搜索

[14403] 2019-07-28_敏感信息泄露+IDOR+密码确认绕过=账户劫持

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-28_敏感信息泄露+IDOR+密码确认绕过=账户劫持 敏 感 信 息 泄 露 + I D O R + 密 码 确 认 绕 过 = 账 户 劫 持 c l o u d s   F r e e B u f   2 0 1 9 - 0 7 - 2 8 今 天 分 享 的 这 篇 今 天 分 享 的 这 篇 W r i t e u p 是 作 者 在 是 作 者 在 H a c k e r O n e 上 某 个 邀 请 测 试 项 目 的 发 现 ， 目 标 网 站 存 在 不 安 全 的 访 问 控 制 措 上 某 个 邀 请 测 试 项 目 的 发 现 ， 目 标 网 站 存 在 不 安 全 的 访 问 控 制 措 施 ， 可 以 利 用 其 导 致 的 敏 感 信 息 泄 露 施 ， 可 以 利 用 其 导 致 的 敏 感 信 息 泄 露 ( a u t h _ t o k e n )   + 密 码 重 置 限 制 绕 过 ， 以 越 权 （ 密 码 重 置 限 制 绕 过 ， 以 越 权 （ I D O R ） 方 式 ， 实 现 网 站 任 意 ） 方 式 ， 实 现 网 站 任 意 账 户 劫 持 （ 账 户 劫 持 （ T a k e o v e r ） 。 整 个 测 试 过 程 是 一 次 最 基 本 的 ） 。 整 个 测 试 过 程 是 一 次 最 基 本 的 I D O R 和 密 码 限 制 绕 过 操 作 ， 一 起 来 看 看 。 和 密 码 限 制 绕 过 操 作 ， 一 起 来 看 看 。 获 得 账 户 获 得 账 户 a u t h _ t o k e n 目 标 网 站 是 一 个 工 作 招 聘 门 户 网 站 ， 测 试 保 密 原 因 暂 且 称 其 为 r e d a c t e d . c o m 。 一 开 始 ， 我 登 录 以 应 聘 者 身 份 去 测 试 C S R F 或 某 些 存 储 型 X S S ， 但 没 什 么 发 现 。 接 下 来 ， 我 就 想 到 了 越 权 测 试 （ I D O R ） ， 为 此 ， 我 又 创 建 了 另 外 一 个 账 号 ， 两 个 账 号 一 起 可 以 测 试 如 注 册 、 登 录 、 忘 记 密 码 等 功 能 点 的 越 权 可 能 。 创 建 账 号 前 我 开 启 了 流 量 抓 包 想 看 看 具 体 服 务 端 的 响 应 ， 注 册 开 始 时 ， 网 站 会 跳 出 一 个 提 示 ， 输 入 注 册 邮 箱 检 查 是 否 是 注 册 用 户 。 在 这 里 ， 我 随 便 输 入 了 一 个 未 注 册 过 的 邮 箱 ， 服 务 端 竟 然 有 了 异 常 响 应 ， 如 下 ： 其 中 包 含 了 a u t h _ t o k e n 的 信 息 ： 账 户 劫 持 （ 账 户 劫 持 （ A c c o u n t   T a k e o v e r ） ） “ r e d i r e c t _ u r l ” : “ / ? a u t h _ t o k e n = _ v 2 _ 8 d s f 8 a s d f 1 2 a d 4 f 5 a 4 s d f 5 6 a s 1 d f 6 5 a s d f 5 6 s d 4 f f & c o n t a c t _ i d = 1 1 c b 2 6 a e & e         x p i r e = 1 1 5 2 3 1 5 5 2 5 ”
哦 ， 这 就 有 点 意 思 了 ， 于 是 ， 我 把 这 个 邮 箱 更 改 为 我 另 一 个 与 注 册 账 号 对 应 的 邮 箱 ： 就 这 样 ！ 也 就 是 说 ， 通 过 “ / c a n d i d a t e / c r e a t e ” 这 个 路 径 我 就 能 获 取 网 站 注 册 用 户 的 a u t h t o k e n 信 息 了 。 现 在 我 只 需 要 一 个 利 用 它 的 点 就 行 ， 接 着 ， 我 在   b u r p s u i t e 的 代 理 历 史 中 查 看 有 哪 些 请 求 用 到 了 a u t h t o k e n ， 哦 ， 很 简 单 ， 就 是 这 个 ： h t t p s : / / r e d a c t e d . c o m / ? a u t h t o k e n = d 8 f s 4 d s 8 f d s f 8 4 d s f 8 d s f a d s 8 f a s d 6 f 8 4 d s f 6 8 4 d s a f c c v 6 8 f 4 & c o n t a c t i d = 5 2 z 1 d 5 d 4 & e x p i r e = 1 1 5 2 3 1 5 5 2 5 我 开 启 了 浏 览 器 隐 身 模 式 访 问 了 上 述 链 接 ， B O O M ， 就 这 么 简 单 地 登 录 到 了 受 害 者 账 户 （ 另 一 测 试 账 户 ） 中 去 了 ， 完 美 的 账 户 劫 持 。 但 当 我 查 看 受 害 者 账 户 中 的 个 人 资 料 想 更 改 密 码 或 注 册 邮 箱 时 ， 却 无 法 看 到 个 人 资 料 信 息 ， 而 且 跳 出 来 一 个 密 码 确 认 输 入 框 （ 仔 细 观 察 ， 其 中 包 含 F o r g o t   P a s s w o r d 忘 记 密 码 功 能 ） ： 该 死 ， 如 何 来 绕 过 它 呢 ？ 绕 过 密 码 确 认 限 制 绕 过 密 码 确 认 限 制 先 来 一 种 猜 想 ： 要 是 我 把 受 害 都 注 册 邮 箱 更 改 为 我 自 己 的 邮 箱 ， 然 后 利 用 忘 记 密 码 功 能 发 送 密 码 更 改 请 求 ， 那 我 的 邮 箱 会 不 会 收 到 密 码 重 置 链 接 呢 ？ 来 试 试 看 。
于 是 ， 我 在 我 自 己 的 测 试 账 户 中 找 到 了 注 册 邮 箱 更 改 路 径 为   ‘ / a p i / p r o f i l e ’ ， 该 路 径 下 ， 通 过 类 似 { “ e m a i l _ a d d r e s s ” : “ a t t a c k e r s @ g m a i l . c o m ” } ` 的 J S O N 格 式 P A T C H 请 求 ， 就 能 实 现 注 册 邮 箱 更 改 。 接 下 来 ， 我 在 受 害 者 账 户 登 录 c o o k i e 下 ， 以 这 种 方 式 在 “ h t t p s : / / r e d a c t e d . c o m / a p i / p r o f i l e ” 下 ， 发 送 了 J S O N 格 式 的 P A T C H 请 求 - ‘ { “ e m a i l _ a d d r e s s ” : “ m y n e w m a i l @ g m a i l . c o m ” } ’   ： 响 应 成 功 显 示 请 求 有 效 ， 那 么 之 后 ， 我 只 需 登 录 受 害 者 账 户 环 境 ， 点 击 个 人 资 料 查 看 ， 在 跳 出 的 密 码 确 认 框 那 点 击 忘 记 密 码 （ F o r g o t P a s s w o r d ） ， 那 么 我 自 己 的 邮 箱 就 能 收 到 服 务 端 发 来 的 一 封 密 码 重 置 链 接 邮 件 了 。 漏 洞 上 报 后 ， 厂 商 在 四 天 之 内 做 了 修 复 ， 最 终 我 也 获 得 了 $ 2 , 5 0 0 美 金 的 奖 励 。 但 后 来 ， 我 又 发 现 目 标 网 站 还 存 在 一 个 类 似 上 述 可 通 过 更 改 邮 箱 绕 过 密 码 确 认 的 路 径 “ / c o n t a c t / a p i / u p d a t e / v 1 ” ， 上 报 之 后 ， 我 又 获 得 了 厂 商 $ 1 5 0 美 金 奖 励 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理