搜索

[13728] 2019-02-03_印度餐饮点评网Zomato的ReflectedXSS漏洞

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2019-02-03_印度餐饮点评网Zomato的ReflectedXSS漏洞 印 度 餐 饮 点 评 网 Z o m a t o 的 R e f l e c t e d   X S S 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 2 - 0 3 大 家 好 ， 今 天 要 分 享 的 是 印 度 美 食 搜 索 点 评 网 站 大 家 好 ， 今 天 要 分 享 的 是 印 度 美 食 搜 索 点 评 网 站 Z o m a t o 的 一 个 反 射 型 的 一 个 反 射 型 X S S 漏 洞 （ 漏 洞 （ $ 2 5 0 ） ， 文 中 作 者 详 细 描 述 了 具 体 的 漏 洞 发 现 过 程 。 漏 洞 虽 然 简 单 ， 国 内 厂 ） ， 文 中 作 者 详 细 描 述 了 具 体 的 漏 洞 发 现 过 程 。 漏 洞 虽 然 简 单 ， 国 内 厂 商 也 可 能 几 乎 没 啥 赏 金 ， 但 也 可 学 习 学 习 ， 参 考 借 鉴 。 商 也 可 能 几 乎 没 啥 赏 金 ， 但 也 可 学 习 学 习 ， 参 考 借 鉴 。 漏 洞 发 现 漏 洞 发 现 最 近 我 在 读 《 M a s t e r i n g   M o d e r n   W e b   P e n e t r a t i o n   T e s t i n g 》 （ 精 通 流 行 W e b 渗 透 测 试 技 术 ） 这 本 书 ， 书 中 提 到 了 h t t p s : / / w w w . w o l f r a m a l p h a . c o m / 这 个 网 站 ， 可 以 用 它 来 进 行 子 域 名 枚 举 ， 效 果 还 不 错 。 于 是 ， 我 就 想 找 个 目 标 上 手 试 试 ， 所 以 我 就 在 其 搜 索 栏 中 输 入 了 z o m a t o . c o m ， 之 后 ， 枚 举 结 果 中 返 回 了 1 0 多 个 子 域 名 信 息 。 而 且 ， 结 果 中 还 会 返 回 各 个 子 域 名 的 日 均 访 问 量 ， 这 个 选 项 对 发 现 一 些 偏 门 网 站 还 是 有 用 的 。 基 于 此 ， 返 回 结 果 中 最 后 一 个 子 域 名 s e c r e t x . z o m a t o . c o m 引 起 了 我 的 注 意 ， 因 为 它 的 日 均 访 问 量 才 4 0 0 ， 是 所 有 子 域 名 中 最 少 的 。 我 在 浏 览 器 中 打 开 了 s e c r e t x . z o m a t o . c o m ,   跳 出 来 一 个 按 钮   - “ s i g n   i n   w i t h   Z o m a t o ” ， 我 看 了 看 源 码 ， 也 没 什 么 特 别 的 。 我 点 击 按 钮 ， 它 就 跳 转 到 了 z o m a t o . c o m ， 随 后 ， 又 跳 出 来 一 个 显 示 框 ， 它 上 面 提 示 “ S e c r e t X   C l i e n t   w a n t s   t o   a c c e s s   y o u   Z o m a t o   A c c o u n t .   A c c e p t   o r   R e c j e c t ” 。 哦 ， 有 点 意 思 。 所 以 ， 我 又 立 即 回 到 网 站 s e c r e t x . z o m a t o . c o m 中 仔 细 查 看 源 码 ， 从 中 我 发 现 了 以 下 U R L 链 接 ： h t t p s : / / a u t h 2 . z o m a t o . c o m / o a u t h 2 / a u t h ? r e s p o n s e t y p e = c o d e & c l i e n t i d = 8 0 b 3 9 9 1 8 - 9 0 b e - 4 9 d 2 - a c 5 2 - 4 a 8 b 1 a 2 5 b c f 1 & r e d i r e c t u r i = h t t p s % 3 A % 2 F % 2 F s e c r e t x . z o m a t o . c o m % 2 F u s e r % 2 F o a u t h 2 % 2 F r e d i r e c t u r i & s t a t e = 2 B H o B n V F F K P 2 9 L 6 S e r H g E b 7 O C n B D P O 当 点 击 S i g n   i n   w i t h   Z o m a t o 的 按 钮 之 后 ， 以 上 U R L 链 接 就 会 被 加 载 。 接 下 来 ， 我 在 上 述 U R L 参 数 中 添 加 了 一 些 授 权 验 证 的 填 充 值 ， 看 看 是 否 能 引 起 一 些 错 误 响 应 ， 果 然 ： 填 充 进 去 的 参 数 值 竟 然 都 能 在 响 应 页 面 中 有 所 显 示 ， 如 e r r o r = x s s ， e r r o r d e s c r i p t i o n = x s s s y ， e r r o r h i n t = x s s 等 ， 这 下 我 接 着 来 检 查   <   和   >   是 否 被 过 滤 掉 ， 结 果 是 ： N O ！ 构 造 构 造 P a y l o a d 有 了 这 些 发 现 ， 我 就 想 构 造 X S S 攻 击 ， 但 可 能 由 于 服 务 端 部 署 了 W A F ， 所 以 总 是 不 起 效 。 在 这 个 阶 段 ， 我 花 了 好 多 时 间 ， 最 终 也 没 啥 效 果 。 之 后 ， 我 就 在 一 些 漏 洞 报 告 中 寻 找 绕 过 W A F 的 技 巧 ， 并 一 个 个 P a y l o a d 地 进 行 尝 试 。 最 终 ， 终 于 有 一 个 P a y l o a d 可 用 了 ： 但 因 为 a l e r t ( ) 、 c o n f i r m ( ) 、 p r o m p t ( ) 这 些 形 式 都 被 服 务 端 的 W A F 过 滤 阻 拦 了 ， 所 以 连 D O M 信 息 也 获 取 不 到 。 后 来 我 还 试 了 P a y l o a d 的 U R L 编 码 ， 但 也 没 成 功 。 时 间 马 上 就 是 凌 晨 3 点 半 了 ， 为 了 第 二 天 上 课 不 迟 到 ， 我 想 洗 洗 睡 了 。 好 在 我 还 有 点 精 神 ， 提 提 神 后 ， 我 继 续 找 很 多 文 章 博 客 进 行 参 考 ， 之 后 我 突 然 想 到 S o m d e v 之 前 发 布 的 一 个 X S S     C h e a t s h e e t -   h t t p s : / / g i t h u b . c o m / s 0 m d 3 v / A w e s o m e X S S ， 其 中 提 到 用 c o u 0 0 6 e f i r m ( ) 来 代 替 c o n f i r m ( ) ， 构 造 P a y l o a d 实 现 绕 过 ： 经 过 u n i c o d e 字 符 编 码 ， 这 一 试 竟 然 可 以 ！ 可 以 获 取 到 服 务 端 的 D O M 元 素 信 息 了 ： 上 报 了 漏 洞 之 后 ， 我 就 一 头 睡 过 去 了 ， 第 二 天 醒 来 手 机 信 息 提 示 ： “ Z o m a t o   h a s   r e w a r d e d   y o u   2 5 0 $ ” 。 P o C 存 在 X S S 漏 洞 的 U R L 链 接 ： h t t p s : / / a u t h 2 . z o m a t o . c o m / o a u t h 2 / f a l l b a c k s / e r r o r ? e r r o r = x s s & e r r o r d e s c r i p t i o n = x s s & e r r o r h i n t = x s s 存 在 漏 洞 的 参 数 ： 所 有 参 数 X S S   P a y l o a d :   P o C   U R L : h t t p s : / / a u t h 2 . z o m a t o . c o m / o a u t h 2 / f a l l b a c k s / e r r o r ? e r r o r = x s s & e r r o r d e s c r i p t i o n = x s s s y & e r r o r h i n t = % 3 C m a r q u e e % 2 0 l o o p % 3 d 1 % 2 0 w i d t h % 3 d 0 % 2 0 o n f i n i s h % 3 d c o u 0 0 6 e f i r m ( d o c u m e n t . c o o k i e ) % 3 E X S S % 3 C % 2 f m a r q u e e % 3 E 视 频 视 频 < m a r q u e e   l o o p = 1   w i d t h = 0   o n f i n i s h = a l e r t ` 1 ` > X S S < / m a r q u e e > c o u 0 0 6 e f i r m ( ) < m a r q u e e   l o o p % 3 d 1   w i d t h % 3 d 0   o n f i n i s h % 3 d c o u 0 0 6 e f i r m ( d o c u m e n t . c o o k i e ) > X S S < % 2 f m a r q u e e >
看 不 到 ？ 点 这 里 漏 洞 原 因 漏 洞 原 因 在 漏 洞 报 送 进 程 中 ， Z o m a t o 漏 洞 分 类 负 责 人 P r a t e e k   T i w a r i   告 诉 我 ， 漏 洞 出 在 了 Z o m a t o 采 用 的 开 放 授 权 验 证 提 供 商 H y d r a 身 上 ， 为 了 表 示 感 谢 ， H y d r a 还 把 我 加 入 了 新 版 本 的 发 行 致 谢 名 单 中 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理