【网络安全】从一个XSS实现TikTok账户接管

未经许可，不得转载。

正文

打开科学上网工具，浏览TikTok主应用程序。工具有一个选项，可以随机选择连接的位置。我们将连接设置为中国。

当我尝试访问https://tiktok.com/时，我被重定向到另一个网页https://www.tiktok.com/status?status=7&link=https://go.onelink.me/bIdt/，上面显示“此页面在您所在的地区不可用” ：

URL包含两个参数，第一个参数是“status”，它负责页面内容。第二个参数是“link”，我们不知道它如何影响页面。

当我们将“status”参数的值更改为“1”时，页面内容发生了变化，并出现了一个新按钮。单击该按钮会将页面重定向到“link”参数的值（https://www.tiktok.com/status?status=1&link=https://go.onelink.me/BAuo/），这就是“link”参数发挥作用的地方：