【漏洞实例】记一次奇葩的URL跳转

在浏览网页的时候，基于职业操守，打开了F12‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

偶然发现那么一个请求‍‍‍‍‍‍‍

https://i.abc.zhbk.com/client/store/qrcode/getIMG.action?url=https://passport.zhbk.com

打开后发现是一个二维码，利用手机扫一扫，发现跳转到了 passport.zhbk.com 上面‍‍‍‍‍‍‍‍‍‍‍‍

于是有个大胆的猜测，这里可能存在URL跳转，尝试构造一下payload

https://i.abc.zhbk.com/client/store/qrcode/getIMG.action?url=https://evil.com%E3%80%82passport.zhbk.com

然后生成了一个二维码，我尝试扫描确实跳转到了恶意网站，但其实到这儿，我还是担心会被忽略，因为这需要用户交互后才可以达到效果‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

随即想到一个解析二维码的网站—草料，抱着试一试的心态看看解码出来会是什么‍‍‍‍‍‍‍‍‍‍

https://cli.im/deqr/other

解码出来居然是一个短链接，而且是该SRC的域名！随即提交获取赏金！

原文始发于微信公众号（Undoubted Security）：【漏洞实例】记一次奇葩的URL跳转