A história de como encontrei por acaso uma forma de burlar a checagem de domínio do Google
(bugs.xdavidhu.me)Foi descoberto que havia um erro na expressão regular usada para bloquear chamadas vindas de domínios que não estavam na whitelist.
Quando o nome do domínio contém /, ?, # ou \, o navegador reconhece apenas a parte anterior a esses caracteres,
mas essa rotina não verificava \, então, se o código fosse executado em aaa.com\google.com, ele acabaria sendo reconhecido como se estivesse em um servidor do Google.
Depois que o problema foi reportado ao Google, a resposta foi que havia um problema no próprio parser de URI do Closure, usado internamente em vários lugares no Google, e que isso foi corrigido.
O autor recebeu uma recompensa de bug bounty de US$ 6.000.
1 comentários
Era P4, mas acabou virando um bug de nível P1. Ainda assim, US$ 6000 parece uma recompensa pequena..
https://www.google.com/about/appsecurity/reward-program/