba hunting diwebsite ini. saya mencoba untuk melakukan periksa setiap form input yang saya temuin dengan payload XSS lalu melihat hasilnya; ( bisa menggunakan ctrl+u atau bisa melihat responsenya langsung menggunakan tools burpsuite ) . singkat cerita saya berhasil men-trigger XSSnya =)

Nah, setelah saya amati bahwa XSS ini berada didalam sisi pengguna customer ( user ) saja. dengan kata lain tidak berdampak kepada customer lain dan XSS ini tergolong dalam kategori Self XSS karena hanya berdampak kepada diri sendiri saja.

Selanjutnya, saya mencari referensi “Eskalasi Self XSS” dan ternyata banyak referensinya di google untuk eskalasi berikutnya; misal :

1. Cookie Based Self-XSS to Good XSS — InfoSec Write-ups — Medium
2. http://www.websecuritylens.org/how-to-turn-self-xss-into-good-xss/
3. https://www.netsparker.com/blog/web-security/transforming-self-xss-into-exploitable-xss/

Ternyata dari sekian referensi Self XSS umumnya dikombinasi dengan teknik Clickjacking, dengan syarat halaman untuk clickjackingnya terbuka.

Berikut Step of Reproduce nya :

1. Siapkan 2 akun [ asumsi akun A & akun B ]
2. Pergi ke Daftar produk
3. Mengecek sebuah form input dengan sebuah payload XSS
4. Ketika saya memasukan sebuah payload, saya berhasil mentrigger XSS
5. Mengecek halaman endpoint dengan apakah vulnerability Clickjacking,… yups dan ternyata vulnerability untuk Clickjacking, selanjutnya saya kombinasi XSS tersebut dengan Clickjacking

6. Kemudian saya saya buatkan payload/script XSS + Clickjacking dengan sebuah skema permainan/games quiz untuk dikirimkan kepada victims

Tested by Chrome

Tested by Chrome

Tested by Chrome

Tested by Firefox

Tested by Firefox

Source Code :

source code XSS + ClickJacking

Payload XSS:

hello”><IMG “””><SCRIPT>alert(document.cookie)</SCRIPT>”>

Timeline :

1. 1-Mei-2019 : Mengirimkan Report Tokopedia
2. 1-Mei-2019 : Tokopedia Menyatakan Valid Severity Medium
3. 15-Mei-2019 : Bug telah di patch Tokopedia
4. 10-Juni-2019 : Pengiriman Reward + Sertifikat

• ** Tokopedia telah memberi izin untuk saya disclose laporan ini***

Salam, Danang TA