搜索

[13486] 2018-12-02_看我如何分析并渗透WebSocket和Socket.io

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2018-12-02_看我如何分析并渗透WebSocket和Socket.io 看 我 如 何 分 析 并 渗 透 W e b S o c k e t 和 S o c k e t . i o C o v f e f e   F r e e B u f   2 0 1 8 - 1 2 - 0 2 W e b s o c k e t 简 介 简 介 W e b S o c k e t 是 一 种 允 许 浏 览 器 和 服 务 器 建 立 单 个 是 一 种 允 许 浏 览 器 和 服 务 器 建 立 单 个 T C P 连 接 然 后 进 行 全 双 工 异 步 通 信 的 技 术 。 由 于 它 允 许 实 时 更 连 接 然 后 进 行 全 双 工 异 步 通 信 的 技 术 。 由 于 它 允 许 实 时 更 新 ， 而 浏 览 器 也 无 需 向 后 台 发 送 数 百 个 新 的 新 ， 而 浏 览 器 也 无 需 向 后 台 发 送 数 百 个 新 的 H T T P   p o l l i n g 请 求 ， 所 以 对 于 请 求 ， 所 以 对 于 w e b 程 序 来 说 ， 程 序 来 说 ， W e b S o c k e t 非 常 流 非 常 流 行 。 这 对 于 测 试 者 来 说 是 不 好 的 ， 因 为 对 行 。 这 对 于 测 试 者 来 说 是 不 好 的 ， 因 为 对 W e b S o c k e t 工 具 的 支 持 不 像 工 具 的 支 持 不 像 H T T P 那 样 普 遍 ， 有 时 候 会 更 加 复 杂 。 那 样 普 遍 ， 有 时 候 会 更 加 复 杂 。 除 了 B u r p S u i t e 之 外 ， 还 有 一 些 其 他 工 具 可 用 于 处 理 W e b S o c k e t 。 不 过 经 过 测 试 ， 它 们 都 不 怎 么 理 想 。 Z e d   A t t a c k   P r o x y   ( Z A P ) P a p p y   P r o x y M a n - i n - t h e - M i d d l e   P r o x y   ( m i t m p r o x y ) W e b S o c k e t / S o c k e t . i o   ( W S S i P ) 如 果 你 对 使 用 W e b s o c k e t 进 行 渗 透 测 试 感 兴 趣 ， 那 么 可 以 查 看 这 篇 文 章 ： h t t p s : / / w w w . b l a c k h i l l s i n f o s e c . c o m / c o m m a n d - a n d - c o n t r o l - w i t h - w e b s o c k e t s - w s c 2 / 而 在 这 篇 文 章 中 主 要 会 讲 s o c k e t . i o ， 它 是 一 个 很 流 行 的 J a v a S c r i p t   W e b S o c k e t s 库 。 在 G i t H u b 上 它 有 多 流 行 呢 ？ — - 已 经 有 超 过 4 1 . 4 的 s t a r 了 。 在 N P M 上 ， 它 在 W e b S o c k e t 中 排 行 第 二 和 第 三 。
另 外 ， O W A S P   J u i c e - S h o p 这 样 非 常 棒 的 项 目 也 使 用 了 s o c k e t . i o 库 ， 所 以 本 篇 文 章 中 将 使 用 w e b s o c k e t . i o 进 行 演 示 。 h t t p s : / / g i t h u b . c o m / b k i m m i n i c h / j u i c e - s h o p / s e a r c h ? u t f 8 = % E 2 % 9 C % 9 3 & q = s o c k e t . i o & t y p e = 在 本 文 中 ， 我 们 假 设 你 已 经 熟 悉 使 用 B u r p S u i t e 测 试 W e b 应 用 程 序 ， 所 涵 盖 的 所 有 内 容 都 可 以 在 其 社 区 版 本 中 完 成 。 不 用 多 说 ， 现 在 开 始 吧 。 如 果 我 们 在 浏 览 器 中 访 问 J u i c e - S h o p ， 则 可 以 在 后 台 快 速 查 看 W e b S o c k e t 流 量 。 你 也 可 以 在 B u r p S u i t e 中 通 过 P r o x y - > W e b S o c k e t s 历 史 记 录 找 到 。 由 于 协 议 的 无 状 态 特 性 ， H T T P 需 要 始 终 发 送 请 求 / 响 应 对 ， 而 W e b S o c k e t 是 一 种 有 状 态 协 议 。 这 意 味 着 你 可 以 从 服 务 器 获 得 任 意 数 量 的 传 出 “ 请 求 ” 和 任 意 数 量 的 传 入 “ 响 应 ” 。 由 于 底 层 连 接 是 保 持 打 开 的 T C P ， 因 此 客 户 端 和 服 务 器 可 以 随 时 发 送 消 息 而 无 需 等 待 对 方 。 这 就 是 为 什 么 W e b S o c k e t 历 史 记 录 与 你 习 惯 查 看 的 H T T P 历 史 记 录 存 在 差 异 。
在 此 界 面 中 ， 你 可 以 看 到 发 送 和 接 收 的 单 字 节 消 息 。 但 是 ， 当 应 用 程 序 执 行 一 些 有 趣 的 操 作 时 ， 你 就 可 以 看 到 具 有 更 大 负 载 的 消 息 。 B u r p S u i t e 具 有 测 试 W e b S o c k e t s 的 能 力 ， 你 可 以 实 时 进 行 拦 截 和 修 改 ， 但 W e b S o c k e t 没 有 R e p e a t e r ， S c a n n e r 或 I n t r u d e r 功 能 。 默 认 情 况 下 ， 如 果 要 在 B u r p S u i t e 中 启 用 W e b S o c k e t 拦 截 ， 你 只 需 要 打 开 主 拦 截 就 好 了 。
这 样 一 来 ， 你 就 可 以 通 过 与 H T T P 相 同 的 方 式 获 取 所 截 获 的 W e b S o c k e t 消 息 。 同 时 也 可 以 在 拦 截 窗 口 中 编 辑 它 们 。
在 W e b S o c k e t s 历 史 记 录 选 项 卡 中 可 以 查 看 已 编 辑 的 消 息 。 将 将 W e b S o c k e t 降 级 为 降 级 为 H T T P 方 法 一 ： 使 用 方 法 一 ： 使 用 S o c k e t . i o 的 的 H T T P 回 退 机 制 回 退 机 制 一 个 非 常 奇 怪 的 点 是 ， 有 时 在 H T T P 历 史 记 录 中 也 能 看 到 类 似 W e b s o c k e t 历 史 记 录 中 的 消 息 ， 回 想 一 下 ， 这 些 比 较 有 趣 的 W e b S o c k e t 消 息 需 要 解 决 记 分 板 相 关 问 题 ， 下 图 显 示 了 来 自 服 务 器 的 相 同 响 应 ， 但 这 次 是 在 H T T P 历 史 记 录 中 。 由 此 可 以 看 出 s o c k e t . i o 能 够 通 过 W e b S o c k e t 或 H T T P 发 送 消 息 。 在 所 观 察 的 请 求 中 ， 传 递 的 参 数 值 有 些 为 “ w e b s o c k e t s ” ， 而 有 些 则 是 “ p o l l i n g ” 。 那 么 据 推 测 ， 可 能 为 了 防 止 W e b S o c k e t s 在 应 用 程 序 中 不 受 支 持 或 被 阻 止 ， 才 允 许 使 用 H T T P 。 s o c k e t . i o 文 档 中 解 释 了 “ p o l l i n g ” 和 “ w e b s o c k e t s ” 如 何 作 为 两 个 默 认 传 输 选 项 。 它 还 介 绍 了 如 何 通 过 将 W e b S o c k e t s 指 定 为 唯 一 传 输 方 式 来 禁 用 p o l l i n g 。 我 认 为 反 过 来 也 是 如 此 ， 我 可 以 指 定 p o l l i n g 作 为 唯 一 的 传 输 机 制 。 h t t p s : / / s o c k e t . i o / d o c s / c l i e n t - a p i / # w i t h - W e b S o c k e t - t r a n s p o r t - o n l y 通 过 搜 索 s o c k e t . i o . j s 源 代 码 ， 我 找 到 了 以 下 内 容 ： t h i s . t r a n s p o r t s = n . t r a n s p o r t s | | [ " p o l l i n g " , " W e b S o c k e t " ]
这 行 代 码 会 将 一 个 名 为 t r a n s p o r t s 的 内 部 变 量 设 置 为 传 入 的 值 ， 如 果 传 入 的 值 为 f a l s e / e m p t y ， 则 为 默 认 的 [ “ p o l l i n g ” ， “ w e b s o c k e t ” ] 。 这 很 符 合 我 们 对 p o l l i n g 和 W e b S o c k e t 的 默 认 传 输 的 推 测 。 现 在 通 过 B u r p 中 的 P r o x y - > O p t i o n s 下 设 置 匹 配 并 替 换 规 则 来 更 改 这 些 默 认 值 ， 看 看 会 发 生 什 么 。 成 功 了 ！ 添 加 规 则 后 ， 刷 新 页 面 （ 需 要 启 用 B u r p 的 内 置 规 则 “ R e q u i r e   n o n - c a c h e d   r e s p o n s e ” 或 执 行 强 制 刷 新 ） ， 数 据 不 再 通 过 W e b S o c k e t s 进 行 通 信 。 进 展 不 小 ， 但 是 如 果 使 用 的 应 用 程 序 已 经 提 供 了 优 先 于 我 们 的 新 默 认 值 的 传 输 选 项 呢 ？ 在 这 种 情 况 下 ， 我 们 可 以 修 改 匹 配 和 替 换 规 则 。 以 下 规 则 应 适 用 于 s o c k e t . i o 库 的 不 同 版 本 ， 并 忽 略 应 用 程 序 开 发 人 员 所 指 定 的 任 何 传 输 方 式 。 以 下 是 要 使 用 的 字 符 串 ， 务 必 将 其 设 置 为 正 则 表 达 式 匹 配 ： 方 法 二 ： 中 止 方 法 二 ： 中 止 W e b s o c k e t 升 级 升 级 t h i s . t r a n s p o r t s = . * ? . t r a n s p o r t s | | [ " p o l l i n g " , " w e b s o c k e t " ] t h i s . t r a n s p o r t s = [ " p o l l i n g " ]
方 法 一 只 能 用 于 于 s o c k e t . i o ， 可 能 会 扩 展 到 其 他 客 户 端 库 。 但 是 ， 以 下 方 法 应 该 更 加 通 用 ， 因 为 它 以 W e b S o c k e t s 协 议 本 身 为 目 标 。 经 过 分 析 ， 我 发 现 W e b S o c k e t s 首 先 通 过 H T T P 进 行 通 信 ， 以 便 与 服 务 器 协 商 并 “ 升 级 ” 为 W e b S o c k e t 。 其 中 重 要 的 部 分 是 ： 1 ） 客 户 端 通 过 一 些 W e b S o c k e t 特 定 h e a d e r 发 送 升 级 请 求 。 2 ） 服 务 器 响 应 状 态 码 为 1 0 1   S w i t c h i n g   P r o t o c o l s ， 以 及 W e b S o c k e t   h e a d e r 。 3 ） 通 信 转 换 到 W e b S o c k e t ， 此 特 定 会 话 不 再 使 用 H T T P 。 W e b S o c k e t s   R F C 文 档 第 4 . 1 节 提 供 了 有 关 如 何 中 断 此 工 作 流 的 各 种 信 息 ， 以 下 是 h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 6 4 5 5 # s e c t i o n - 4 . 1 的 摘 录 ， 并 附 加 了 观 点 。 1 . 如 果 从 服 务 器 收 到 的 状 态 码 不 是 1 0 1 ， 则 客 户 端 响 应 H T T P [ R F C 2 6 1 6 ] 。 特 别 情 况 下 ， 收 到 4 0 1 状 态 码 时 ， 客 户 端 可 能 会 执 行 身 份 验 证 ； 服 务 器 也 可 能 会 通 过 3 x x 状 态 码 重 定 向 客 户 端 （ 但 客 户 不 需 要 遵 循 ） 等 。 否 则 按 以 下 步 骤 进 行 。 2 . 如 果 响 应 缺 少 U p g r a d e   h e a d e r ， 或 U p g r a d e   h e a d e r 包 含 的 值 与 “ W e b S o c k e t ” 的 A S C I I 不 匹 配 ， 则 客 户 端 必 须 关 闭 W e b S o c k e t 连 接 。 3 . 如 果 响 应 缺 少 C o n n e c t i o n   h e a d e r ， 或 C o n n e c t i o n   h e a d e r 包 含 的 值 与 “ W e b S o c k e t ” 的 A S C I I 不 匹 配 ， 则 客 户 端
必 须 关 闭 W e b S o c k e t 连 接 。 4 . 如 果 响 应 缺 少 S e c - W e b S o c k e t - A c c e p t   h e a d e r ， 或 S e c - W e b S o c k e t - A c c e p t   h e a d e r 的 值 并 非 是 由 S e c - W e b S o c k e t - K e y （ 作 为 字 符 串 ， 未 经 b a s e 6 4 解 码 ） 与 字 符 串 ” 2 5 8 E A F A 5 - E 9 1 4 - 4 7 D A - 9 5 C A - C 5 A B 0 D C 8 5 B 1 1 ” 串 联 起 来 的 字 符 串 （ 忽 略 任 何 前 导 和 尾 随 空 格 ） 的 b a s e 6 4 编 码 后 的 S H A - 1 值 的 话 ， 则 客 户 端 必 须 关 闭 W e b S o c k e t 连 接 。 5 . 如 果 响 应 中 包 括 S e c - W e b S o c k e t - E x t e n s i o n s   h e a d e r ， 并 且 h e a d e r 要 求 使 用 的 扩 展 并 没 有 出 现 在 客 户 端 的 握 手 消 息 中 （ 服 务 器 指 示 的 扩 展 并 非 是 客 户 端 所 请 求 的 ） ， 则 客 户 端 必 须 关 闭 W e b S o c k e t 连 接 。 （ 解 析 h e a d e r 以 确 定 请 求 哪 些 扩 展 的 问 题 ， 将 在 第 9 . 1 节 中 讨 论 ） 考 虑 到 这 些 “ 连 接 必 定 被 关 闭 ” 的 条 件 ， 我 想 出 了 以 下 一 套 替 换 规 则 ， 这 些 规 则 应 该 包 含 了 所 有 五 个 的 失 败 条 件 。 一 旦 使 用 这 些 规 则 ， 所 有 W e b S o c k e t 升 级 请 求 都 会 失 败 。 由 于 s o c k e t . i o 默 认 情 况 下 无 法 使 用 H T T P ， 因 此 已 经 达 到 所 需 的 效 果 。 其 他 库 的 表 现 可 能 不 同 ， 并 导 致 你 正 在 测 试 的 应 用 程 序 出 错 。 但 我 们 的 工 作 就 是 让 软 件 做 一 些 不 应 该 做 的 事 情 ！ 原 始 响 应 看 起 来 像 这 样 ， 并 且 会 使 客 户 端 和 服 务 器 转 换 到 W e b S o c k e t 进 行 通 信 。 相 反 ， 客 户 端 从 服 务 器 收 到 此 修 改 后 的 响 应 ， 会 关 闭 W e b S o c k e t 连 接 。
我 在 测 试 中 遇 到 的 一 件 事 是 ， 在 将 这 些 匹 配 和 替 换 规 则 加 入 后 ， 客 户 端 在 重 试 W e b S o c k e t 连 接 时 非 常 持 久 ， 并 在 我 的 H T T P 历 史 记 录 中 引 起 了 大 量 不 必 要 的 流 量 。 如 果 你 正 在 处 理 s o c k e t . i o 库 ， 则 最 简 单 的 方 法 是 使 用 上 面 的 方 法 1 。 如 果 你 有 不 同 的 库 或 其 他 情 况 ， 则 可 能 需 要 添 加 更 多 规 则 来 使 客 户 端 服 务 器 不 支 持 W e b S o c k e t 。 将 将 B u r p   R e p e a t e r 作 为 作 为 S o c k e t . i o 客 户 端 客 户 端 由 于 我 们 强 制 通 过 H T T P 而 非 W e b S o c k e t s 进 行 通 信 ， 所 以 现 在 可 以 添 加 自 定 义 匹 配 并 替 换 将 应 用 于 已 经 通 过 W e b S o c k e t s 流 量 的 规 则 ！ 接 下 来 ， 可 以 使 用 R e p e a t e r ， I n t r u d e r 和 S c a n n e r 等 工 具 ， 这 些 更 改 将 特 定 于 s o c k e t . i o 库 。 不 过 现 在 还 有 两 个 问 题 ： 1 . 每 个 请 求 都 有 一 个 会 话 号 ， 任 何 无 效 请 求 都 将 导 致 服 务 器 终 止 该 会 话 2 . 每 个 请 求 的 主 体 都 有 一 个 计 算 字 段 ， 表 示 消 息 的 长 度 。 如 果 这 不 正 确 ， 服 务 器 会 将 其 视 为 无 效 请 求 并 终 止 会 话 。 以 下 是 应 用 程 序 中 使 用 的 几 个 示 例 U R L 。 U R L 中 的 “ s i d ” 参 数 表 示 到 服 务 器 的 单 个 连 接 流 。 如 果 发 送 了 无 效 消 息 （ 在 尝 试 破 解 时 很 常 见 ） ， 那 么 服 务 器 将 关 闭 整 个 会 话 ， 之 后 必 须 重 新 开 始 新 会 话 。 给 定 请 求 的 主 体 中 含 有 一 个 字 段 ， 其 中 存 放 有 效 载 荷 的 字 节 数 。 这 类 似 于 “ C o n t e n t - L e n g t h ” H T T P   h e a d e r ， 只 不 过 该 字 段 的 值 近 针 对 s o c k e t . i o 。 例 如 ， 如 果 你 要 发 送 的 有 效 载 荷 是 “ h e l l o ” ， 那 么 ， 相 应 的 主 体 将 是 “ 5 ： h e l l o ” ， C o n t e n t - L e n g t h 头 部 的 值 是 7 。 其 中 ， 5 表 示 字 符 串 “ h e l l o ” 中 的 字 母 数 量 ， 而 7 则 表 示 字 符 串 “ h e l l o ” 中 的 字 母 数 量 以 及 s o c k e t . i o 添 加 到 主 体 内 的 字 符 串 “ 5 ： ” 中 的 字 母 数 量 之 和 。 与 往 常 一 样 ， B u r p 将 替 我 们 更 新 C o n t e n t - L e n g t h 头 部 ， 因 此 ， 这 件 事 情 我 们 无 需 担 心 。 但 是 ， 我 还 没 有 找 到 能 够 自 动 计 算 和 包 含 有 效 载 荷 长 度 的 好 方 法 。 更 让 人 头 疼 的 是 ， 我 发 现 s o c k e t . i o 竟 然 会 在 同 一 个 H T T P 请 求 中 发 送 多 条 消 息 。 由 于 每 个 消 息 都 是 一 个 封 装 后 的 W e b S o c k e t 有 效 载 荷 ， 并 且 每 个 消 息 都 有 自 己 的 长 度 ， 因 此 ， 最 终 看 起 来 就 像 这 样 ： “ 5 : h e l l o , 4 : j o h n , 3 : d o e ” （ 实 际 的 语 法 可 能 有 所 不 同 ， 这 里 只 是 便 于 演 示 ） 。 计 算 长 度 时 一 旦 出 错 ， 服 务 器 就 会 将 其 作 为 无 效 消 息 拒 绝 ， 这 样 ， 我 们 就 要 重 新 开 始 了 。 这 是 b o d y 的 示 例 。 这 是 J u i c e - S h o p 应 用 程 序 中 的 响 应 ， 请 求 的 格 式 相 同 。 注 意 ， 这 里 的 “ 2 1 5 ” 表 示 “ ： ” 之 后 的 有 效 载 荷 的 长 度 。 宏 宏 使 用 B u r p 宏 能 解 决 第 一 个 问 题 。 基 本 上 ， 每 次 B u r p 在 服 务 器 拒 绝 消 息 时 匹 配 ， 宏 将 自 动 建 立 新 会 话 并 用 有 效 的 “ s i d ” 更 新 原 始 请 求 。 通 过 转 到 o p t i o n s - > S e s s i o n s - > M a c r o s - > A d d 来 创 建 新 宏 。 建 立 新 会 话 的 U R L 只 需 省 略 “ s i d ” 参 数 。 例 如 ： / s o c k e t . i o / ? E I O = 3 & t r a n s p o r t = p o l l i n g & t = M J J R 2 d r / s o c k e t . i o / ? E I O = 3 & t r a n s p o r t = p o l l i n g & t = M J J Z b U a & s i d = i U T y k e Q Q u m x F J g E J A A B L 2 1 5 : 4 2 [ “ c h a l l e n g e   s o l v e d ” , { “ k e y ” : ” z e r o S t a r s C h a l l e n g e ” , ” n a m e ” : ” Z e r o   S t a r s ” , ” c h a l l e n g e ” : ” Z e r o   S t a r s   ( G i v e   a   d e v a s t a t i n g   z e r o - s t a r   f e e d b a c k   t o   t h e   s t o r e . ) ” , ” f l a g ” : ” e 9 5 8 5 6 9 c 4 a 1 2 e 3 b 9 7 f 3 8 b d 0 5 c a c 3 f 0 e 5 a 1 b 1 7 1 4 2 ″ , ” h i d d e n ” : f a l s e } ] / s o c k e t . i o / ? E I O = 3 & t r a n s p o r t = p o l l i n g & t = M J J J 4 K u
服 务 器 响 应 包 含 一 个 全 新 的 “ s i d ” 值 以 供 使 用 。 接 下 来 ， 单 击 “ C o n f i g u r e   i t e m ” 按 钮 ， 并 将 参 数 名 称 命 名 为 “ s i d ” 。 然 后 ， 选 择 “ E x t r a c t   f r o m   r e g e x   g r o u p ” 选 项 ， 并 使 用 如 下 所 示 的 正 则 表 达 式 。 " s i d " : " ( . * ? ) "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理