搜索

[13539] 2018-12-16_挖洞经验Google服务端Referer信息泄露漏洞

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2018-12-16_挖洞经验Google服务端Referer信息泄露漏洞 挖 洞 经 验   |   G o o g l e 服 务 端 R e f e r e r 信 息 泄 露 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 1 2 - 1 6 前 言 前 言 大 家 好 ， 今 天 我 要 来 分 享 的 是 一 个 关 于 大 家 好 ， 今 天 我 要 来 分 享 的 是 一 个 关 于 G o o g l e 的 简 单 漏 洞 ， 该 漏 洞 原 因 在 于 ， 的 简 单 漏 洞 ， 该 漏 洞 原 因 在 于 ， G o o g l e 服 务 端 发 生 网 页 请 求 服 务 端 发 生 网 页 请 求 时 ， 时 ， H T T P   R e f e r e r 报 文 头 中 泄 露 了 用 户 隐 私 和 报 文 头 中 泄 露 了 用 户 隐 私 和 t o k e n 信 息 ， 依 葫 芦 画 瓢 ， 我 发 现 信 息 ， 依 葫 芦 画 瓢 ， 我 发 现 G o o g l e 的 的 4 个 服 务 端 存 在 该 漏 个 服 务 端 存 在 该 漏 洞 ， 最 终 收 获 了 共 洞 ， 最 终 收 获 了 共 $ 4 6 3 3 . 7 美 金 的 赏 金 。 我 们 一 起 来 看 看 。 美 金 的 赏 金 。 我 们 一 起 来 看 看 。 R e f e r r e r   P o l i c y   介 绍 介 绍 H T T P   R e f e r e r ： R e f e r e r 报 文 头 是 网 页 请 求 头 的 一 部 分 ， 当 浏 览 器 向 w e b 服 务 器 发 送 请 求 的 时 候 ， 一 般 会 带 上 R e f e r e r ， 告 诉 服 务 器 我 是 从 哪 个 页 面 链 接 过 来 的 ， 服 务 器 藉 此 可 以 获 得 一 些 信 息 用 于 处 理 。 例 如 在 w w w . s i n a . c o m . c n / s p o r t s / 上 点 击 一 个 链 接 到 达 c c t v . c o m 首 页 ， 那 么 就 r e f e r r e r 就 是 w w w . s i n a . c o m . c n / s p o r t s / 了 。 R e f e r r e r   在 分 析 用 户 来 源 时 很 有 用 ， 有 着 广 泛 的 使 用 ， 如 W e b   A n a l y t i c s 。 但   U R L   可 能 包 含 用 户 敏 感 信 息 ， 如 果 被 第 三 方 网 站 拿 到 很 不 安 全 ， 比 如 有 些 网 站 直 接 将   s e s s i o n i d   或 是   t o k e n   放 在 地 址 栏 里 传 递 的 ， 会 原 样 不 动 地 当 作   R e f e r r e r 报 头 的 内 容 传 递 给 第 三 方 网 站 。 因 此 ， 就 有 了   R e f e r r e r   P o l i c y ， 新 策 略 中 包 含 了 以 下 指 令 值 ： 其 中 ， o r i g i n 和 o r i g i n - w h e n - c r o s s - o r i g i n 指 令 中 ， 规 定 需 要 过 滤 掉 当 前 页 面 的 参 数 及 路 径 部 分 。 所 有 规 定 目 的 都 是 限 制 传 递 用 户 R e f e r r e r 值 ， 以 免 造 成 用 户 隐 私 泄 露 。 漏 洞 漏 洞 1 这 个 漏 洞 是 我 有 一 天 在 课 后 ， 在 阅 读 别 人 写 的 一 篇 G o o g l e   X S S 漏 洞 分 析 文 章 之 后 有 所 启 发 的 ， 其 中 讲 述 了 在 G o o g l e C o l a b 中 存 在 的 一 个 X S S 漏 洞 ， 你 可 以 点 此 阅 读 。 当 时 ， 我 习 惯 性 地 打 开 了 h t t p s : / / c o l a b . r e s e a r c h . g o o g l e . c o m ， 根 本 没 想 着 能 发 现 漏 洞 的 可 能 ， 只 是 在 上 面 胡 乱 点 点 各 个 功 能 按 钮 ， 看 看 它 们 会 产 生 什 么 操 作 。 其 中 有 一 个 功 能 是 这 样 的 ， 它 可 以 从 G i t h u b 中 导 入 项 目 ， 从 这 里 ， 我 嗅 到 一 丝 丝 可 能 ， 于 是 我 就 用 B u r p S u i t e 通 过 请 求 头 方 式 来 测 试 它 的 S S R F ， 不 寻 常 的 是 ， 其 中 的 r e f e r e r 报 文 头 引 起 了 我 的 注 意 。 如 果 G o o g l e   C o l a b 服 务 端 中 不 包 含 任 何 e n u m   R e f e r r e r P o l i c y   {     " " ,     " n o - r e f e r r e r " ,     " n o - r e f e r r e r - w h e n - d o w n g r a d e " ,     " s a m e - o r i g i n " ,     " o r i g i n " ,     " s t r i c t - o r i g i n " ,     " o r i g i n - w h e n - c r o s s - o r i g i n " ,     " s t r i c t - o r i g i n - w h e n - c r o s s - o r i g i n " ,     " u n s a f e - u r l " } ;
用 户 身 份 的 t o k e n 信 息 ， 那 么 它 的 行 为 没 有 异 常 ， 但 是 ， 很 多 的 G o o g l e 服 务 端 产 品 都 具 备 一 个 功 能 ， 那 就 是 通 过 一 个 唯 一 且 可 共 享 的 U R L 链 接 来 分 享 某 个 文 档 ， 那 么 这 种 情 况 下 ， 就 可 能 会 泄 露 用 户 的 R e f e r e r 敏 感 信 息 。 在 如 下 请 求 中 ， 从 G o o g l e   C o l a b 服 务 中 链 接 到 a p i . g i t h u b . c o m 时 ， 就 存 在 R e f e r e r 信 息 泄 露 ： 向 G o o g l e 上 报 之 后 ， 我 获 得 了 他 们 $ 3 1 3 3 . 7 美 金 的 奖 励 ， 但 我 想 ， G o o g l e   C o l a b 不 只 是 存 在 这 个 漏 洞 的 唯 一 服 务 端 吧 ， 这 个 漏 洞 可 能 还 有 其 它 存 在 的 可 能 ， 也 会 对 G o o g l e 用 户 产 生 更 大 的 影 响 ， 所 以 ， 我 又 继 续 做 了 一 波 测 试 。 漏 洞 漏 洞 2 想 到 U R L 中 的 t o k e n 问 题 ， 就 得 来 看 看 Y o u T u b e 的 U n l i s t e d   视 频 了 。 Y o u T u b e 的 分 享 机 制 早 前 主 要 基 于   “ p r i v a t e ”   和 “ p u b l i c ”   两 种 ， 前 者 只 允 许 用 户 指 定 的 好 友 能 访 问 视 频 （ 好 友 必 须 有 Y o u T u b e 帐 号 ） ， 后 者 则 允 许 任 何 人 查 看 ， 视 频 也 会 出 现 在 搜 索 结 果 中 。 而 Y o u t u b e 后 期 推 出 的 U n l i s t e d   视 频 不 会 显 示 在 用 户 公 开 主 页 的 列 表 中 或 者 搜 索 结 果 中 ， 前 提 是 需 要 知 道 视 频 的 U R L 地 址 可 以 访 问 这 个 视 频 。 但 当 我 在 一 个 U n l i s t e d   视 频 评 论 下 发 表 了 一 个 U R L 链 接 之 后 ， 存 在 一 种 Y o u t u b e   r e d i r e c t o r 机 制 把 我 带 入 到 那 个 U R L 链 接 中 去 ， 形 如 h t t p s : / / w w w . y o u t u b e . c o m / r e d i r e c t ? q = h t t p % 3 A % 2 F % 2 F e v i l . c o m ， 而 在 我 困 惑 的 时 候 ， 我 发 现 了 Y o u t u b e 主 页 中 的 G a m i n g 栏 目 ， 点 击 进 去 ， 它 跳 转 到 了 Y o u t u b e 子 域 网 站 h t t p s : / / g a m i n g . y o u t u b e . c o m ， 好 吧 ， 我 来 试 试 看 是 否 存 在 R e f e r e r 信 息 泄 露 。 1 、 随 便 打 开 一 个 视 频 ； 2 、 我 也 懒 得 打 开 B u r p 了 ， 就 在 视 频 评 论 中 复 制 进 入 这 个 链 接 吧 h t t p s : / / w h a t i s m y r e f e r e r . c o m ； （ h t t p s : / / w h a t i s m y r e f e r e r . c o m 网 站 可 以 自 动 读 取 出 跳 转 过 程 中 的 r e f e r e r 信 息 ） 3 、 之 后 ， 打 开 上 述 复 制 进 去 的 h t t p s : / / w h a t i s m y r e f e r e r . c o m 链 接 ， 哇 ， 它 竟 然 泄 露 了 R e f e r e r 的 I D 号 信 息 ！ 上 报 了 这 个 漏 洞 后 ， 我 收 获 了 G o o g l e 官 方 $ 5 0 0 美 金 奖 励 。 漏 洞 漏 洞 3 有 了 以 上 的 发 现 后 ， 我 像 个 野 兽 一 样 按 图 索 骥 地 测 试 G o o g l e 的 各 种 服 务 端 ， 之 后 ， 又 发 现 了 一 个 名 为 G o o g l e   F u s i o n T a b l e s   的 网 站 （ h t t p s : / / f u s i o n t a b l e s . g o o g l e . c o m ） 存 在 此 种 漏 洞 ， 该 网 站 允 许 用 户 在 其 中 插 入 一 个 链 接 ， 我 插 入   h t t p s : / / w h a t i s m y r e f e r e r . c o m 之 后 ， 再 打 开 它 ， 它 又 存 在 R e f e r e r 信 息 泄 露 ， 我 又 在 这 个 漏 洞 上 收 获 了 $ 5 0 0 美 金 。 漏 洞 漏 洞 4 还 记 得 漏 洞 2 的 Y o u t u b e   G a m i n g 吗 ， 之 后 ， 有 一 天 我 在 浏 览 G o o g l e 新 闻 时 发 现 ， Y o u t u b e   G a m i n g 作 了 大 量 改 版 ， 就 连 其 中 的 小 图 标 也 变 了 ， 我 就 想 着 ， 这 种 改 版 会 不 会 忽 视 之 前 的 安 全 问 题 呢 ， 这 一 试 确 实 没 错 ， 之 前 那 个 漏 洞 2 还 仍 然 存 在 ， 又 是 $ 5 0 0 美 金 到 手 ！ 感 谢 G o o g l e 的 漏 洞 奖 励 计 划 （ V u l n e r a b i l i t y   R e w a r d   P r o g r a m ） ， 给 了 我 如 此 多 的 $ ， 谢 谢 ！ G E T   / s e a r c h / r e p o s i t o r i e s ? s o r t = u p d a t e d & o r d e r = d e s c & q = u s e r : n a m e + f o r k : t r u e   H T T P / 1 . 1 H o s t :   a p i . g i t h u b . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 ;   r v : 5 2 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 2 . 0 A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 o r i g i n :   h t t p s : / / c o l a b . r e s e a r c h . g o o g l e . c o m R e f e r e r :   h t t p s : / / c o l a b . r e s e a r c h . g o o g l e . c o m / d r i v e / D N T :   1 B U G   1 C o n n e c t i o n :   c l o s e
* 参 考 来 源 ： t h e s e c u r i t y e x p e r t ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理