搜索

[13240] 2018-09-28_看我如何发现雅虎邮箱APP的存储型XSS漏洞

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2018-09-28_看我如何发现雅虎邮箱APP的存储型XSS漏洞 看 我 如 何 发 现 雅 虎 邮 箱 A P P 的 存 储 型 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 9 - 2 8 今 天 我 要 分 享 的 是 参 与 雅 虎 今 天 我 要 分 享 的 是 参 与 雅 虎 （ （ Y a h o o ! ） 漏 洞 众 测 项 目 发 现 的 一 个 关 于 雅 虎 邮 箱 ） 漏 洞 众 测 项 目 发 现 的 一 个 关 于 雅 虎 邮 箱   i O S 应 用 的 漏 洞 ， 最 终 ， 凭 借 该 漏 洞 ， 我 进 入 了 雅 虎 安 全 名 应 用 的 漏 洞 ， 最 终 ， 凭 借 该 漏 洞 ， 我 进 入 了 雅 虎 安 全 名 人 堂 并 获 得 了 人 堂 并 获 得 了 $ 3 5 0 0 美 金 奖 励 。 美 金 奖 励 。 漏 洞 情 况 漏 洞 情 况 我 测 试 的 对 象 是   Y a h o o !   M a i l   i O S   A P P 应 用 ， 也 就 是 雅 虎 邮 箱 的 i O S 版 本 ， 在 该 A P P 应 用 程 序 的 x m l 文 件 中 存 在 一 个 存 储 型 X S S 漏 洞 。 攻 击 者 可 以 利 用 X M L 特 性 构 造 任 意 H T M L / J a v a s c r i p t 代 码 嵌 入 邮 件 ， 在 该 A P P 用 户 打 开 邮 件 时 ， 都 可 以 实 现 这 种 任 意 代 码 渲 染 呈 现 ， 极 端 点 来 说 ， 利 用 X M L 的 实 体 扩 展 攻 击 ， 可 以 形 成 D o S 攻 击 ， 造 成 A P P 服 务 崩 溃 。 X M L 实 体 扩 展 攻 击 ： X M L   E n t i t y   E x p a n s i o n 实 现 ， 通 过 在 X M L 的 D O C T Y P E 中 创 建 自 定 义 实 体 的 定 义 实 现 ， 比 如 ， 这 种 定 义 可 以 在 内 存 中 生 成 一 个 比 X M L 的 原 始 允 许 大 小 大 出 很 多 的 X M L 结 构 ， 用 它 来 使 这 种 攻 击 得 以 耗 尽 网 络 服 务 器 正 常 有 效 运 行 的 必 需 内 存 资 源 。 漏 洞 分 析 漏 洞 分 析 漏 洞 初 报 漏 洞 初 报 在 任 意 的 雅 虎 邮 箱 登 录 网 页 或 客 户 端 中 登 录 进 入 你 的 雅 虎 邮 箱 ， 然 后 上 传 以 下 样 式 的 一 个 x m l 文 件 作 为 邮 件 附 件 ， 之 后 ， 把 这 封 带 以 下   y a h o o - x s s . x m l   附 件 的 邮 件 ， 发 送 到 你 自 己 的 雅 虎 邮 箱 或 另 一 雅 虎 测 试 邮 箱 中 去 。 用 雅 虎 邮 箱 i O S 客 户 端 （ Y a h o o !   M a i l   i O S   A P P ） ， 进 入 你 的 收 件 测 试 雅 虎 邮 箱 ， 查 看   y a h o o - x s s . x m l   附 件 ， 打 开 它 ， 看 看 是 否 有 X S S 反 应 。 结 果 是 当 然 有 的 ， 会 吓 了 你 一 跳 。 如 下 ： < ? x m l   v e r s i o n = ” 1 . 0 ″   e n c o d i n g = ” u t f - 8 ″ ? > < s v g   x m l n s = ” h t t p : / / w w w . w 3 . o r g / 2 0 0 0 / s v g ” > < s c r i p t > p r o m p t ( d o c u m e n t . l o c a t i o n ) < / s c r i p t > < / s v g >
注 意 ： 我 也 搞 不 懂 啥 原 因 ， 雅 虎 邮 箱 i O S 应 用 中 的 X M L 渲 染 机 制 非 常 怪 异 危 险 。 如 果 你 收 到 包 含 以 上 y a h o o - x s s . x m l   附 件 的 多 个 附 件 ， 那 么 ， 即 使 你 打 开 其 它 附 件 的 时 候 ， 这 个   y a h o o - x s s . x m l   触 发 的 存 储 型 X S S 都 会 解 析 跳 出 。 我 匆 匆 忙 忙 地 上 报 了 这 个 漏 洞 ， 以 下 是 雅 虎 安 全 团 队 人 员 在 H a c k e r O n e 上 给 我 的 回 应 ：
到 了 这 步 ， 接 下 来 我 要 做 的 就 是 想 办 法 来 最 大 化 利 用 这 个 漏 洞 ， 看 看 能 对 雅 虎 邮 箱 i O S 应 用 形 成 什 么 比 较 坏 的 安 全 威 胁 和 影 响 。 但 无 奈 我 一 时 半 会 也 没 什 么 头 绪 ， 只 好 先 放 一 放 。 漏 洞 续 报 漏 洞 续 报 后 来 有 一 天 ， 我 突 然 想 到 了 一 种 提 升 漏 洞 利 用 且 安 全 无 害 的 方 法 ， 那 就 是 我 可 以 用 H T T P 请 求 ， 像 “ G E T ” 方 式 一 样 ， 尝 试 对 本 地 A P P 客 户 端 资 源 进 行 获 取 ！ B i n g G o ！ 我 一 试 ， 真 成 了 ！ 我 可 以 用 这 种 方 法 获 取 到 雅 虎 邮 箱 i O S 应 用 的 整 个 缓 存 数 据 ， 其 中 包 括 用 户 c o o k i e 、 通 讯 录 列 表 、 邮 件 内 容 等 等 。 漏 洞 利 用 复 现 漏 洞 利 用 复 现 首 先 ， 在 任 意 雅 虎 邮 箱 网 页 或 客 户 端 中 登 录 你 的 雅 虎 邮 箱 账 户 ， 上 传 一 个 如 下 包 含 如 下 代 码 的 X M L 文 件 ， 然 后 ， 把 它 作 为 附 件 发 送 到 你 的 另 外 一 个 测 试 雅 虎 邮 箱 中 （ 受 害 者 邮 箱 ） 。
在 你 的 雅 虎 测 试 邮 箱 中 打 开 这 个 收 到 的 X M L 附 件 ， 基 于 上 面 我 提 到 的 那 个 “ 怪 异 ” 的 X M L 解 析 原 因 ， 这 里 可 以 想 像 一 种 情 况 ： 当 攻 击 者 向 你 发 送 了 一 个 P P T 文 档 ， 但 在 附 件 中 也 附 加 了 以 上 那 个 可 以 触 发 X S S 的 X M L 文 件 ， 那 么 ， 当 你 打 开 收 到 的 P P T 文 档 时 ， 这 个 X M L 文 件 也 就 会 同 时 触 发 X S S 反 应 。 也 就 是 说 ， 无 论 你 有 多 少 个 附 件 （ 包 括 视 频 附 件 ） ， 只 要 包 含 以 上 那 个 X M L 附 件 ， 你 打 开 其 它 任 何 一 个 附 件 ， 都 会 奇 怪 地 触 发 X M L 文 件 中 X S S 漏 洞 。 利 用 该 漏 洞 ， 构 造 k e y . x m l ， 我 可 以 获 取 受 害 者 邮 箱 中 包 括 发 送 者 、 接 收 者 和 联 系 人 在 内 的 通 讯 录 信 息 。 在 X M L 附 件 代 码 中 ， X S S 漏 洞 会 首 先 显 示 客 户 端 的 浏 览 器 版 本 信 息 ， 然 后 是 定 位 文 件 位 置 ， 再 之 后 是 获 取 邮 件 列 表 信 息 （ 这 里 看 网 速 ， 估 计 需 要 3 0 秒 左 右 的 时 间 ） 。 之 后 ， 点 击 k e y . x m l 的 O K 之 后 ， 邮 件 列 表 信 息 就 通 过 G E T 方 式 回 传 给 攻 击 者 了 ， 像 下 图 这 样 。 我 是 在 内 部 局 域 网 中 做 的 测 试 ， 我 的 S e r v e r 接 收 端 用 n c   - l v v v   8 0 9 0 开 启 了 8 0 9 0 端 口 监 听 ：
利 用 该 漏 洞 ， 构 造 c a c h e d b p o s t . x m l ， 我 可 以 获 取 受 害 者 的 C o o k i e 信 息 。 点 击 c a c h e d b p o s t . x m l 的 O K 之 后 ， 整 个 C a c h e . d b 文 件 就 会 通 过 P O S T 方 式 回 传 给 攻 击 者 ， 如 下 图 所 示 。 我 在 内 部 局 域 网 中 做 的 测 试 ， 我 的 S e r v e r 接 收 端 用 n n c   - l v v v   8 0 9 0   >   y a h o o . d b 命 令 开 启 了 8 0 9 0 端 口 监 听 ， 并 把 C a c h e . d b d 存 储 为 y a h o o . d b ： 收 到 完 整 的 C a c h e . d b 文 件 之 后 ， 我 们 把 其 中 的 标 题 头 内 容 过 滤 ， 用 以 下 命 令 检 索 形 成 完 整 的 受 害 者 c o o k i e 信 息 ： s t r i n g s   y a h o o . d b   |   g r e p   - i   C o o k i e   - A   1 0   - B   5 另 外 ， 还 可 以 按 h t t p 服 务 端 来 进 行 枚 举 ， 形 成 对 特 定 网 站 的 请 求 c o o k i e ： s t r i n g s   y a h o o . d b   |   g r e p   - i   h t t p s 雅 虎 安 全 团 队 工 作 人 员 接 收 到 该 漏 洞 后 ， 迅 速 进 行 了 分 类 、 修 复 和 处 置 。
漏 洞 影 响 漏 洞 影 响 任 何 攻 击 者 可 以 利 用 该 漏 洞 ， 构 造 特 定 的 X M L 文 件 发 送 给 任 何 用 户 ， 进 而 获 取 到 受 害 者 用 户 邮 箱 中 包 括 发 送 者 、 接 收 者 、 C o o k i e 和 联 系 人 在 内 的 敏 感 信 息 。 我 的 测 试 环 境 ： i P h o n e   6   –   i O S   v 1 1 . 2 . 5 . 受 影 响 i O S 客 户 端 版 本 : Y a h o o !   M a i l   a p p   v 4 . X X . X   ( X X X X X ) * 参 考 来 源 ： 参 考 来 源 ： o m e s p i n o ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理