搜索

[15322] 2020-05-02_FacebookOAuth漏洞导致的Facebook账户劫持

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-05-02_FacebookOAuth漏洞导致的Facebook账户劫持 F a c e b o o k   O A u t h 漏 洞 导 致 的 F a c e b o o k 账 户 劫 持 c l o u d s   F r e e B u f   2 0 2 0 - 0 5 - 0 2 平 时 在 用 平 时 在 用 “ L o g i n   w i t h   F a c e b o o k ” 功 能 进 行 跳 转 登 录 时 ， 因 为 其 用 到 了 多 个 功 能 进 行 跳 转 登 录 时 ， 因 为 其 用 到 了 多 个 U R L 重 定 向 跳 转 ， 所 以 总 会 给 我 有 一 种 不 安 全 的 感 觉 。 但 是 ， 要 想 发 现 重 定 向 跳 转 ， 所 以 总 会 给 我 有 一 种 不 安 全 的 感 觉 。 但 是 ， 要 想 发 现 F a c e b o o k 漏 洞 ， 并 非 易 事 ， 需 要 莫 大 漏 洞 ， 并 非 易 事 ， 需 要 莫 大 的 功 夫 和 精 力 ， 更 别 说 涉 及 登 录 的 的 功 夫 和 精 力 ， 更 别 说 涉 及 登 录 的 F a c e b o o k   O A u t h 了 ， 这 更 是 难 上 加 难 。 然 而 ， 我 就 发 现 了 了 ， 这 更 是 难 上 加 难 。 然 而 ， 我 就 发 现 了 F a c e b o o k   O A u t h 这 么 一 个 漏 洞 ， 获 得 了 这 么 一 个 漏 洞 ， 获 得 了 F a c e b o o k 官 方 官 方 $ 5 5 , 0 0 0 的 奖 励 。 的 奖 励 。 就 是 这 么 一 个 漏 洞 ， 存 在 了 多 年 ， 而 且 ， 从 g o o g l e 搜 索 和 S t a c k O v e r f l o w 社 区 中 都 能 找 到 相 关 漏 洞 线 索 ， 这 些 线 索 存 在 的 时 间 几 乎 是 9 到 1 0 年 之 久 。 漏 洞 概 况 漏 洞 概 况 “ L o g i n   w i t h   F a c e b o o k ” 功 能 以 O A u t h   2 . 0 协 议 处 理 f a c e b o o k . c o m 和 其 它 第 三 方 网 站 之 间 的 用 户 t o k e n ， 只 有 当 正 确 身 份 的 用 户 t o k e n 被 验 证 通 过 ， 用 户 才 能 从 第 三 方 网 站 跳 转 到 f a c e b o o k . c o m 网 站 。 攻 击 者 利 用 该 漏 洞 可 以 劫 持 受 害 者 用 户 的 O A u t h 身 份 验 证 机 制 ， 窃 取 受 害 者 用 户 的 a c c e s s   t o k e n ， 最 终 实 现 对 受 害 者 F a c e b o o k 账 户 的 劫 持 。 另 外 ， 攻 击 者 可 以 通 过 控 制 架 设 恶 意 站 点 ， 针 对 大 多 数 A P P 应 用 （ 如 I n s t a g r a m ,   O c u l u s ,   N e t f l i x ,   T i n d e r ,   S p o t i f y 等 ） ， 窃 取 用 户 a c c e s s _ t o k e n ， 获 取 相 关 交 互 服 务 和 第 三 方 网 站 的 访 问 控 制 权 。 P O C F a c e b o o k 的 S D K 中 ， 存 在 一 个 名 为 ” / c o n n e c t / p i n g ” 的 登 录 服 务 端 ， 它 负 责 为 用 户 生 成 一 个 u s e r _ a c c e s s 令 牌 ， 并 把 链 接 跳 转 指 向 一 个 F a c e b o o k 应 用 通 用 的 白 名 单 集 “ X D _ A r b i t e r ” 下 。 该 服 务 端 在 F a c e b o o k 的 S D K 加 载 过 程 中 ， 会 首 先 创 建 一 个 方 便 跨 域 通 信 的 代 理 框 架 （ p r o x y   i f r a m e ） ， 该 代 理 框 架 会 通 过   p o s t M e s s a g e ( )   A P I 发 回 用 户 t o k e n 、 相 关 代 码 和 一 些 未 授 权 或 未 知 的 请 求 状 态 。 整 个 ” / c o n n e c t / p i n g ” 的 工 作 流 程 如 下 ： h t t p s : / / w w w . f a c e b o o k . c o m / c o n n e c t / p i n g ? c l i e n t _ i d = A P P _ I D & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F s t a t i c x x . f a c e b o o k . c o m % 2 F c o n n e c t % 2 F x d _ a r b i t e r . p h p % 3 F v e r s i o n % 3 D 4 2 % 2 3 o r i g i n % 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F w w w . d o m a i n . c o m 该 服 务 端 部 署 了 参 数 污 染 （ p a r a m e t e r   p o l l u t i o n ） 防 护 、 同 源 验 证 、 重 定 向 跳 转 限 制 等 各 种 安 全 措 施 ， 我 使 用 了 好 多 绕 过 手 段 也 没 发 现 可 利 用 的 端 倪 。 刚 开 始 ， 完 全 是 毫 无 头 绪 。 后 来 ， 我 发 现 可 以 把 其 中 的   “ x d _ a r b i t e r . p h p ? v = 4 2 ” 修 改 成 为 “ x d _ a r b i t e r / ? v = 4 2 ” ， 而 且 ， 还 可 以 通 过 添 加 目 录 或 参 数 的 形 式 实 现 目 录 遍 历 。 总 算 有 点 线 索 了 ， 但 是 离 窃 取 用 户 t o k e n 还 有 十 万 八 千 里 。 为 此 ， 我 们 需 要 想 办 法 让 代 理 框 架 为 我 们 所 用 ， 可 以 让 它 在 “ l o c a t i o n . h a s h ” 或 跨 域 p o s t M e s s a g e ( )   A P I 通 信 接 口 中 实 现 一 些 信 息 劫 持 。 非 常 幸 运 ， 我 在 F a c e b o o k 的 “ p a g e _ p r o x y ” 中 发 现 了 这 么 一 个 天 然 的 代 理 框 架   （ 目 前 已 被 删 除 ） ： h t t p s : / / s t a t i c x x . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / r / 7 S W B A v H e n E n . j s 该 “ p a g e _ p r o x y ” 中 包 含 了 我 们 想 要 的 代 码 实 现 ： 上 述 代 码 位 于 一 个 “ E v e n t L i s t e n e r ” 属 性 之 下 ， 如 果 请 求 条 件 判 断 失 效 ， 代 码 会 以 p o s t M e s s a g e ( ) 方 式 抛 出 针 对 任 意 域 的 “ f r a m e N a m e ”   消 息 ， 表 明 配 置 或 代 码 错 误 。 E x p l o i t i n g   P r o x y 要 想 利 用 这 个   “ p a g e _ p r o x y ” ， 也 并 非 难 事 ， 只 需 要 把 p a g e _ p r o x y 和 x d _ a r b i t e r 结 合 起 来 。 三 者 关 系 如 下 ： h t t p s : / / s t a t i c x x . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / r / 7 S W B A v H e n E n . j s h t t p s : / / s t a t i c x x . f a c e b o o k . c o m / c o n n e c t / x d _ a r b i t e r . p h p ? v e r s i o n = 4 2 h t t p s : / / s t a t i c x x . f a c e b o o k . c o m / c o n n e c t / x d _ a r b i t e r / r / 7 S W B A v H e n E n . j s ? v e r s i o n = 4 2 在 该 漏 洞 构 造 流 程 中 ， 以 下 两 点 较 为 重 要 ： H T T P 请 求 中 缺 失 “ X - F r a m e - O p t i o n s ” 头 ； “ w i n d o w . p a r e n t ” 方 法 会 把 用 户 交 互 处 理 抵 消 ， 所 以 不 必 担 心 w i n d o w . o p e n 或 其 它 的 按 钮 跳 框 弹 出 事 件 。 为 了 针 对 上 述 O a u t h 的 攻 击 ， 在 包 含 进 F a c e b o o k 认 证 流 的 同 时 ， 需 要 改 装 重 写 我 们 自 己 的 C u s t o m _ S D K . j s ， 如 下 ： 然 后 ， 我 把 该 J S 脚 本 部 署 在 我 自 己 的 网 站 ， 通 过 测 试 ， 利 用 它 能 隐 蔽 窃 取 受 害 用 户 对 任 意 域 的 a c c e s s _ t o k e n ， 最 终 可 导 致 潜 在 的 受 害 用 户 账 户 劫 持 。 v a r   f r a m e N a m e   =   w i n d o w . l o c a t i o n . h r e f . s p l i t ( " # " ) [ 1 ] ;         w i n d o w . p a r e n t . p o s t M e s s a g e ( f r a m e N a m e , " * " ) ; v a r   a p p _ i d   =   ' 1 2 4 0 2 4 5 7 4 2 8 7 4 1 4 ' ,         a p p _ d o m a i n   =   ' w w w . i n s t a g r a m . c o m ' ;         v a r   e x p l o i t _ u r l   =   ' h t t p s : / / w w w . f a c e b o o k . c o m / c o n n e c t / p i n g ? c l i e n t _ i d = '   +   a p p _ i d   +   ' & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F s t a t i c x x . f a c e b o o k . c o m % 2 F c o n n e c t % 2 F x d _ a r b i t e r % 2 F r % 2 F 7 S W B A v H e n E n . j s % 3 F v e r s i o n % 3 D 4 4 % 2 3 o r i g i n % 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F '
F a c e b o o k 账 户 劫 持 漏 洞 及 修 复 账 户 劫 持 漏 洞 及 修 复 因 为 可 以 窃 取 第 一 方 的 g r a p h q l 用 户 t o k e n ， 所 以 针 对 受 害 者 F a c e b o o k 账 户 来 说 ， 完 全 可 以 在 账 户 恢 复 功 能 中 构 造 添 加 绑 定 新 手 机 号 的 请 求 。 由 于 该 过 程 中 ， F a c e b o o k 后 端 对 G r a p h Q L 请 求 是 白 名 单 化 且 无 任 何 权 限 验 证 的 ， 因 此 ， 攻 击 者 也 就 具 备 了 对 受 害 者 F a c e b o o k 账 户 中 消 息 、 照 片 、 视 频 或 隐 私 权 设 置 的 完 全 读 写 更 改 权 限 。 我 及 时 向 F a c e b o o k 上 报 了 该 漏 洞 ， F a c e b o o k 官 方 也 及 时 地 确 认 了 该 漏 洞 的 有 效 性 ， 并 立 即 进 行 了 以 下 修 复 措 施 ： 废 弃 “ / c o n n e c t / p i n g ” 服 务 端 ， 并 取 消 其 对 所 有 F a c e b o o k 应 用 的 用 户 a c c e s s _ t o k e n 生 成 ； 在 X D _ A r b i t e r 文 件 中 添 加 了 _ _ d ( “ J S S D K C o n f i g ” ) 代 码 行 ， 避 免 在 p a g e _ p r o x y 中 的 J S 构 造 执 行 。 绕 过 修 复 措 施 绕 过 修 复 措 施 虽 然 我 和 F a c e b o o k 都 清 楚 O A u t h 的 核 心 服 务 端 “ / d i a l o g / o a u t h / “ 中 ， 仍 然 存 在 携 带 用 户 t o k e n 跳 转 到 p a g e _ p r o x y 的 情 况 ， 而 且 在 上 述 漏 洞 报 告 中 我 也 提 醒 过 他 们 需 要 进 行 修 复 。 但 是 ， F a c e b o o k 在 回 复 中 声 称 x d _ a r b i t e r 是 白 名 单 化 的 ， 上 述 修 复 措 施 足 够 缓 解 该 漏 洞 问 题 ， 将 不 会 导 致 用 户 t o k e n 泄 露 。 之 后 ， 我 在 后 续 的 两 三 天 又 再 次 检 查 了 p a g e _ p r o x y 中 的 代 码 ， 发 现 代 码 “ _ _ d ( “ J S S D K C o n f i g ” ) ” 被 移 到 了 底 部 ， 而 且 代 码 的 p o s t M e s s a g e ( ) 调 用 仍 然 可 以 被 执 行 ， 为 此 ， 我 又 想 办 法 看 看 能 否 再 次 对 其 进 行 绕 过 。 但 分 析 之 后 我 发 现 ， w w w . f a c e b o o k . c o m 后 端 并 没 有 遵 循 x d _ a r b i t e r 的 重 定 向 状 态 ， 而 是 为 客 户 端 的 请 求 域 创 建 了 c l o s e d _ w i n d o w   和   p o s t M e s s a g e ( )   调 用 来 防 止 攻 击 ， 此 规 则 虽 然 对 c h r o m e 浏 览 器 的 m 版 本 （ m u l t i - i n s t a l l ） 、 ” m o b i l e ” 和 ” t o u c h ” 版 本 生 效 ， 但 对 f i r e f o x 浏 览 器 却 无 任 何 防 护 效 果 。 另 外 ， 在 域 名 “ m b a s i c . f a c b o o k . c o m ” 下 也 会 发 生 H T T P   3 0 2 跳 转 ， 且 对 所 有 浏 览 器 有 效 ， 这 就 再 次 和 之 前 的 漏 洞 结 合 起 来 了 ： h t t p s : / / m b a s i c . f a c e b o o k . c o m / d i a l o g / o a u t h ? c l i e n t _ i d = 1 2 4 0 2 4 5 7 4 2 8 7 4 1 4 & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F s t a t i c x x . f a c e b o o k . c o m % 2 F c o n n e c t % 2 F x d _ a r b i t e r % 2 F r % 2 F 7 S W B A v H e n E n . j s % 3 F v e r s i o n % 3 D 4 2 % 2 3 o r i g i n % 3 D h t t p s % 2 5 3 A % 2 5 2 F % 2 5 2 F w w w . i n s t a g r a m . c o m % 2 5 2 F 最 终 修 复 措 施 不 允 许 对 x d _ a r b i t e r 的 任 意 修 改 ， 只 接 受 单 纯 的 文 件 路 径 ” x d _ a r b i t e r . p h p ” ； 禁 用 所 有 x d _ a r b i t e r 上 的 H T T P 跳 转 ； 删 除 p a g e _ p r o x y 资 源 “ 7 S W B A v H e n E n . j s ” ； 在 另 外 一 个 J S 脚 本 资 源 中 增 加 正 则 过 滤 验 证 。 漏 洞 影 响 漏 洞 影 响 攻 击 者 利 用 该 漏 洞 ， 部 署 控 制 恶 意 站 点 诱 惑 用 户 访 问 ， 当 用 户 在 使 用 F a c e b o o k 的 O a u t h 身 份 验 证 机 制 时 ， 就 能 窃 取 用 户 的 F a c e b o o k   a c c e s s   t o k e n ， 实 现 对 用 户 的 F a c e b o o k 或 其 它 第 三 方 账 户 劫 持 。 漏 洞 上 报 和 修 复 进 程 漏 洞 上 报 和 修 复 进 程 2 0 1 9 . 1 2 . 1 6       漏 洞 初 报 2 0 1 9 . 1 2 . 1 6       漏 洞 确 认 2 0 1 9 . 1 2 . 2 3       漏 洞 修 复 2 0 2 0 . 1 . 3           修 复 措 施 绕 过 2 0 2 0 . 1 . 1 0         后 续 漏 洞 再 次 被 确 认 2 0 2 0 . 1 . 1 7         漏 洞 修 复 2 0 2 0 . 2 . 2 1       F a c e b o o k 奖 励 $ 5 5 , 0 0 0 （ 账 户 劫 持 的 单 个 最 高 漏 洞 奖 励 ） * 参 考 来 源 ： 参 考 来 源 ： a m o l b a i k a r ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理