搜索

[13653] 2019-01-15_OAuth授权不当导致的Twitter私信读取漏洞（$2,940）

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2019-01-15_OAuth授权不当导致的Twitter私信读取漏洞（$2,940） O A u t h 授 权 不 当 导 致 的 T w i t t e r 私 信 读 取 漏 洞 （ $ 2 , 9 4 0 ） c l o u d s   F r e e B u f   2 0 1 9 - 0 1 - 1 5 想 像 一 下 这 种 场 景 ， 当 你 初 次 用 想 像 一 下 这 种 场 景 ， 当 你 初 次 用 T w i t t e r 服 务 ， 登 录 其 附 属 或 授 权 的 第 三 方 服 务 ， 登 录 其 附 属 或 授 权 的 第 三 方 a p p 应 用 时 ， 应 用 时 ， T w i t t e r 会 按 惯 例 执 行 会 按 惯 例 执 行 O A u t h 授 权 验 证 ， 如 以 下 这 个 界 面 。 仔 细 查 看 查 看 ， 可 以 看 到 ， 授 权 验 证 ， 如 以 下 这 个 界 面 。 仔 细 查 看 查 看 ， 可 以 看 到 ， T w i t t e r 应 用 会 列 出 在 授 权 登 录 之 后 ， 其 会 进 行 应 用 会 列 出 在 授 权 登 录 之 后 ， 其 会 进 行 （ （ w i l l   b e   a b l e   t o ） 和 不 会 执 行 （ ） 和 不 会 执 行 （ w i l l   n o t   b e   a b l e   t o ） 的 操 作 。 而 在 其 不 会 执 行 的 操 作 中 ， 它 清 楚 地 列 出 了 ： 不 ） 的 操 作 。 而 在 其 不 会 执 行 的 操 作 中 ， 它 清 楚 地 列 出 了 ： 不 会 读 取 用 户 的 推 特 私 信 （ 会 读 取 用 户 的 推 特 私 信 （ D i r e c t   M e s s a g e s ） 。 真 是 这 样 的 吗 ？ ） 。 真 是 这 样 的 吗 ？ 但 实 际 是 ， 如 果 你 点 击   A u t h o r i z e   a p p 之 后 ， 你 的 推 特 私 信 （ D i r e c t   M e s s a g e s ） 将 会 被 T w i t t e r 完 全 读 取 ， 和 你 个 人 相 关 的 私 信 聊 天 内 容 ， 如 性 别 、 段 子 笑 话 、 表 情 包 等 等 将 会 被 T w i t t e r 收 集 得 到 ， 从 而 导 致 个 人 信 息 间 接 泄 露 ， 非 常 悲 剧 ！ 换 句 话 说 ， T w i t t e r 附 属 或 其 第 三 方 a p p 应 用 服 务 ， 是 有 权 限 读 取 用 户 推 特 私 信 （ D i r e c t   M e s s a g e s ） 内 容 的 ， 也 就 是 说 ， 我 们 用 户 完 全 被 T w i t t e r 欺 骗 了 ！ 怎 么 会 像 这 样 呢 ？ 一 起 来 听 听 漏 洞 发 现 者 T e r e n c e   E d e n 的 验 证 和 阐 述 。 漏 洞 原 因 漏 洞 原 因 2 0 1 3 年 ， T w i t t e r 官 方 应 用 a p p 的 用 户 接 入   O A u t h 授 权 A P I   相 关 私 钥 （ k e y ） 和 密 码 ( s e c r e c t ) 遭 到 泄 露 ， 被 人 放 到 了 G i t h u b 上 ， 这 些 A P I 密 钥 信 息 都 用 于 T w i t t e r 官 方 应 用 ， 如 T w i t t e r   f o r   A n d r o i d 、 T w i t t e r   f o r   i P h o n e 、 T w i t t e r   f o r   G o o g l e T V 、 T w e e t D e c k 等 a p p 的 用 户 接 入 授 权 验 证 。 这 种 信 息 泄 露 导 致 的 问 题 就 是 ， 一 些 未 被 T w i t t e r 官 方 认 证 的 第 三 方 a p p 应 用 可 以 用 这 些 密 钥 信 息 实 行 假 冒 ， 接 入 T w i t t e r 官 方 应 用 A P I 。 为 了 防 止 第 三 方 a p p 获 取 这 些 密 钥 并 使 用 它 们 将 用 户 直 接 重 定 向 到 a p p 应 用 中 ， T w i t t e r 作 了   “ c a l l b a c k   a d d r e s s r e s t r i c t i o n s ” （ 回 调 地 址 限 制 ） 的 设 置 ， 也 就 是 说 ， 这 个 回 调 地 址 会 在 a p p 配 置 中 要 求 用 户 输 入 一 个 预 先 设 定 的 U R L 地 址 ， 告 诉 用 户 ， 当 用 户 用 T w i t t e r 账 号 密 码 登 录 a p p 之 后 ， 将 会 被 重 定 向 到 这 个 U R L 链 接 页 面 ， 这 个 U R L 链 接 对 用 户 来 说 ， 相 当 于 登 录 后 的 重 定 向 跳 转 。 另 外 ， T e r e n c e   E d e n 还 强 调 ， 针 对 一 些 用 户 直 接 无 法 访 问 或 嵌 入 w e b 浏 览 器 的 a p p 应 用 ， 像 命 令 行 应 用 、 嵌 入 式 系 统 、 游 戏 控 制 端 或 某 些 类 型 的 移 动 a p p ， T w i t t e r 对 这 些 应 用 的 验 证 授 权 相 对 困 难 ， 为 此 ， T w i t t e r 推 出 了 一 种 替 代 性 的 次 要 解 决 方 案 ， 那 就 是 使 用 P I N 码 验 证 ， 用 户 使 用 T w i t t e r 账 号 密 码 登 录 这 些 应 用 后 ， 跳 出 的 不 是 直 接 的 回 调 页 面 （ c a l l b a c k
u r l , ） ， 而 是 一 个 需 要 进 一 步 验 证 的 7 位 数 P I N 码 。 之 后 ， 用 户 在 其 a p p 应 用 中 输 入 这 个 P I N 码 作 为 o a u t h _ v e r i f i e r ， 之 后 即 可 在 后 台 得 到 一 个 a c c e s s _ t o k e n ， 以 此 继 续 使 用 a p p 。 在 这 个 P I N 验 证 过 程 中 ， T w i t t e r 并 没 有 显 示 出 恰 当 的 验 证 后 权 限 信 息 ， 为 此 可 能 会 对 用 户 造 成 误 导 。 总 结 来 说 ， 漏 洞 发 现 者 T e r e n c e   E d e n 对 该 漏 洞 有 以 下 几 方 面 的 理 解 ： 1 . 2 0 1 3 年 ， 遭 到 泄 露 的 T w i t t e r 官 方 应 用 a p p 用 户 接 入 授 权 A P I 密 钥 信 息 ， 现 在 仍 可 被 利 用 ； 2 . T w i t t e r 官 方 应 用 和 一 些 其 它 第 三 方 应 用 利 用 这 些 授 权 A P I 密 钥 信 息 进 行 O A u t h 授 权 ， 提 示 界 面 明 确 指 出 “ 不 会 读 取 用 户 推 特 私 信 ” ， 但 实 际 上 ， 这 些 应 用 是 能 读 取 到 用 户 的 推 特 私 信 （ D i r e c t   M e s s a g e s ） 内 容 的 ； 3 . 未 经 T w i t t e r 认 证 的 其 它 第 三 方 应 用 ， 在 授 权 接 入 T w i t t e r   A P I 时 ， 会 被 要 求 输 入 一 个 7 位 数 P I N 码 ， 用 户 按 照 指 示 输 入 后 ， 并 未 显 示 完 整 的 T w i t t e r 具 备 权 限 ， 对 用 户 造 成 误 导 。 P o C 针 对 该 漏 洞 的 以 上 理 解 ， T e r e n c e   E d e n 给 出 了 以 下 验 证 性 代 码 ， 并 称 在 点 击 A u t h o r i z e   a p p 授 权 ， 并 输 入 P I N 码 后 ， 能 读 取 并 打 印 出 自 己 的 推 特 私 信 内 容 ： 漏 洞 修 复 和 总 结 漏 洞 修 复 和 总 结 针 对 该 漏 洞 ， 重 点 在 于 以 上 代 码 可 读 取 并 打 印 出 自 己 的 推 特 私 信 内 容 ， 因 此 T w i t t e r 一 开 始 和 T e r e n c e   E d e n 进 行 了 积 极 沟 通 ， 并 认 为 他 们 关 注 的 是 ， 第 三 方 a p p 应 用 程 序 是 否 可 能 在 未 经 用 户 同 意 的 情 况 下 访 问 用 户 数 据 。 另 外 ， T w i t t e r 说 明 ， 其   T w i t t e r   f o r   i O S   和   T w i t t e r   f o r   A n d r o i d   没 有 显 示 用 户 同 意 对 话 框 的 原 因 在 于 ， 因 为 O A u t h 是 一 个 基 本 的 技 术 细 节 ， 而 不 是 一 个 授 权 认 证 会 话 的 批 准 过 程 。 T w i t t e r 还 声 称 ， 他 们 已 经 取 消 T w i t t e r   f o r   G o o g l e   T V   的 应 用 ， 并 将 会 审 查 其 它 第 三 方 a p p 应 用 ， 以 确 定 是 否 有 任 何 a p p 有 可 能 访 问 他 们 未 被 授 权 访 问 的 数 据 。 但 是 ， 最 终 待 漏 洞 完 全 披 露 后 ， T w i t t e r 的 态 度 有 了 转 变 ， 其 在 漏 洞 总 结 中 声 称 ： 漏 洞 上 报 者 所 说 的 使 用 P I N 码 或 非 预 期 O A u t h 流 验 证 机 制 ， 我 们 认 为 并 不 会 对 用 户 造 成 误 导 ， 另 外 ， 我 们 也 不 认 为 用 户 数 据 会 被 T w i t t e r   f o r   i P h o n e   或   T w i t t e r   f o r   G o o g l e   T V   在 未 授 权 情 况 下 读 取 ， 而 且 据 目 前 情 况 来 看 ， 没 有 任 何 T w i t t e r 用 户 因 此 漏 洞 遭 受 个 人 隐 私 信 息 泄 露 。 呵 呵 … … 但 好 在 最 终 该 漏 洞 ， T w i t t e r 还 是 奖 励 了 T e r e n c e   E d e n   $ 2 , 9 4 0 ， 漏 洞 原 因 被 H a c k e r O n e 定 义 为 隐 私 侵 犯 。 T e r e n c e   E d e n 表 示 ， 虽 然 该 漏 洞 很 难 被 攻 击 者 利 用 ， 但 是 ， 这 是 一 种 对 用 户 隐 私 的 欺 骗 和 漠 视 。 尤 其 是 在 现 今 G D P R （ 通 用 数 据 保 护 条 例 ） 的 前 提 下 ， 大 公 司 更 应 该 做 出 良 好 典 范 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 # ! / u s r / b i n / e n v   p y t h o n i m p o r t   t w e e p y #   O f f i c i a l   K e y s c o n s u m e r _ k e y         =   ' I Q K b t A Y l X L r i p L G P W d 0 H U A ' c o n s u m e r _ s e c r e t   =   ' G g D Y l k S v a P x G x C 4 X 8 l i w p U o q K w w r 3 l C A D b z 8 A 7 A D U ' #   S e t   u p   t h e   a u t h o r i s a t i o n a u t h   =   t w e e p y . O A u t h H a n d l e r ( c o n s u m e r _ k e y ,   c o n s u m e r _ s e c r e t ) a u t h . s e c u r e   =   T r u e a u t h _ u r l   =   a u t h . g e t _ a u t h o r i z a t i o n _ u r l ( ) p r i n t   ' V i s i t   t h i s   U R L   a n d   a u t h o r i s e   t h e   a p p   t o   u s e   y o u r   T w i t t e r   a c c o u n t :   '   +   a u t h _ u r l #   T h e   a b o v e   U R L   s a y s   t h a t   t h e r e ' s   n o   a c c e s s   t o   D M s v e r i f i e r   =   r a w _ i n p u t ( ' T y p e   i n   t h e   g e n e r a t e d   P I N :   ' ) . s t r i p ( ) a u t h . g e t _ a c c e s s _ t o k e n ( v e r i f i e r ) #   F u l l   A u t h f u l l _ a u t h   =   t w e e p y . O A u t h H a n d l e r ( c o n s u m e r _ k e y ,   c o n s u m e r _ s e c r e t ) f u l l _ a u t h . s e t _ a c c e s s _ t o k e n ( a u t h . a c c e s s _ t o k e n ,   a u t h . a c c e s s _ t o k e n _ s e c r e t ) a p i   =   t w e e p y . A P I ( f u l l _ a u t h ) #   P r i n t   a l l   t h e   u s e r ' s   D i r e c t   M e s s a g e s p r i n t   a p i . d i r e c t _ m e s s a g e s ( )
2 0 1 8 - 1 1 - 0 6   通 过 H a c k e r O n e 上 报 漏 洞 ； 2 0 1 8 - 1 1 - 0 6   提 供 更 多 技 术 性 说 明 和 P O C 代 码 ； 2 0 1 8 - 1 1 - 1 5   因 美 国 假 期 原 因 ， 漏 洞 披 露 被 推 后 ； 2 0 1 8 - 1 1 - 1 6   T w i t t e r 奖 励 了 $ 2 , 9 4 0 美 金 ； 2 0 1 8 - 1 2 - 0 6   T w i t t e r 修 复 了 漏 洞 ； 2 0 1 8 - 1 2 - 1 4   发 表 这 篇 文 章 。 * 参 考 来 源 ： s h k s p r 、 t h r e a t p o s t 、 h a c k e r o n e ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理