搜索

[12046] 2017-11-24_利用雅虎小型企业服务平台的目录遍历漏洞查看客户的信用卡信息

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2017-11-24_利用雅虎小型企业服务平台的目录遍历漏洞查看客户的信用卡信息 利 用 雅 虎 小 型 企 业 服 务 平 台 的 目 录 遍 历 漏 洞 查 看 客 户 的 信 用 卡 信 息 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 1 - 2 4 在 这 篇 文 章 中 ， 我 将 跟 大 家 介 绍 如 何 利 用 雅 虎 小 型 企 业 服 务 平 台 的 目 录 遍 历 漏 洞 查 看 客 户 的 信 用 卡 信 息 。 在 过 在 这 篇 文 章 中 ， 我 将 跟 大 家 介 绍 如 何 利 用 雅 虎 小 型 企 业 服 务 平 台 的 目 录 遍 历 漏 洞 查 看 客 户 的 信 用 卡 信 息 。 在 过 去 的 一 年 半 时 间 里 ， 我 一 直 都 在 对 雅 虎 平 台 的 安 全 性 进 行 分 析 ， 而 本 文 所 要 描 述 的 内 容 也 是 我 在 这 段 时 间 里 所 去 的 一 年 半 时 间 里 ， 我 一 直 都 在 对 雅 虎 平 台 的 安 全 性 进 行 分 析 ， 而 本 文 所 要 描 述 的 内 容 也 是 我 在 这 段 时 间 里 所 得 到 的 成 果 之 一 。 得 到 的 成 果 之 一 。 挖 洞 过 程 挖 洞 过 程 在 前 期 的 侦 察 过 程 中 ， 我 首 先 想 要 知 道 的 就 是 服 务 器 端 都 运 行 着 哪 些 东 西 。 虽 然 这 并 不 能 直 接 让 我 拿 到 漏 洞 奖 金 ， 但 这 些 信 息 可 以 帮 助 我 识 别 公 开 的 已 知 漏 洞 ， 或 者 在 之 后 的 漏 洞 利 用 过 程 中 帮 到 我 。 我 们 的 测 试 目 标 是 雅 虎 的 小 型 企 业 服 务 平 台 ， 经 过 一 段 时 间 的 分 析 之 后 ， 我 首 先 找 到 了 一 个 包 含 错 误 配 置 的 页 面 ， 然 后 通 过 分 析 网 络 请 求 发 现 了 其 用 户 控 制 面 板 运 行 的 是 N o d e J S ， 并 且 还 对 外 暴 露 了 一 个 模 板 。 需 要 注 意 的 是 ， 这 个 模 板 本 来 应 该 是 在 客 户 端 执 行 的 ， 但 这 里 却 在 服 务 器 端 执 行 了 。 既 然 我 们 已 经 知 道 了 该 网 站 的 控 制 面 板 部 分 运 行 的 是 N o d e J S ， 那 么 我 们 就 可 以 直 接 进 行 测 试 而 不 必 绕 弯 路 了 。 在 购 买 了 订 阅 服 务 之 后 ， 我 发 现 了 一 个 有 意 思 的 页 面 。 这 个 简 单 的 页 面 负 责 给 用 显 示 P D F 格 式 的 发 票 信 息 ， 当 用 户 点 击 了 “ D o w n l o a d ” 下 载 按 钮 之 后 ， 便 可 以 查 看 自 己 的 账 单 信 息 了 。 查 看 P D F 的 节 点 如 下 ： 一 般 来 说 ， 在 面 对 这 种 节 点 地 址 时 ， 我 们 首 先 会 尝 试 修 改 其 中 的 “ I N V 0 8 1 7 9 4 5 5 ” 参 数 。 如 果 这 里 存 在 I D O R 漏 洞 的 话 ， 那 我 们 就 可 以 查 看 其 他 人 的 账 单 信 息 了 。 那 么 第 一 个 问 题 就 来 了 ， 这 里 为 什 么 使 用 的 是 “ P D F 文 件 名 / p d f ” 而 不 是 “ P D F 文 件 名 . p d f ” 呢 ? 这 很 可 能 是 因 为 网 站 在 将 P D F 提 供 给 用 户 之 前 ， 需 要 验 证 该 账 单 确 实 属 于 发 起 请 求 的 用 户 。 听 起 来 貌 似 是 这 样 的 ， 但 随 着 我 们 不 断 地 深 入 分 析 ， 这 一 猜 想 也 被 推 翻 了 。 由 于 我 们 已 经 知 道 了 服 务 器 端 运 行 了 N o d e J S ， 那 我 就 可 以 尝 试 调 用 一 些 特 殊 参 数 来 进 行 测 试 了 ， 例 如 ： 那 么 接 下 来 ， 我 们 就 可 以 向 服 务 器 发 送 一 些 数 据 并 尝 试 让 系 统 做 一 些 它 本 不 该 做 的 事 情 了 。 在 研 究 了 几 分 钟 与 S Q L 注 入 有 关 的 控 制 字 符 之 后 ， 我 对 网 站 的 源 代 码 也 进 行 了 分 析 ， 并 以 此 来 确 保 浏 览 器 在 请 求 P D F 文 件 时 不 会 进 行 其 他 不 必 要 的 函 数 调 用 。 分 析 之 后 我 得 到 了 以 下 结 论 ： 这 两 个 H T T P 请 求 返 回 的 是 相 同 的 结 果 。 虽 然 很 多 W e b 服 务 器 会 直 接 将 ” . % 2 f ” 当 作 ” . / “ 来 处 理 ， 并 且 最 终 返 回 相 同 的 目 录 以 及 参 数 ， 但 N o d e J S 会 将 ” . % 2 f ” 当 作 实 际 的 发 票 I D 目 录 参 数 来 处 理 。 如 果 真 是 这 样 的 话 ， 这 就 说 明 系 统 会 使 用 发 票 I D 目 录 参 数 来 获 取 某 些 文 件 内 容 以 显 示 P D F 给 用 户 ， 而 用 户 可 以 提 供 ” . % 2 ” 或 者 ” . . % 2 f ” 来 指 定 需 要 提 取 的 目 录 。 为 了 证 实 这 一 点 ， 我 们 可 以 发 送 下 列 请 求 ： 果 不 其 然 ， 系 统 返 回 了 “ 4 0 4 - n o t   f o u n d ” ， 因 为 这 是 一 个 无 效 的 P D F 参 数 。 为 了 进 一 步 确 认 ， 我 还 需 要 找 到 P D F 文 件 真 正 所 在 的 目 录 ， 这 也 就 意 味 着 我 需 要 进 行 “ 暴 力 破 解 ” 了 。 此 处 省 略 一 万 字 … 最 终 我 还 是 找 到 了 我 的 P D F ： h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / I N V 0 8 1 7 9 4 5 5 / p d f N o d e J S   " / v i e w / I D " （ 这 跟   P H P 的 " / v i e w . p h p ? i d = I D " 是 一 样 的 ） h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . % 2 f I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f I N V 0 8 1 7 9 4 5 5 / p d f
不 知 道 你 是 否 注 意 到 了 地 址 中 “ i n v o i c e s ” 之 前 的 目 录 ？ 接 下 来 ， 我 又 发 送 了 如 下 请 求 ： 这 个 请 求 同 样 返 回 了 “ 4 0 4 - n o t   f o u n d ” ， 这 也 意 味 着 服 务 器 很 可 能 在 尝 试 从 一 个 名 叫 “ i n v o i c e s ” 的 文 件 夹 中 获 取 文 件 。 思 考 片 刻 之 后 ， 我 认 为 服 务 器 很 可 能 使 用 了 某 种 字 符 串 识 别 信 息 （ 例 如 账 号 I D 或 电 子 邮 箱 ） 来 给 用 户 创 建 专 门 的 文 件 夹 ， 之 后 再 通 过 索 引 来 从 中 获 取 用 户 的 文 件 。 这 样 的 话 ， 当 用 户 正 常 调 用 该 节 点 时 ， 则 需 要 提 供 “ a c c o u n t I D / i n v o i c e s / I D ” 并 禁 止 他 人 通 过 修 改 I D 号 来 查 看 他 人 的 账 单 P D F 。 下 面 给 出 的 是 一 些 失 败 的 请 求 尝 试 ： 因 此 ， 我 打 算 换 一 个 角 度 来 进 行 尝 试 。 接 下 来 ， 我 又 发 送 了 如 下 所 示 的 请 求 尝 试 ： 这 些 请 求 可 以 帮 助 我 找 出 相 关 目 录 的 根 目 录 ， 这 样 我 也 许 就 可 以 获 取 其 他 用 户 的 目 录 文 件 了 。 此 时 我 突 然 回 想 起 来 ， 该 网 站 的 域 名 控 制 面 板 部 分 有 一 个 功 能 允 许 我 们 更 新 域 名 信 息 ， 你 可 以 将 域 名 修 改 成 其 他 的 东 西 ， 而 此 时 服 务 器 将 返 回 一 段 非 常 有 意 思 的 错 误 信 息 ： 为 什 么 上 面 的 邮 件 地 址 结 尾 有 一 个 “ # v j ” 呢 ？ 说 实 话 ， 我 自 己 也 不 清 楚 … 我 只 知 道 这 里 有 这 样 一 个 字 符 。 不 过 需 要 注 意 的 是 ， 这 个 节 点 是 不 可 利 用 的 。 但 是 ， 当 我 们 使 用 这 个 邮 件 地 址 （ 末 尾 跟 加 上 “ # v j ” ， U R L 编 码 后 为 “ % 2 3 v j ” ） 来 访 问 我 的 个 人 文 件 时 ， 竟 然 成 功 了 ！ 仔 细 分 析 下 来 ， 大 致 的 情 况 应 该 是 这 样 ： 而 后 续 测 试 也 证 明 ， 我 们 可 以 使 用 这 种 方 法 来 访 问 其 他 用 户 的 文 件 。 在 真 实 的 攻 击 场 景 中 ， 攻 击 者 只 需 要 知 道 目 标 用 户 的 邮 箱 地 址 ， 就 可 以 查 看 到 他 们 的 支 付 信 息 了 ， 其 中 包 括 用 户 信 用 卡 号 的 最 后 四 位 数 、 卡 片 到 期 日 、 以 及 账 单 地 址 等 等 h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f i n v o i c e s % 2 f I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f . . % 2 f m y - s e r v i c e s % 2 f i n v o i c e s % 2 f I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f . . % 2 f s a m w c u r r y @ g m a i l . c o m % 2 f i n v o i c e s % 2 f I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f . . % 2 f a c c o u n t I D h a s h % 2 f i n v o i c e s % 2 f I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f . . % 2 f s a m w c u r r y % 4 0 g m a i l % 2 e c o m % 2 f i n v o i c e s % 2 f I N V 0 8 1 7 9 4 5 5 / p d f h t t p s : / / w w w . l u m i n a t e . c o m / o r d e r / c o n f i r m a t i o n / . . % 2 f o r d e r s % 2 f o r d e r I d h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / m o r e - i n f o / j s o n ? u i d = . . / s u b s c r i p t i o n s / s u b s c r i p t i o n I D h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / e d i t - p a y m e n t - m e t h o d ? u i d = . . / p a y m e n t m e t h o d s / p a y m e n t M e t h o d I D { " e r r o r " : " I d   s a m w c u r r y @ g m a i l . c o m # v j d o e s   n o t   h a v e   p e r m i s s i o n   t o   m o d i f y   t h e   d o m a i n   e x a m p l e . c o m . " }   h t t p s : / / w w w . l u m i n a t e . c o m / m y - s e r v i c e s / i n v o i c e s / . . % 2 f . . % 2 f s a m w c u r r y @ g m a i l . c o m % 2 3 v j % 2 f i n v o i c e s % 2 f I N V 0 8 1 7 9 4 5 5 / p d f -   s a m w c u r r y @ g m a i l . c o m # v j     s e r v i c e s         - s e r v i c e I D   ( f u l l   f o l d e r   s a m w c u r r y @ g m a i l . c o m # v j / s e r v i c e s / s e r v i c e I D )     i n v o i c e s         - i n v o i c e I D   ( f u l l   f o l d e r   s a m w c u r r y @ g m a i l . c o m # v j / i n v o i c e s / i n v o i d e I D )     p a y m e n t m e t h o d s - p a y m e n t M e t h o d I D   ( f u l l   f o l d e r   s a m w c u r r y @ g m a i l . c o m # v j / p a y m e n t m e t h o d s / p a y m e n t M e t h o d I D )
总 结 总 结 雅 虎 的 小 型 企 业 服 务 平 台 将 用 户 数 据 存 储 在 一 系 列 目 录 之 中 ， 而 他 们 只 是 尝 试 通 过 模 糊 文 件 夹 名 称 来 保 护 这 些 数 据 的 安 全 。 对 于 攻 击 者 来 说 ， 只 要 他 们 知 道 目 标 用 户 的 邮 箱 地 址 ， 他 们 就 能 够 使 用 字 典 来 暴 力 破 解 出 可 猜 测 的 服 务 I D ， 并 最 终 从 服 务 器 所 返 回 的 请 求 中 查 看 到 用 户 的 信 用 卡 支 付 信 息 。 漏 洞 时 间 轴 漏 洞 时 间 轴 2 0 1 7 年 1 0 月 2 1 日 ： 漏 洞 提 交 2 0 1 7 年 1 0 月 2 3 日 ： 漏 洞 归 类 2 0 1 7 年 1 1 月 0 8 日 ： 漏 洞 修 复 漏 洞 奖 金 未 确 认 *   参 考 来 源 ： 参 考 来 源 ： b u g b o u n t y f o r u m ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理