Tôi đã tìm ra XSS được BHD Cinema như thế nào

*Lưu ý: Mọi ảnh chụp màn hình đều được viết vào thời điểm hiện tại
Hôm nay tôi sẽ viết về lỗ hổng XSS của BHD Cinema. Vụ này khiến tôi nhớ đến vụ hack Lotte Cinema cách đây không lâu. Chuyện là như thế này. Hôm mùng 4 Tết, tôi đang đi tìm một bộ phim nào đó hay hay để đi xem với bạn. Lên Google search xem rạp gì hay không nào.

Hmmm rạp BHD ngay trên Vincom Phạm Ngọc Thạch tiện đường cho chúng tôi quá ngay dưới là Starbuck. Vào thử chọn phim nào

Web được cái design đẹp đấy vào đăng kí rồi chọn phim thôi
Thôi kệ đã. Bây giờ cái chính là vào đăng kí đặt vé đã không hết chỗ ngon bây giờ ^^
Vào đăng kí nhập hết thông tin thì mình nhận được thông báo

Số đã được đăng kí? Từ khi nào ý nhỉ ? Mình sực nhớ ra trước đây cũng đã định order vé rạp nhưng xong thôi do không đi được. Bỏ qua chuyện cá nhân :v Xem có phim gì hay đã. Thói quen của mình là xóa link đi để vào trang chủ

Cái gì đây thế này :v Môt ý tưởng lóe lên :v Thử thay sau error= nào

Quả không sai :v Error báo về cũng khác

Vậy không còn nghi ngờ gì nữa trang này đã bị dính XSS :v Để chắc chắn thử lại với alert nhé :v

Vậy ra hẳn XSS rồi :v

Mình đã kiểm tra mức độ thiệt hại thì thấy do đặt vé qua 123phim nên thiệt hại về tài sản của user gần như không có(123phim mình đã có kiểm tra và thấy HTTPS của nó theo kiểu giả cầy :) ) Vậy là một số người xấu có thể lợi dụng lỗ hổng này để cài virus, lừa đảo, chôm Cookie(:v Có acc này cũng chẳng làm gì ngoài xem mấy cái lịch sử vé phim)

Timelines report lỗi:

Tối mùng 3 Tết: Đã phát hiện ra lỗ hổng báo mật XSS khá nghiêm trọng(Do lộ liễu) trên bhdstar.vn ngay sau đó đã post bài lên J2TeaM Community

Ngày mùng 4 Tết: Đã gọi điện lên BHD trong HCM báo cáo bug. Tổng đài viên nói chuyện một cách thiếu lịch sự -> Coi đây là trò đùa -> Báo sẽ gọi lại ngay sau khi kiểm tra xong cũng không kiểm tra lại

Ngày 2/2 lịch dương: Admin rep inb trên fanpage

Ngày 5/2: Lai report lại :) Và bảo sẽ fix đến giờ chưa fix