# 【Juice-Shop】★ Outdated Allowlist：过期的加密货币地址


# 【juice-shop】★ Outdated Allowlist：过期的加密货币地址

## 0x01 任务简报

<blockquote style="border-left: 5px solid #6f42c1; background-color: #f5f3ff; padding: 20px; margin: 1.5rem 0; color: #5521b5; line-height: 1.8; border-radius: 0 5px 5px 0;">
<div style="font-weight: bold; font-size: 1.1rem; margin-bottom: 10px; display: flex; align-items: center;">
<span style="margin-right: 8px;">💡</span> 提示 (Hints)
</div>

1. 在从代码中移除对这些地址的引用时，开发人员有些马虎。<br>
2. 更具体地说，他们的代码存在严重疏漏，甚至连 Angular 编译器都无法自动清理这些问题。<br>
3. 当然，仅直接访问任何加密货币链接并不足以解决该挑战。
</blockquote>

---

## 0x02 实战：复现漏洞

### 🔎 第一步：定位重定向端点

根据题目线索"重定向（redirect）"，需要在 main.js 中寻找相关代码。打开浏览器开发者工具，在 Sources 标签页找到 main.js 文件。

![在 Sources 中找到 main.js](assets/Pastedimage20260402134717.png)

### 🔍 第二步：搜索并筛选

将 main.js 格式化后，使用搜索功能：

1. **首次搜索**：搜索 `redirect`
   - 结果：18 个匹配
   - 问题：大多数结果不相关

2. **精确搜索**：搜索 `/redirect?to`
   - 结果：8 个匹配
   - 效果：范围大幅缩小，找到了真正的重定向端点

![搜索 /redirect?to 的结果](assets/Pastedimage20260402134717.png)

### ✅ 第三步：逐一尝试并完成挑战

逐个尝试搜索结果中的加密货币地址链接，最终找到有效的过期地址：

```
http://127.0.0.1:3000//redirect?to=https://blockchain.info/address/1AbKfgvw9psQ41NbLi8kufDQTezwG8DRZm
```

访问该链接即可完成挑战。

---

## 0x03 参考资料

- 📖 [Curiosity Kills Colby - Juice Shop Pt. 11: Outdated Whitelist](https://curiositykillscolby.com/2020/11/07/pwning-owasps-juice-shop-pt-11-outdated-whitelist/)
- 📋 [OWASP Juice Shop 官方解答](https://pwning.owasp-juice.shop/companion-guide/latest/appendix/solutions.html#_let_us_redirect_you_to_one_of_our_crypto_currency_addresses)







---

> 作者: 御衡  
> URL: https://www.leobenchoi.com/posts/2026/juice-shop-outdated-allowlist/