🔍   #заметки #web #offense

➡️Ресерч о реализациях парсинга идентификатора зоны* адресов IPv6 в разных языках программирования и образующихся из этого возможностях эксплуатации приложений с конкретными примерами [🐍/💻/💻]: ⬇️


   🧩  ‟Exploring IPv6 Zone Identifier”  (@slonser_notes)


▪️Про ZoneID в IPv6 со ссылкой на RFC 6874
▪️Обход белого списка поддоменов
▪️Инъекция с обходом формата URL
▪️Инъекция произвольных команд для удаленного исполнения
▪️Инъекция CRLF-конструкций
▪️Внедрение XSS пейлоада
▪️Обход чёрного списка IP адресов
▪️Использование особенностей реализации для эксплуатации SSRF
▪️. . .

*Идентификатор зоны – часть IPv6 адреса, начиная со знака %, которая позволяет отличать link-local адреса и содержит идентификатор интерфейса;

▪️Пример адреса с ZoneID:  [fe80::1ff:fe23:4567:890a%eth2]
▪️Тоже пример адреса с ZoneID: [::1%slonser]

   @HaHacking  🐇