搜索

[14640] 2019-09-28_Facebook系统HTML转PDF文档可能引起的RCE漏洞

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2019-09-28_Facebook系统HTML转PDF文档可能引起的RCE漏洞 F a c e b o o k 系 统 H T M L 转 P D F 文 档 可 能 引 起 的 R C E 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 9 - 2 8 该 漏 洞 能 让 攻 击 者 在 该 漏 洞 能 让 攻 击 者 在 F a c e b o o k 的 的 t a p p r d . l e g a l . t h e f a c e b o o k . c o m 服 务 端 （ 服 务 端 （ S e r v e r - S i d e ） 执 行 ） 执 行 H T M L 代 码 ， 如 此 代 码 ， 如 此 实 现 远 程 代 码 执 行 （ 实 现 远 程 代 码 执 行 （ R C E ） 。 原 因 在 于 漏 洞 页 面 中 用 于 填 充 输 入 的 ） 。 原 因 在 于 漏 洞 页 面 中 用 于 填 充 输 入 的 H T M L 标 签 未 经 转 义 ， 就 被 直 接 传 递 给 标 签 未 经 转 义 ， 就 被 直 接 传 递 给 了 了 “ H T M L 至 至 P D F 转 化 器 转 化 器 ” （ （ H T M L   t o   P D F   C o n v e r t e r ） 进 行 下 一 步 文 件 转 化 。 以 下 为 作 者 的 分 享 思 路 。 ） 进 行 下 一 步 文 件 转 化 。 以 下 为 作 者 的 分 享 思 路 。 H T M L 转 转 P D F 过 程 中 存 在 的 漏 洞 过 程 中 存 在 的 漏 洞 1 、 W o r k p l a c e   b y   F a c e b o o k 为 F a c e b o o k 旗 下 办 公 通 讯 软 件 ， 通 过 公 司 或 群 组 模 式 实 现 内 部 团 队 交 流 沟 通 。 当 属 于 公 司 或 群 组 的 个 人 创 建 W o r k p l a c e   b y   F a c e b o o k 账 号 时 ， 会 从 F a c e b o o k 官 方 邮 箱 l e g a l _ n o r e p l y @ f b . c o m 收 到 一 封 确 认 邮 件 ， 该 邮 件 中 包 含 一 个 需 由 帐 号 所 有 者 签 署 的 在 线 协 议 U R L ， 而 该 U R L 中 包 含 一 个 特 殊 的 t o k e n ， 如 下 ： h t t p s : / / l e g a l . t a p p r d . t h e f a c e b o o k . c o m / t a p p r d / P o r t a l / S h o w W o r k F l o w / A n o n y m o u s S h o w S t a g e ? t o k e n = 打 开 以 上 U R L 页 面 后 ， 其 中 包 括 需 由 用 户 输 入 的 姓 名 、 地 址 、 电 邮 、 职 业 等 区 域 。 如 果 我 尝 试 向 这 些 区 域 中 注 入 H T M L 代 码 后 ， 会 发 现 其 W e b 应 用 会 对 所 有 的 文 本 执 行 H T M L 编 码 。 首 先 ， 我 想 到 的 是 抓 包 拦 截 请 求 ， 但 是 行 不 通 ， 被 阻 挡   了 。 接 下 来 ， 我 注 意 到 ， W e b 应 用 是 先 对 文 本 执 行 H T M L 编 码 ， 然 后 当 在 服 务 端 （ S e r v e r - S i d e ） 进 行 P D F 格 式 转 化 时 ， 会 对 其 进 行 H T M L 解 码 ； 2 、 所 以 我 想 到 了 进 一 步 提 权 的 可 能 ， 由 于 前 述 的 J a v a s c r i p t 脚 本 不 在 “ H T M L 至 P D F 转 化 器 ” 的 内 部 解 析 范 围 ， 因 此 ， 我 想 到 了 用   “ f i l e : / / ”   这 种 I F R A M E 中 的 U R L 格 式 ， 来 尝 试 读 取 本 地 文 件 ； 然 后 ， 我 通 过 转 化 后 的 P D F 文 档 中 的 I F R A M E 元 素 扫 描 查 看 到 了 W e b 应 用 的 内 部 网 络 ， 从 中 可 以 区 分 出 一 些 现 有 I P 和 开 放 / 关 闭 端 口 。 通 过 这 点 ， 可 以 有 多 种 提 权 至 R C E 的 方 法 ： 1 、 由 于 W e b 应 用 服 务 器 中 还 存 在 另 一 个 漏 洞 ， 我 可 以 通 过 它 获 取 到 W e b 应 用 的 内 部 系 统 路 径 ， 然 后 由 此 提 取 出 w e b . c o n f i g 文 件 ， 进 而 得 到 关 于 W e b 应 用 的 更 多 敏 感 配 置 信 息 ； 2 、 在 扫 描 查 看 了 W e b 应 用 的 内 部 网 络 后 ， 我 发 现 其 中 一 些 仅 限 内 部 访 问 的 W e b L o g i c 服 务 器 系 统 存 在 可 利 用 漏 洞 ； 3 、 在 捣 鼓 测 试 了 一 番 不 同 的 U R L 方 法 后 ， 我 发 现 用 “ a b o u t : / / ” 格 式 方 法 后 ， 在 P D F 文 件 中 的 一 个 I E 页 面 列 出 了 所 有 的 菜 单 选 项 和 I E 版 本 。 因 为 我 对 A S P . N E T 不 熟 ， 但 我 当 时 猜 想 ， 是 否 W e b 应 用 打 开 I E 中 的 H T M L 页 面 用 到 了 某 种 W i n d o w s   A P I 接 口 ？ 还 有 在 那 个 H T M L 页 面 中 是 否 包 含 了 一 个 用 于 截 屏 或 文 档 转 化 的 J a v a s c r i p t 代 码 ， 如 类 似 于 开 源 P D F 文 档 生 成 工 具   j s P D F 一 样 ？ 基 于 这 样 的 假 设 ， 我 尝 试 向 其 中 嵌 入 一 些 针 对 I E 的 P a y l o a d 攻 击 载 荷 （ 出 于 保 密 原
因 ， 抱 歉 在 此 不 能 做 太 多 细 节 公 布 ） 。 有 了 以 上 三 种 实 现 R C E 的 方 法 后 ， 最 后 一 步 就 是 如 何 来 执 行 攻 击 了 ， 恰 巧 ， 我 发 现 该 W e b 应 用 系 统 中 存 在 我 之 前 公 布 的 一 个 F a c e b o o k 电 子 邮 件 伪 造 漏 洞 ， 那 么 两 者 结 合 就 能 形 成 最 大 程 度 威 力 了 。 以 以 l e g a l _ n o r e p l y @ f b . c o m 伪 造 发 送 电 子 邮 件 漏 洞 伪 造 发 送 电 子 邮 件 漏 洞 该 漏 洞 在 于 ， 可 以 用 F a c e b o o k 官 方 的 无 需 回 复 邮 箱 l e g a l _ n o r e p l y @ f b . c o m ， 以 F a c e b o o k 雇 员 或 合 作 伙 伴 身 份 ， 伪 造 电 邮 正 文 并 发 送 给 任 意 用 户 邮 箱 地 址 。 漏 洞 原 因 在 于 以 下 链 接 ： h t t p s : / / l e g a l . t a p p r d . t h e f a c e b o o k . c o m / t a p p r d / P o r t a l / S h o w W o r k F l o w / A n o n y m o u s E m b e d / X X X X X X X X X X X X X 该 链 接 是 一 个 邮 件 处 理 模 板 ， 存 在 的 问 题 是 ： 除 其 中 的 邮 件 生 成 模 板 不 可 更 改 外 ， 却 可 以 任 意 指 定 收 件 人 邮 箱 地 址 和 收 件 人 姓 名 ， 然 而 ， 由 于 收 件 人 姓 名 字 段 没 有 对 H T M L 注 入 做 出 限 制 过 滤 ， 因 此 我 可 以 对 邮 件 正 文 执 行 编 辑 修 改 ， 并 对 其 它 部 分 添 加 文 字 说 明 （ 具 体 参 见 w r i t e u p ） 。 如 下 ： 漏 洞 测 试 被 叫 停 漏 洞 测 试 被 叫 停 由 于 F a c e b o o k 漏 洞 众 测 政 策 原 因 ， 还 没 待 我 把 所 有 方 法 步 骤 完 全 实 施 完 成 ， 就 收 到 了 F a c e b o o k 安 全 团 队 停 止 测 试 的 通 知 。 F a c e b o o k 给 我 的 回 复 是 ， 该 W e b 应 用 是 由 某 第 三 方 合 作 伙 伴 开 发 的 ， 为 了 避 免 深 入 的 测 试 威 胁 ， 他 们 会 及 时 通 知 第 三 方 修 复 漏 洞 并 发 布 补 丁 。 而 我 也 因 此 没 得 到 一 个 理 想 的 赏 金 奖 励 ， 但 明 白 人 都 知 道 ， 该 系 统 负 责 处 理 的 具 体 业 务 ， 以 及 发 现 高 危 入 侵 漏 洞 后 的 价 值 。 漏 洞 报 送 处 理 进 程 漏 洞 报 送 处 理 进 程 2 0 1 9 . 4 . 7           漏 洞 初 报 2 0 1 9 . 4 . 1 0         F a c e b o o k 确 认 2 0 1 9 . 5 . 1             F a c e b o o k 需 要 更 多 验 证 性 资 料 2 0 1 9 . 5 . 2 1         F a c e b o o k 确 认 漏 洞 有 效 性 2 0 . 1 9 . 6 . 1 8       F a c e b o o k 修 复 漏 洞 2 0 1 9 . 7 . 3           F a c e b o o k 发 放 1 0 0 0 $ 赏 金 * 参 考 来 源 ： 参 考 来 源 ： y s a m m ， ， c l o u d s 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理