Bug Tirto.id | Bug Di Situs Berita Tirto.id

Perburuan bug bounty ku di situs berita Tirto.id di sela rutinitas saya mencari bug di situs situs yang mengadakan program bug bounty saya juga selalu mencari celah keamanan di situs pemerintahan, perusahaan dan situs situs terkenal di Indonesia, saat itu saya sedang membaca beberapa write up tentang bug bounty di situs Abaykan.com dan membaca salah satu write up baru nya tentang Hadiah/Bounty dari situs berita Tirto.id dengan Reward yang menggiurkan untuk 2 Bug Cross Site Scripting yang menurutku untuk Bug XSS di situs Berita tergolong bayaran tinggi,
di banding situs yang membuka program secara khusus seperti Tokopedia.com , Bukalapak.com , Traveloka.com dan situs lain nya.

Dari situlah saya tertarik dan mencoba keberuntungan di situs Tirto.id,
saya mencoba melakukan Scanning subdomain Tirto.id menggunakan Api milik Indoxploit.or.id

Disana ada beberapa subdomain yang menarik dan saya menemukan subdomain sso.tirto.id
saya login disana menggunakan akun facebook dan di arahkan ke pengaturan akun,
saya mencoba memasukan script payloads xss <img src=x onerror=prompt(1);> dan xss pun bekerja Stored Cross site Scripting

itu bekerja di semua form pengaturan disana rentan terhadan bug xss.

Dan bug yang kedua bug Multipl XSS dan Insecure Direct Object Referense (IDOR) celah nya masih di subdomain sso tadi dimana dampak dari bug ini saya dapat mendaftarkan email siapa saja di sana tanpa harus tau link verifikasi yang di kirim ke email tsb,

Url Vuln : https://sso.tirto.id/activate/BASE64

disana kita tinggal memasukan script xss maupun email yang ingin kita tambahkan di akun

Example : https://sso.tirto.id/activate/YzNWc2FXNW5MbTVwYm1waE1UWWlMejQ4YVcxbklITnlZejE0SUc5dVpYSnliM0k5Y0hKdmJYQjBLREVwT3o1QVoyMWhhV3d1WTI5dA==

YzNWc2FXNW5MbTVwYm1waE1UWWlMejQ4YVcxbklITnlZejE0SUc5dVpYSnliM0k5Y0hKdmJYQjBLREVwT3o1QVoyMWhhV3d1WTI5dA==

adalah hasil encode dari

c3VsaW5nLm5pbmphMTYiLz48aW1nIHNyYz14IG9uZXJyb3I9cHJvbXB0KDEpOz5AZ21haWwuY29t (suling.ninja16"/><img src=x onerror=prompt(1);>@gmail.com)

disana menggunakan 2x encrp base64, dan untuk bug ini saya tidak sempat membuat bukti screenshot karna sekarang disana ada authentication login



Timeline :

- 01 Maret 2019 - Bug reporting

- 11 Maret 2019 - IT Manager Tirto.id membalas

- 12 Maret 2019 - HRD Tirto.id meminta data diri

- 22 Maret 2019 -  Reward Rp.xxx.xxx.xx diterima

- 22 Maret 2019 - Tawaran kerja Tirto.id

- 08 April 2019 -  Saya mulai kerja disana