搜索

[14293] 2019-06-30_如何利用周六休息日狂赚两万欧元？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-30_如何利用周六休息日狂赚两万欧元？ 如 何 利 用 周 六 休 息 日 狂 赚 两 万 欧 元 ？ c l o u d s   F r e e B u f   2 0 1 9 - 0 6 - 3 0 近 期 ， 众 测 平 台 I n t i g r i t i 组 织 了 一 场 漏 洞 测 试 比 赛 ， 作 者 和 朋 友 共 同 努 力 在 周 六 休 息 日 ， 发 现 了 目 标 系 统 的 两 个 I D O R 防 护 机 制 绕 过 漏 洞 ， 收 获 了 € 2 0 , 0 0 0 的 漏 洞 赏 金 。 本 文 中 作 者 分 享 了 整 个 漏 洞 发 现 的 思 路 和 过 程 ， 仅 当 学 习 借 鉴 。 目 标 系 统 的 加 密 参 数 目 标 系 统 的 加 密 参 数 目 标 系 统 具 备 多 层 防 护 和 加 固 机 制 ， 除 通 常 的 I D O R 防 护 措 施 之 外 ， 还 使 用 了 “ 加 密 参 数 ” 手 段 ， 如 以 下 的 请 求 响 应 示 例 中 ' E ' 参 数 的 加 密 方 式 ： R e q u e s t ： R e p o n s e ： 刚 开 始 我 就 注 意 到 了 这 个 点 ， 想 把 它 作 为 切 口 进 行 破 解 突 破 ， 我 具 体 的 尝 试 思 路 如 下 ： （ 1 ） ‘ E ’   参 数 值 可 以 被 忽 略 吗 ？ 能 不 能 把 ‘ V ’ 参 数 值 进 行 替 换 ， 尝 试 实 现 I D O R 攻 击 ？ （ 2 ） 如 果 ‘ E ’   参 数 值 是 在 W e b 前 端 生 成 的 ， 这 样 我 们 就 可 以 逆 向 破 解 其 加 密 算 法 来 校 验 我 们 任 意 的 设 定 的 参 数 值 了 ？ （ 3 ） 能 不 能 更 改 请 求 类 型 ？ 或 是 删 除 ‘ E ’   参 数 值 ？ 这 样 服 务 端 的 处 理 是 否 会 回 退 到 不 需 要 加 密 参 数 的 过 程 ？ 按 思 路 测 试 按 思 路 测 试 想 到 就 开 始 做 吧 。 在 第 一 种 思 路 中 ， 我 尝 试 对 ‘ V ’ 参 数 值 进 行 了 编 辑 修 改 ， 但 却 没 有 收 获 ， 而 且 无 任 何 错 误 响 应 消 息 显 示 。 最 后 我 弄 明 白 了 ， 服 务 端 对 几 乎 大 部 份 W e b 路 径 提 交 的 ‘ V ’ 参 数 值 都 直 接 选 择 了 忽 略 ， 只 会 检 查 校 验 其 中 的 加 密 参 数 ‘ E ’ 值 ， 而 对 于 某 些 极 少 W e b 路 径 中 ， 服 务 端 确 实 会 选 择 检 查 ‘ V ’ 参 数 值 ， 忽 略 加 密 参 数 ‘ E ’ 值 。 在 只 检 查 ‘ V ’ 参 数 值 的 W e b 路 径 中 ， 我 们 遇 到 了 深 入 的 下 一 层 I D O R 防 护 机 制 ， 在 针 对 ‘ V ’ 参 数 值 的 I D O R 攻 击 尝 试 中 ， 只 会 返 回 一 个 提 示 消 息 ： 运 行 出 错 ， 请 重 新 尝 试 或 与 管 理 员 联 系 （ 运 行 出 错 ， 请 重 新 尝 试 或 与 管 理 员 联 系 （ T h i s d o e s n ’ t   s e e m   t o   b e   w o r k i n g ,   t r y   a g a i n   o r   c o n t a c t   u s . ） ） 。 现 在 我 们 转 为 第 二 种 思 路 ， 来 看 看 ‘ E ’   参 数 值 是 否 为 W e b 前 端 加 密 生 成 的 。 但 经 过 测 试 我 发 现 ， ‘ E ’   参 数 值 总 是 随 用 户 即 时 请 求 而 相 应 生 成 ， 因 此 我 放 弃 了 之 前 的 猜 想 。 尽 管 我 努 力 去 尝 试 是 否 能 猜 测 出 ‘ E ’   参 数 值 的 加 密 方 式 ， 但 最 终 也 不 了 了 之 ， 没 有 头 绪 。 但 有 一 点 是 确 定 的 ： 同 样 的 ‘ V ’ 参 数 值 进 行 不 同 时 间 的 发 送 ， 却 可 以 生 成 不 同 的 ‘ E ’   参 数 加 密 值 ， 而 且 ， 服 务 端 只 接 受 最 近 生 成 的 ‘ E ’   参 数 加 密 值 。 这 里 ， 我 们 猜 想 其 加 密 方 法 可 能 引 入 了 时 间 戳 ， 这 就 没 法 了 。 进 入 第 三 种 思 路 中 ， 我 们 更 改 请 求 类 型 （ n o n e ,   h i d d e n ,   n u m b e r ,   … ） ， 或 是 修 改 ‘ E ’   参 数 值 ， 最 终 得 到 的 也 是 同 样 的 错 误 消 息 提 示 ： 运 行 出 错 ， 请 重 新 尝 试 或 与 管 理 员 联 系 （ 运 行 出 错 ， 请 重 新 尝 试 或 与 管 理 员 联 系 （ T h i s   d o e s n ’ t   s e e m t o   b e   w o r k i n g ,   t r y   a g a i n   o r   c o n t a c t   u s . ） ） 。 百 思 不 得 其 解 时 ， 朋 友 A r n e 提 示 我 可 考 虑 用 O r a c l e 的 签 名 方 法 来 尝 试 破 解 这 个 ‘ E ’   参 数 值 ， 也 就 是 说 ， 这 个 ‘ E ’   参 数 值 可 能 是 O r a c l e 机 制 的 加 密 签 名 值 ， 我 们 只 要 在 服 务 端 系 统 中 看 看 它 是 否 使 用 了 O r a c l e 签 名 方 法 ， 然 后 给 它 一 个 ‘ V ’ 参 数 值 明 文 ， 之 后 观 察 它 会 不 会 返 回 响 应 一 个 类 似 的 ‘ E ’   参 数 加 密 值 。 比 如 说 ， 目 标 系 统 中 存 在 这 么 一 个 W e b 路 径 / e n c r y p t V a l u e   ， 它 负 责 接 收 ‘ V ’ 参 数 然 后 响 应 回 ‘ E ’   参 数 ， 那 么 ， 我 们 给 它 一 个 明 文 V ， 如 i d = 6 5 4 8 1 1 6 ， 看 它 是 否 会 返 回 上 述 类 似 的 ‘ E ’   参 数 加 密 值 E = b m 9 0 Y W N 0 d W F s b H l i Y X N l N j Q 。 不 管 其 中 的 ‘ E ’   参 数 如 何 加 密 如 何 签 名 ， 是 不 是   t r a i l i n g / p r e p e n d e d （ 尾 随 / 预 置 式 ） 数 据 哈 希 ， 这 些 暂 且 不 重 要 ， 只 要 服 务 端 可 以 接 受 这 个 经   O r a c l e 机 制 加 密 的 ‘ E ’   参 数 ， 那 么 事 情 就 成 了 。 于 是 ， 我 马 上 在 目 标 系 统 中 寻 找 上 述 分 析 的 “ O r a c l e 机 制 加 密 签 名 路 径 ” ， 刚 好 ， 在 用 户 名 修 改 功 能 处 ， 我 发 现 服 务 端 也 会 返 回 一 个 加 密 的 ‘ E ’   参 数 。 也 就 是 说 ， 只 要 更 改 用 户 名 （ 这 里 以 用 户 I D 1 2 3 4 1 代 替 ） ， 服 务 端 就 会 响 应 返 回 一 个 与 用 户 名 对 应 的 ‘ E ’   参 数 加 密 值 S S B s b 3 z 1 r H B p Z Q o 。 那 这 个 路 径 会 不 会 是 我 们 分 析 的 “ O r a c l e 机 制 加 密 签 名 路 径 ” 呢 ？ 不 管 它 ， 先 来 想 办 法 利 用 利 用 这 个 ' E ' 参 数 值 。 有 了 这 个 服 务 端 生 成 了 ‘ E ’   参 数 加 密 值 ， 我 要 看 看 其 它 W e b 路 径 下 是 否 能 用 到 它 。 经 过 半 天 的 测 试 寻 找 ， 我 发 现 了 用 户 I D 1 2 3 4 0 的 票 据 获 取 路 径 （   “ / g e t I n v o i c e ” ） ， 其 中 也 包 含 了 ' E ' 参 数 值 。 在 这 个 用 户 I D 为 1 2 3 4 0 的 请 求 中 ， 为 了 利 用 上 述 ' E ' 参 数 值 ， 我 们 把 用 户 I D 变 为 我 们 测 试 的 1 2 3 4 1 ， 然 后 把 其 中 的 也 换 为 对 应 的 S S B s b 3 z 1 r H B p Z Q o ， 看 看 会 有 什 么 反 应 。 P O S T   / c h a n g e U s e r n a m e   H T T P / 1 . 1 H o s t :   t a r g e t . i o { " u s e r I d " : { " T " : " t e x t " , " V " : " 1 2 3 4 5 6 7 8 9 " , " E " : " V G h p c y B p c y B t e S B 1 c 2 V y I G l k L C B v Y n Z p b 3 V z b H k g d G h p c y B p c y B u b 3 Q g Y m F z Z T Y 0 C g " } , " u s e r N a m e " : { " T " : " t e x t " H T T P / 1 . 1   2 0 0   O K { " a d j u s t e d U s e r N a m e " : { " T " : " t e x t " , " V " : " M a t t i   B i j n e n s " , " E " : " S X Q g d 2 F z I G 5 v d C B i Y X N l N j Q g Y n V 0 I G l 0 I G x v b 2 t l Z C B s a W t l I G l 0 C g u 0 0 3 d " } }
遗 憾 的 是 我 未 能 得 到 任 何 票 据 信 息 ， 但 服 务 端 却 返 回 了 另 一 个 错 误 提 示 ： 该 实 体 与 客 户 身 份 不 符 该 实 体 与 客 户 身 份 不 符 ( E n t i t y   d o e s   n o t   b e l o n g   t o   c l i e n t ) ， 至 少 后 端 已 经 接 收 了 这 个 ' E ' 值 ， 这 明 显 说 明 ， 我 们 之 前 猜 测 的 ‘ E ’   参 数 值 是 O r a c l e 加 密 签 名 完 全 正 确 。 虽 然 这 又 是 另 外 一 个 错 误 消 息 提 示 ， 但 明 显 是 一 个 突 破 ， 我 们 弄 清 楚 了 目 标 系 统 其 中 的 某 个 点 的 加 密 方 式 ， 可 以 继 续 想 办 法 绕 过 其 深 入 的 I D O R 防 护 机 制 。 转 化 切 入 点 实 现 转 化 切 入 点 实 现 I D O R 在 与 朋 友 A r n e 和 J e r o e n 商 量 过 后 ， 我 们 决 定 深 挖 目 标 系 统 中 的 一 些 与 用 户 I D 相 关 的 ' 敏 感 ' 路 径 ， 希 望 这 些 路 径 的 校 验 检 查 存 在 逻 辑 缺 陷 或 不 足 ， 但 不 幸 的 是 ， 我 们 面 对 的 是 一 个 非 常 安 全 的 目 标 ， 要 想 找 到 一 个 缺 乏 二 次 校 验 检 查 的 W e b 路 径 是 一 件 非 常 痛 苦 的 事 情 。 我 们 最 终 把 焦 点 放 到 了   / g e t A r c h i v e   路 径 上 ， 该 路 径 可 以 返 回 用 户 所 有 的 账 单 / 收 入 （   b i l l s / e a r n i n g s ） 数 据 ， 与 其 它 通 常 路 径 下 用 户 I D 区 域 属 性 为 “ t e x t ” 不 同 的 是 ， 由 于 上 下 文 关 系 ， 该 路 径 的 用 户 标 识 区 域 属 性 为 “ h i d d e n ” ， 也 即 隐 藏 ， 如 下 ： R e q u e s t : R e s p o n s e : 由 于 这 个 隐 藏 属 性 ， 所 以 在 请 求 中 也 无 相 应 的 参 数 值 ， 但 我 隐 约 感 觉 ， 这 个 隐 藏 属 性 可 能 是 用 户 I D 的 相 关 信 息 ， 除 此 之 外 ， 也 没 什 么 可 是 的 了 。 于 是 ， 在 路 径 服 务 中 ， 我 马 上 把 我 初 始 请 求 的 用 户 名 更 改 为 用 户 I D ， 并 结 合 前 述 用 户 名 生 成 的 ‘ E ’ 加 密 参 数 值 ， 进 行 了 请 求 提 交 。 一 开 始 是 不 行 的 ， 服 务 端 返 回 了 错 误 ： 不 能 找 到 与 该 不 能 找 到 与 该 I D 匹 配 的 匹 配 的 用 户 （ 用 户 （ C o u l d   n o t   f i n d   c l i e n t   w i t h   t h i s   I D ） ） 。 但 经 对 之 前 大 量 的 路 径 测 试 ， 我 发 现 有 时 服 务 端 只 会 选 取 用 户 I D 的 最 后 一 部 份 ， 于 是 ， 我 把 我 用 户 I D 的 前 一 部 份 删 除 了 ， 然 后 再 提 交 请 求 ， 这 一 次 ， 服 务 端 竟 然 能 有 效 接 收 并 响 应 了 ， 返 回 了 与 我 账 户 对 应 的 所 有 文 档 资 料 。 也 就 是 说 ， 那 个 隐 藏 区 域 确 实 是 我 的 用 户 I D ， 而 且 我 要 了 朋 友 J e r o e n 的 用 户 I D ， 按 照 以 上 方 法 进 行 了 测 试 ， 同 样 ， 请 求 能 有 效 提 交 ， 而 且 服 务 端 返 回 了 J e r o e n 的 所 有 账 单 / 收 入 资 料 。 漏 洞 上 报 和 复 现 漏 洞 上 报 和 复 现 之 后 ， 我 们 及 时 向 厂 商 进 行 了 漏 洞 通 报 ， 最 后 得 到 了 C V S S   7 . 7 （ 高 危 ） 的 评 分 。 由 于 是 实 时 的 漏 洞 测 试 比 赛 ， 厂 商 很 快 就 注 意 到 了 我 们 的 报 告 ， 但 由 于 报 告 没 讲 清 细 节 ， 他 们 希 望 看 到 详 细 的 漏 洞 复 现 过 程 。 于 是 ， 我 被 邀 请 进 入 了 厂 商 办 公 室 ， 对 方 将 近 2 0 个 人 都 围 了 过 来 ， 这 种 压 力 让 我 紧 张 ， 而 且 刚 好 我 笔 记 本 的 H D M I 接 口 又 坏 了 ， 连 接 不 了 投 影 仪 。 尴 尬 之 余 ， I n t i g r i t i 老 总 S t i j n 让 我 拿 他 的 M a c B o o k 做 演 示 ， 之 前 我 从 没 用 过 M a c 本 啊 ， 在 甚 至 不 知 道 在 M a c 系 统 中 如 何 切 换 B u r p 和 F i r e f o x ， 那 个 时 候 我 就 像 傻 瓜 一 样 慌 了 手 脚 。 好 在 我 试 着 镇 定 下 来 ， 按 照 以 下 步 骤 复 现 了 漏 洞 ： （ 1 ） 把 当 前 登 录 的 用 户 名 更 改 为 其 它 用 户 对 应 的 用 户 I D ； （ 2 ） 在 / g e t A r c h i v e   路 径 下 代 入 用 户 名 生 成 的 ‘ E ’ 加 密 参 数 值 ； （ 3 ） 成 功 返 回 响 应 后 ， 以 此 判 断 出 其 中 的 隐 藏 属 性 为 用 户 I D 。 我 用 朋 友 J e r o e n 的 账 户 进 行 了 漏 洞 复 现 ， 但 其 中 一 个 厂 商 参 会 人 员 提 出 希 望 用 他 的 用 户 I D 进 行 复 现 ， 最 终 我 成 功 获 取 到 了 他 所 有 的 资 料 信 息 ， 此 举 一 出 ， 大 家 都 对 该 漏 洞 的 影 响 和 威 胁 有 了 清 楚 认 识 。 演 示 完 毕 ， 我 坐 回 了 椅 子 ， I n t i g r i t i 员 工 告 知 我 ， 厂 商 对 该 漏 洞 的 定 级 由 高 危 更 改 为 特 别 严 重 ， 按 照 其 奖 励 政 策 ， 这 会 有 € 1 0 . 0 0 0 的 赏 金 。 与 此 同 时 ， 我 们 的 三 人 团 队 继 续 利 用 前 述 的 “ O r a c l e 加 密 签 名 B u g ” 深 入 测 试 其 它 路 径 中 的 I D O R 漏 洞 ， A r n e 发 现 了 只 要 提 交 用 户 姓 名 即 能 获 得 用 户 所 有 收 入 信 息 的 一 种 方 式 ， 同 样 ， 该 漏 洞 也 被 厂 商 评 定 为 特 别 严 重 ， 也 是 € 1 0 . 0 0 0 的 赏 金 标 准 。 其 请 求 P a y l o a d 如 下 ： R e q u e s t : R e s p o n s e : 另 外 ， J e r o e n 针 对 某 些 特 定 用 户 ， 发 现 了 一 个 可 以 获 取 这 些 特 定 用 户 非 公 开 资 料 头 像 的 漏 洞 ， 也 得 到 了 相 应 的 漏 洞 赏 金 。 总 结 总 结 后 续 ， 我 和 厂 商 开 发 团 队 进 行 了 一 些 交 流 ， 其 实 目 标 系 统 架 构 中 就 根 本 没 采 用 什 么 加 密 方 法 ， 也 不 是 什 么 “ O r a c l e 加 密 签 名 ” ， 其 中 的 ‘ E ' 参 数 加 密 值 也 仅 只 是 不 同 路 径 服 务 下 针 对 不 同 用 户 某 些 明 文 信 息 的 随 机 生 成 串 而 已 ， 如 下 映 射 关 系 ： 开 发 者 简 单 的 认 为 由 于 不 知 道 其 他 用 户 的 I D ， 所 以 也 就 能 用 这 种 方 式 防 御 I D O R 攻 击 了 ， 但 其 实 他 们 错 了 ， 这 里 的 逻 辑 缺 陷 是 攻 击 者 可 以 通 过 弄 清 其 中 的 ' E ' 参 数 生 成 方 式 后 ， 就 可 以 通 过 替 换 它 来 实 现 I D O R 攻 击 了 。 以 下 是 我 的 一 些 观 点 总 结 ： 没 有 任 何 一 个 系 统 是 安 全 的 ， 任 何 人 都 可 能 犯 错 ； 发 现 一 些 “ 高 级 的 防 护 措 施 ” 后 千 万 别 灰 心 放 弃 ； 如 果 可 行 ， 尝 试 和 其 他 白 帽 朋 友 们 共 同 进 行 头 脑 风 暴 ； 好 好 详 细 写 漏 洞 报 告 ， 否 则 你 可 能 会 在 2 0 多 个 人 面 前 复 现 漏 洞 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M P O S T   / g e t A r c h i v e   H T T P / 1 . 1 H o s t :   t a r g e t . i o { " T " : " H i d d e n " ,   " E " : " Q 2 x l Y X J s e S B h I H Z l c n k g d 2 V s b C B o a W R k Z W 4 g c 2 9 t Z X R o a W 5 n C g " } } H T T P / 1 . 1   2 0 0   O K R e d i r e c t i n g   t o   a r c h i v e - m a t t i b i j n e n s . p d f P O S T   / g e t E a r n i n g s   H T T P / 1 . 1 H o s t :   t a r g e t . i o { " n a m e " : { " T " : " t e x t " , " V " : " J o h n   D o e " , " E " : " T 2 J 2 a W 9 1 c 2 x 5 I G 5 v d C B i Y X N l N j Q g Y W d h a W 4 s I G J 1 d C B h b i B l b m N y e X B 0 Z W Q g d X N l c i B J R A o " } } H T T P / 1 . 1   2 0 0   O K { " t o t a l E a r n i n g s " : { " T " : " t e x t " , " V " : " € 4 5 6 0 0 0 0 " } }
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理