搜索

[15532] 2020-06-25_Lyft费用报告导出功能的SSRF漏洞分析

文档创建者：s7ckTeam
浏览次数：109
最后更新：2025-01-18
2020-06-25_Lyft费用报告导出功能的SSRF漏洞分析 L y f t 费 用 报 告 导 出 功 能 的 S S R F 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 0 - 0 6 - 2 5 在 外 出 参 与 某 个 安 全 会 议 的 旅 程 中 ， 我 发 现 打 车 拼 车 应 用 在 外 出 参 与 某 个 安 全 会 议 的 旅 程 中 ， 我 发 现 打 车 拼 车 应 用 L y f t 能 以 能 以 P D F 或 或 C S V 方 式 生 成 用 户 的 行 程 消 费 报 告 ， 作 为 一 个 方 式 生 成 用 户 的 行 程 消 费 报 告 ， 作 为 一 个 L y f t 的 老 用 户 ， 这 种 功 能 非 常 方 便 ， 可 以 简 化 我 繁 琐 的 工 作 费 用 的 老 用 户 ， 这 种 功 能 非 常 方 便 ， 可 以 简 化 我 繁 琐 的 工 作 费 用 整 理 流 程 。 但 便 利 的 同 时 ， 我 也 在 想 一 个 问 题 ： 它 会 存 在 安 全 漏 洞 吗 ？ 最 终 经 过 我 与 整 理 流 程 。 但 便 利 的 同 时 ， 我 也 在 想 一 个 问 题 ： 它 会 存 在 安 全 漏 洞 吗 ？ 最 终 经 过 我 与 C o d y   B r o c i o u s   ( @ D a e k e n ) 的 测 试 ， 发 现 的 测 试 ， 发 现 L y f t 在 该 功 能 上 确 实 存 在 漏 洞 。 该 漏 洞 于 在 该 功 能 上 确 实 存 在 漏 洞 。 该 漏 洞 于 2 0 1 8 年 发 现 ， 直 年 发 现 ， 直 到 最 近 才 公 开 ， 我 们 一 起 来 看 看 。 到 最 近 才 公 开 ， 我 们 一 起 来 看 看 。 L y f t 的 消 费 报 告 导 出 功 能 的 消 费 报 告 导 出 功 能 当 完 成 了 一 次 打 车 服 务 ， 缴 费 或 给 司 机 评 分 之 后 ， 在 L y f t 应 用 弹 出 的 行 程 信 息 窗 口 中 ， 用 户 可 以 在 其 中 输 入 消 费 代 码 （ e x p e n s e   c o d e ） 或 其 它 信 息 ， 来 对 行 程 进 行 标 识 记 录 。 比 如 ， 出 于 测 试 目 的 ， 我 打 车 到 机 场 后 ， 在 L y f t 应 用 中 的 “ 行 程 历 史 ” （ R i d e   H i s t o r y ） 下 的 行 程 信 息 窗 口 标 识 中 ， 我 输 入 了 一 个 H T M L 标 记 ( t e s t ) ， 之 后 ， 对 应 地 它 会 提 示 我 可 以 导 出 消 费 报 告 。 点 击 导 出 之 后 ， 它 会 向 我 的 邮 箱 发 现 两 种 报 告 模 板 ： C S V 和 P D F ， 在 我 打 开 P D F 版 本 的 报 告 后 ， 之 前 我 输 入 的 H T M L 标 记 ( t e s t ) 竟 然 成 功 在 消 费 标 识 区 域 被 加 载 了 ： 这 个 可 利 用 点 引 起 了 我 们 的 注 意 ， 我 们 想 可 以 尝 试 用 其 中 的 P D F 生 成 机 制 （ P D F   g e n e r a t o r ） 是 否 存 在 S S R F 漏 洞 。 S S R F 漏 洞 漏 洞 从 上 可 知 ， 向 P D F 消 费 报 告 生 成 机 制 （ P D F   g e n e r a t o r ） 中 插 入 的 H T M L 标 记 能 有 效 加 载 ， 接 下 来 可 以 考 虑 ， 攻 击 者 利 用 该 功 能 是 否 可 让 P D F   g e n e r a t o r 调 用 一 些 外 部 资 源 实 现 敏 感 信 息 收 集 （ 如 u s e r - a g e n t 类 的 用 户 信 息 等 ） 。 由 于 行 程 消 费 标 识 操 作 每 次 都 需 要 启 动 L y f t 应 用 ， 为 此 ， 我 们 在 其 中 设 置 了 几 个 包 含 外 部 链 接 的 行 程 历 史 记 录 ， 其 中 嵌 入 了 如 < i f r a m e >   和   < i m g > 的 外 部 资 源 标 记 ， 但 是 ， 经 过 测 试 发 现 ， 这 种 方 式 完 全 无 效 ， 没 有 任 何 反 应 。 数 周 之 后 ， H a c k e r O n e 在 纽 约 举 办 了 一 场 线 下 实 时 比 赛 ， 其 中 就 包 含 了   L y f t   A P P ， 而 且 这 种 类 似 内 测 的 比 赛 可 以 在 L y f t   A P P 中 添 加 大 量 行 程 历 史 记 录 ， 因 此 对 我 们 来 说 ， 这 算 是 一 个 非 常 好 的 漏 洞 测 试 机 会 。 本 次 比 赛 ， 我 们 把 关 注 点 调 整 ， 首 先 需 要 了 解 为 什 么 < h 1 >   和 < u >   标 记 能 正 常 加 载 ， 而 < i m g >   和   < i f r a m e > 却 不 行 。 之 前 说 过 ， 在 L y f t 发 来 的 消 费 报 告 中 还 存 在 一 个 C S V 文 件 ， 经 过 对 比 其 中 的 字 符 串 集 ， 我 们 发 现 其 中 包 含 的 左 右 双 引 号 是 这 样 的 “ ， 而 非 正 常 的 英 打 双 引 号 “ ， 之 后 ， 我 们 在 P D F 消 费 报 告 的 P a y l o a d 进 行 了 校 正 ， 然 后 请 求 P D F 报 告 ， 就 能 从 L y f t 应 用 中 获 取 到 报 告 生 成 服 务 端 的 U s e r - A g e n t 信 息 ， 其 中 包 含 了 W e a s y P r i n t 服 务 ， 如 下 ： W e a s y P r i n t W e a s y P r i n t   是 一 个 开 源 的 智 能 W E B 报 告 生 成 服 务 ， 用 它 可 以 方 便 地 在 W E B 应 用 中 制 作 生 成 P D F 报 告 ， 它 能 把 简 单 的 H T M L 标 记 转 变 成 华 丽 的 * * 、 票 据 、 统 计 报 告 等 ， 用 户 在 相 应 的 H T M L 模 板 或 U R L 链 接 中 填 写 好 要 求 的 字 段 后 就 能 自 动 生 成 P D F 报 告 ， 如 用 以 下 命 令 就 能 把 一 个 填 写 好 的 H T M L 模 板 生 成 P D F 报 告 ： $ >   w e a s y p r i n t   i n p u t . h t m l   o u t p u t . p d f 所 以 ， 接 下 来 我 们 就 把 研 究 点 放 到 了 W e a s y P r i n t 服 务 上 ， 经 过 分 析 ， 我 们 发 现 W e a s y P r i n t 的 具 体 工 作 机 制 如 下 ： 允 许 嵌 入 短 小 数 字 作 为 H T M L 标 记 不 允 许 执 行 J a v a s c r i p t 脚 本 不 允 许 执 行 i f r a m e 或 类 似 标 记 通 过 对 W e a s y P r i n t 开 源 代 码 的 分 析 查 看 之 后 ， 我 们 在 h t m l . p y 中 发 现 了 一 些 有 意 思 的 地 方 ， 如 W e a s y P r i n t 对 i m g 、 e m b e d 和 o b j e c t 等 标 签 集 都 进 行 了 重 定 义 ， 由 于 其 不 支 持 J a v a s c r i p t 脚 本 ， 所 以 当 时 我 们 对 P D F 生 成 机 制 的 漏 洞 利 用 就 没 抱 太 大 希 望 。 但 是 ， 后 来 ， 我 们 在 W e a s y P r i n t 开 源 代 码 的   p d f . p y 文 件 中 发 现 了 属 性 ， 该 属 性 允 许 向 P D F 报 告 插 入 任 意 的 网 页 形 式 或 本 地 文 件 内 容 ， 如 ： < l i n k   r e l = a t t a c h m e n t   h r e f = ” f i l e : / / / r o o t / s e c r e t . t x t ” >
最 终 ， 利 用 数 据 压 缩 函 数 库 z l i b   以 及   p y t h o n ,   我 们 写 了 一 个 从 P D F 文 件 中 解 包 本 地 文 件 的 脚 本 ， 如 下 ： 最 后 一 程 最 后 一 程 在 本 地 环 境 测 试 中 ， 我 们 把 上 述 脚 本 结 合 L y f t 的 P D F 生 成 机 制 设 置 了 一 个 包 含 P a y l o a d 的 行 程 记 录 ， 在 导 出 P D F 报 告 的 过 程 中 ， 触 发 了 其 中 的 S S R F 利 用 ， 获 取 到 了 相 应 的 用 户 信 息 ， 确 认 了 漏 洞 的 存 在 ， 如 下 ： 致 谢 致 谢 感 谢 L y f t 安 全 团 队 ， D a e k e n 的 思 路 、 @ d 0 n u t p t r 的 漏 洞 验 证 ， 更 多 技 术 细 节 请 查 看 H a c k e r O n e 报 告 - H - 8 8 5 9 7 5 。 漏 洞 上 报 和 处 理 过 程 漏 洞 上 报 和 处 理 过 程 2 0 1 8 . 1 1 . 1 0   -   我 初 次 发 现 漏 洞 2 0 1 8 . 1 1 . 2 9   -   在 纽 约 比 赛 中 与 @ D a e k e n 合 作 完 成 P O C 2 0 1 8 . 1 1 . 2 9   -   报 送 L y f t 安 全 团 队 2 0 1 8 . 1 1 . 2 9   -   L y f t 修 复 漏 洞 2 0 1 8 . 1 1 . 3 0   -   L y f t 告 知 漏 洞 已 修 复 2 0 1 8 . 1 2 . 0 5   -   L y f t 按 其 最 高 众 测 标 准 给 予 漏 洞 赏 金 2 0 2 0 . 5 . 2 0   -   漏 洞 公 开 * 参 考 来 源 ： 参 考 来 源 ： n a h a m s e c ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 i m p o r t   s y s ,   z l i b d e f   m a i n ( f n ) :         d a t a   =   o p e n ( f n ,   ' r b ' ) . r e a d ( )         i   =   0         f i r s t   =   T r u e         l a s t   =   N o n e         w h i l e   T r u e :                 i   =   d a t a . f i n d ( b ' > > n s t r e a m n ' ,   i )                 i f   i   = =   -
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理