最近，一位研究人员在谷歌地图中发现了一个跨站点脚本漏洞（XSS），这也让他赢得了1万美元的漏洞奖励。
Zohar Shachar，是一位应用程序安全主管，他向谷歌报告了这一漏洞，获得了5000美元的奖励。随后谷歌公开披露了这一问题，并于两个月后宣布“已修复”。然而在Shachar收到补丁通知的几分钟后，又找到了谷歌地图修复补丁的绕过方法。最终他又赚了5000美元。
Shachar介绍说，最初的漏洞源于Google地图有一个功能，它允许用户创建自己的地图。在构建地图完成之后，用户可以用多种格式导出它。其中一种格式是Keyhole标记语言（Keyhole Markup Language，KML），一种类似于XML的格式，用于在二维地图中显示地理注释和可视化。
当导出为KML时，Shachar发现服务器的响应中包含一个CDATA标签。CDATA标记表示文档的某一部分是通用字符数据（而不是非字符数据），并告诉浏览器，这部分不用解析。然而，他发现通过添加特殊字符，CDATA标签可以很容易地“闭合”。
Shachar说：“具体来说，通过在开头添加]]（即作为’地图名字‘的开头），你可以将CDATA闭合并添加任意的XML内容，这将导致XSS。”
要利用此漏洞，攻击者可以创建一个新的空地图，使用XML改写，并为SVG（一种基于XML的矢量图像标签）添加XSS负载。然后，攻击者将地图的权限设置为“public”，即允许每个人访问它，将其导出为KML并复制下载链接。攻击者就可以把下载链接发送给受害者。一旦目标被说服点击该链接，XSS攻击就会启动。
在Shachar报告了这个bug之后，Google说已经修复了。但是Shachar却惊讶地发现绕过补丁很简单。
Shachar解释：“为了修复这个缺陷，Google似乎添加了一个额外的CDATA标记，这意味着攻击者只需添加两个CDATA结束标记即可。”
正确的方法应该是重构服务器代码，检测上传的地图名称是否有违规字符（]]），而不是简单的防住第一层的xss攻击。
谷歌一直在不断扩大其漏洞奖励计划。这家科技巨头最近增加了针对产品的潜在攻击风险报告的漏洞奖励计划，最高奖励金额为每份报告13337美元。
去年，谷歌推出了开发者数据保护奖励计划，该计划针对google play、goog leapi和google chrome的漏洞报告，最高可获得5万美元。同样在2019年，谷歌将Chrome安全漏洞的最高奖励金额从5000美元增加到15000美元，并将高质量报告的最高奖励金额从15000美元增加到30000美元。
