搜索

[16048] 2020-11-04_挖洞经验价值6k$的星巴克官网账户劫持漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-11-04_挖洞经验价值6k$的星巴克官网账户劫持漏洞 挖 洞 经 验   |   价 值 6 k $ 的 星 巴 克 官 网 账 户 劫 持 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 1 1 - 0 4 本 文 分 享 的 是 作 者 通 过 测 试 星 巴 本 文 分 享 的 是 作 者 通 过 测 试 星 巴 克 官 网 时 ， 在 其 测 试 环 境 中 发 现 的 ， 利 用 克 官 网 时 ， 在 其 测 试 环 境 中 发 现 的 ， 利 用 I D O R 越 权 方 式 实 现 的 账 户 劫 持 漏 洞 ， 获 得 了 星 巴 克 官 方 奖 励 越 权 方 式 实 现 的 账 户 劫 持 漏 洞 ， 获 得 了 星 巴 克 官 方 奖 励 $ 6 0 0 0 的 的 奖 励 。 奖 励 。 漏 洞 探 测 漏 洞 探 测 当 我 浏 览 到 新 加 坡 星 巴 克 网 站 时 ， 偶 然 在 其 中 发 现 了 一 个 第 三 方 网 站 ， 出 于 保 密 原 因 暂 且 叫 他 为 e x a m p l e . c o m ， 随 着 对 该 网 站 的 深 入 探 测 ， 我 发 现 其 路 径 e x a m p l e . c o m / s t a r b u c k s 下 的 页 面 和 星 巴 克 登 录 网 站 c a r d . s t a r b u c k s . c o m . s g 一 模 一 样 : 此 时 我 想 到 了 两 种 可 能 性 ：
1 、 当 前 W e b 应 用 程 序 是 c a r d . s t a r b u c k s . c o m . s g 的 测 试 环 境 ； 2 、 可 能 是 忘 记 删 除 的 旧 版 测 试 环 境 。 这 两 种 可 能 性 都 会 导 致 漏 洞 ， 但 我 也 并 不 确 定 这 里 的 漏 洞 是 否 会 对 星 巴 克 网 站 的 生 产 环 境 形 成 影 响 。 于 是 ， 我 在 c a r d . s t a r b u c k s . c o m . s g 网 站 创 建 了 一 个 用 户 ， 然 后 用 该 用 户 在 e x a m p l e . c o m / s t a r b u c k s 来 进 行 登 录 测 试 ， B I N G O ！ 竟 然 可 以 的 ！ 也 就 是 说 e x a m p l e . c o m / s t a r b u c k s 和 c a r d . s t a r b u c k s . c o m . s g 采 用 了 相 同 的 用 户 认 证 机 制 ， 都 能 认 证 星 巴 克 注 册 用 户 。 漏 洞 利 用 漏 洞 利 用 为 此 ， 我 在 e x a m p l e . c o m / s t a r b u c k s 页 面 下 发 现 了 另 一 个 路 径 ， 该 路 径 发 起 的 P O S T 数 据 包 中 包 含 了 注 册 用 户 的 绑 定 邮 箱 ： e m a i l = h a c k e r @ h a c k e r . c o m 基 于 账 户 劫 持 思 路 ， 为 此 ， 我 在 这 里 把 绑 定 邮 箱 替 换 成 受 害 者 的 ， 请 求 发 出 后 ， 服 务 端 的 响 应 内 容 中 只 包 含 了 受 害 者 的 部 份 信 息 。 而 且 在 更 改 密 码 的 请 求 中 ， 由 于 无 效 的 C S R F   t o k e n ， 所 以 最 终 账 户 劫 持 的 尝 试 也 没 成 功 。 继 续 测 试 ， 我 把 包 含 受 害 者 邮 箱 参 数 ， 在 e x a m p l e . c o m / s t a r b u c k s 中 生 成 的 P H P S E S S I D   c o o k i e 复 制 到 了 c a r d . s t a r b u c k s . c o m . s g 的 请 求 数 据 包 中 ， 哦 哇 ， 请 求 发 出 后 ， 竟 然 可 以 成 功 获 取 到 星 巴 克 生 产 环 境 中 受 害 者 的 个 人 信 息 ， 该 请 求 中 生 成 的 有 效 C S R F   t o k e n 可 以 让 我 有 权 更 改 受 害 者 密 码 ， 以 此 劫 持 了 受 害 者 账 户 。 漏 洞 影 响 漏 洞 影 响 利 用 该 漏 洞 不 但 可 以 看 到 其 他 用 户 的 个 人 信 息 ， 还 能 劫 持 受 害 者 账 户 ， 而 且 如 果 受 害 者 用 户 账 户 中 有 累 积 积 分 ， 还 可 以 通 过 移 动 A P P 去 消 费 掉 受 害 者 的 这 些 积 分 。 其 它 漏 洞 发 现 其 它 漏 洞 发 现 我 还 在 e x a m p l e . c o m 上 发 现 了 其 它 两 个 测 试 环 境 页 面 ， 它 们 是 ： e x a m p l e . c o m / s t a r b u c k s 2 和 e x a m p l e . c o m / s t a r b u c k s 3 ， 但 是 我 在 c a r d . s t a r b u c k s . c o m . s g 注 册 的 账 户 都 不 能 登 录 该 两 个 测 试 页 面 。 另 外 ， e x a m p l e . c o m / s t a r b u c k s 2 页 面 不 能 注 册 新 用 户 ， 但 e x a m p l e . c o m / s t a r b u c k s 3 页 面 可 以 注 册 新 用 户 ， 这 里 就 稍 微 有 点 乱 了 ， 但 我 尽 量 简 单 来 说 。 我 觉 得 e x a m p l e . c o m / s t a r b u c k s 2   和   e x a m p l e . c o m / s t a r b u c k s 3 两 个 测 试 环 境 页 面 调 用 的 都 是 测 试 用 户 数 据 表 ， 因 此 ， 在 生 产 环 境 c a r d . s t a r b u c k s . c o m . s g 中 注 册 的 用 户 是 不 能 在 该 两 个 测 试 环 境 中 登 录 的 。
由 于 e x a m p l e . c o m / s t a r b u c k s 3 页 面 可 以 注 册 新 用 户 ， 且 该 用 户 可 用 来 登 录 e x a m p l e . c o m / s t a r b u c k s 2 ， 但 不 能 登 录 c a r d . s t a r b u c k s . c o m . s g 。 然 而 ， 我 从 e x a m p l e . c o m / s t a r b u c k s 2 请 求 包 中 复 制 的 P H P S E S S I D   c o o k i e 却 能 有 效 应 用 在 c a r d . s t a r b u c k s . c o m . s g ， 因 此 ， 也 就 能 间 接 使 用 该 在 e x a m p l e . c o m / s t a r b u c k s 3 页 面 注 册 的 新 用 户 。 为 此 ， 我 画 了 一 副 以 下 漏 洞 利 用 逻 辑 图 ： 1 、 用 受 害 者 邮 箱 在 e x a m p l e . c o m / s t a r b u c k s 3 上 注 册 新 用 户 ； 2 、 用 该 注 册 的 受 害 者 用 户 登 录 e x a m p l e . c o m / s t a r b u c k s 2 ； 3 、 复 制 第 2 步 请 求 中 的 P H P S E S S I D   c o o k i e 信 息 到 生 产 环 境 网 站 c a r d . s t a r b u c k s . c o m . s g ， 进 行 登 录 ， 即 能 实 现 对 受 害 者 的 账 户 劫 持 （ 如 果 该 受 害 者 邮 箱 在 生 产 环 境 中 有 过 用 户 注 册 ， 这 里 一 样 可 以 实 现 账 户 劫 持 ） 。 漏 洞 报 送 和 处 理 进 程 漏 洞 报 送 和 处 理 进 程 5 . 1 7   -   漏 洞 报 送 5 . 1 8   -   漏 洞 分 类 5 . 2 0   -   星 巴 克 奖 励 $ 4 0 0 0 6 . 1 7   -   星 巴 克 额 外 奖 励 $ 2 0 0 0 参 考 来 源 ： 参 考 来 源 ： k a m i l o n u r o z k a l e l 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理