搜索

[14058] 2019-05-02_Uber服务端响应中的API调用缺陷导致的账户劫持

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2019-05-02_Uber服务端响应中的API调用缺陷导致的账户劫持 U b e r 服 务 端 响 应 中 的 A P I 调 用 缺 陷 导 致 的 账 户 劫 持 c l o u d s   F r e e B u f   2 0 1 9 - 0 5 - 0 2 今 天 分 享 的 今 天 分 享 的 w r i t e u p 是 香 港 白 帽 是 香 港 白 帽 R o n   C h a n   ( @ n g a l o n g c ) 发 现 的 一 个 关 于 发 现 的 一 个 关 于 U b e r 网 站 的 漏 洞 ， 网 站 的 漏 洞 ， 他 通 过 分 析 他 通 过 分 析 U b e r 的 微 服 务 架 构 和 其 中 的 的 微 服 务 架 构 和 其 中 的 A P I 调 用 机 制 ， 利 用 其 中 的 服 务 端 响 应 缺 陷 ， 能 以 调 用 机 制 ， 利 用 其 中 的 服 务 端 响 应 缺 陷 ， 能 以 S S R F 和 目 录 遍 历 （ 和 目 录 遍 历 （ P A t h   T r a v e r s a l ） 方 式 获 取 到 服 务 端 为 用 户 分 配 的 ） 方 式 获 取 到 服 务 端 为 用 户 分 配 的 t o k e n 信 息 ， 从 而 实 现 对 信 息 ， 从 而 实 现 对 用 户 的 账 户 劫 持 。 虽 然 整 个 漏 洞 利 用 构 造 链 亮 点 不 多 ， 但 用 户 的 账 户 劫 持 。 虽 然 整 个 漏 洞 利 用 构 造 链 亮 点 不 多 ， 但 “ O l d   b u t   G O L D ” ， 姜 还 是 老 的 辣 ， 漏 洞 还 是 老 的 好 。 ， 姜 还 是 老 的 辣 ， 漏 洞 还 是 老 的 好 。 U b e r 微 服 务 架 构 微 服 务 架 构 微 服 务 英 文 名 称 M i c r o s e r v i c e ， M i c r o s e r v i c e 架 构 模 式 就 是 将 整 个 W e b 应 用 组 织 为 一 系 列 小 的 W e b 服 务 。 这 些 小 的 W e b 服 务 可 以 独 立 地 编 译 及 部 署 ， 并 通 过 各 自 暴 露 的 A P I 接 口 相 互 通 讯 。 它 们 彼 此 相 互 协 作 ， 作 为 一 个 整 体 为 用 户 提 供 功 能 ， 也 可 以 独 立 地 进 行 修 改 和 扩 容 。 U b e r 的 W e b 应 用 服 务 体 系 是 基 于 很 多 微 服 务 架 构 部 署 的 ， 由 于 微 服 务 中 会 涉 及 到 大 量 的 R E S T 模 式 ， 因 此 ， 在 与 各 种 U b e r 应 用 的 交 互 过 程 中 ， U b e r 服 务 端 难 免 会 调 用 到 一 些 R E S T   A P I 接 口 。 就 比 如 说 ， 你 要 查 看 某 位 司 机 的 状 态 信 息 ， U b e r 后 端 会 涉 及 到 类 似 如 下 的 R E S T   A P I 接 口 调 用 ： h t t p s : / / l o c a l h o s t : 1 2 3 4 / p a r t n e r / P A R T N E R _ U U I D / t r i p s ? f r o m = 2 0 1 8 - 0 1 - 0 1 & t o = 2 0 1 9 - 0 1 - 0 1 从 请 求 响 应 中 发 现 端 倪 从 请 求 响 应 中 发 现 端 倪 设 计 理 论 上 来 说 ， 显 然 ， 这 种 调 用 都 是 在 W e b 应 用 后 端 （ B a c k e n d ） 来 执 行 实 现 的 ， 因 为 在 调 用 过 程 中 ， 其 内 部 的 微 服 务 架 构 没 有 针 对 I D O R 攻 击 的 安 全 检 查 权 限 。 所 以 ， 矛 盾 点 来 了 ， 如 果 这 类 A P I 调 用 都 是 以 预 定 的 p a t h / v a r i a b l e s / h o s t 方 式 进 行 的 ， 而 且 ， 这 些 调 用 是 用 户 无 法 控 制 的 ， 那 么 ， W e b 应 用 后 端 （ B a c k e n d ） 设 置 的 身 份 验 证 措 施 又 有 何 用 呢 ？ 用 户 确 实 不 能 控 制 这 类 A P I 调 用 吗 ？ 我 觉 得 这 里 要 打 个 问 号 。 2 0 1 8 年 初 ， 我 在 U b e r 网 站 p a r t n e r s . u b e r . c o m 下 发 现 了 一 个 有 意 思 的 路 径 （ E n d p o i n t ） ， 它 用 来 查 询 读 取 U b e r 司 机 的 服 务 状 态 ， 其 前 端 请 求 链 接 如 下 ： h t t p s : / / p a r t n e r s . u b e r . c o m / p 3 / m o n e y / s t a t e m e n t s / v i e w / c u r r e n t 该 查 询 链 接 涉 及 的 请 求 看 不 出 什 么 问 题 ， 但 服 务 端 对 其 的 响 应 消 息 中 却 存 在 一 些 有 意 思 的 参 数 ， 如 下 ： 从 上 述 响 应 消 息 可 看 出 ， 涉 及 该 查 询 链 接 的 后 端 A P I   G E T 请 求 调 用 如 下 所 示 ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 / v 1 / p a r t n e r s / x x x x / s t a t e m e n t s / c u r r e n t ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = x x x x 这 是 一 个 典 型 的 后 端 R E S T   A P I 调 用 。 仔 细 观 察 上 述 响 应 消 息 ， 可 见 其 中 的 A P I 调 用 对 c u r r e n t 的 请 求 来 自 于 原 始 前 端 请 求 链 接 ： h t t p s : / / p a r t n e r s . u b e r . c o m / p 3 / m o n e y / s t a t e m e n t s / v i e w / c u r r e n t ， 而 且 还 会 把 c u r r e n t 添 加 到 “ p a t h n a m e ” 参 数 的 结 尾 ， 形 成   “ / v 1 / p a r t n e r s / x x x x x / s t a t e m e n t s / c u r r e n t “   。 另 外 ， 调 用 中 还 包 含 其 它 查 询 相 关 参 数 ， 如 涉 及 收 入 结 构 类 型 的 e a r n i n g s _ s t r u c t u r e _ t y p e ， 以 及 查 询 区 域 l o c a l e = e n 等 。 上 述 响 应 消 息 的 有 意 思 之 处 在 于 ， 第 一 ， 其 中 包 含 了 应 用 用 户 的 访 问 t o k e n 键 值 对   -   “ t o k e n ” : ” A C C E S S _ T O K E N _ O F _ U S E R ” ， 这 里 还 曾 出 现 过 一 个 U b e r 第 三 方 应 用 的 t o k e n 撤 销 漏 洞 ； 第 二 ， 在 查 询 请 求 r e q u e s t 中 缺 乏 验 证 调 用 者 身 份 的   X - A u t h - T o k e n   头 ， 但 是 ， 在 服 务 端 响 应 消 息 中 竟 然 还 返 回 了 用 户 的 访 问 t o k e n ！ 构 造 漏 洞 利 用 构 造 漏 洞 利 用 这 样 来 看 ， 在 请 求 中 ， 如 果 我 们 能 以 某 种 方 式 ， 通 过 把 我 当 前 账 户 相 关 的 用 户 I D 数 值 （ u s e r _ i d 或 m y _ u s e r _ u u i d ）   更 改 为 其 他 用 户 对 应 的 用 户 I D 数 值 （ v i c t i m _ i d 或 v i c t i m _ u u i d ） ， 就 可 能 实 现 对 请 {     " r e q u e s t " :   {         " u r i " :   {             " p r o t o c o l " :   " h t t p : " ,             " s l a s h e s " :   t r u e ,             " a u t h " :   n u l l ,             " h o s t " :   " 1 2 7 . 0 . 0 . 1 : 1 2 3 " ,             " p o r t " :   " 1 2 3 " ,             " h o s t n a m e " :   " 1 2 7 . 0 . 0 . 1 " ,             " h a s h " :   n u l l ,             " s e a r c h " :   " ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = x x x x x " ,             " q u e r y " :   " e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = x x x x x " ,             " p a t h n a m e " :   " / v 1 / p a r t n e r s / x x x x x / s t a t e m e n t s / c u r r e n t " ,             " p a t h " :   " / v 1 / p a r t n e r s / x x x x x x / s t a t e m e n t s / c u r r e n t ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = x x x x x " ,             " h r e f " :   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 / v 1 / p a r t n e r s / x x x x x / s t a t e m e n t s / c u r r e n t ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = x x x x x x "         } ,       " t o k e n " : " A C C E S S _ T O K E N _ O F _ U S E R " , . . . .
求 调 用 的 操 纵 。 之 后 ， 服 务 端 通 过 这 个 其 他 用 户 的 用 户 I D 数 值 ， 会 响 应 回 来 与 其 对 应 的 账 户 t o k e n ， 那 么 ， 有 了 这 个 t o k e n ， 我 们 就 能 实 现 对 该 用 户 的 账 号 劫 持 了 。 基 于 以 上 思 路 ， 需 要 找 到 一 个 具 备 以 下 条 件 的 前 端 请 求 路 径 （ E n d p o i n t ） : 能 从 其 G E T 请 求 中 传 递 任 意 相 关 参 数 ； 能 从 其 G E T 请 求 中 传 递 经 过 编 码 转 义 的 字 符 ， 防 止 一 些 不 必 要 的 字 符 解 析 和 参 数 传 递 错 误 ， 如   % 2 3   或   #   会 截 断 U R L 中 的 参 数 截 断 ； 服 务 端 对 G E T 请 求 能 完 整 响 应 并 可 读 。 漏 洞 实 现 漏 洞 实 现 最 终 ， 经 过 查 找 分 析 ， 我 发 现 了 满 足 以 上 测 试 条 件 的 一 个 前 端 请 求 路 径 （ E n d p o i n t ） : h t t p s : / / p a r t n e r s . u b e r . c o m / p 3 / m o n e y / s t a t e m e n t s / v i e w / 4 c b 8 8 f b 1 - d 3 f a - 3 a 1 0 - e 3 b 5 - c e e f 8 c a 7 1 f a a U b e r 服 务 端 对 这 个 请 求 路 径 的 响 应 包 含 了 如 下 的 A P I   G E T 请 求 调 用 ： 我 觉 得 其 中 的 u u i d   -   4 c b 8 8 f b 1 - d 3 f a - 3 a 1 0 - e 3 b 5 - c e e f 8 c a 7 1 f a a ， 是 用 来 在 A P I   G E T 请 求 调 用 中 传 递 给 p a t h 和 q u e r y 参 数 的 ， 所 以 ， 我 对 原 始 的 前 端 请 求 路 径 （ E n d p o i n t ） 做 了 如 下 修 改 ： h t t p s : / / p a r t n e r s . u b e r . c o m / p 3 / m o n e y / s t a t e m e n t s / v i e w / 4 c b 8 8 f b 1 - d 3 f a - 3 a 1 0 - e 3 b 5 - c e e f 8 c a 7 1 f a a % 2 f . . % 2 f 4 c b 8 8 f b 1 - d 3 f a - 3 a 1 0 - e 3 b 5 - c e e f 8 c a 7 1 f a a “ / ”   经 u r l 编 码 后 为 % 2 f ， 哪 想 到 ， 上 述 查 询 链 接 的 请 求 发 起 后 ， 服 务 端 响 应 的 消 息 竟 然 和 修 改 之 前 是 一 样 的 ！ 那 么 ， 也 就 间 接 说 明 可 用   “ . . / ” 来 对 目 录 路 径 进 行 转 义 编 码 ， 还 能 用 它 来 进 行 目 录 遍 历 。 接 下 来 ， 我 们 可 以 用   . .   /   这 种 目 录 遍 历 方 式 ， 构 造 直 达 服 务 端 根 目 录 的 前 端 请 求 链 接 ， 然 后 ， 到 达 根 目 录 后 ， 可 以 构 造 请 求 ， 获 得 服 务 端 包 含 用 户 t o k e n 和 A P I 调 用 的 响 应 ， 另 外 ， 还 可 以 用   # 来 截 断 一 些 不 必 要 的 请 求 字 段 。 其 实 ， 这 就 是 一 种 间 接 的 服 务 端 请 求 伪 造 （ S S R F ） 结 合 目 录 遍 历 （ P A t h   T r a v e r s a l ） 的 漏 洞 利 用 。 预 想 一 下 ， 我 们 希 望 在 服 务 端 响 应 中 能 返 回 的 A P I   G E T 请 求 调 用 如 下 ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 / v 1 / p a r t n e r s / v i c t i m _ u u i d / s t a t e m e n t s / c u r r e n t ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = v i c t i m _ u u i d 这 样 ， 我 们 可 以 对 它 进 行 控 制 修 改 的 样 式 就 为 ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 / v 1 / s t a t e m e n t s / I N J E C T I O N _ H E R E ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & s t a t e m e n t _ u u i d = I N J E C T I O N _ H E R E & u s e r _ i d = y o u r _ u s e r _ i d 因 此 ， 基 于 要 在 服 务 端 响 应 中 获 得 以 上 预 想 的 A P I   G E T 请 求 调 用 ， 我 构 造 了 如 下 的 前 端 请 求 链 接 ： h t t p s : / / p a r t n e r s . u b e r . c o m / p 3 / m o n e y / s t a t e m e n t s / v i e w / 1 5 3 2 7 e f 1 - 2 a c c - e 4 6 8 - e 1 7 a - 5 7 6 a 7 d 1 2 3 1 2 % 2 f . . % 2 f . . % 2 f . . % 2 F v 1 % 2 F p a r t n e r s % 2 F V I C T I M _ U U I D % 2 F s t a t e m e n t s % 2 F c u r r e n t % 3 F e a r n i n g s _ s t r u c t u r e _ t y p e % 3 D % 2 6 l o c a l e % 3 D e n % 2 6 u s e r _ i d % 3 D V I C T I M _ U U I D % 2 3 最 终 ， 我 们 执 行 以 上 前 端 请 求 链 接 后 ， 在 服 务 端 响 应 中 ， 获 得 了 预 想 的 如 下 A P I   G E T 请 求 调 用 ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 / v 1 / s t a t e m e n t s / 1 5 3 2 7 e f 1 - 2 a c c - e 4 6 8 - e 1 7 a - 5 7 6 a 7 d 1 2 3 1 2 / . . / . . / . . / v 1 / p a r t n e r s / V I C T I M _ U U I D / s t a t e m e n t s / c u r r e n t ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & u s e r _ i d = V I C T I M _ U U I D # … … 因 为 服 务 端 响 应 回 来 的 消 息 包 含 了 当 前 请 求 用 户 的 t o k e n ， 所 以 ， 我 们 只 要 在 上 述 构 造 的 前 端 请 求 链 接 中 ， 修 改 V I C T I M _ U U I D 为 其 他 用 户 的 的 U U I D ， 就 能 在 服 务 端 响 应 中 获 得 该 用 户 的 t o k e n 信 息 ， 从 而 间 接 实 现 了 对 该 账 户 的 账 号 劫 持 了 。 以 上 即 为 R o n   C h a n 对 于 这 个 漏 洞 的 分 享 ， 整 个 过 程 就   是 S S R F   +   P a t h   T r a n v e r s a l   =   A c c o u n t   T a k e o v e r 。 基 于 U b e r 漏 洞 赏 金 政 策 和 漏 洞 的 严 重 性 来 看 ， 该 漏 洞 的 奖 励 赏 金 应 该 不 会 低 于 $ 4 , 0 0 0 美 金 。 * 参 考 来 源 ： R o n   C h a n ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 " h r e f " :   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 1 2 3 / v 1 / s t a t e m e n t s / 4 c b 8 8 f b 1 - d 3 f a - 3 a 1 0 - e 3 b 5 - c e e f 8 c a 7 1 f a a ? e a r n i n g s _ s t r u c t u r e _ t y p e = & l o c a l e = e n & s t a t e m e n t _ u u i d = 4 c b 8 8 f b 1 - d 3 f a - 3 a 1 0 - e 3 b 5 - c e e f 8 c a 7 1 f a a & u s e r _ i d = y o u r _ u s e r _ i d "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理