搜索

[15212] 2020-04-04_关于IDOR的几个奇怪案例分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-04_关于IDOR的几个奇怪案例分析 关 于 I D O R 的 几 个 奇 怪 案 例 分 析 c l o u d s   F r e e B u f   2 0 2 0 - 0 4 - 0 4 果 阿 这 个 地 方 一 直 是 冒 险 者 的 天 堂 ， 就 在 前 不 久 ， 我 们 几 个 朋 友 计 划 去 果 阿 旅 行 ， 于 是 乎 我 们 便 在 果 阿 这 个 地 方 一 直 是 冒 险 者 的 天 堂 ， 就 在 前 不 久 ， 我 们 几 个 朋 友 计 划 去 果 阿 旅 行 ， 于 是 乎 我 们 便 在 S k y s c a n n e r 上 搜 索 廉 价 机 票 ， 然 后 找 到 了 一 个 名 为 上 搜 索 廉 价 机 票 ， 然 后 找 到 了 一 个 名 为 “ w h e r e I D O R s L i v e . c o m ” 的 网 站 。 的 网 站 。 这 个 网 站 的 优 惠 幅 度 非 常 大 ， 它 是 一 个 大 型 旅 游 门 户 网 站 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 分 享 几 个 我 从 中 发 现 的 这 个 网 站 的 优 惠 幅 度 非 常 大 ， 它 是 一 个 大 型 旅 游 门 户 网 站 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 分 享 几 个 我 从 中 发 现 的 I D O R （ 不 安 全 的 直 接 对 象 引 用 ） 漏 洞 。 （ 不 安 全 的 直 接 对 象 引 用 ） 漏 洞 。 第 一 个 第 一 个 I D O R ： 下 载 任 意 用 户 的 机 票 ： 下 载 任 意 用 户 的 机 票 当 我 在 该 网 站 的 交 易 确 认 页 面 中 继 续 完 成 机 票 订 购 时 ， 我 发 现 了 一 个 选 项 ， 即 将 机 票 订 单 的 P D F 版 通 过 短 信 、 右 键 和 直 接 下 载 的 方 式 提 供 给 用 户 。 于 是 ， 我 直 接 下 载 了 机 票 的 P D F 文 件 。 P D F 文 件 名 是 一 个 加 密 字 符 串 ， 我 一 开 始 以 为 它 使 用 的 是 B a s e 6 4 编 码 ， 但 解 码 之 后 却 生 成 了 一 堆 乱 七 八 糟 的 东 西 。 这 种 情 况 很 常 见 ， 即 字 符 串 经 过 加 密 之 后 再 次 被 编 码 为 B a s e 6 4 格 式 ， 这 样 它 们 就 可 以 转 换 为 可 打 印 的 字 符 ， 以 便 在 应 用 程 序 之 间 进 行 平 滑 传 输 和 呈 现 。 每 当 我 在 网 站 中 看 到 有 数 据 被 加 密 时 ， 我 都 忍 不 住 想 要 去 研 究 一 下 ， 因 为 根 据 我 的 经 验 ， 大 多 数 网 站 在 使 用 加 密 算 法 时 都 存 在 错 误 实 现 或 者 错 误 的 “ 自 定 义 ” 实 现 。 我 之 所 以 觉 得 这 个 网 站 有 问 题 ， 是 因 为 他 们 没 有 为 他 们 的 A P I 使 用 S S L 证 书 ， 并 且 对 P D F 文 件 名 进 行 了 加 密 操 作 ， 这 里 一 定 有 问 题 。 于 是 乎 ， 我 右 键 点 击 了 网 页 上 的 “ 下 载 P D F ” 按 钮 ， 然 后 审 查 元 素 。 我 们 发 现 ， 代 码 使 用 我 的 “ 订 单 I D ” 作 为 参 数 调 用 了 d o w n l o a d P d f 函 数 。 那 么 我 所 做 的 第 一 件 事 ， 就 是 将 我 的 订 单 I D + 1 ， 比 如 说 “ 6 6 7 8 6 6 9 4 ” ， 然 后 再 次 调 用 该 函 数 。 但 此 时 打 开 的 仍 然 是 我 这 一 份 订 单 P D F ， 无 论 你 提 供 给 d o w n l o a d P d f 函 数 的 订 单 I D 值 是 多 少 ， 它 都 只 会 返 回 当 前 机 票 订 单 的 P D F 。 接 下 来 ， 我 开 始 分 析 d o w n l o a d P d f 函 数 。
函 数 代 码 很 简 单 ， 它 接 收 一 个 订 单 I D 号 作 为 参 数 “ t i d ” （ 这 里 就 是 “ 6 6 7 8 6 6 9 3 ” ） ， 但 是 却 没 有 将 其 重 新 分 配 给 加 密 字 符 串 “ h d n B o o k i n g I d ” 。 因 此 ， 当 你 单 击 它 时 ， 将 会 在 一 个 新 的 选 项 卡 中 打 开 你 的 P D F ： d o w n l o a d P d f . j s 【 源 代 码 】 【 源 代 码 】 这 就 很 奇 怪 了 ， 为 什 么 会 有 人 这 么 做 ？ 为 什 么 不 直 接 调 用 d o w n l o a d P d f 函 数 ？ 为 什 么 不 用 它 来 传 递 订 单 编 号 ？ 我 的 第 一 反 应 ， 就 是 遗 留 代 码 ， 此 前 可 能 是 这 个 函 数 直 接 将 “ 订 单 I D ” 转 换 为 U R L 。 因 此 ， 我 猜 测 之 前 的 链 接 形 式 可 能 为 ： 为 了 查 看 后 端 是 否 仍 然 有 效 ， 我 访 问 了 下 面 这 个 链 接 ： 没 错 ， 这 条 链 接 给 我 们 返 回 了 P D F ， 通 过 枚 举 订 单 I D ， 我 还 能 够 获 取 到 其 他 人 的 机 票 订 单 。 h t t p : / / a p i . w h e r e I D O R s L i v e . c o m / X Y Z S e r v i c e / E t i c k e t P d f / h d n B o o k i n g I d . p d f f u n c t i o n   d o w n l o a d P d f ( t i d )   {                 i f   ( d o c u m e n t . g e t E l e m e n t B y I d ( " h d n B o o k i n g I d " )   ! =   n u l l   & &   d o c u m e n t . g e t E l e m e n t B y I d ( " h d n B o o k i n g I d " ) . v a l u e   ! =   " " )                         t i d   =   d o c u m e n t . g e t E l e m e n t B y I d ( h t t p : / / a p i . w h e r e I D O R s L i v e . c o m / X Y Z S e r v i c e / E t i c k e t P d f / b o o k i n g I d . p d f h t t p : / / a p i . w h e r e I D O R s L i v e . c o m / X Y Z S e r v i c e / E t i c k e t P d f / 6 6 7 8 6 6 9 3 . p d f
漏 洞 成 因 漏 洞 成 因 很 可 能 是 因 为 ， 后 端 文 件 仍 然 是 以 “ b o o k i n g I d . p d f ” 的 形 式 存 储 的 ， 并 且 有 一 个 中 间 件 来 负 责 将 h d n B o o k i n g I d 解 密 为 b o o k i n g I d ， 或 者 说 同 时 存 储 了 一 个 订 单 的 两 种 文 件 名 称 / 格 式 ， 即 同 时 存 在 “ h d n B o o k i n g I d . p d f ” 和 “ b o o k i n g I d . p d f ” 。 第 二 个 第 二 个 I D O R ： 同 一 家 公 司 的 另 一 个 终 端 节 点 ： 同 一 家 公 司 的 另 一 个 终 端 节 点 接 下 来 ， 我 对 该 公 司 旗 下 的 A n d r o i d 应 用 程 序 进 行 了 分 析 ， 并 且 发 现 流 量 会 被 路 由 至 一 个 终 端 节 点 处 ： 这 对 于 黑 客 来 说 ， 绝 对 是 一 个 宝 藏 。 这 是 一 个 记 录 了 所 有 节 点 的 文 档 ， 当 点 击 相 应 节 点 的 超 链 接 时 ， 还 会 提 供 响 应 的 J S O N 和 X M L 样 本 P a y l o a d ， 以 及 节 点 返 回 的 响 应 数 据 格 式 。 检 查 完 这 些 节 点 之 后 ， 我 发 现 了 一 个 可 能 会 导 致 某 些 信 息 泄 露 的 节 点 ： 这 里 要 求 提 供 T r a n s a c t i o n s c r e e n I D 、 U s e r N a m e 和 P a s s w o r d 这 三 个 参 数 ， 但 此 时 的 我 竟 然 有 些 束 手 无 策 测 。 通 过 A n d r o i d 应 用 程 序 获 取 到 订 票 信 息 后 ， 便 会 触 发 这 个 节 点 ， 然 后 我 们 就 可 以 查 看 到 获 取 订 票 细 节 所 需 的 参 数 值 了 ： 节 点 会 以 H T M L   T a b l e 的 格 式 返 回 乘 客 的 信 息 ， 而 不 是 之 前 的 P D F 格 式 ： 现 在 ， 我 们 可 以 再 看 看 之 前 的 文 档 了 。 还 记 得 P r o c e s s T y p e 参 数 吗 ？ 我 们 可 以 直 接 将 U R L 地 址 中 的 最 后 一 个 参 数 改 成 1 或 者 其 他 值 ： h t t p : / / c l o u d . w h e r e I D O R s L i v e . i n / X Y Z S e r v i c e / d b o p e r a t i o n . s v c / G e t E T i c k e t / { T r a n s a c t i o n s c r e e n I D } / { U s e r N a m e } / { P a s s w o r d } / { P r o c e s s T y p e }
将 “ 3 ” 传 递 给 P r o c e s s T y p e 参 数 ， 将 会 触 发 异 常 ， 并 允 许 我 们 查 看 到 底 层 代 码 。 第 三 个 第 三 个 I D O R ： 同 一 家 公 司 的 另 一 个 终 端 节 点 ： 同 一 家 公 司 的 另 一 个 终 端 节 点 在 查 看 文 档 时 ， 我 还 发 现 了 另 一 个 可 能 会 泄 露 敏 感 信 息 的 节 点 ： 向 这 个 节 点 请 求 数 据 ， 将 会 返 回 用 户 的 个 人 身 份 识 别 信 息 P I I 。 只 要 你 在 这 家 公 司 的 网 站 上 订 过 票 ， 那 你 的 数 据 就 可 以 通 过 这 样 的 方 式 来 获 取 到 。 / G e t P a x B o o k i n g D e t a i l s / { T r a n s a c t i o n s c r e e n I D } / { U s e r N a m e } / { P a s s w o r d }
漏 洞 成 因 漏 洞 成 因 该 节 点 之 所 以 会 存 在 这 个 漏 洞 ， 是 因 为 它 没 有 部 署 任 何 的 访 问 控 制 策 略 或 健 壮 的 身 份 验 证 机 制 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理