搜索

[15084] 2020-03-02_跨站WebsocketHijacking漏洞导致的Facebook账号劫持

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2020-03-02_跨站WebsocketHijacking漏洞导致的Facebook账号劫持 跨 站 W e b s o c k e t   H i j a c k i n g 漏 洞 导 致 的 F a c e b o o k 账 号 劫 持 c l o u d s   F r e e B u f   2 0 2 0 - 0 3 - 0 2 作 者 在 测 试 作 者 在 测 试 F a c e b o o k 的 近 期 推 出 的 某 个 新 应 用 中 （ 出 于 保 密 原 因 此 处 不 便 公 开 ） ， 存 在 跨 站 的 近 期 推 出 的 某 个 新 应 用 中 （ 出 于 保 密 原 因 此 处 不 便 公 开 ） ， 存 在 跨 站 W e b s o c k e t H i j a c k i n g 漏 洞 ， 攻 击 者 利 用 该 漏 洞 可 以 劫 持 使 用 该 新 应 用 的 用 户 漏 洞 ， 攻 击 者 利 用 该 漏 洞 可 以 劫 持 使 用 该 新 应 用 的 用 户 W e b s o c k e t   连 接 ， 之 后 构 造 恶 意 的 连 接 ， 之 后 构 造 恶 意 的 W e b s o c k e t 信 息 ， 可 实 现 对 目 标 受 害 者 的 信 息 ， 可 实 现 对 目 标 受 害 者 的 F a c e b o o k 账 号 劫 持 。 账 号 劫 持 。 因 为 该 项 F a c e b o o k 新 近 推 出 的 应 用 还 处 于 测 试 阶 段 ， 只 有 少 数 安 全 人 员 可 以 受 邀 进 行 访 问 测 试 ， 所 以 以 下 漏 洞 解 释 中 已 对 应 用 名 称 进 行 了 隐 匿 ， 且 暂 不 提 供 相 关 的 漏 洞 利 用 代 码 。 漏 洞 原 因 漏 洞 原 因 由 于 该 项 F a c e b o o k 新 近 推 出 的 应 用 托 管 在 f a c e b o o k . c o m 的 子 域 名 之 下 ， 并 允 许 其 本 地 I P 地 址 （ 如 0 . 0 . 0 . 1 / 8   或 1 9 2 . 1 6 8 . 1 . 1 / 8 ） 包 含 成 为 O r i g i n 主 机 头 ， 该 应 用 基 于 随 机 数 的 安 全 登 录 （ 随 机 数 在 登 录 页 面 中 生 成 然 后 在 后 续 的 某 个 w e b s o c k e t 消 息 中 被 发 送 验 证 ） ， 随 机 数 用 于 建 立 获 取 有 效 的 w e b s o c k e t 连 接 会 话 ， 这 里 并 不 依 赖 C o o k i e 信 息 进 行 用 户 身 份 验 证 。 但 当 测 试 授 权 机 制 的 另 一 个 b u g 时 ， 我 发 现 了 一 个 变 化 ， 按 之 前 的 分 析 来 看 ， 授 权 机 制 也 应 该 用 随 机 数 来 验 证 登 录 ， 但 此 处 却 开 始 用 了 用 户 的 F a c e b o o k 全 局 C o o k i e 来 验 证 用 户 身 份 。 以 下 为 用 F a c e b o o k 内 部 的 本 地 I P 地 址 成 功 构 造 为 O r i g i n 主 机 头 建 立 的 W e b s o c k e t 连 接 ： 综 上 分 析 来 看 ， 由 于 O r i g i n 主 机 头 仅 允 许 本 地 I P 地 址 ， 因 此 与 受 害 者 在 同 一 本 地 网 段 的 攻 击 者 可 构 造 恶 意 W e b s o c k e t 连 接 ， 通 过 D N S 欺
骗 （ S p o o f i n g ） 或 点 对 点 发 送 给 受 害 者 ， 实 现 对 受 害 者 F a c e b o o k 的 账 号 劫 持 。 另 外 ， 也 可 以 在 受 害 者 手 机 中 的 安 装 恶 意 A P P 来 启 动 无 权 限 限 制 的 H T T P 服 务 ， 然 后 向 受 害 者 同 网 段 的 其 他 I P 地 址 的 F a c e b o o k 用 户 发 送 经 过 构 造 的 d e e p - l i n k 形 式 的 恶 意 U R L 链 接 ， 实 现 扩 大 化 攻 击 。 漏 洞 复 现 漏 洞 复 现 1 、 为 了 更 好 的 说 明 利 用 ， 我 访 问 R E D A C T E D . f a c e b o o k . c o m ， 然 后 保 存 主 页 ， 这 里 要 连 同 其 中 处 理 w e b s o c k e t 通 信 的 J a v a s c r i p t 脚 本 文 件 一 起 保 存 。 因 为 W e b s o c k e t 通 信 消 息 是 加 密 的 ， 且 这 里 的 J a v a s c r i p t 脚 本 文 件 是 经 过 编 码 的 ， 有 些 难 懂 ， 且 在 后 续 的 攻 击 利 用 中 要 用 到 其 中 一 些 稍 作 修 改 的 J a v a s c r i p t 脚 本 文 件 。 之 后 ， 我 用 包 含 这 些 修 改 的 J a v a s c r i p t 脚 本 文 件 启 动 了 一 个 H T T P 服 务 ； 2 、 利 用 上 述 启 动 的 h t t p 服 务 ， 我 向 同 一 网 段 的 受 害 者 发 送 了 一 个 恶 意 链 接 之 后 ， 其 中 涉 及 的 脚 本 会 与 R E D A C T E D . f a c e b o o k . c o m 服 务 端 建 立 起 一 个 W e b s o c k e t 连 接 ， 然 后 会 在 登 录 阶 段 的 身 份 验 证 时 需 要 用 到 用 户 的 C o o k i e 信 息 （ 由 于 W e b s o c k e t 不 受 限 于 S O P 或 C O R S 策 略 ， 所 以 这 对 本 地 I P 来 说 是 可 行 的 ） 3 、 作 为 P O C 测 试 ， 受 害 者 在 访 问 了 上 述 包 含 有 本 地 I P 的 恶 意 链 接 之 后 ， 就 会 看 到 自 己 成 功 登 录 到 了 F a c e b o o k 账 户 ， 而 在 J a v a s c r i p t 脚 本 文 件 中 ， 却 包 含 了 一 个 攻 击 P a y l o a d ， 可 以 当 受 害 者 登 录 成 功 后 向 攻 击 者 发 送 一 个 特 定 的 w e b s o c k e t ， 以 进 行 F a c e b o o k 账 户 的 绑 定 邮 箱 或 手 机 号 的 添 加 ， 以 此 实 现 对 受 害 者 F a c e b o o k 账 户 的 劫 持 。 该 攻 击 针 对 安 卓 手 机 A P P 用 户 亲 测 有 效 ， i O S 中 未 测 试 过 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 1 9 . 1 2 . 1 0     漏 洞 初 报 2 0 1 9 . 1 2 . 1 0     F a c e b o o k 确 定 漏 洞 有 效 2 0 1 9 . 1 2 . 1 7     F a c e b o o k 修 复 漏 洞 2 0 2 0 . 1 . 2         F a c e b o o k 奖 励 了   1 2 , 5 0 0 $ * 参 考 来 源 ： 参 考 来 源 ： y s a m m ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理