搜索

[28595] 2020-09-18_记录一次JWT的越权渗透测试

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-09-18_记录一次JWT的越权渗透测试 记 录 一 次 J W T 的 越 权 渗 透 测 试 I c e p a p e r   O t s 安 全   2 0 2 0 - 0 9 - 1 8 转 先 知 社 区 转 先 知 社 区   作 者 ： 作 者 ： I c e p a p e r 简 单 介 绍 ： 简 单 介 绍 ： 在 一 次 某 行 动 暂 停 之 后 ， 某 单 位 重 新 对 自 身 的 业 务 进 行 了 评 估 ， 系 统 业 务 使 用 S S O 进 行 登 录 ， 而 这 个 S S O 登 录 后 的 子 系 统 访 问 采 用 J W T 进 行 认 证 ， 因 此 有 了 这 一 个 漏 洞 的 发 生 ， 漏 洞 利 用 较 为 简 单 ， 各 位 师 傅 请 见 谅 。 O r a c l e   W e b C e n t e r   在 这 个 业 务 中 ， 登 陆 口 的 校 验 是 采 用 O r a c l e   W e b C e n t e r 进 行 认 证 的 ， 也 就 是 说 在 系 统 最 初 的 登 录 ， 流 量 是 走 到 O r a c l e   W e b C e n t e r 中 进 行 认 证 的 。     O r a c l e   W e b C e n t e r 是 面 向 社 交 业 务 的 用 户 参 与 平 台 。 其 上 下 文 相 关 的 协 作 工 具 可 优 化 人 员 、 信 息 和 管 理 软 件 间 连 接 ， 帮 助 员 工 更 高 效 地 协 作 ， 并 可 确 保 用 户 在 其 所 处 的 业 务 流 程 环 境 下 访 问 适 当 的 信 息 。 简 单 的 来 说 它 有 点 像 一 个 简 单 的 O A 系 统 。 J W T   J T W 全 程 是 J s o n   W e b   T o k e n , 是 目 前 最 流 行 的 跨 域 认 证 解 决 方 案 。 之 前 遇 到 的 J W T 漏 洞 情 况 ， 可 能 大 多 数 都 是 在 一 开 始 的 登 录 验 证 下 ， 通 过 修 改 t o k e n 字 段 以 三 个 点 分 割 的 B A S E 6 4 字 符 串 。 第 一 个 字 符 串 为 J W T 头 ， 一 般 b a s e 6 4 解 码 后 长 这 样   { “ k i d ” : ” k e y s / 3 c 3 c 2 e a 1 c 3 f 2 1 3 f 6 4 9 d c 9 3 8 9 d d 7 1 b 8 5 1 " , ” t y p ” : ” J W T ” , ” a l g ” : ” R S 2 5 6 " } 第 二 个 字 符 串 为 账 户 { " s u b " : " a d m i n " } 第 三 个 字 符 串 为 签 名 签 名 一 般 不 能 直 接 用 b a s e 6 4 解 出 来 ， 因 为 它 可 能 常 带 有 下 划 线 ， 签 名 获 取 的 过 程 稍 微 比 较 复 杂 ， 不 过 我 们 可 以 知 道 签 名 是 为 了 防 止 数 据 被 篡 改 ， 而 签 名 使 用 的 算 法 就 是 我 们 的 哥 字 符 串 J W T 头 的 J s o n 字 段 a l g 。   大 部 分 J W T 常 用 的 三 种 关 于 利 用 T o k e n 的 攻 击 方 式 ： 未 校 验 签 名 ， 禁 用 未 校 验 签 名 ， 禁 用 h a s h ， 爆 破 弱 秘 钥 ， 爆 破 弱 秘 钥 此 部 分 内 容 可 以 参 考 h t t p s : / / x z . a l i y u n . c o m / t / 2 3 3 8 其 中 ， 未 校 验 签 名 的 情 况 ， 我 们 可 以 直 接 修 改 的 那 个 账 户 字 符 串 ， 既 { " s u b " : " x x x x 1 1 1 1 1 这 里 修 改 ， 然 后 重 新 生 成 T o k e n ， 如 果 没 有 校 验 签 名 则 可 以 进 行 越 权 " } 禁 用 H a s h , 既 第 一 个 J W T h e a d e r 头 的 a l g 值 为 N o n e , 我 们 可 以 将 H S 2 5 6 篡 改 为 N o n e ， 然 后 使 用 P y t h o n   p y j w t 进 行 T o k e n 的 生 成 。
最 后 爆 破 弱 秘 钥 是 最 常 见 的 ， 也 是 比 较 现 实 的 一 种 情 况 利 用 脚 本 来 进 行 爆 破   h t t p s : / / g i t h u b . c o m / t i c a r p i / j w t _ t o o l 本 次 的 场 景 本 次 的 场 景 首 先 打 开 网 页 ， 需 要 通 过 S S O 的 o r a c l e   w e b c e n t e r 认 证 ， 在 进 入 系 统 中 ， 存 在 许 多 业 务 ， 而 对 于 子 业 务 系 统 的 认 证 ， 则 采 用 的 是 J W T 的 认 证 。 接 下 来 将 从 流 程 来 讲 解 此 次 漏 洞 的 挖 掘 。 1 、 因 为 这 里 没 有 截 图 了 ， 所 以 只 能 用 文 字 描 述 。 首 先 ， 在 进 入 系 统 后 ， 很 多 业 务 选 项 按 钮 ， 比 如 物 流 系 统 ， 金 融 系 统 。 我 们 点 击 金 融 系 统 的 时 候 ， 会 发 出 第 一 个 包 ， 通 过 O r a c l e   W e b c e n t e r 来 校 验 当 前 账 户 是 不 是 有 效 ， 如 果 有 效 ， 则 返 回 一 个 J s o n 格 式 的 S 。 2 、 在 验 证 了 当 前 的 账 户 有 效 的 时 候 ， 会 发 出 第 二 个 包 ， 请 求 一 个 O A M 接 口 想 获 取 一 个 J W T   t o k e n ， 这 个 O A M 接 口 会 带 上 C o o k i e 字 段 的 S e s s i o n i d 值 ， 证 明 自 己 账 户 现 在 的 状 态 真 的 是 有 效 的 ， 当 这 个 O A M 接 口 后 接 受 S e s s i o n I d 的 值 后 ， 就 会 返 回 一 个 J W T a u t h o r i z a t i o n T o k e n 值 。 3 、 当 获 取 了 J W T   a u t h o r i z a t i o n T o k e n 值 后 ， 证 明 J W T 认 可 了 你 这 个 账 户 了 ， 那 么 此 时 系 统 在 第 三 个 包 发 生 的 时 候 自 动 带 上 J W T
a u t h o r i z a t i o n T o k e n 字 段 放 到 h e a d e r 头 去 请 求 资 源 ， 此 时 系 统 返 回 U I D 等 敏 感 信 息 4 、 没 错 ！ 越 权 来 了 。 第 三 个 包 返 回 的 信 息 其 中 的 U I D 和 J W T   a u t h o r i z a t i o n T o k e n 作 为 凭 证 来 对 这 个 子 业 务 系 统 进 行 访 问 。 但 是 这 里 的 U I D 和 J W T   a u t h o r i z a t i o n T o k e n 并 没 有 做 严 格 校 验 ， 导 致 可 以 通 过 遍 历 U I D 来 实 现 越 权 访 问
看 到 这 个 是 不 是 就 是 我 们 非 常 熟 悉 的 J W T 认 证 T o k e n 值 ， 以 点 分 割 三 个 成 三 个 的 b a s e 6 4 编 码 字 符 串 ， 这 个 U s e r   T o k e n 作 为 这 个 子 系 统 访 问 认 证 的 最 后 一 关 5 、 其 实 到 第 4 步 的 时 候 ， 漏 洞 利 用 就 结 束 了 ， 其 实 就 是 一 个 简 单 的 越 权 而 已 ， 但 是 我 想 把 后 面 的 几 个 过 程 也 简 单 一 下 。 既 然 成 功 越 权 了 ， 那 么 这 一 步 系 统 就 开 始 逐 渐 返 回 属 于 这 个 系 统 原 本 的 东 西 了 。 这 里 利 用 U I D 和 T o k e n 获 取 系 统 的 分 组 权 限 信 息 。 6 、 获 取 此 账 户 在 这 个 系 统 中 未 读 取 得 信 息 7 、 在 g e t 请 求 处 获 取 了 U I D 值 ， 为 了 获 取 菜 单 信 息 。 而 我 们 也 可 以 通 过 此 处 的 越 权 ， 更 方 便 的 爆 破 I D 。
8 、 获 取 b a s e i n f o ， 账 户 的 基 本 信 息 ， 内 容 9 、 最 后 一 个 包 ， 获 取 剩 余 信 息 ， 例 如 按 钮 ， 选 项 之 类 。
因 此 整 个 利 用 的 漏 洞 非 常 简 单 ， 通 过 第 7 步 的 A P I 来 进 行 爆 破 ， 然 后 再 逐 步 放 入 第 4 步 的 U I D 修 改 包 中 ， 那 么 就 可 以 实 现 对 此 子 业 务 系 统 的 任 意 用 户 登 录 了 。 越 权 前 后 的 两 个 截 图 比 较 ， 多 了 两 个 功 能 ， 并 且 两 张 图 的 账 户 名 都 为 A A A ， 原 因 是 因 为 a u t h   T o k e n 记 录 的 第 二 个 b a s e 6 4 字 符 串 记 录 的 就 是 账 号 信 息 ， 而 这 个 账 号 信 息 从 始 至 终 都 未 改 变 ， 因 此 账 户 名 不 变 ， 而 权 限 管 控 在 U I D 部 分 。 也 是 比 较 不 应 该 了 。 修 复 修 复 恢 复 a u t h o r i z a t i o n T o k e n ， 同 时 校 验 u i d 、 u s e r 、 a u t h o r i z a t i o n T o k e n 中 的 用 户 是 否 一 致 在 渗 透 测 试 的 时 候 ， 尽 量 不 要 放 过 每 一 个 包 ， 多 看 看 抓 包 的 h i s t o r y 的 记 录 。 对 于 菜 鸡 来 说 ， 渗 透 就 在 于 细 心 与 更 细 心 罢 了 。 最 后 我 认 为 推 荐 几 篇 关 于 J W T 还 不 错 的 文 章 ：
h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 2 1 1 8 4 2 . h t m l h t t p s : / / w w w . j i a n s h u . c o m / p / 5 7 6 d b f 4 4 b 2 a e h t t p s : / / x z . a l i y u n . c o m / t / 6 7 7 6 h t t p s : / / m p . w e i x i n . q q . c o m / s / x e 8 v O V h a y s m g v x l - A 3 n k B A 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理