搜索

[13920] 2019-03-28_一次对GitHubWiki页面的把玩测试

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-03-28_一次对GitHubWiki页面的把玩测试 一 次 对 G i t H u b   W i k i 页 面 的 把 玩 测 试 c l o u d s   F r e e B u f   2 0 1 9 - 0 3 - 2 8 在 做 漏 洞 众 测 的 时 候 ， 漏 洞 的 定 义 其 实 是 非 常 广 泛 的 ， 就 看 你 如 何 来 看 待 它 了 ， 所 以 当 目 标 项 目 相 关 的 某 项 新 在 做 漏 洞 众 测 的 时 候 ， 漏 洞 的 定 义 其 实 是 非 常 广 泛 的 ， 就 看 你 如 何 来 看 待 它 了 ， 所 以 当 目 标 项 目 相 关 的 某 项 新 功 能 新 特 点 出 现 时 ， 你 可 以 仔 细 研 究 ， 结 合 实 际 进 行 一 些 安 全 分 析 。 本 文 中 ， 作 者 就 针 对 功 能 新 特 点 出 现 时 ， 你 可 以 仔 细 研 究 ， 结 合 实 际 进 行 一 些 安 全 分 析 。 本 文 中 ， 作 者 就 针 对 G i t H u b   R e p o s i t o r y W i k i   P a g e s 页 面 做 了 一 次 类 似 的 综 合 分 析 ， 综 合 形 成 了 漏 洞 隐 患 进 行 了 上 报 。 页 面 做 了 一 次 类 似 的 综 合 分 析 ， 综 合 形 成 了 漏 洞 隐 患 进 行 了 上 报 。 G i t H u b   R e p o s i t o r y   W i k i   P a g e s 介 绍 介 绍 依 照   W i k i   的 定 义 ， 它 是 一 种 可 以 多 人 共 同 编 辑 的 网 页 ， 每 个 人 都 可 以 在 上 面 任 意 的 修 改 页 面 数 据 ， 像 百 度 百 科 和 维 基 百 科 一 样 。 G i t H u b 也 有 W i k i 页 面 ？ 是 的 。 G i t H u b   用 户 创 建 每 一 个 项 目 都 有 一 个 独 立 完 整 的   W i k i   页 面 ， 我 们 可 以 用 它 来 实 现 项 目 信 息 管 理 ， 为 项 目 提 供 更 加 完 善 的 文 档 。 我 们 可 以 把   W i k i   作 为 项 目 文 档 的 一 个 重 要 组 成 部 分 ， 将 冗 长 、 具 体 的 文 档 整 理 成   W i k i ， 将 精 简 概 述 性 的 内 容 ， 放 到 项 目 中 或 是   R E A D M E . m d   里 。 G i t H u b   的   W i k i   页 面 在 如 图 所 示 选 项 卡 下 ， 默 认 应 该 是 开 启 的 ， 而 且 新 建 时 是 空 的 ， 我 们 可 以 点 击 中 间 那 个 绿 色 的 C r e a t e   t h e   f i r s t   p a g e   按 钮 创 建 一 个 页 面 。 安 全 隐 患 安 全 隐 患
从 G i t H u b   W i k i 页 面 的 上 述 描 述 中 ， 我 们 可 以 发 现 问 题 所 在 ： 只 要 拥 有 G i t h u b 账 户 的 人 ， 都 可 以 对 那 些 开 启 W i k i 页 面 的 项 目 ， 进 行 W i k i   页 面 的 任 意 创 建 编 辑 。 如 下 ： 现 实 是 ， 一 些 大 公 司 的 开 发 人 员 或 工 程 师 们 可 能 根 本 不 会 在 意 这 个 默 认 设 置 ， 那 么 ， 这 些 大 公 司 项 目 的 W i k i 页 面 就 能 被 任 意 G i t h u b 用 户 进 行 任 意 编 辑 修 改 了 ， 不 是 吗 ？ 这 难 道 不 是 一 个 安 全 问 题 吗 ？ 当 然 是 … … 。 比 如 以 下 随 手 搜 的 一 些 开 启 W i k i 页 面 的 G i t h u b 项 目 ： h t t p s : / / g i t h u b . c o m / p h a c h o n / m m - w i k i / w i k i h t t p s : / / g i t h u b . c o m / g o l l u m / g o l l u m / w i k i h t t p s : / / g i t h u b . c o m / g 0 v / d e v / w i k i h t t p s : / / g i t h u b . c o m / n d u n n i n g / t e s t i n g 1 2 3 / w i k i / 还 有 一 些 原 因 是 ， 如 果 一 些 工 程 师 们 把 某 个 项 目 从 私 有 状 态 转 为 公 开 状 态 ， 但 是 这 种 情 况 下 ， 原 本 应 该 禁 止 的 W i k i 页 面 仍 然 处 于 开 启 模 式 ， 那 么 ， 不 仅 仅 是 项 目 合 作 者 或 内 部 公 司 人 员 可 以 修 改 W i k i 页 面 了 ， 连 任 何 G i t h u b 用 户 都 可 以 具 备 这 样 的 操 作 权 限 。 值 得 注 意 的 是 ， 项 目 所 有 者 根 本 不 会 知 道 W i k i 页 面 的 任 何 修 改 操 作 ， 因 为 G i t h u b 本 身 就 没 有 这 样 的 通 知 或 告 知 配 置 。 漏 洞 影 响 漏 洞 影 响 这 种 安 全 隐 患 的 影 响 非 常 直 观 ， 可 以 总 结 为 ： 1 、 任 意 G i t h u b 用 户 ， 可 以 对 开 启 W i k i 页 面 的 项 目 ， 进 行 W i k i 页 面 的 任 意 修 改 ； 2 、 恶 意 攻 击 者 可 以 在 这 些 可 修 改 的 W i k i 页 面 中 用 m a r k d o w n 方 式 嵌 入 超 链 接 、 图 片 或 其 它 内 容 ； 3 、 这 样 很 容 易 执 行 某 些 社 工 攻 击 ， 迷 惑 特 定 用 户 去 安 装 某 些 恶 意 代 码 库 ， 或 是 导 航 至 攻 击 者 控 制 的 网 络 资 源 中 去 。 4 、 这 种 行 为 还 可 以 导 致 某 种 程 度 上 的 名 誉 受 损 ， 恶 意 攻 击 者 可 以 在 W i k i 页 面 中 插 入 与 公 司 规 定 不 和 谐 的 一 些 内 容 。 缓 解 措 施 缓 解 措 施 对 于 一 些 大 公 司 来 说 ， 他 们 在 G i t h u b 上 部 署 有 很 多 项 目 ， 貌 似 G i t h u b 上 没 有 能 一 键 管 理 设 置 W i k i 页 面 的 功 能 ， 所 以 ， 只 有 通 过 勾 选 G i t h u b 设 置 中 的 ” R e s t r i c t   e d i t i n g   t o   c o l l a b o r a t o r s   o n l y ” （ 仅 限 项 目 合 作 者 进 行 编 辑 ） ， 来 进 行 限 制 了 。 （ 权 限 设 置 可 参 考 ：   C h a n g i n g   a c c e s s   p e r m i s s i o n s   f o r   w i k i s ）
其 它 方 法 还 有 ： 除 非 需 要 ， 否 则 禁 用 W i k i 页 面 ； 提 醒 开 发 人 员 注 意 这 个 问 题 ； 开 发 插 件 服 务 对 W i k i 页 面 的 修 改 做 出 提 醒 ； 用 我 开 发 的 W i k i 页 面 审 计 脚 本 进 行 审 计   g i t h u b - w i k i - a u d i t o r . p y 禁 用 W i k i 页 面 的 方 式 为 ， 去 掉 勾 选 的 W i k i 选 项 ： W i k i 页 面 审 计 脚 本 页 面 审 计 脚 本   g i t h u b - w i k i - a u d i t o r . p y 针 对 以 上 问 题 ， 我 编 写 了 一 个 p y t h o n 脚 本 ， 专 门 来 用 审 计 G i t h u b 项 目 中 的 可 编 辑 W i k i 页 面 ， 它 可 以 迭 代 查 询 相 关 G i t h u b 账 户 上 的 所 有 项 目 ， 检 查 开 启 W i k i 页 面 的 状 态 ， 然 后 返 回 可 编 辑 消 息 。 它 不 会 对 W i k i 页 面 做 出 修 改 ， 仅 只 是 确 认 可 编 辑 状 态 。 U s a g e :   g i t h u b - w i k i - a u d i t o r . p y   [ - h ]   — a c c o u n t s _ f i l e   A C C O U N T S _ F I L E   [ — u s e r n a m e   U S E R N A M E ]   [ — p a s s w o r d P A S S W O R D ]   [ — o u t p u t _ f i l e   O U T P U T _ F I L E ] 以 下 是 对 我 个 人 G i t h u b 项 目 的 一 个 审 计 ： （ 其 中 的 a c c o u n t . t x t 包 含 了 G i t h u b 的 账 户 密 码 ）
上 报 漏 洞 上 报 漏 洞 这 种 问 题 当 然 不 是 G i t h u b 的 错 了 ， 但 怎 么 报 呢 ？ 我 想 很 多 大 公 司 都 存 在 类 似 问 题 ， 之 后 ， 我 又 对 我 的 上 述 脚 本 进 行 了 改 进 ， 尝 试 从 开 设 漏 洞 众 测 的 公 司 中 来 探 测 此 类 问 题 。 最 终 ， 我 从 H a c k e r O n e 、 B u g C r o w d 等 开 源 渠 道 上 收 集 了 1 0 0 多 家 存 在 此 类 问 题 的 公 司 ， 从 中 选 择 一 些 影 响 力 大 的 公 司 进 行 上 报 。 在 向 1 0 多 家 公 司 上 报 了 之 后 ， 反 响 并 不 太 好 ， 大 部 份 的 回 复 是 说 这 种 问 题 以 前 有 人 报 过 ， 而 且 不 存 在 实 际 安 全 威 胁 。 之 后 ， 我 收 到 了 两 家 公 司 安 全 团 队 的 积 极 回 应 ， 他 们 没 在 第 三 方 众 测 平 台 运 行 漏 洞 测 试 项 目 ， 所 以 ， 从 这 个 层 面 上 来 说 ， 这 种 公 司 不 太 会 成 为 众 多 白 帽 的 测 试 目 标 ， 而 且 对 漏 洞 要 求 的 门 槛 也 相 对 较 低 。 最 终 ， 我 从 其 中 一 家 公 司 收 获 了 $ 5 0 0 美 金 ， 从 另 外 一 家 公 司 得 到 了 致 谢 。 * 参 考 来 源 ： s m e e g e s e c ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理