对 *.google.com/* 产品进行大规模的 CSRFing 研究，意外获得3万美元奖金

 聚焦源代码安全，网罗国内外最新资讯！ 编译：奇安信代码卫士团队 2018年时，我第一次从谷歌获得研究基金，当时认为要是能提交一些影响很多款谷歌产品的漏洞，肯定很酷。虽然不必如此，但当时这就是我对于基金如何发挥作用的误解。 我决定摒弃平时的研究方向 (XSS)，想找到 CSRF 漏洞，而这一切始于研究员 Alex得出的强大研究成果： 他找到的是一个同源策略绕过漏洞：通过读取 CSRF令牌，完美绕过

>>阅读原文<<