搜索

[14211] 2019-06-09_挖洞经验丨看我如何发现谷歌某生产系统中的LFI漏洞（$13,337）

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-06-09_挖洞经验丨看我如何发现谷歌某生产系统中的LFI漏洞（$13,337） 挖 洞 经 验 丨 看 我 如 何 发 现 谷 歌 某 生 产 系 统 中 的 L F I 漏 洞 （ $ 1 3 , 3 3 7 ） c l o u d s   F r e e B u f   2 0 1 9 - 0 6 - 0 9 本 文 分 享 的 本 文 分 享 的 w r i t e u p 是 关 于 谷 歌 某 生 产 系 统 的 一 个 是 关 于 谷 歌 某 生 产 系 统 的 一 个 L F I 漏 洞 ， 作 者 通 过 漏 洞 ， 作 者 通 过 R e d i r e c t 重 定 向 组 合 构 造 方 式 发 现 了 该 漏 洞 ， 最 终 可 重 定 向 组 合 构 造 方 式 发 现 了 该 漏 洞 ， 最 终 可 以 远 程 在 目 标 服 务 器 上 实 现 本 地 系 统 命 令 运 行 ， 获 取 到 系 统 敏 感 运 行 信 息 ， 最 终 获 得 了 谷 歌 官 方 奖 励 的 以 远 程 在 目 标 服 务 器 上 实 现 本 地 系 统 命 令 运 行 ， 获 取 到 系 统 敏 感 运 行 信 息 ， 最 终 获 得 了 谷 歌 官 方 奖 励 的 $ 1 3 , 3 3 7 。 。 第 一 次 尝 试 第 一 次 尝 试 尝 试 说 明 ： s p r i n g b o a r d . g o o g l e . c o m 系 统 上 的 身 份 验 证 绕 过 （ A u t h   B y p a s s ） 目 标 对 象 / U R L ： s p r i n g b o a r d . g o o g l e . c o m / R E D A C T E D _ D I R 总 结 ： 访 问 h t t p s : / / s p r i n g b o a r d . g o o g l e . c o m / 相 关 目 录 后 ， 会 发 生 页 面 重 定 向 跳 转 ， 跳 转 后 的 页 面 中 会 显 示 一 个 “ O n C o n t e n t   D e b u g   f o r ” 调 试 窗 口 。 复 现 ： 复 现 ： 1 . 访 问 h t t p s : / / s p r i n g b o a r d . g o o g l e . c o m / ， 跳 转 到 h t t p s : / / c l o u d s e a r c h . g o o g l e . c o m / c l o u d s e a r c h / e r r o r ? e t = 6 ， 页 面 出 现 以 下 信 息 ， 提 示 只 有 内 部 工 作 人 员 才 有 权 限 执 行 应 用 服 务 ：
2 . 再 次 访 问 s p r i n g b o a r d . g o o g l e . c o m 下 的 某 个 目 录 -   h t t p s : / / s p r i n g b o a r d . g o o g l e . c o m / R E D A C T E D _ D I R ， 就 会 跳 出 “ O n C o n t e n t D e b u g   f o r ” 调 试 窗 口 ： 这 算 是 内 部 信 息 泄 露 吗 ？ 几 经 测 试 没 有 新 的 发 现 ， 我 就 向 谷 歌 上 报 了 这 个 漏 洞 ， 但 是 ， 3 天 之 后 ， 谷 歌 给 我 的 回 复 为 ： 初 步 看 来 ， 你 的 上 报 情 况 不 算 太 严 重 以 致 可 以 分 类 为 某 种 漏 洞 ， 但 我 们 会 尽 快 进 行 一 些 分 析 调 查 。 A t   f i r s t   g l a n c e ,   t h i s   m i g h t   n o t   b e   s e v e r e   e n o u g h   t o   q u a l i f y   f o r   a   r e w a r d ,   t h o u g h   t h e   p a n e l   w i l l   t a k e   a   l o o k s h o r t l y . 更 扯 的 是 ： 一 周 之 后 ， 谷 歌 的 回 复 如 下 ： 根 据 我 们 的 漏 洞 奖 励 项 目 来 看 ， 你 上 报 的 漏 洞 暂 未 达 到 奖 励 标 准 。 “ A s   a   p a r t   o f   o u r   V u l n e r a b i l i t y   R e w a r d   P r o g r a m ,   w e   d e c i d e d   t h a t   i t   d o e s   n o t   m e e t   t h e   b a r   f o r   a   f i n a n c i a l r e w a r d ”
第 二 次 尝 试 第 二 次 尝 试 由 于 以 上 的 发 现 无 法 达 到 谷 歌 的 漏 洞 奖 励 标 准 ， 为 此 ， 我 决 定 围 绕 “ 身 份 验 证 绕 过 （ A u t h   B y p a s s ） ” 再 深 入 对 这 个 漏 洞 进 行 一 些 分 析 ， 其 中 肯 定 还 存 在 一 些 隐 藏 的 目 录 链 接 。 在 W e b 应 用 暴 破 工 具 w f u z z 的 帮 助 下 ， 我 发 现 了 很 多 有 意 思 的 东 西 ， 实 现 了 从 身 份 验 证 绕 过 到 管 理 员 权 限 的 L F I 。 尝 试 说 明 ： 尝 试 说 明 ： s p r i n g b o a r d . g o o g l e . c o m 系 统 的 L F I 执 行 ； 目 标 对 象 /   U R L ： 总 结 ： 总 结 ： 实 现 了 从 身 份 验 证 绕 过 到 名 为 “ g x x - x x x x ” 管 理 员 权 限 的 L F I 执 行 ， s p r i n g b o a r d . g o o g l e . c o m 为 谷 歌 的 一 个 生 产 系 统 。 复 现 ： 复 现 ： h t t p s : / / s p r i n g b o a r d . g o o g l e . c o m / R E D A C T E D _ D I R / A N O T H E R _ D I R 下 ， 存 在 某 个 服 务   “ R e d a c t e d   s t a t u s   m a i n ” ( F r a m e w o r k I n f o ) 的 运 行 状 态 信 息 ， 如 下 ： 2 . 如 果 点 击 页 面 状 态 信 息 中 的 最 后 一 个 按 键 选 项 “ S h o w   R E D A C T E D ”   ， 你 就 会 重 定 向 到 h t t p s : / / s p r i n g b o a r d . g o o g l e . c o m / R E D A C T E D _ D I R / A N O T H E R _ D I R ? f i l e = / p r o c / s e l f / e n v i r o n ， 其 中 的 / p r o c / s e l f / e n v i r o n 命 令 就 会 被 加 载 ， / p r o c / s e l f / e n v i r o n 命 令 为 显 示 出 当 前 系 统 中 的 相 关 运 行 环 境 变 量 和 配 置 属 性 ， 如 下 ： s p r i n g b o a r d . g o o g l e . c o m / R E D A C T E D _ D I R / A N O T H E R _ D I R
3 . 哇 哦 ， 这 完 全 就 是 一 个 L F I 漏 洞 啊 ！ 再 来 试 试 / p r o c / v e r s i o n 看 看 ： 此 时 ， 我 屏 住 了 呼 吸 ， 内 心 却 兴 奋 不 已 ， 这 是 谷 歌 生 产 系 统 中 具 备 管 理 员 权 限 的 L F I 漏 洞 啊 ！ 另 外 ， 每 次 刷 新 / p r o c / s e l f / e n v i r o n 命 令 后 ， 得 到 的 都 会 是 不 同 的 系 统 变 量 ， 从 这 可 以 看 出 ， 该 域 名 下 对 应 了 多 个 服 务 器 系 统 。 之 后 ， 我 还 努 力 想 从 L F I 实 现 R C E ， 但 无 奈 谷 歌 的 安 全 防 护 还 不 错 ， 我 未 能 成 功 ， 另 外 ， 也 无 法 从 中 读 取 一 些 类 似 / p r o c / * / f d 、 s s h   k e y s 、 s e r v e r   k e y s 等 日 志 密 钥 信 息 。 漏 洞 上 传 的 进 程 漏 洞 上 传 的 进 程 2 0 1 9 . 3 . 2 2   向 谷 歌 上 报 第 一 个 身 份 验 证 绕 过 漏 洞 2 0 1 9 . 3 . 3 0   发 现 L F I 漏 洞 并 向 谷 歌 上 报 2 0 1 9 . 4 . 0 4   谷 歌 回 复 称 第 一 个 漏 洞 未 达 奖 励 标 准 2 0 1 9 . 4 . 1 7   我 询 问 谷 歌 是 否 两 个 漏 洞 都 未 达 到 奖 励 标 准 2 0 1 9 . 4 . 2 3   谷 歌 回 复 称 他 们 搞 乱 了   正 在 核 定 第 二 个 L F I 漏 洞 2 0 1 9 . 5 . 2 1   谷 歌 奖 励 了 我 $ 1 3 , 3 3 7 美 金 * 参 考 来 源 ： 参 考 来 源 ： o m e s p i n o ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理