搜索

[16642] 2021-04-07_以账户更新方式实现某大公司网站普通用户到管理员的提权

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-04-07_以账户更新方式实现某大公司网站普通用户到管理员的提权 以 账 户 更 新 方 式 实 现 某 大 公 司 网 站 普 通 用 户 到 管 理 员 的 提 权 c l o u d s   F r e e B u f   2 0 2 1 - 0 4 - 0 7 本 篇 本 篇 W r i t u p 讲 述 作 讲 述 作 者 针 对 某 大 公 司 网 站 做 安 全 测 试 时 ， 发 现 其 子 域 名 网 站 在 账 户 更 新 时 存 在 漏 洞 ， 可 以 通 过 构 造 者 针 对 某 大 公 司 网 站 做 安 全 测 试 时 ， 发 现 其 子 域 名 网 站 在 账 户 更 新 时 存 在 漏 洞 ， 可 以 通 过 构 造 P O S T 请 求 ， 实 请 求 ， 实 现 从 普 通 用 户 到 管 理 员 的 提 权 ， 漏 洞 最 终 收 获 了 现 从 普 通 用 户 到 管 理 员 的 提 权 ， 漏 洞 最 终 收 获 了 $ 5 0 0 0 的 奖 励 。 的 奖 励 。 去 年 年 底 时 候 ， 在 学 习 完 D V W A   ( D a m n   V u l n e r a b l e   W e b   A p p l i c a t i o n )   后 ， 我 架 设 了 O W A S P   J u i c e   S h o p 和 W e b G o a t 继 续 学 习 W E B 安 全 ， 在 O W A S P   J u i c e   S h o p 的 不 当 输 入 校 验 （ I m p r o p e r   I n p u t   V a l i d a t i o n ） 课 程 下 ， 有 一 项 名 为 “ 注 册 具 有 管 理 员 权 限 用 户 ” 的 隐 患 测 试 任 务 。 该 项 任 务 是 在 网 站 用 户 注 册 过 程 中 ， 通 过 参 数 变 换 和 构 造 ， 赋 予 “ r o l e ” 角 色 “ a d m i n ” 值 ， 实 现 注 册 具 有 管 理 员 权 限 的 用 户 。 在 学 习 完 该 项 任 务 后 ， 在 2 0 2 1 年 初 的 1 月 份 ， 我 正 好 针 对 某 个 知 名 百 万 美 元 大 公 司 网 站 做 安 全 测 试 ， 为 此 ， 我 决 定 用 O W A S P   J u i c e   S h o p 中 的 学 习 任 务 实 战 尝 试 看 看 。 漏 洞 发 现 漏 洞 发 现 该 公 司 门 户 下 恰 好 有 一 个 子 域 名 网 站 ， 需 要 注 册 登 录 才 能 使 用 ， 为 此 我 就 及 时 进 行 了 注 册 。 在 用 户 注 册 过 程 中 ， 一 切 貌 似 正 常 ， 以 下 为 用 户 注 册 的 P O S T 请 求 包 ： P O S T   / r e g i s t e r   H T T P / 1 . 1
上 述 请 求 发 出 后 ， 服 务 端 会 返 回 一 个 跳 转 到 网 站 主 页 3 0 2 请 求 ， 当 时 我 觉 得 应 该 没 啥 异 常 。 之 后 ， 我 深 入 查 看 我 的 注 册 账 户 情 况 ， 想 从 中 发 现 C S R F 或 I D O R 漏 洞 ， 但 可 惜 的 是 u s e r I D 中 绑 定 了 C S R F   t o k e n ， 所 以 C S R F 或 I D O R 是 根 本 不 可 能 的 。 但 经 过 几 天 后 ， 我 在 B u r p 中 回 看 当 时 的 H T T P 日 志 时 发 现 ， 看 到 了 用 户 账 户 更 新 的 请 求 数 据 包 ： 该 请 求 包 发 出 之 后 ， 服 务 端 会 返 回 很 多 内 容 ， 部 分 如 下 ： 返 回 的 响 应 内 容 中 包 含 了 很 多 值 得 深 入 探 究 的 地 方 ， 其 中 “ c o m p a n y U s e r ” 值 为 0 ， 哦 太 美 妙 了 ， 那 我 试 试 更 改 其 值 看 看 。 于 是 ， 我 尝 试 把 其 值 更 改 为 1 ： 但 请 求 发 出 后 ， 啥 情 况 也 没 有 。 那 是 不 是 “ c o m p a n y U s e r ” 字 段 不 该 在 “ U s e r ” 里 面 呢 ？ 但 用 { “ c o m p a n y U s e r ” :   { “ c o m p a n y U s e r ” :   “ 1 ”   } } 还 是 不 行 。 之 后 ， 我 又 把 其 中 第 一 个 字 母 大 写 ， 变 为   { “ C o m p a n y U s e r ” :   {   “ c o m p a n y U s e r ” :   “ 1 ” } } ， 请 求 后 ， 我 发 现 响 应 回 来 的 内 容 中 “ c o m p a n y U s e r ” 字 段 值 终 于 变 为 “ 1 ” 了 ！ 成 功 了 ！ 于 是 ， 我 立 马 退 出 并 进 行 了 重 新 登 录 ， 但 是 ， 登 录 后 却 跳 出 了 一 个 2 F A   P I N 码 确 认 框 来 ！ P O S T   / r e g i s t e r   H T T P / 1 . 1 H o s t :   w w w . r e d a c t e d . c o m C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n { “ e m a i l ” :   “ u s e r @ t l d . x y z ” ,   “ p a s s w o r d ” :   “ p a s s w o r d 1 2 3 ” } P O S T   / u p d a t e U s e r I n f o   H T T P / 1 . 1 H o s t :   w w w . r e d a c t e d . c o m C S R F - T o k e n :   X X X X X X X X X X X X X X X X X X X X X X X C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n { “ U s e r ” :   { “ i d ” :   “ 1 2 3 ” ,   “ e m a i l ” :   “ u s e r @ t l d . x y z ” ,   “ f u l l N a m e ” :   “ U s e r   A ” } , “ A d d r e s s ” :   { “ c i t y ” :   “ S o m e   C i t y ” } } H T T P / 1 . 1   2 0 0   O K { “ r e s p o n s e ” :   “ s u c c e s s ” , “ i n f o ” :   { “ i d ” :   “ 1 2 3 ” , “ e m a i l ” :   “ u s e r @ t l d . x y z ” , “ f u l l N a m e ” :   “ U s e r   A ” , “ c o m p a n y U s e r ”   ： “ 0 ” … } } P O S T   / u p d a t e U s e r I n f o   H T T P / 1 . 1 H o s t :   w w w . r e d a c t e d . c o m C S R F - T o k e n :   X X X X X X X X X X X X X X X X X X X X X X X C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n { “ U s e r ” :   { “ i d ” :   “ 1 2 3 ” ,   “ e m a i l ” :   “ u s e r @ t l d . x y z ” ,   “ f u l l N a m e ” :   “ U s e r   A ” ,   “ c o m p a n y U s e r ” :   “ 1 ” } , “ A d d r e s s ” :   { “ c i t y ” :   “ S o m e   C i t y ” } }
我 不 知 道 该 网 站 的 2 F A P I N 码 长 度 和 组 合 样 式 ， 还 有 可 能 是 符 号 加 数 字 的 方 式 ， 所 以 考 虑 暴 力 破 解 是 不 可 能 的 。 经 过 反 复 测 试 ， 我 在 服 务 端 响 应 内 容 中 发 现 了 “ c o m p a n y U s e r 2 F A ” 字 段 内 容 。 于 是 我 马 上 在 P O S T 请 求 中 加 入 了 该 字 段 ， 为 { “ C o m p a n y U s e r ” :   { “ c o m p a n y U s e r ” :   “ 1 ” ,   “ c o m p a n y U s e r 2 F A ” :   “ 1 2 3 4 ”   } } 。 好 了 ， 退 出 再 登 录 之 后 ， 响 应 内 容 中 包 含 了 2 F A 值 ， 但 是 又 遇 到 了 新 的 麻 烦 - I P 限 制 ： 登 录 后 ， 服 务 端 跳 出 告 知 ， 我 的 I P 不 在 白 名 单 范 围 内 ， 好 吧 。 我 又 反 复 测 试 ， 发 现 了 与 I P 关 联 的 响 应 字 段 “ c o m p a n y U s e r I P ” ， 再 次 把 该 字 段 添 加 进 账 户 更 新 P O S T 请 求 中 ， 为 { “ C o m p a n y U s e r ” :   {   “ c o m p a n y U s e r ” :   “ 1 ” , “ c o m p a n y U s e r 2 F A ” :   “ 1 2 3 4 ” ,   “ c o m p a n y U s e r I P ” :   “ ”   } } ， 请 求 发 出 后 ， 我 退 出 并 进 行 重 新 登 录 。 期 待 奇 迹 发 生 ， 果 然 ：
我 当 前 的 账 户 已 经 是 管 理 员 权 限 ， 可 以 通 过 某 个 路 径 看 到 管 理 员 看 到 的 一 切 ！ 当 前 的 账 户 身 份 不 仅 是 该 子 域 名 网 站 下 的 管 理 员 ， 还 是 其 它 子 域 名 网 站 的 管 理 员 ， 从 中 我 发 现 在 域 名 枚 举 中 未 发 现 的 其 它 子 域 名 网 站 。 由 于 授 权 原 因 ， 我 不 敢 深 入 测 试 其 它 子 域 名 ， 只 能 浅 尝 辄 止 ， 立 即 做 了 漏 洞 上 报 。 几 个 小 时 后 ， 该 公 司 就 修 复 了 该 漏 洞 。 几 天 之 后 ， 我 的 漏 洞 被 评 级 为 P 1 严 重 级 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 1 . 1 . 2 2       漏 洞 上 报 2 0 2 1 . 1 . 2 3       漏 洞 修 复 2 0 2 1 . 2 . 6       漏 洞 评 估 为 P 1 级 并 收 获 $ 5 0 0 0 的 奖 励 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理