Detectify创始人Frans Rosén凭借“在登录OAuth流中使用脏舞进行帐户劫持”荣登PortSwigger 2022年十大网络黑客技术榜首。该研究于7月发布，被PortSwigger研究主管James Kettle在博客文章中宣布为“将OAuth怪癖与低影响URL泄漏小工具（包括混杂的postMessages、第三方XSS和URL存储）联系起来的大师班”2月8日出结果。“这些错误中有许多以前会因为没有重大安全影响而被忽略，因此它们已经有多年的扩散，”Kettle补充道。

研究人员称赞Rosén进行了一项“杰出的研究，我们预计在未来几年会取得成果”。

Rosén说：“在这一年里，我真的很感激和谦虚地在这么多伟大的研究人员和他们的精彩帖子中排名第一。

“今年我做的不同的一件事是开始深入研究一个主题，甚至没有一个错误开始。这只是一个潜在概念的想法。

“再次感谢PortSwigger强调业内人士公开披露他们的发现和方法——在我看来，这是推动行业向前发展的最佳方式之一。”

由Nicolas Grégoire、Soroush Dalili、Filedescriptor和Kettle组成的同行小组宣布Rosén获胜。

Kettle本人连续第二年获得银牌，并在美国黑帽大会上展示的单独HTTP标头注入研究获得第六名（注意：小组成员不能为他们自己的研究投票）。

在凭借“HTTP/2：续集总是更糟”在2021年排名中获得第二名之后，这一次，研究人员印象深刻的是利用新颖的HTTP请求走私向量来破坏包括Amazon和Apache在内的目标，“并最终将攻击客户端带入受害者的浏览器”。

“浏览器驱动的异步攻击”被描述为“技术上具有严重挑战性”的研究，促使一位评委热情地说：“从异步蠕虫（XSS蠕虫的回忆）到客户端异步的创造力是出类拔萃的”。

Kettle设想请求走私作为新威胁的丰富来源的多年运行将持续到“直到HTTP/1被完全消灭”。

排在第三位的是，谷歌的Simon Scannell在商业网络邮件平台Zimbra中发现了一个memcached注入漏洞，攻击者可以利用该漏洞毒化毫无戒心的受害者的缓存并窃取明文凭据。

凯特尔说，这项研究还部署了请求走私，证明了“深入了解目标”的价值。

Scannell，当时的瑞士服装公司Sonar，在他的研究中写道：“通过不断地将比工作项更多的响应注入到Memcached的共享响应流中，我们可以强制随机Memcached查找使用注入的响应而不是正确的响应。”

PortSwigger的第16届年度版10大网络黑客技术看到了创纪录的46项提名，最初根据信息安全社区的投票减少到15名最后一轮候选人。

Kettle指出，“全新的技术和分类突破变得越来越少”，但表示越来越多的研究人员“比以往任何时候都在突破界限并分享他们的发现”。