搜索

[14081] 2019-05-08_二维码劫持原理及恶意行为分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-05-08_二维码劫持原理及恶意行为分析 二 维 码 劫 持 原 理 及 恶 意 行 为 分 析 V o l t C a r y   F r e e B u f   2 0 1 9 - 0 5 - 0 8 * 严 正 声 明 ： 本 文 仅 用 于 教 育 和 技 术 讨 论 目 的 ， 严 禁 用 于 非 法 用 途 。 严 正 声 明 ： 本 文 仅 用 于 教 育 和 技 术 讨 论 目 的 ， 严 禁 用 于 非 法 用 途 。 之 前 看 过 其 他 的 二 维 码 登 陆 劫 持 漏 洞 ， 有 的 地 方 写 的 不 是 很 详 细 ， 花 了 不 少 时 间 去 研 究 二 维 码 的 原 理 ， 才 弄 懂 漏 洞 。 为 了 照 顾 更 多 入 门 新 手 ， 以 本 人 的 理 解 重 新 总 结 一 遍 ， 二 维 码 登 陆 之 前 看 过 其 他 的 二 维 码 登 陆 劫 持 漏 洞 ， 有 的 地 方 写 的 不 是 很 详 细 ， 花 了 不 少 时 间 去 研 究 二 维 码 的 原 理 ， 才 弄 懂 漏 洞 。 为 了 照 顾 更 多 入 门 新 手 ， 以 本 人 的 理 解 重 新 总 结 一 遍 ， 二 维 码 登 陆 原 理 不 是 这 里 的 主 题 ， 不 过 有 必 要 熟 悉 一 下 流 程 。 原 理 不 是 这 里 的 主 题 ， 不 过 有 必 要 熟 悉 一 下 流 程 。 1 . 打 开 登 陆 地 方 ， 选 择 扫 描 二 维 码 登 陆 ， 此 时 加 载 二 维 码 ； 2 . 客 户 端 开 始 轮 询 ， 即 与 服 务 器 建 立 长 连 接 ， 来 检 测 二 维 码 状 态 ； 3 . 用 户 打 开 手 机 扫 描 二 维 码 ， 此 时 二 维 码 为 “ s c a n ” 状 态 ， 网 页 向 服 务 器 不 断 向 授 权 服 务 器 轮 询 授 权 码 ； 4 . 用 户 手 机 看 到 “ 确 认 登 陆 ” 按 钮 ， 点 击 此 按 钮 向 授 权 服 务 器 申 请 授 权 ， 允 许 此 二 维 码 授 权 ， 二 维 码 为 “ c o n f i r m ” 状 态 （ 如 果 超 时 失 效 ， 为 “ t i m e o u t ” 状 态 ） ； 5 . 用 户 点 击 “ 确 认 登 陆 ” 后 ， 网 页 轮 询 到 授 权 码 ， 此 时 带 授 权 码 申 请 凭 证 ， 成 功 登 陆 网 站 ， 进 入 个 人 中 心 。 问 题 解 构 问 题 解 构 利 用 长 轮 询 实 现 微 信 网 页 版 扫 码 登 录 ： 这 里 有 个 疑 问 ， 二 维 码 几 十 秒 就 会 过 期 ， 怎 么 办 ？ 可 以 自 己 写 个 浏 览 器 插 件 实 时 提 取 出 请 求 里 面 返 回 的 状 态 参 数 ， 二 维 码 会 有 一 定 的 过 期 时 间 ， 过 期 会 有 对 应 的 状 态 ， 监 控 此 状 态 即 可 ， 比 如 状 态 参 数 s e c u r i t y I d 和 二 维 码 字 符 b a r c o d e ， 并 更 新 s e c u r i t y I d 状 态 到 本 地 ， 若 t i m e o u t 则 刷 新 二 维 码 ； 攻 击 者 从 本 地 将 b a r c o d e 当 字 符 串 生 成 自 己 的 二 维 码 图 片 放 在 自 己 的 网 站 上 ， j s 一 直 轮 询 本 地 的 s e c u r i t y I d 状 态 这 里 用 微 信 二 维 码 作 为 例 子 ， 查 看 二 维 码 状 态 情 况 ； 访 问 h t t p s : / / w x 2 . q q . c o m / ， 页 面 如 下 ： 访 问 此 页 面 时 ， 其 实 浏 览 器 与 服 务 器 之 间 会 建 立 一 个 长 连 接 ， 用 于 监 控 二 维 码 状 态 。 监 控 接 口 为 ： 2 0 1 相 当 于 “ s c a n ” 状 态 ， 手 机 扫 描 成 功 时 二 维 码 的 状 态 ， 手 机 上 点 击 后 监 控 状 态 返 回 如 下 ： 2 0 0 相 当 于 “ c o n f i r m ” 状 态 ， 即 用 户 点 击 确 认 返 回 的 状 态 。 并 且 直 接 返 回 凭 证 w i n d o w . r e d i r e c t _ u r i ， 此 时 只 要 复 制 此 凭 证 到 其 它 浏 览 器 访 问 ， 直 接 可 登 陆 网 页 版 微 信 。 二 维 码 链 接 为 ： 即 二 维 码 字 符 为 Q e 3 e v - u O P g = = ， 当 二 维 码 过 期 ， 只 需 更 新 此 字 符 Q e 3 e v - u O P g = = 即 可 ， 更 新 二 维 码 字 符 接 口 ： 通 过 上 述 可 实 时 更 新 二 维 码 到 自 己 网 站 ， 不 用 担 心 过 期 问 题 。 无 无 “ 确 认 登 陆 确 认 登 陆 ” 按 钮 按 钮 第 一 种 漏 洞 ， 用 户 扫 描 二 维 码 直 接 登 陆 ， 没 有 任 何 提 示 ， 大 家 都 知 道 ， 一 般 扫 描 二 维 码 会 有 “ 确 认 登 陆 ” 等 提 示 ， 如 果 没 有 此 提 示 ， 容 易 被 攻 击 者 钓 鱼 伪 造 ， 诱 导 用 户 扫 描 ， 比 如 某 A P P 扫 描 二 维 码 有 红 包 领 取 ， 用 户 只 要 扫 描 则 被 劫 持 ， 导 致 账 号 被 攻 击 者 登 陆 。 这 里 用 乌 云 的 案 例 演 示 。 。 可 以 欺 骗 劫 持 进 入 来 往 用 户 的 帐 号 ： h t t p : / / w w w . a n q u a n . u s / s t a t i c / b u g s / w o o y u n - 2 0 1 3 - 0 4 0 6 7 3 . h t m l 。 来 往 登 陆 二 维 码 扫 描 时 无 任 何 提 示 ， 伪 装 为 加 好 友 的 二 维 码 ， 用 户 以 为 是 加 好 友 的 二 维 码 ， ， 其 实 是 登 陆 的 二 维 码 ， 当 用 户 扫 描 时 ， 攻 击 者 那 边 可 直 接 登 陆 用 户 账 号 ， 目 前 这 种 漏 洞 不 多 了 ， 扫 码 时 基 本 上 都 会 有 登 陆 等 提 示 h t t p s : / / b l o g . c s d n . n e t / x 2 1 4 5 6 3 7 / a r t i c l e / d e t a i l s / 5 2 7 9 5 8 0 9     h t t p s : / / l o g i n . w x 2 . q q . c o m / c g i - b i n / m m w e b w x - b i n / l o g i n ? l o g i n i c o n = t r u e & u u i d = Y Z m - n R U S F Q = = & t i p = 1 & r = - 1 0 4 0 8 1 9 7 5 & _ = 1 5 5 0 5 8 7 2 7 4 8 8 7 h t t p s : / / l o g i n . w e i x i n . q q . c o m / q r c o d e / Q e 3 e v - u O P g = = h t t p s : / / l o g i n . w e i x i n . q q . c o m / j s l o g i n a p p i d = w x 7 8 2 c 2 6 e 4 c 1 9 a c f f b & f u n = n e w & l a n g = z h _ C N
登 陆 票 据 盗 取 登 陆 票 据 盗 取 这 个 漏 洞 刚 开 始 看 的 时 候 ， 以 为 是 C S R F ， ， 因 为 大 佬 们 把 它 归 类 为 C S R F 类 型 ， 但 是 我 看 的 时 候 发 现 与 传 统 的 C S R F 完 全 不 一 样 ， 导 致 一 直 以 C S R F 的 思 维 去 研 究 ， 被 误 导 了 。 其 实 就 是 票 据 盗 取 ， 构 造 凭 证 U R L ， 从 而 劫 持 用 户 的 账 号 。 登 陆 确 认 票 据 盗 取 ， 如 果 没 有 任 何 签 名 保 护 ， 攻 击 者 可 以 直 接 点 击 获 取 的 票 据 拼 接 链 接 进 行 登 陆 ， 其 实 这 里 应 该 是 在 轮 询 步 骤 出 现 漏 洞 ， 用 户 扫 描 二 维 码 后 ， 客 户 端 不 断 轮 询 请 求 服 务 器 ， 而 此 次 只 是 验 证 某 个 令 牌 等 参 数 来 确 认 用 户 ， 只 要 获 取 此 令 牌 参 数 值 ， 则 可 以 冒 充 用 户 。 取 个 乌 云 上 的 例 子 ， 比 如   登 陆 确 认 请 求 如 下 ： 其 中 u u i d 为 二 维 码 字 符 ， u s e n a m e 为 微 信 号 ， u u i d 值 怎 么 获 取 ， 文 章 前 面 部 分 已 经 讲 过 ， u s e n a m e 改 为 要 劫 持 用 户 的 微 信 号 ， k e y 值 是 未 知 的 ， 这 里 只 要 知 道 k e y 的 值 可 通 过 此 链 接 登 陆 目 标 微 信 号 。 R e f e r e r 获 取 k e y 思 路 ： U R L 跳 转 、 引 用 站 外 图 片 处 ， 把 跳 转 的 U R L 、 图 片 改 为 攻 击 者 自 己 网 站 的 U R L ， 只 要 受 害 用 户 点 击   构 造 好 的 U R L ， 会 跳 转 到 攻 击 者 网 站 ， 此 时 在 攻 击 者 服 务 器 请 求 包 的 R e f e r e r 里 ， 就 会 看 到 k e y 值 ， 当 然 如 果 跳 转 处 U R L 有 k e y 才 可 以 ， 否 则 就 去 寻 找 带 有 k e y 传 递 的 地 方 ， 进 行 构 造 ， 只 要 能 构 造 出 向 攻 击 者 服 务 器 发 送 一 个 请 求 即 可 。 上 述 获 取 k e y 值 之 后 ， 拼 接 登 陆 请 求 的 链 接 ， 在 浏 览 器 里 访 问 如 下 ： 点 击 “ 确 认 登 陆 ” 直 接 登 陆 受 害 用 户 微 信 账 号 。 二 维 码 二 维 码 C S R F 漏 洞 漏 洞 为 啥 这 里 是 C S R F ？ 上 面 却 只 是 票 据 盗 取 ， 因 为 上 面 的 “ 登 陆 确 认 ” 是 不 需 要 用 户 触 发 ， 构 造 U R L 后 由 攻 击 者 直 接 触 发 。 这 里 的 C S R F 漏 洞 是 因 为 攻 击 者 无 法 代 替 用 户 直 接 触 发 “ 登 陆 确 认 “ 按 钮 ， 必 须 以 用 户 自 己 的 身 份 触 发 ， 类 似 平 常 的 增 加 、 删 除 的 C S R F ， 此 处 只 是 针 对 “ 登 陆 确 认 ” 的 C S R F ， 当 然 ， 这 里 还 需 要 用 户 先 扫 描 二 维 码 ， 而 不 能 让 用 户 直 接 触 发 “ 登 陆 确 认 ” 的 请 求 ， 如 果 点 击 二 维 码 链 接 就 相 当 于 扫 描 二 维 码 的 话 ， 可 直 接 构 造 P O C 。 当 用 户 扫 描 二 维 码 ， 构 造 一 个 隐 藏 i f r a m e 表 单 C S R F   P O C ， 用 户 扫 描 二 维 码 时 ， 此 P O C 自 动 提 交 “ 确 认 登 陆 ” 的 请 求 ， 造 成 C S R F 漏 洞 ， 这 样 说 大 家 都 能 看 懂 吧 。 这 里 我 网 上 找 了 个 例 子 做 演 示 。 挖 洞 经 验   |   F a c e b o o k 的 手 机 扫 码 登 录 漏 洞 h t t p s : / / c l o u d . t e n c e n t . c o m / d e v e l o p e r / a r t i c l e / 1 0 4 4 2 5 6 解 释 一 下 这 个 案 例 ， 洞 主 把 “ 确 认 登 陆 ” 的 链 接 抓 包 出 来 ， 用 浏 览 器 打 开 此 链 接 ， 点 击 “ A l l o w   L o g i n ” 抓 包 ， 构 造 C S R F 的 P O C ， 此 为 第 一 个 P O C ， 由 于 缺 少 用 户 扫 码 步 骤 ， 文 章 前 面 我 提 到 过 ， 用 户 要 先 扫 描 二 维 码 ， 再 触 发 “ A l l o w   L o g i n ” 的 C S R F ， 因 此 才 有 了 第 二 个 P O C ， 增 加 了 扫 码 的 步 骤 。 * 本 文 作 者 ： V o l t C a r y ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 推 荐 阅 读 h t t p : / / s z s u p p o r t . w e i x i n . q q . c o m / c g i - b i n / m m s u p p o r t - b i n / q r c o d e l o g i n ? u s e r n a m e = * * * * * * * * * & k e y = * * * * * * * * * * * * * & c l i e n t v e r s i o n = 2 5 0 3 0 1 3 3 & d e v i c e t y p e = a n d r o i d 8 & l a n = z h _ C N & u u i d = A X B I I C c 4 s U S D s F n e f k N P & p a s s _
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理