搜索

[12893] 2018-07-01_高级CORS利用技术分享

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-07-01_高级CORS利用技术分享 高 级 C O R S 利 用 技 术 分 享 s e c i s t   F r e e B u f   2 0 1 8 - 0 7 - 0 1 前 言 前 言 在 正 式 开 始 分 享 我 的 内 容 前 ， 我 要 极 力 推 荐 大 家 去 看 下 在 正 式 开 始 分 享 我 的 内 容 前 ， 我 要 极 力 推 荐 大 家 去 看 下 L i n u s   S ä r u d 和 和 B o 0 o M 发 表 的 两 篇 ， 关 于 发 表 的 两 篇 ， 关 于 S a f a r i 特 殊 字 符 特 殊 字 符 处 理 被 滥 用 ， 导 致 处 理 被 滥 用 ， 导 致 X S S 或 或 C o o k i e 注 入 的 研 究 文 章 。 注 入 的 研 究 文 章 。 h t t p s : / / l a b s . d e t e c t i f y . c o m / 2 0 1 8 / 0 4 / 0 4 / h o s t - h e a d e r s - s a f a r i / h t t p s : / / l a b . w a l l a r m . c o m / t h e - g o o d - t h e - b a d - a n d - t h e - u g l y - o f - s a f a r i - i n - c l i e n t - s i d e - a t t a c k s - 5 6 d 0 c b 6 1 2 7 5 a 背 景 背 景 去 年 的 1 1 月 份 ， 我 曾 在 Y a h o o   V i e w 上 发 布 了 一 篇 关 于 ， 滥 用 S a f a r i 特 殊 字 符 处 理 绕 过 跨 源 资 源 共 享 的 文 章 。 之 后 我 又 进 行 了 更 加 深 入 的 研 究 ， 并 发 现 了 更 多 的 可 被 利 用 的 点 ， 以 及 一 些 更 为 高 级 的 利 用 技 术 。 因 此 作 为 补 充 ， 我 决 定 将 更 为 先 进 的 技 术 分 享 给 大 家 ！ 注 ： 注 ： 本 文 假 定 你 对 C O R S 是 什 么 ？ 以 及 如 何 利 用 其 错 误 配 置 ？ 已 有 基 本 的 了 解 。 这 里 有 两 篇 关 于 C O R S 错 误 配 置 利 用 的 文 章 ， 建 议 大 家 去 看 下 ： P o r t s w i g g e r ’ s   P o s t G e e k b o y ’ s   p o s t 背 景 ： 背 景 ： D N S & 浏 览 器 ： 浏 览 器 ： 简 单 来 说 D N S 本 质 上 就 是 服 务 器 的 地 址 簿 。 它 将 主 机 名 转 换 / 映 射 到 I P 地 址 ， 使 互 联 网 更 易 于 使 用 。 当 你 尝 试 访 问 浏 览 器 中 的 U R L 时 ： 连 接 服 务 器 服 务 器 使 用 S Y N + A C K 进 行 响 应 浏 览 器 向 服 务 器 发 送 H T T P 请 求 以 检 索 内 容 呈 现 / 显 示 内 容 。 D N S 服 务 器 响 应 任 意 请 求   -   你 可 以 发 送 子 域 中 的 任 何 字 符 ， 只 要 该 域 具 有 通 配 符 D N S 记 录 ， 它 就 会 响 应 。 例 如
浏 览 器 ？ 现 在 我 们 知 道 D N S 服 务 器 会 响 应 这 些 请 求 ， 那 么 浏 览 器 又 是 如 何 处 理 它 们 的 呢 ？ 大 多 数 浏 览 器 在 发 送 任 意 请 求 之 前 都 会 验 证 域 名 。 例 如 例 如 C h r o m e ： ： F i r e f o x ： ：
S a f a r i ： ： 注 意 ！ 是 大 多 数 而 不 是 所 有 浏 览 器 。 S a f a r i 就 不 同 ， 如 果 我 们 尝 试 加 载 相 同 的 域 ， 它 实 际 上 会 发 送 请 求 并 加 载 页 面 ： 我 们 可 以 使 用 各 种 字 符 ， 甚 至 是 不 可 打 印 字 符 ： C O R S 配 置 配 置 设 置 浏 览 器 允 许 访 问 的 服 务 器 的 头 信 息 的 白 名 单 。 可 以 使 用 正 则 表 达 式 来 完 成 。 示 例 ＃ 示 例 ＃ 1 ： ：
即 允 许 从 x x e . s h 和 任 意 子 域   ( h t t p : / /   或   h t t p s : / / ) 进 行 跨 域 访 问 。 这 也 意 味 着 攻 击 者 想 要 从 该 端 点 窃 取 数 据 ， 唯 一 的 可 能 性 就 是 接 管 h t t p ( s ) : / / x x e . s h   /   h t t p ( s ) : / / * . x x e . s h 的 子 域 或 其 本 身 存 在 X S S 漏 洞 。 示 例 ＃ 示 例 ＃ 2 ： ： 与 示 例 1 相 同   -   即 允 许 从 x x e . s h 和 任 意 子 域 进 行 跨 域 访 问 。 这 个 正 则 表 达 式 与 示 例 1 非 常 相 似 ， 但 其 极 易 被 攻 击 者 利 用 并 窃 取 数 据 。 而 问 题 的 根 本 就 出 在 . * . ? 分 解 ： 分 解 ： 由 于 . * . 不 在 一 个 组 中 ， 量 词 ? 只 会 对 . 字 符 有 作 用 。 因 此 在 字 符 串 “ x x e . s h ” 之 前 可 以 放 入 任 意 字 符 ， 无 论 前 面 这 些 字 符 是 否 用 句 点 符 号 进 行 分 隔 。 这 意 味 着 攻 击 者 可 以 发 送 以 x x e . s h 结 尾 的 任 意 地 址 ， 并 且 可 以 跨 域 访 问 。 这 是 一 种 非 常 常 见 的 b y p a s s 技 术   -   这 里 有 一 个 真 实 的 例 子 ： h t t p s : / / h a c k e r o n e . c o m / r e p o r t s / 1 6 8 5 7 4 示 例 ＃ 示 例 ＃ 3 ： ：
这 可 能 是 为 了 允 许 从 x x e . s h 、 所 有 子 域 以 及 这 些 域 上 的 任 何 端 口 进 行 跨 域 访 问 。 你 能 发 现 问 题 吗 ？ 分 解 ： 分 解 ： 就 像 示 例 2 一 样 ， 量 词 ? 只 会 对 : 字 符 有 作 用 。 因 此 ， 如 果 我 们 发 送 的 域 名 在 x x e . s h 之 后 还 有 其 他 字 符 的 话 ， 仍 然 会 被 接 受 。 价 值 百 万 美 元 的 问 题 ： 在 利 用 C O R S   M i s c o n f i g u r a t i o n s 时 ， S a f a r i 如 何 处 理 特 殊 字 符 ？ 以 下 面 的 A p a c h e 配 置 为 例 ： 实 现 从 x x e . s h ， 所 有 子 域 以 及 这 些 域 上 的 任 何 端 口 进 行 跨 域 访 问 。 下 面 是 正 则 表 达 式 的 分 解 ：
这 个 A P I 无 法 访 问 前 面 例 子 中 的 域 ， 并 且 其 他 常 见 的 绕 过 方 法 也 无 济 于 事 。 针 对 * . x x e . s h 的 子 域 接 管 或 X S S 攻 击 ， 只 能 用 来 窃 取 数 据 ， 但 是 ， 我 们 可 以 在 此 基 础 上 发 挥 创 造 性 ！ 我 们 知 道 ， 任 何 诸 如 * . x x e . s h 后 跟 字 符 .   -   a - z   A - Z   0 - 9 的 域 名 都 是 不 会 被 信 任 的 ， 但 是 ， 在 字 符 串 “ x x e . s h ” 之 后 有 空 格 的 域 名 的 情 况 又 如 何 呢 ？ 我 们 看 到 它 是 被 信 任 的 ， 但 是 任 何 普 通 浏 览 器 都 不 支 持 这 样 的 域 。 由 于 正 则 表 达 式 匹 配 字 母 数 字 A S C I I 字 符 以 及 .   - ， 所 以 ， “ x x e . s h ” 之 后 的 特 殊 字 符 是 被 信 任 的 ： 这 种 域 名 在 现 代 通 用 浏 览 器 S a f a r i 中 被 支 持 。 利 用 利 用 先 决 条 件 ： 先 决 条 件 ： 具 有 泛 解 析 记 录 的 域 指 向 您 的 机 器 。 N o d e J S 和 大 多 数 浏 览 器 一 样 ， A p a c h e 和 N g i n x 也 不 喜 欢 这 些 特 殊 字 符 ， 所 以 使 用 N o d e J S 为 H T M L 和 J a v a s c r i p t 提 供 服 务 更 容
易 。 [ + ]   s e r v e . j s 在 同 一 个 目 录 中 ， 保 存 以 下 内 容 ： [ + ]   c o r s . h t m l 通 过 运 行 以 下 命 令 来 启 动 N o d e J S 服 务 器 ： 正 如 之 前 所 述 ， 由 于 正 则 表 达 式 与 字 母 数 字 A S C I I 字 符 和 .   - 相 匹 配 ， 所 以 ， “ x x e . s h ” 之 后 的 特 殊 字 符 将 获 得 信 任 ： 因 此 ， 如 果 我 们 打 开 S a f a r i 并 访 问 h t t p : / / x . x x e . s h { . / c o r s - p o c ， 就 能 够 成 功 地 从 易 受 攻 击 的 端 点 中 窃 取 数 据 。 此 外 ， 我 还 注 意 到 ， 字 符 _ （ 在 子 域 中 ） 不 仅 在 S a f a r i 中 受 支 持 ， 而 且 C h r o m e 和 F i r e f o x 也 支 持 该 字 符 ！ 实 际 测 试 实 际 测 试
考 虑 到 这 些 特 殊 字 符 ， 找 出 A c c e s s - C o n t r o l - A l l o w - O r i g i n 头 文 件 中 反 映 了 哪 些 域 可 能 是 一 项 冗 长 而 费 时 的 任 务 ： T h e f t F u z z e r 介 绍 ： 为 了 节 省 时 间 并 提 高 效 率 ， 我 决 定 编 写 一 个 工 具 对 相 应 的 C O R S 配 置 进 行 模 糊 测 试 ， 以 获 取 允 许 的 域 名 。 该 工 具 是 用 P y t h o n 编 写 的 ， 大 家 可 以 在 G i t h u b 上 下 载 到 这 个 工 具 ， 如 果 你 对 该 工 具 有 任 何 改 进 意 见 ， 请 随 时 在 G i t h u b 上 向 我 提 出 ！ 结 语 结 语 我 希 望 这 篇 文 章 能 为 大 家 提 供 / 带 来 一 些 好 的 灵 感 和 思 路 。 也 希 望 大 家 能 活 学 活 用 ， 把 学 到 的 这 些 知 识 点 运 用 到 实 际 的 研 究 测 试 中 。 最 后 ， 祝 愿 大 家 漏 洞 越 挖 越 多 ， 奖 金 数 到 手 抽 筋 ！ 哈 哈 ~ ~ C o r b e n   L e o h t t p s : / / t w i t t e r . c o m / h a c k e r _ h t t p s : / / h a c k e r o n e . c o m / c d l h t t p s : / / b u g c r o w d . c o m / c h t t p s : / / g i t h u b . c o m / s x c u r i t y * 参 考 来 源 ： s x c u r i t y ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理