Тейковер брошенного сабдомена на S3 — засчитали как Low. Это норм?

[mafa]

Нашёл CNAME на несуществующий S3-бакет, зарегал бакет на себя, залил туда свой index.html. Сабдомен мой. В отчёте триаж поставил Low и заплатил 50 баксов. Это вообще законно с их стороны или меня кидают?

[wavman]

Зависит от того, какой это сабдомен и что ты в PoC показал. Если это assets-old.company.com без юзеров — Low честный. А вот если на нём висели куки родительского домена или туда шли OAuth-редиректы, это уже High/Critical, и ты недоказал импакт.

[coder_vasya]

Плюсую. По can-i-take-over-xyz проверь, не идёт ли на этот сабдомен загрузка скриптов на основной сайт — тогда это stored XSS на главном домене по сути. Покажи кражу сессии или фишинг под их брендом, и Low превратится в нормальные деньги.

[sylvia666]

О, про OAuth-редирект не подумал. Там реально login.company.com рядом крутится. Пойду перепроверю цепочку, спасибо, заодно репорт дополню.

[k8s2000]

Low за subdomain takeover через S3 — это откровенно заниженная оценка по любой нормальной методологии. CVSS базово даёт Medium-High в зависимости от того что можно разместить: если сабдомен используется в CSP как trusted origin или для OAuth redirect — это эскалируется до High без вопросов. HackerOne и Bugcrowd в своих severity guidelines прямо пишут что subdomain takeover с возможностью загрузить контент = Medium минимум. $50 при среднем выплате по программе — это или очень маленькая программа или сознательный зажим.

[highlight]

С законностью ситуация неоднозначная, но в твою пользу: ты зарегистрировал публично доступный бакет на своё имя (это легально), не получал доступ к чужим данным, контент разместил свой. Факт регистрации — это доказательство уязвимости. Если в скоупе программы этот домен указан явно — у них вообще нет аргументов кроме «не хотим платить». Можно написать в disclosure с формулировкой что готов повысить severity request и приложить CVSSv3 расчёт вручную. Часто помогает когда прикладываешь конкретный вектор: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N = 6.1 Medium.

[jwil1440]

@wavman, это ключевой момент который большинство упускает при репорте subdomain takeover. Low за пустой PoC с index.html — это не жадность триажа, это реально правильная оценка без доказанного импакта. Программы платят за риск, а не за факт технической возможности. Без демонстрации кражи токенов, обхода CSP или фишинга под реальным доменом — ты показал условие, а не уязвимость.

[roero]

@sylvia666, если login.company.com рядом — проверь именно куки с флагом domain=.company.com. Если сессионный куки выставлен на весь домен, твой сабдомен его получит в запросе, и это уже полноценная кража сессии без XSS. Это автоматически Medium-High в любой методологии. Главное зафиксируй в PoC конкретный куки который приходит на твой сабдомен, скриншот из DevTools будет достаточно.