搜索

[13631] 2019-01-09_FacebookCDN服务器的XSS漏洞

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2019-01-09_FacebookCDN服务器的XSS漏洞 F a c e b o o k   C D N 服 务 器 的 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 1 - 0 9 前 言 前 言 F a c e b o o k   和 它 的 旗 下 应 用 和 它 的 旗 下 应 用   I n s t a g r a m 都 是 把 照 片 都 是 把 照 片 / 视 频 存 储 在 视 频 存 储 在 F a c e b o o k 自 身 的 自 身 的 C D N 服 务 器 服 务 器   " . f b c d n . n e t "   或 或 " . c d n i n s t a g r a m . c o m "   之 上 ， 然 后 ， 再 通 过 其 各 个 子 之 上 ， 然 后 ， 再 通 过 其 各 个 子 C D N 域 名 网 站 提 供 针 对 请 求 的 内 容 缓 存 分 发 服 务 。 本 文 中 作 者 分 享 域 名 网 站 提 供 针 对 请 求 的 内 容 缓 存 分 发 服 务 。 本 文 中 作 者 分 享 的 是 一 个 针 对 的 是 一 个 针 对 F a c e b o o k   C D N 服 务 器 的 服 务 器 的 X S S 漏 洞 ， 利 用 该 漏 洞 可 以 绕 过 链 接 中 的 校 验 机 制 ， 任 意 执 行 漏 洞 ， 利 用 该 漏 洞 可 以 绕 过 链 接 中 的 校 验 机 制 ， 任 意 执 行 J S 代 码 。 代 码 。 * * 前 言 前 言 F a c e b o o k 存 储 在 C D N 服 务 器 上 的 图 片 和 视 频 ， 都 在 自 身 访 问 链 接 中 包 含 了 一 个 H A S H 串 ， 这 个 H A S H 串 目 的 在 于 对 F a c e b o o k 自 身 存 储 的 图 片 或 视 频 起 到 一 个 签 名 校 验 的 保 护 作 用 ， 且 其 H A S H 串 都 是 以 像   ' o h '   或   ' o e '   这 样 的 两 个 字 母 参 数 来 赋 值 的 。 h t t p s : / / i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t / v / t 5 1 . 2 8 8 5 - 1 5 / 1 2 4 9 4 7 6 2 1 7 0 0 8 3 2 1 8 0 1 7 4 6 6 7 9 1 3 1 3 0 0 7 8 9 1 7 5 2 1 0 5 6 4 n . j p g ? n c _ c a t = 0 & o h = c b 7 0 2 4 e 1 2 c 8 6 3 9 3 7 b 6 9 c 3 d 6 c 1 5 5 8 9 6 9 7 & o e = 5 B 3 1 E 8 9 F 如 果 我 们 把 其 文 件 格 式 做 个 更 改 ， 如 把 . j p g 改 为 . h t m l ， 那 么 无 疑 ， 服 务 器 访 问 就 会 出 错 。 所 以 ， 我 一 开 始 的 想 法 就 是 ， 是 否 可 以 把 这 种 链 接 中 的 多 余 参 数 去 掉 ， 让 它 简 化 一 下 成 为 以 下 这 样 呢 ： h t t p s : / / i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t / 1 2 4 9 4 7 6 2 1 7 0 0 8 3 2 1 8 0 1 7 4 6 6 7 9 1 3 1 3 0 0 7 8 9 1 7 5 2 1 0 5 6 4 _ n . j p g 但 这 确 实 有 点 想 当 然 了 ， 请 求 响 应 是 :   “ A c c e s s   D e n i e d ” 。 在 经 过 一 番 研 究 之 后 ， 我 找 到 了 能 针 对 所 有 图 片 和 视 频 ， 绕 过 其 链 接 中 H A S H 串 签 名 校 验 的 方 法 ， 即 使 用 户 上 传 的 某 些 图 片 视 频 对 应 的 链 接 是 过 期 “ e x p i r e d ” 状 态 ， 我 一 样 可 以 从 F a c e b o o k   C D N 服 务 器 中 访 问 到 它 们 。 漏 洞 发 现 漏 洞 发 现 h t t p s : / / i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t / v / t 5 1 . 2 8 8 5 - 1 5 / 1 2 4 9 4 7 6 2 1 7 0 0 8 3 2 1 8 0 1 7 4 6 6 7 9 1 3 1 3 0 0 7 8 9 1 7 5 2 1 0 5 6 4 n . j p g ? n c _ c a t = 0 & o h = c b 7 0 2 4 e 1 2 c 8 6 3 9 3 7 b 6 9 c 3 d 6 c 1 5 5 8 9 6 9 7 & o e = 5 B 3 1 E 8 9 F 观 察 以 上 U R L ， 在 其 中 ， 首 先 是 存 在 一 个 参 数 " / v / " ， 用 来 限 制 当 前 U R L 是 否 能 访 问 后 续 的 H A S H 串 ， 但 是 删 除   “ / v / ”   这 个 参 数 后 仍 然 会 返 回 错 误 : “ A c c e s s   D e n i e d ” 。 后 来 ， 我 想 如 果 让 它 跨 域 访 问 又 如 何 呢 ， 比 如 说 ， i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t 存 在 一 个 别 名 记 录 （ C N A M E ） 如 下 ： i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t .   3 5 9 9   I N   C N A M E   s c o n t e n t . x x . f b c d n . n e t . 也 就 是 说 ， 如 果 把 请 求 i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t 的 图 片 链 接 中 的 C D N 服 务 器 换 成 s c o n t e n t . x x . f b c d n . n e t ， 那 会 怎 样 呢 ？ 在 我 简 单 的 看 来 ， 这 两 个 不 同 的 子 域 名 网 站 虽 同 属 一 个 C D N 根 服 务 器 ， 但 这 种 一 替 换 可 能 就 不 会 存 在 一 些 跨 域 的 校 验 限 制 了 。 我 一 试 ， 去 除   “ / v / ” 参 数 ， 去 除 H A S H 校 验 串 n c c a t = 0 & o h = c b 7 0 2 4 e 1 2 c 8 6 3 9 3 7 b 6 9 c 3 d 6 c 1 5 5 8 9 6 9 7 & o e = 5 B 3 1 E 8 9 F 之 后 ， 竟 然 可 以 访 问 到 目 标 图 片 ！ B o o m ! 那 么 如 此 说 来 ， 能 不 能 更 改 访 问 图 片 的 后 缀 格 式 了 呢 ？ 比 如 说 ， 我 们 在 上 传 图 片 中 加 入 一 些 j s 脚 本 ， 然 后 把 它 改 为 . h t m l ， 不 就 能 实 现 P a y l o a d 执 行 了 吗 ？ 也 或 者 能 把 上 传 的 图 片 改 为 " . h t m l / . s v g "   或   ” . p h p “ 呢 。 试 试 看 吧 。 P o C
做 如 下 测 试 ， 我 们 结 合 B u r p 抓 包 ， 在 上 传 图 片 中 加 入 一 个 带 X S S   P a y l o a d 的 外 链 . j s 脚 本 ， 可 以 成 功 上 传 到 i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t 的 服 务 器 上 ， 然 后 ， 获 取 到 服 务 器 上 当 前 上 传 图 片 的 具 体 访 问 链 接 ， 把 图 片 . j p g 格 式 改 为 . h t m l 格 式 ， 就 能 成 功 实 现 j s 脚 本 中 的 X S S   P a y l o a d 运 行 。 这 里 我 用 到 的 带 X S S   P a y l o a d 的 外 链 . j s 为 ： h t t p s : / / w w w . a m o l b a i k a r . c o m / w p / j s / i n s t a g r a m . j s 也 就 是 ， 提 取 到 当 前 上 传 到 C D N 服 务 器 中 图 片 的 具 体 访 问 链 接 ： h t t p s : / / i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t / v / t 5 1 . 2 8 8 5 - 1 5 / 1 2 4 9 4 7 6 2 1 7 0 0 8 3 2 1 8 0 1 7 4 6 6 7 9 1 3 1 3 0 0 7 8 9 1 7 5 2 1 0 5 6 4 n . j p g ? n c _ c a t = 0 & o h = c b 7 0 2 4 e 1 2 c 8 6 3 9 3 7 b 6 9 c 3 d 6 c 1 5 5 8 9 6 9 7 & o e = 5 B 3 1 E 8 9 F 然 后 ， 把 它 更 改 为 简 化 后 去 除   “ / v / ” 参 数 、 去 除 H A S H 校 验 串 ， 且 为 i n s t a g r a m . f p n q 2 - 1 . f n a . f b c d n . n e t   别 名 s c o n t e n t . x x . f b c d n . n e t   ， 但 图 片 名 称   1 2 4 9 4 7 6 2 1 7 0 0 8 3 2 1 8 0 1 7 4 6 6 7 9 1 3 1 3 0 0 7 8 9 1 7 5 2 1 0 5 6 4 _ n   一 样 ， 但 把 . j p g 格 式 更 改 为 . h t m l 格 式 ， 具 体 的 访 问 链 接 如 下 ： h t t p s : / / s c o n t e n t . x x . f b c d n . n e t / t 5 1 . 2 8 8 5 - 1 5 / 1 2 4 9 4 7 6 2 1 7 0 0 8 3 2 1 8 0 1 7 4 6 6 7 9 1 3 1 3 0 0 7 8 9 1 7 5 2 1 0 5 6 4 _ n . h t m l 由 于 其 中 加 入 了 带 X S S   P a y l o a d 的 外 链 . j s ， 在 h t m l 文 件 的 解 析 执 行 下 ， 可 以 成 功 触 发 P a y l o a d 。 总 结 总 结   由 于 F a c e b o o k 没 有 考 虑 “ 校 验 签 名 ” 绕 过 或 其 它 “ 数 据 泄 露 ” 问 题 的 严 重 性 ， 且 没 把 通 过 C D N 服 务 器 访 问 到 图 片 或 视 频 原 始 链 接 的 问 题 考 虑 在 内 ， （ 点 此 参 考 其 它 分 析 文 章 ） ， 因 此 ， 造 成 了 它 本 该 是 内 部 的 数 据 ， 由 此 变 成 了 公 开 的 内 容 。 攻 击 者 利 用 该 漏 洞 可 以 在 F a c e b o o k   C D N 服 务 器 上 执 行 任 意 J S 代 码 ， 好 在 有 沙 盒 防 护 机 制 ， 其 不 能 读 取 用 户 的 c o o k i e s / s e s s i o n 信 息 ， 但 应 用 在 实 际 的 攻 击 场 景 中 ， 该 漏 洞 可 以 绕 过 F a c e b o o k 的 链 接 黑 名 单 系 统   L i n k s h i m ， 也 能 用 其 实 施 钓 鱼 行 为 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 3 . 8 :   漏 洞 初 报 2 0 1 8 . 3 . 1 0 :   漏 洞 确 认 2 0 1 8 . 3 . 2 3 :   漏 洞 修 复 2 0 1 8 . 3 . 2 8 ： F a c e b o o k 官 方 $ 1 5 0 0 赏 金 发 放 * 参 考 来 源 ： 参 考 来 源 ： a m o l b a i k a r ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理