搜索

[13347] 2018-10-26_挖洞经验一个价值$3133.7美金的Google漏洞

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2018-10-26_挖洞经验一个价值$3133.7美金的Google漏洞 挖 洞 经 验   |   一 个 价 值 $ 3 1 3 3 . 7 美 金 的 G o o g l e 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 1 0 - 2 6 在 对 在 对 G o o g l e 的 安 全 研 究 中 ， 由 于 其 云 服 务 平 台 的 安 全 研 究 中 ， 由 于 其 云 服 务 平 台 “ c l o u d . g o o g l e . c o m ”   具 备 多 种 功 能 ， 感 觉 有 点 意 思 ， 所 以 某 天 我 具 备 多 种 功 能 ， 感 觉 有 点 意 思 ， 所 以 某 天 我 决 定 来 深 入 测 试 一 下 它 。 决 定 来 深 入 测 试 一 下 它 。 测 试 开 始 测 试 开 始 测 试 一 开 始 ， 我 就 在 B u r p   P r o x y 中 发 现 了 以 下 这 个 有 趣 的 链 接 请 求 ： h t t p s : / / c l o u d u s e r s e t t i n g s - p a . c l i e n t s 6 . g o o g l e . c o m / b a t c h ? % 2 4 c t = m u l t i p a r t % 2 F m i x e d % 3 B % 2 0 b o u n d a r y % 3 D b a t c h 3 9 2 5 4 1 9 0 9 2 8 5 5 1 0 9 8 5 该 请 求 的 原 始 响 应 消 息 是 一 个 J S O N 格 式 的 4 0 4   N O T   F O U N D 。 但 这 里 的 请 求 内 容 引 起 了 我 的 注 意 ， 首 先 是 ， 和 请 求 的 头 消 息 一 起 ， G E T 请 求 也 被 包 含 在 了 这 个 P O S T 请 求 中 ； 另 外 是 ， 可 以 通 过 主 请 求 U R L 中 的 值 来 对 c o n t e n t - t y p e 进 行 控 制 ； 还 有 ， 可 以 注 意 到 ， 在 P O S T 请 求 的 发 送 内 容 中 ， 包 含 了 一 个 k e y 值 。 思 路 考 虑 思 路 考 虑 我 的 想 法 是 ： 该 请 求 执 行 过 程 ， 服 务 器 “ c l o u d u s e r s e t t i n g s - p a . c l i e n t s 6 . g o o g l e . c o m ”   通 过 P O S T 请 求 内 容 ， 把 G E T 请 求 中 继 转 发 给 了 一 个 中 间 服 务 器 ， 这 个 中 间 服 务 器 可 以 是 一 个 反 向 代 理 或 负 载 均 衡 器 ， 然 后 ， 这 个 中 间 服 务 器 会 以 某 种 方 式 来 解 析 这 个 G E T 请 求 ， 之 后 再 对 其 进 行 处 理 或 将 其 转 发 给 另 一 个 服 务 器 。 中 间 服 务 器 并 不 关 心 原 始 P O S T 请 求 的 h e a d e r 头 信 息 ， 它 只 解 析 包 含 在 P O S T 请 求 中 的 G E T 请 求 h e a d e r 头 信 息 。 总 结 起 来 可 以 概 括 为 以 下 几 点 ：
1 . 我 可 以 控 制 中 间 服 务 器 将 要 处 理 的 h e a d e r 头 信 息 ； 2 . 可 以 通 过 以 下 链 接 中 的 m u l t i p a r t % 2 F m i x e d % 3 B % 2 0 b o u n d a r y % 3 D b a t c h 3 9 2 5 4 1 9 0 9 2 8 5 5 1 0 9 8 5 来 控 制 响 应 内 容 类 型 ： h t t p s : / / c l o u d u s e r s e t t i n g s - p a . c l i e n t s 6 . g o o g l e . c o m / b a t c h ? % 2 4 c t = m u l t i p a r t % 2 F m i x e d % 3 B % 2 0 b o u n d a r y % 3 D b a t c h 3 9 2 5 4 1 9 0 9 2 8 5 5 1 0 9 8 5 3 . 在 请 求 内 容 中 包 含 了 一 个 k e y 和 授 权 头 值 （ a u t h o r i z a t i o n   h e a d e r   v a l u e ） 各 种 测 试 各 种 测 试 为 了 实 现 我 的 这 种 猜 测 ， 我 进 行 了 一 系 列 的 测 试 验 证 ， 上 述 第 2 和 第 3 种 情 况 是 行 不 通 的 ， 但 我 发 现 其 中 的 消 息 是 无 验 证 机 制 的 （ v a l i d a t e d ） ， 只 有 第 1 种 情 况 是 可 以 实 现 。 为 了 实 现 对 P O S T 请 求 内 容 中 的 G E T 请 求 进 行 测 试 ， 我 大 概 实 验 的 方 法 如 下 ： 1 . 在 H O S T 主 机 头 中 尝 试 做 一 些 虚 拟 主 机 名 枚 举 ， 如 d e v 、 l o c a l h o s t 、 p o r t a l 等 都 来 一 遍 ， 借 希 望 从 一 些 曝 露 的 w e b s e r v e r 中 发 现 本 地 的 虚 拟 主 机 名 配 置 信 息 ， 以 此 能 得 到 内 容 网 络 环 境 的 些 许 线 索 。 （ 尝 试 过 后 ， 这 种 方 法 行 不 通 ） 2 . 通 过 把 我 的 I P 地 址 用 以 下 方 式 伪 装 ， 欺 骗 G o o g l e 后 端 服 务 器 ， 试 图 让 其 给 出 响 应 。 （ 但 最 终 ， 这 种 方 法 也 行 不 通 ） X - F o r w a r d e d - F o r :   1 2 7 . 0 . 0 . 1 X - C l i e n t - I P :   1 2 7 . 0 . 0 . 1 C l i e n t - I P :   1 2 7 . 0 . 0 . 1 3 . 促 使 G o o g l e 后 端 服 务 器 发 生 错 误 ， 比 如 ， 向 其 发 送 大 量 的 A A A A A 等 垃 圾 消 息 等 ， 或 是 把 H T T P 协 议 版 本 1 . 1 更 改 为 其 它 、 向 发 送 消 息 中 添 加 随 意 的 h e a d e r 信 息 、 操 纵 利 用 现 有 的 c o n t e n t - t y p e 类 型 等 。 （ 最 终 ， 这 种 方 法 还 是 行 不 通 ） 4 . 看 看 u s e r A g e n t 值 中 是 否 会 出 现 B l i n d   X S S 或 S Q L I 漏 洞 ， 如 果 有 ， 那 就 太 好 了 ！ （ 最 终 ， 这 种 方 法 还 是 行 不 通 ） 5 . 我 也 尝 试 了 对   o r i g i n   h e a d e r   头 进 行 操 纵 ， 希 望 能 从 中 发 现 C O R S 跨 资 源 共 享 的 某 些 错 误 配 置 信 息 ， 但 是 人 家 的 o r i g i n 有 着 很 好 的 安 全 验 证 。 突 出 一 计 突 出 一 计 到 了 这 个 地 步 ， 完 全 没 有 思 路 了 ， 直 到 我 想 到 了 ： 为 什 么 不 直 接 和 G o o g l e 后 端 服 务 器 ， 以 一 种 它 可 以 理 解 的 方 式 进 行 “ 对 话 ” 呢 ？ ！ 这 些 W e b 服 务 器 的 交 流 语 言 就 是 请 求 的 h e a d e r 头 信 息 啊 ， 它 们 只 要 看 到 h e a d e r 头 信 息 ， 就 会 解 析 它 ， 再 然 后 处 理 它 ！ 是 不 是 呢 ？
我 想 ， 能 和 W e b 服 务 器 “ 对 话 ” 的 一 种 h e a d e r 头 信 息 就 是 “ X - H T T P - M e t h o d - O v e r r i d e ” 了 ， 该 头 信 息 可 以 实 现 一 些 奇 妙 的 东 西 ， 比 如 ， 你 可 以 向 服 务 器 端 发 送 G E T 请 求 ， 然 后 服 务 器 会 按 照 你 在 其 中 声 明 的 P U T 、 P O S T 和 D E L E T E 方 法 来 执 行 相 应 处 理 ！ 是 的 ， 尽 管 它 是 一 个 G E T 请 求 中 ， 但 这 种 方 法 也 行 ！ 就 像 下 面 这 样 的 ： G E T   / t e s t . p h p   H T T P / 1 . 1 H o s t :   g o o g l e . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 ;   r v : 4 5 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 5 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , / ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 X - H T T P - M e t h o d - O v e r r i d e :   P U T A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e 一 旦 服 务 器 端 接 收 到 了 上 述 G E T 请 求 之 后 ， 会 对 其 进 行 解 析 ， 然 后 会 发 现 其 中 包 含 了 一 个 方 法 为 P U T 的 X - H T T P - M e t h o d - O v e r r i d e 属 性 ， 这 样 一 来 ， 服 务 器 端 会 有 以 下 反 应 ： “ 这 是 一 个 G E T 请 求 ， 但 是 用 户 希 望 我 把 它 当 成 P U T 命 令 来 执 行 ， 我 知 道 了 ！ ” ， 就 这 样 ， 这 个 G E T 请 求 就 被 服 务 器 当 成 P U T 方 法 来 处 理 了 。 X - H T T P - M e t h o d - O v e r r i d e 属 性 的 这 种 操 作 存 在 原 因 在 于 ， 一 些 中 间 服 务 器 在 其 支 持 的 H T T P 方 法 中 受 到 限 制 ， 如 只 支 持 G E T 和 P O S T ， 但 是 ， 开 发 人 员 有 时 间 会 用 到 比 如 “ P A T C H ,   D E L E T E ,   P U T ” 的 方 法 ， 所 以 ， X - H T T P - M e t h o d - O v e r r i d e 属 性 就 可 以 用 上 了 。 哦 ， 我 曾 经 在 F 5   W A F 流 量 监 控 环 境 ， 在 后 端 服 务 器 启 用 了 w e b d a v 服 务 的 情 况 下 ， 通 过 H T T P   P U T 方 法 触 发 了 某 个 R C E 漏 洞 ， 大 概 思 路 如 下 ：
我 的 B u r p   r e p e a t e r   — - >   W e b 服 务 器 你 好 ， 我 希 望 通 过 P U T 方 法 来 让 你 创 建 一 个 文 件   — - >   F 5   W A F 说 :   这 样 的 话 你 得 先 过 了 我 这 关 ， 而 且 我 只 支 持   G E T 和 P O S T 方 法   — - >   没 戏 ! 我 的 B u r p   r e p e a t e r   — - >   F 5   W A F 你 好 ， 我 知 道 后 端 服 务 器 支 持 P U T 方 法 ， 我 在 发 起 的 G E T 请 求 中 把 X - H T T P - M e t h o d - O v e r r i d e 属 性 更 改 为 了 P U T ， 请 你 把 它 传 递 给 后 端 服 务 器 吧   — - >   F 5   W A F 说 :   哦 ， 好 吧 ， 听 起 来 好 像 是 合 法 的 了 ！   — - >   后 端 服 务 器 :   啊 ,   又 来 了 一 个 要 处 理 的 P U T 请 求 ， 因 为 我 支 持 P U T 方 法 ， 我 懂 你 的 需 求 ， 所 以 ， 你 的 文 件 可 以 成 功 创 建   — - >   成 功 了 ! 测 试 利 用 测 试 利 用 也 就 是 说 ， 在 上 述 环 境 中 ， 在 后 端 服 务 器 启 用 了 w e b d a v 服 务 的 情 况 下 ， 我 通 过 把 X - H T T P - M e t h o d - O v e r r i d e 属 性 更 改 为 P U T 方 法 ， 由 此 触 发 了 一 个 R C E 漏 洞 执 行 。 那 么 ， 这 种 方 法 在 这 里 可 行 吗 ？ ？ 我 满 怀 喜 悦 的 测 试 了 一 把 ， N O ， 没 有 R C E ， 但 却 有 了 一 些 意 外 的 发 现 ！ 由 于 中 间 服 务 器 不 知 道 如 何 解 析 处 理 我 设 置 的 h e a d e r 信 息 ， 所 以 它 抛 出 了 一 大 堆 错 误 消 息 来 ， 但 在 这 些 消 息 中 却 包 含 了 很 多 服 务 器 的 内 部 配 置 消 息 和 敏 感 数 据 ， 如 ： H T T P O n l y   和   S e c u r e   c o o k i e s ； 包 括 S S L 握 手 交 互 、 I P 地 址 、 端 口 等 在 内 的 ， 中 间 服 务 器 与 后 端 服 务 器 之 间 的 所 有 交 流 信 息 ； 一 些 授 权 头 信 息 和 其 它 敏 感 数 据 。 总 结 总 结 还 记 得 之 前 我 提 到 的 第 2 和 第 3 种 情 况 中 消 息 无 验 证 机 制 的 话 吗 ， 基 于 此 ， 可 以 构 造 出 一 种 C S R F 攻 击 来 针 对 G o o g l e 用 户 ， 进 行 反 射 型 X S S 情 况 下 的 信 息 窃 取 。 理 论 上 来 讲 ， 在 X S S 攻 击 场 景 下 ， H T T P O n l y   c o o k i e s 是 相 对 安 全 的 ， 但 是 利 用 这 个 漏 洞 ， 有 可 能 从 被 骗 点 击 恶 意 链 接 的 G o o g l e 用 户 那 里 窃 取 到 H T T P O n l y   c o o k i e s 。 而 且 ， 这 种 攻 击 只 有 在 更 改 X - H T T P - M e t h o d - O v e r r i d e 属 性 方 法 的 前 提 下 来 实 现 。 我 把 这 个 漏 洞 上 报 给 G o o g l e 之 后 ， 其 安 全 团 队 把 该 漏 洞 分 类 为 重 要 的 P 1 级 别 ， 并 迅 速 着 手 修 复 ， 之 后 ， 我 也 很 快 地 收 到 了 G o o g l e 官 方 奖 励 的 3 1 3 3 . 7 美 金 。
* 参 考 来 源 ： 参 考 来 源 ： s e c - d o w n ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理