搜索

[14897] 2019-12-04_绕过GitHub的OAuth授权验证机制（$25000）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-12-04_绕过GitHub的OAuth授权验证机制（$25000） 绕 过 G i t H u b 的 O A u t h 授 权 验 证 机 制 （ $ 2 5 0 0 0 ） c l o u d s   F r e e B u f   2 0 1 9 - 1 2 - 0 4 这 几 年 来 ， 信 息 安 全 研 究 一 直 是 我 的 业 余 爱 好 ， 虽 然 有 很 多 人 专 职 做 漏 洞 众 测 以 获 得 奖 励 ， 但 对 我 个 人 来 说 ， 这 几 年 来 ， 信 息 安 全 研 究 一 直 是 我 的 业 余 爱 好 ， 虽 然 有 很 多 人 专 职 做 漏 洞 众 测 以 获 得 奖 励 ， 但 对 我 个 人 来 说 ， 我 只 对 一 些 感 兴 趣 的 项 目 投 入 不 多 的 时 间 去 深 入 研 究 。 今 年 ， 我 想 看 看 自 己 是 否 是 全 职 漏 洞 赏 金 猎 人 的 料 ， 所 我 只 对 一 些 感 兴 趣 的 项 目 投 入 不 多 的 时 间 去 深 入 研 究 。 今 年 ， 我 想 看 看 自 己 是 否 是 全 职 漏 洞 赏 金 猎 人 的 料 ， 所 以 就 从 以 就 从 6 月 份 开 始 每 天 抽 出 几 个 小 时 的 时 间 去 测 试 月 份 开 始 每 天 抽 出 几 个 小 时 的 时 间 去 测 试 G i t H u b 的 安 全 漏 洞 。 的 安 全 漏 洞 。 我 对 G i t H u b 的 主 要 测 试 方 法 为 ， 下 载 试 用 版 的 G i t H u b   E n t e r p r i s e ， 然 后 用 我 写 的 脚 本 把 它 反 混 淆 （ d e o b f u s c a t e ） ， 然 后 观 察 G i t H u b 的   R a i l s   代 码 查 看 是 否 有 一 些 奇 怪 的 行 为 或 漏 洞 。 从 安 全 开 发 的 角 度 来 说 ， G i t H u b 的 的 代 码 架 构 做 得 非 常 好 ， 虽 然 我 能 偶 而 发 现 一 两 个 由 应 用 逻 辑 处 理 导 致 的 小 b u g ， 但 最 终 都 不 会 导 致 大 的 安 全 问 题 ， 而 且 整 个 代 码 的 运 行 权 限 较 低 ， 根 本 无 从 下 手 。 看 来 G i t H u b 做 的 滴 水 不 漏 ， 天 衣 无 缝 。 但 尽 管 如 此 ， 我 还 是 想 方 设 法 绞 尽 脑 汁 地 发 现 了 G i t H u b 的 一 些 有 趣 漏 洞 ， 其 中 就 包 括 它 的 一 个 O A u t h 授 权 验 证 绕 过 漏 洞 。 G i t H u b 的 的 O A u t h 授 权 验 证 机 制 授 权 验 证 机 制 在 6 月 份 的 时 候 ， 我 开 始 测 试 G i t H u b 的 O A u t h 授 权 验 证 机 制 代 码 ， 简 单 来 说 ， 这 里 的 G i t H u b   O A u t h 授 权 验 证 流 程 如 下 ： 1 、 某 第 三 方 应 用   ( 这 里 暂 且 叫 “ F o o   A p p ” )   想 要 访 问 G i t H u b 用 户 的 数 据 ， 它 会 向 G i t H u b 用 户 发 送 包 含 大 量 查 询 信 息 的 链 接 ： h t t p s : / / g i t h u b . c o m / l o g i n / o a u t h / a u t h o r i z e ； 2 、 之 后 ， G i t H u b 用 户 端 会 显 示 以 下 授 权 页 面 ：
3 、 如 果 G i t H u b 用 户 选 择 允 许 第 三 方 应 用 访 问 ， 他 需 要 点 击 “ A u t h o r i z e ”   按 钮 ， 接 着 ， 就 会 跳 转 匹 配 到 F o o   A p p 的 查 询 字 符 串 ， 这 些 字 符 串 代 码 后 续 将 会 访 问 到 G i t H u b 用 户 的 相 关 数 据 ； （ 当 然 ， G i t H u b 用 户 也 可 以 选 择 拒 绝 F o o   A p p 的 访 问 ） 在 检 查 该 流 程 时 ， 我 首 重 查 看 了 “ A u t h o r i z e ” 按 钮 的 具 体 实 现 行 为 ， 之 后 我 发 现 该 “ A u t h o r i z e ” 按 钮 其 中 是 一 个 独 立 的 H T M L 格 式 ， 它 会 发 送 一 个 包 含 C S R F   t o k e n 在 内 的 隐 藏 表 单 字 段 的 P O S T 请 求 。 当 该 P O S T 请 求 被 发 送 后 ， 此 时 其 C S R F   t o k e n 是 被 验 证 过 的 ， 也 就 是 代 表 G i t H u b 用 户 想 要 授 权 给 第 三 方 A P P 访 问 权 限 。 这 种 猜 测 基 本 是 合 理 的 。 有 意 思 的 是 ， “ A u t h o r i z e ” 按 钮 对 应 的 终 端 U R L 链 接 也 是 / l o g i n / o a u t h / a u t h o r i z e ， 它 和 授 权 验 证 页 面 是 一 样 的 U R L ， G i t H u b 会 根 据 H T T P 请 求 方 法 的 响 应 来 确 定 如 何 执 行 下 一 步 操 作 （ G E T 请 求 会 返 回 授 权 页 面 的 信 息 ， 而 P O S T 请 求 会 得 到 相 应 的 授 权 ） 。 这 种 行 为 切 换 实 际 上 发 生 在 G i t h u b 的 内 部 代 码 中 ， 路 由 r o u t e r 会 把 G E T   和   P O S T   请 求 转 发 到 同 一 个 控 制 器 c o n t r o l l e r 上 ， 如 下 ： 所 以 ， 最 后 路 由 r o u t e r 会 接 受 G E T   或   P O S T   请 求 ， 而 控 制 器 c o n t r o l l e r 会 检 查 哪 种 请 求 被 发 送 了 ， 从 而 执 行 后 续 动 作 。 乍 一 看 ， 这 不 算 是 什 么 安 全 问 题 ， 但 是 ， 深 入 探 究 发 现 ， 路 由 r o u t e r 机 制 存 在 隐 患 。 #   I n   t h e   r o u t e r m a t c h   " / l o g i n / o a u t h / a u t h o r i z e " ,   #   F o r   e v e r y   r e q u e s t   w i t h   t h i s   p a t h . . .     : t o   = >   " [ t h e   c o n t r o l l e r ] " ,   #   . . . s e n d   i t   t o   t h e   c o n t r o l l e r . . .     : v i a   = >   [ : g e t ,   : p o s t ]   #   . . .   a s   l o n g   a s   i t ' s   a   G E T   o r   a   P O S T   r e q u e s t . #   I n   t h e   c o n t r o l l e r i f   r e q u e s t . g e t ?     #   s e r v e   a u t h o r i z a t i o n   p a g e   H T M L e l s e     #   g r a n t   p e r m i s s i o n s   t o   a p p e n d
R a i l s   路 由 能 够 识 别   U R L   地 址 ， 并 把 它 们 分 派 给 控 制 器 动 作 或   R a c k   应 用 进 行 处 理 。 它 还 能 生 成 路 径 和 U R L   地 址 ， 从 而 避 免 在 视 图 中 硬 编 码 字 符 串 。 H T T P   H E A D 请 求 时 请 求 时 R a i l s 路 由 在 说 谎 路 由 在 说 谎 H E A D 方 法 跟 G E T 方 法 相 同 ， 只 不 过 服 务 器 响 应 时 不 会 返 回 消 息 体 。 一 个 H E A D 请 求 的 响 应 中 ， H T T P 头 中 包 含 的 元 信 息 应 该 和 一 个 G E T 请 求 的 响 应 消 息 相 同 。 这 种 方 法 可 以 用 来 获 取 请 求 中 隐 含 的 元 信 息 ， 而 不 用 传 输 消 息 实 体 本 身 。 也 经 常 用 来 测 试 超 链 接 的 有 效 性 、 可 用 性 和 最 近 的 修 改 。 自 H T T P 协 议 被 创 建 以 来 ， H T T P 的 H E A D 方 法 就 一 直 存 在 了 ， 但 是 人 们 对 它 的 使 用 较 少 。 当 服 务 器 收 到 H E A D 请 求 时 ， 只 会 向 客 户 端 发 送 回 响 应 头 ， 而 不 发 送 响 应 体 ， 这 有 一 些 特 殊 用 途 。 例 如 ， 在 决 定 是 否 要 开 始 下 载 文 件 之 前 ， 客 户 端 可 以 发 送 H E A D 请 求 来 检 查 大 文 件 的 大 小 （ 通 过 内 容 长 度 响 应 头 来 确 定 ） 。 显 然 ， 编 写 网 络 应 用 程 序 的 人 通 常 不 想 花 时 间 来 实 现 H E A D 请 求 的 行 为 。 可 以 理 解 的 是 ， 获 得 一 个 有 效 的 产 品 比 符 合 超 文 本 传 输 协 议 规 范 的 特 定 部 分 更 为 重 要 。 但 总 的 来 说 ， 如 果 H E A D 请 求 能 够 得 到 正 确 处 理 ， 这 是 件 好 事 ， 前 提 是 应 用 程 序 开 发 人 员 不 必 手 动 处 理 它 们 。 所 以 R a i l s 以 及 其 它 的 一 些 网 络 框 架 采 用 了 一 个 聪 明 的 技 巧 ： 它 试 图 将 H E A D 请 求 路 由 到 与 G E T 请 求 相 同 的 地 方 ， 然 后 运 行 控 制 器 代 码 ， 以 此 省 略 掉 消 息 响 应 体 。 这 看 上 去 很 好 ， 但 却 是 一 个 漏 洞 百 出 的 抽 象 概 念 ， 如 果 此 时 控 制 器 发 出 r e q u e s t . g e t ? 的 请 求 ， 对 于 这 样 的 请 求 ， 因 为 现 在 控 制 器 是 H E A D 请 求 ， 而 不 是 G E T 请 求 ， 所 以 将 会 返 回 f a l s e 。 滥 用 滥 用 H E A D 请 求 请 求 如 果 我 们 向 h t t p s : / / g i t h u b . c o m / l o g i n / o a u t h / a u t h o r i z e ? 发 送 一 个 授 权 验 证 的 H E A D 请 求 ， 将 会 发 生 什 么 情 况 ？ 前 面 我 们 说 过 ， R a i l s 路 由 会 把 它 当 成 G E T 请 求 来 处 理 ， 所 以 它 会 被 发 送 到 控 制 器 中 。 但 当 H E A D 请 求 到 达 控 制 器 后 ， 控 制 器 会 意 识 到 这 不 是 一 个 G E T 请 求 ， 所 以 控 制 器 会 检 查 它 是 否 是 一 个 经 过 授 权 验 证 的 P O S T 请 求 ， 之 后 ，   G i t H u b 会 找 到 请 求 中 指 定 O A u t h 授 权 流 程 的 A P P ， 并 给 予 相 应 的 访 问 授 权 。 这 里 的 利 用 点 是 ， G i t H u b 的 C S R F 防 护 机 制 要 求 所 有 授 权 验 证 P O S T 请 求 必 须 包 含 一 个   C S R F   t o k e n ， 但 是 H E A D 请 求 由 于 不 会 造 成 过 多 影 响 ， 所 以 通 常 不 需 要 C S R F   t o k e n 。 但 在 此 ， 我 们 可 以 无 需 告 知 目 标 用 户 的 方 法 ， 通 过 跨 站 方 式 向 用 户 发 送 一 个 给 予 任 意 O A u t h 权 限 的 H E A D 请 求 ， 以 此 实 现 我 们 的 授 权 绕 过 目 的 。 最 终 效 果 是 ， 如 果 目 标 G i t h u b 用 户 访 问 了 由 攻 击 者 构 造 的 页 面 ， 攻 击 者 可 以 执 行 对 目 标 G i t h u b 用 户 隐 私 数 据 的 读 取 或 更 改 ， 可 以 点 击 此 P o C 页 面 进 行 体 会 （ 由 于 漏 洞 已 经 被 修 复 ， 最 终 执 行 结 果 不 再 有 效 ） 我 向 G i t h u b 上 报 了 该 漏 洞 后 ， 它 们 在 三 小 时 内 就 积 极 进 行 了 修 复 ， 最 终 我 也 收 获 了 G i t h u b 官 方 $ 2 5 0 0 0 的 奖 励 ！ 是 我 做 G i t h u b 漏 洞 测 试 以 来 的 最 大 一 笔 奖 金 。 漏 洞 上 报 及 处 理 进 程 漏 洞 上 报 及 处 理 进 程 2 0 1 9 - 0 6 - 1 9     通 过 H a c k e r O n e 向 G i t H u b 上 报 漏 洞 2 0 1 9 - 0 6 - 1 9     G i t H u b 安 全 团 队 确 认 漏 洞 2 0 1 9 - 0 6 - 2 0     漏 洞 修 复 ， G i t H u b 确 认 补 丁 已 成 功 释 放 2 0 1 9 - 0 6 - 2 6     G i t H u b 推 出 修 复 版 本 的   E n t e r p r i s e   2 . 1 7 . 3 ,   2 . 1 6 . 1 2 、 2 . 1 5 . 1 7   和   2 . 1 4 . 2 4 2 0 1 9 - 0 6 - 2 6     G i t H u b 奖 励 我 $ 2 5 0 0 0 * 参 考 来 源 ： 参 考 来 源 ： t e d d y k a t z ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理