想象一下以下场景:
你在Big Co.工作,你的同事在大厅里面是Big Co的公共博客系统的网络开发团队,很多Big Co员工和一些公众使用.博客系统允许任何HTML和JavaScript,你被告知这是一个选择(不是偶然),但你不确定他们是否意识到这一点的含义.
所以你想让他们相信这是一个坏主意.您可以在自己的博客中编写一些演示代码并生成XSS脚本,然后撰写一些博客文章.不久之后,主管博客管理员(在大厅下)访问您的博客帖子,XSS将他的cookie发送给您.您将它们复制到浏览器中,然后您将以他身份登录.
好的,现在你以他的身份登录了......你开始意识到继续"破解"博客系统可能不是一个好主意.但你是一个好人!登录后你没有触摸他的帐户,你绝对不打算宣传这个弱点; 你可能只想告诉他们公众能够做到这一点,以便他们可以在恶意实现同样的事情之前修复它!
这里最好的行动方案是什么？
过去，每当我看到需要由内部 IT 团队解决的安全问题时，我都会简单地告诉他们问题是什么以及可以采取哪些措施来利用它。
根据他们的敏感程度以及您在他们/您的公司中的地位，概念验证代码可能是也可能不是一个好主意。如果他们有理由怀疑你恶意使用它，我会保守秘密。否则，如果他们愿意，请分享。
那是唯一的敏感区域。只需以负责任的方式传达问题，表明您只是担心安全问题，而不是想利用它们。