开发者挖出 Google 9 万美元赏金漏洞:Cookie 自带签名密钥
lyraxana · x · 2026-10-28
安全研究者 Simon Koeck 详细复盘如何拿下 Google 9 万美元漏洞赏金：developers.google.com 的 Flask session cookie 里内嵌了用于签名自身的 OAuth clientsecret（以 pickle 序列化存放在 " b" 字段中）。
- 作者在梳理 Google 开发者文档站共用的 OAuth 流程时，发现无需登录即可获得约 1200 字节的异常大的 Flask cookie
- Flask cookie 只签名不加密，解码后发现其中藏有 pickle 序列化的 OAuth2WebServerFlow 对象，含明文 clientid 和 clientsecret
- 利用该密钥可伪造会话，进而在 Google 开发者站点链上实现远程代码执行（RCE）
- 文章附有完整解码代码：base64 + zlib 解压 + pickletools.dis 反序列化分析
「安全」频道最新
- 创业公司 Only Then Labs 提案：Agent 的旧批准不能当永久授权 — tallmetommy · 2026-10-28
- Sam Altman 的 World 向银行推销 Orb 虹膜验证，网友吐槽恐怖片既视感 — rschu · 2026-10-28
- Claude 拦下伪装成认证错误的朝鲜供应链攻击代码 — banteg · 2026-10-28
- 哈佛肯尼迪学院 Casper 将办 Reddit AMA:AI 防护、事件与治理 — NeuralNomad87 · 2026-10-28
- 德州选民普遍反对数据中心，San Marcos 已率先禁建 — The Verge AI · 2026-10-28
- 提示词注入被检测到≠被拦截：Agent 安全护栏验证四问 — shoumikgoswami · 2026-10-28