利用配置错误的负载均衡器，通过XSS窃取Cookies

文章预览

扫码领资料 获网安教程 来 Track安全社区投稿~   千元稿费！还有保底奖励~（https://bbs.zkaq.cn） 引言 在本文中，我们将探讨一个涉及负载均衡器漏洞利用和跨站脚本攻击（XSS）来劫取应用程序Cookies的实际场景。由于保密协议的限制，我们将省略具体名称和截图，但我们会详细分析攻击过程及其影响。通过将负载均衡器的主机头注入漏洞与XSS攻击结合，攻击者绕过了Cookies的保护机制，获得了未授权的敏感信息。这个案例研究提醒我们，处理和缓解这些漏洞对于保护应用程序和用户数据至关重要。 应用程序交互流程 从黑盒测试的角度来看，应用程序的交互流程可以总结如下： 1. 用户向应用程序发起请求。 2. 负载均衡器将Cookie发送给授权服务器（authz server）。 3. 如果Cookie有效，负载均衡器将请求转发到应用实例，并返回响应。 4. 如果Cookie无效，则 ………………………………