搜索

[13133] 2018-09-01_通过PasswordVault的XSS漏洞获取用户密码测试

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-09-01_通过PasswordVault的XSS漏洞获取用户密码测试 通 过 P a s s w o r d   V a u l t 的 X S S 漏 洞 获 取 用 户 密 码 测 试 s e c i s t   F r e e B u f   2 0 1 8 - 0 9 - 0 1 P S ： 本 文 仅 作 技 术 讨 论 ， 禁 止 用 于 任 何 非 法 用 途 ： 本 文 仅 作 技 术 讨 论 ， 禁 止 用 于 任 何 非 法 用 途 前 言 前 言 大 家 好 ！ 自 我 上 次 写 作 以 来 到 现 在 已 经 有 段 时 间 了 。 今 天 ， 我 想 和 大 伙 分 享 一 些 非 常 有 意 思 的 内 容 。 为 了 存 储 大 家 好 ！ 自 我 上 次 写 作 以 来 到 现 在 已 经 有 段 时 间 了 。 今 天 ， 我 想 和 大 伙 分 享 一 些 非 常 有 意 思 的 内 容 。 为 了 存 储 及 管 理 的 方 便 ， 相 信 大 家 可 能 都 会 选 择 使 用 一 些 密 码 管 理 器 来 存 储 不 同 网 站 的 密 码 （ 例 如 及 管 理 的 方 便 ， 相 信 大 家 可 能 都 会 选 择 使 用 一 些 密 码 管 理 器 来 存 储 不 同 网 站 的 密 码 （ 例 如 F a c e b o o k ， ， G m a i l 等 等 其 他 帐 户 ） 。 那 么 ， 作 为 存 储 如 此 敏 感 数 据 的 管 理 工 具 是 否 应 该 保 证 足 够 的 安 全 性 呢 ？ 其 他 帐 户 ） 。 那 么 ， 作 为 存 储 如 此 敏 感 数 据 的 管 理 工 具 是 否 应 该 保 证 足 够 的 安 全 性 呢 ？ 场 景 场 景 在 我 遇 到 的 这 个 场 景 中 ， 其 中 不 仅 包 含 了 账 户 密 码 它 还 包 含 了 该 公 司 员 工 的 密 码 。 令 我 感 到 惊 讶 的 是 ， 我 在 同 一 域 中 发 现 了 一 个 X S S 漏 洞 ， 并 最 终 利 用 该 漏 洞 成 功 窃 取 了 其 中 的 用 户 密 码 信 息 。 每 当 我 测 试 一 个 应 用 程 序 时 ， 我 都 会 首 先 确 定 我 的 目 标 公 司 类 型 。 而 当 前 测 试 的 目 标 则 是 一 个 密 码 管 理 器 ， 显 而 易 见 这 是 一 个 存 储 密 码 的 地 方 。 而 密 码 也 这 正 是 他 们 所 要 保 护 的 敏 感 数 据 ， 我 的 目 标 就 是 捕 获 和 检 索 这 些 密 码 。 应 用 工 作 流 程 应 用 工 作 流 程 为 了 更 好 的 理 解 应 用 程 序 ， 我 们 需 要 了 解 它 的 功 能 和 流 程 ， 以 及 它 是 如 何 检 索 数 据 以 及 检 索 数 据 的 位 置 。 在 仔 细 观 察 应 用 程 序 并 完 成 各 个 请 求 之 后 ， 我 发 现 应 用 程 序 会 从 位 于 应 用 程 序 的 / a p i / 的 A P I 中 检 索 不 同 的 信 息 。 在 对 应 用 程 序 进 行 一 些 爬 行 和 抓 取 后 ， 我 发 现 了 一 些 A P I 端 点 ：
A P I 端 点 观 察 端 点 观 察 当 应 用 程 序 与 A P I 完 全 交 互 时 ， 每 个 端 点 都 返 回 了 一 些 值 和 信 息 ， 其 中 包 括 r e c o r d   I D ， s e s s i o n   t o k e n 和 其 他 一 些 内 容 。 让 我 来 解 释 下 这 些 A P I 。 r e c o r d s / a l l   端 点 端 点 位 于 / a p i / v 3 / r e c o r d s / a l l 的 端 点 ， 它 正 在 接 受 G E T 请 求 。 一 旦 在 进 行 身 份 验 证 时 发 送 了 G E T 请 求 ， 它 就 会 返 回 具 有 r e c o r d   i d s 的 J S O N 对 象 ， 以 及 与 可 用 记 录 相 关 的 其 他 信 息 。
p a s s w o r d s / r e c o r d   端 点 端 点 该 端 点 位 于 / a p i / v 1 / p a s s w o r d s / r e c o r d 。 在 r e c o r d   I D s 从 从 r e c o r d / a l l 端 点 被 检 索 后 ， 该 端 点 用 于 从 这 些 特 定 记 录 I D 中 检 索 密 码 及 其 完 整 信 息 。 在 我 们 的 例 子 中 ， 我 们 获 取 到 了 以 下 r e c o r d   I D s ： 5 2 6 8 8 2   -   “ F a c e b o o k   A c c o u n t “   r e c o r d   I D 5 2 6 8 8 3   -   “ G o o g l e   E m a i l “   r e c o r d   I D 如 果 用 户 单 击 “   “ F a c e b o o k   A c c o u n t “   记 录 ， 一 个 使 用 以 下 J S O N 数 据 以 及 r e c o r d   I D 为 5 2 6 8 8 2 的 P O S T 请 求 ， 将 会 被 发 送 到 / a p i / v 1 / p a s s w o r d s / r e c o r d 端 点 。
这 将 返 回 指 定 I D 的 以 下 信 息 ： 现 在 我 们 已 经 知 道 了 I D 是 如 何 被 检 索 的 ， 以 及 它 们 是 如 何 返 回 数 据 的 。 但 有 个 问 题 就 是 ， 应 用 程 序 在 发 送 给 A P I 的 每 个 P O S T 请 求 中 都 发 送 了 一 个 C S R F   t o k e n 。 在 请 求 中 包 含 一 个   “ t o k e n “ ， 是 为 了 对 用 户 会 话 进 行 验 证 。 s e s s i o n / t o k e n   端 点 端 点 为 了 弄 清 楚 t o k e n 是 如 何 生 成 的 ， 我 查 看 了 其 它 的 一 些 端 点 ， 最 终 发 现 位 于 / a p i / v 1 / s e s s i o n / t o k e n 的 A P I 端 点 是 负 责 生 成 C S R F   t o k e n s 的 。 发 送 一 个 G E T 请 求 至 该 端 点 ， 你 将 会 获 取 到 以 下 响 应 ： X S S 漏 洞 漏 洞 现 在 ， 我 们 开 始 了 解 应 用 程 序 的 流 程 和 用 于 数 据 交 换 的 端 点 。 我 们 需 要 以 某 种 方 式 从 以 下 端 点 获 取 信 息 ：
S e s s i o n   T o k e n   来 自   / a p i / v 1 / p a s s w o r d s / r e c o r d R e c o r d   I D s   来 自   / a p i / v 3 / r e c o r d s / a l l R e c o r d   信 息   来 自   / a p i / v 1 / p a s s w o r d s / r e c o r d 从 端 点 获 取 信 息 ， 有 一 个 简 单 的 技 巧 就 是 利 用 一 些 配 置 错 误 的 C O R S ， 但 可 惜 的 是 该 应 用 似 乎 并 没 有 将 它 用 于 资 源 共 享 。 另 一 种 可 能 性 是 在 同 一 个 域 的 某 个 地 方 找 到 X S S 漏 洞 ， 绕 过 同 源 策 略 （ S O P ） 。 否 则 ， 将 会 因 为 触 发 S O P ， 导 致 我 们 所 有 的 X H R 调 用 都 被 拒 绝 。 经 过 一 番 测 试 ， 我 成 功 的 在 一 个 电 子 邮 件 激 活 页 面 上 找 到 了 一 个 X S S 漏 洞 。 如 下 所 示 ： 现 在 ， 我 们 就 不 必 再 担 心 S O P 了 ， 并 可 使 用 与 应 用 程 序 相 同 的 方 式 与 A P I 进 行 通 信 。 利 用 脚 本 利 用 脚 本 首 先 ， 我 们 将 使 用 j a v a s c r i p t 的 f e t c h ( ) 函 数 来 向 / a p i / v 3 / r e c o r d s / a l l 发 出 G E T 请 求 ， 以 获 取 所 有 的 r e c o r d   I D ： 抓 取 记 录 后 ， 接 下 来 就 是 获 取 s e s s i o n   t o k e n 以 进 行 P O S T 请 求 。 这 里 我 还 将 记 录 的 响 应 转 换 为 了 J S O N ， 并 直 接 从 J S O N 对 象 调 用 记 录 I D 的 值 。 f e t c h ( ) 函 数 用 于 发 送 G E T 请 求 ， 以 捕 获 令 牌 并 从 J S O N 对 象 中 检 索 其 值 ：
现 在 ， 我 们 获 取 到 了 “ s e s s i o n _ t o k e n ” 和 “ r e c o r d   I D s ” 。 接 下 来 我 们 要 做 的 就 是 将 具 有 ” r e c o r d   I D ” 的 P O S T 请 求 ， 发 送 到 / a p i / v 1 / p a s s w o r d s / r e c o r d 端 点 。 我 将 使 用 X H R 发 送 具 有 指 定 记 录 I D 的 P O S T 请 求 。 我 将 遍 历 r e c o r d   I D s 逐 个 检 索 每 条 记 录 的 信 息 ： 如 你 所 看 到 的 第 3 0 - 3 4 行 ， 我 们 进 行 了 一 些 适 当 配 置 。 在 第 4 5 行 ， 我 们 将 这 些 值 以   { “ i d ” : r e c o r d _ I D _ h e r e , ” i s _ o r g a n i z a t i o n : f a l s e } 的 形 式 放 置 ， 然 后 发 出 请 求 。 请 求 完 成 后 ， 将 解 析 响 应 并 从 响 应 中 获 取 值 ， 例 如 标 题 ， 标 题 ， U R L ， 用 户 名 ， 密 码 ， 用 户 名 ， 密 码 。 然 后 将 这 些 值 添 加 到 虚 拟 变 量 “ d a t a _ c h u n k s ” 进 行 最 终 的 处 理 。 在 使 用 收 集 的 数 据 填 充 虚 拟 变 量 之 后 ， 它 将 转 换 为 b a s e 6 4 以 避 免 错 误 字 符 冲 突 ， 并 将 其 发 送 至 攻 击 者 的 主 机 上 。 注 意 ： 还 有 许 多 其 他 方 法 可 以 用 来 正 确 发 送 抓 取 的 数 据 ， 但 出 于 演 示 目 的 我 使 用 的 方 法 很 简 单 ， 例 如 直 接 发 送 b a s e 6 4 编 码 数 据 。 其 实 ， 通 过 P O S T 将 数 据 发 送 至 特 定 文 件 也 是 一 个 不 错 的 选 择 。 漏 洞 利 用 漏 洞 利 用 现 在 ， 我 们 的 漏 洞 利 用 脚 本 已 经 编 写 完 成 。 那 么 我 们 该 如 何 进 行 利 用 呢 ？ 这 里 有 两 个 简 单 的 X S S 利 用 技 巧 。
在 外 部 主 机 上 托 管 你 的 j a v a s c r i p t 利 用 脚 本 （ 你 可 能 必 须 要 设 置 C O R S 才 能 成 功 访 问 ） ； 直 接 用 e v a l 和 a t o b 包 含 p a y l o a d 。 对 于 第 一 种 技 术 ， 需 要 通 过 来 加 载 外 部 J S 。 这 种 方 法 在 处 理 大 型 漏 洞 利 用 代 码 时 非 常 有 效 ， 并 且 还 有 一 个 好 处 就 是 利 用 代 码 不 会 被 记 录 在 服 务 器 中 。 第 二 种 方 法 可 用 于 处 理 一 些 较 简 短 的 p a y l o a d 。 我 使 用 的 p a y l o a d 如 下 ： 现 在 用 我 们 的 b a s e 6 4 编 码 的 源 代 码 替 换 a t o b ( ) 的 值 。 首 先 ， 我 们 的 p a y l o a d 将 由 a t o b 解 码 ， 然 后 由 e v a l ( ) 执 行 。 最 终 的 p a y l o a d 如 下 ： 这 里 或 许 有 人 会 说 这 并 不 是 一 个 简 短 的 p a y l o a d ， 而 是 一 个 较 大 的 p a y l o a d 。 其 实 它 也 可 以 从 外 部 主 机 被 加 载 ， 但 这 里 我 为 了 避 免 C O R S 设 置 所 带 来 的 麻 烦 ， 所 以 才 使 用 了 这 种 方 法 。 现 在 我 将 托 管 一 个 内 容 如 下 的 e x p l o i t . h t m l 文 件 ：
现 在 只 需 为 e x p l o i t . h t m l 提 供 一 个 U R L ， 攻 击 者 就 可 以 将 用 户 重 定 向 到 一 个 注 入 了 p a y l o a d 的 页 面 上 。 成 功 利 用 后 ， 我 们 将 获 取 到 以 下 数 据 ： 可 以 看 到 ， 存 储 在 P a s s w o r d   V a u l t 中 的 记 录 成 功 被 我 们 检 索 了 出 来 ， 并 且 我 们 也 放 大 了 该 X S S 漏 洞 带 来 的 安 全 影 响 。 漏 洞 利 用 代 码 我 已 经 发 布 在 了 h t t p s : / / g i s t . g i t h u b . c o m / s h a w a r k h a n e t h i c a l h a c k e r / e 4 0 a 7 c 3 9 5 6 f d d 2 4 b 9 f b 6 3 d 0 3 d 9 4 c 3 d 3 4 ， 有 兴 趣 的 可 以 自 行 下 载 测 试 。 * 参 考 来 源 ： 参 考 来 源 ： s h a w a r k h a n ， ， F B 小 编 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理