搜索

[16094] 2020-11-15_挖洞经验利用开放重定向漏洞劫持GitHubGist账户

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-11-15_挖洞经验利用开放重定向漏洞劫持GitHubGist账户 挖 洞 经 验   |   利 用 开 放 重 定 向 漏 洞 劫 持 G i t H u b   G i s t 账 户 c l o u d s   F r e e B u f   2 0 2 0 - 1 1 - 1 5 近 期 ， 我 针 对 G i t H u b 做 了 一 些 安 全 测 试 ， 特 别 对 其 不 同 的 C S R F   t o k e n 进 行 了 绕 过 测 试 ， 在 此 过 程 中 ， 我 顺 带 研 究 了 u r l s 生 成 的 各 种 方 法 函 数 ， 希 望 从 中 发 现 用 来 创 建 t o k e n 的 相 关 方 法 ， 最 后 发 现 了 其 中 的 一 个 开 放 重 定 向 漏 洞 ， 利 用 该 漏 洞 可 以 成 功 劫 持 G i t H u b   G i s t 账 户 。 漏 洞 收 获 了 $ 1 0 , 0 0 0 的 奖 励 。 漏 洞 发 现 漏 洞 发 现 在 我 测 试 的 u r l s 生 成 方 法 中 ， 有 一 个 名 为 u r l _ f o r 的 方 法 ， 它 通 常 被 用 来 生 成 一 些 与 控 制 器 （ c o n t r o l l e r ） 相 关 的 链 接 。 虽 然 从 该 方 法 中 我 没 找 到 任 何 可 绕 过 漏 洞 ， 但 却 发 现 了 利 用 用 户 可 控 哈 希 （ c o n t r o l l a b l e   h a s h ） 进 行 u r l _ f o r 方 法 调 用 的 线 索 。 一 般 来 说 ， u r l _ f o r 方 法 调 用 需 要 把 添 加 进 额 外 参 数 的 用 户 哈 希 附 加 到 u r l 后 ， 作 为 一 个 查 询 字 符 串 进 行 查 询 ， 但 我 通 过 阅 读 g i t h u b 说 明 文 档 发 现 ， 在 该 方 法 调 用 实 现 过 程 中 ， 存 在 一 些 可 控 的 选 项 参 数 ： : o n l y _ p a t h   -   如 果 为 真 t r u e ， 即 返 回 相 应 的 U R L ， 默 认 为 假 f a l s e ； : p r o t o c o l   -   即 希 望 连 接 的 协 议 方 式 ， 默 认 为 ’ h t t p ’ ； : h o s t   -   指 定 连 接 的 特 定 主 机 ， 如 果 : o n l y _ p a t h 为 f a l s e ， 该 选 项 必 须 明 确 提 供 或 显 式 提 示 ， 或 通 过 d e f a u l t _ u r l _ o p t i o n s 给 出 信 息 ； : s u b d o m a i n   -   指 定 连 接 的 特 定 子 域 名 ， 使 用 t l d _ l e n g t h 从 h o s t 主 机 信 息 中 分 离 出 子 域 名 。 如 果 该 项 为 f a l s e ， 则 从 连 接 的 主 机 信 息 中 删 除 所 有 子 域 名 信 息 ； : d o m a i n   -   指 定 连 接 的 特 定 域 名 ， 使 用 t l d _ l e n g t h 从 h o s t 主 机 信 息 中 分 离 域 名 信 息 ； : t l d _ l e n g t h   -   组 成 顶 级 域 名 T L D   i d 的 标 签 数 量 ， 当 : s u b d o m a i n   或   : d o m a i n 提 供 时 有 用 ， 默 认 为 A c t i o n D i s p a t c h : : H t t p : : U R L . t l d _ l e n g t h ， 而 该 项 值 又 默 认 为 1 ； : p o r t   -   指 定 可 选 的 连 接 端 口 ； : a n c h o r   -   附 加 在 路 径 后 的 属 性 a n c h o r 名 称 ； : p a r a m s   -   附 加 在 路 径 后 的 请 求 参 数 ； : t r a i l i n g _ s l a s h   -   如 果 为 t r u e ， 则 在 末 尾 添 加 ’ / ‘ ， 如 / a r c h i v e / 2 0 0 9 / ； : s c r i p t _ n a m e   -   相 对 于 网 站 根 目 录 的 应 用 程 序 路 径 ， 如 果 有 该 选 项 ， 则 附 上 应 用 程 序 路 径 。 由 于 此 前 我 在 其 它 一 些 应 用 中 见 过 : p r o t o c o l 、 : h o s t 选 项 ， 以 及 b l a c k l i s t e d / r e m o v e d 和   : o n l y _ p a t h 设 置 为 t r u e 的 实 例 ， 但 从 没 见 过 : s c r i p t _ n a m e 选 项 的 使 用 。 貌 似 : s c r i p t _ n a m e 用 在 p a t h _ f o r 方 法 中 居 多 ， 且 一 般 被 放 在 路 径 p a t h 开 头 ， 如 下 p a t h _ f o r 方 法 ： G i t H u b 中 有 多 个 地 方 用 类 似 以 下 的 代 码 来 创 建 相 应 链 接 ： d e f   p a t h _ f o r ( o p t i o n s )         p a t h   =   o p t i o n s [ : s c r i p t _ n a m e ] . t o _ s . c h o m p ( " / " )         p a t h   < <   o p t i o n s [ : p a t h ]   i f   o p t i o n s . k e y ? ( : p a t h )         a d d _ t r a i l i n g _ s l a s h ( p a t h )   i f   o p t i o n s [ : t r a i l i n g _ s l a s h ]         a d d _ p a r a m s ( p a t h ,   o p t i o n s [ : p a r a m s ] )   i f   o p t i o n s . k e y ? ( : p a r a m s )         a d d _ a n c h o r ( p a t h ,   o p t i o n s [ : a n c h o r ] )   i f   o p t i o n s . k e y ? ( : a n c h o r )         p a t h         e n d < a   c l a s s = " l i n k "   h r e f = " < % =   u r l _ f o r ( r e q u e s t . q u e r y _ p a r a m e t e r s . m e r g e ( o n l y _ p a t h :   t r u e ) )   % > " >
也 就 是 说 ， 如 果 构 造 形 如 ? s c r i p t _ n a m e = j a v a s c r i p t : a l e r t ( 1 ) / /   的 请 求 字 符 串 ， 将 会 生 成 如 以 h t m l 文 件 代 码 ： 可 以 看 出 ， 如 果 点 击 ’ C l i c k   m e ’ ， 将 会 触 发 一 个 反 射 型 X S S ， 虽 然 可 能 会 被 C S P 策 略 阻 拦 ， 但 也 算 是 一 个 有 意 思 的 漏 洞 。 另 外 我 还 发 现 了 一 个 用 可 控 参 数 调 用 u r l _ f o r 方 法 的 地 方 ， 这 一 次 它 会 形 成 一 个 重 定 向 跳 转 。 该 处 在 应 用 程 序 控 制 器 中 的 源 码 如 下 ： 由 于 其 中 使 用 了 o n l y _ p a t h :   t r u e ， 它 通 常 只 允 许 现 有 主 机 相 关 的 U R L ， 并 且 只 保 留 查 询 参 数 ， 但 使 用 s c r i p t _ n a m e 的 技 巧 却 会 引 发 一 些 有 意 思 结 果 。 s c r i p t _ n a m e 选 项 不 需 要 以 斜 线 开 头 ， 且 如 果 用 到 了 r e d i r e c t _ t o 的 话 ， s c r i p t _ n a m e 中 的 相 关 信 息 将 会 附 加 到 h o s t 之 后 。 最 终 的 请 求 构 造 如 下 ： 由 于 最 后 的 域 名 是 可 控 的 ， 所 以 如 果 s c r i p t _ n a m e 中 用 到 了 . a t t a c k e r . d o m a i n ， 那 将 会 发 生 到 . a t t a c k e r . d o m a i n 的 跳 转 ， 之 后 ， 我 就 直 接 把 该 问 题 以 开 放 重 定 向 漏 洞 上 报 了 。 漏 洞 利 用 漏 洞 利 用 第 二 天 ， 我 和 朋 友 讨 论 过 后 ， 他 建 议 我 可 以 把 开 放 重 定 向 用 到 O A u t h   t o k e n s 上 试 试 ， 看 看 会 否 产 生 影 响 。 一 番 分 析 之 后 ， 我 意 识 到 这 个 开 放 重 定 向 漏 洞 威 力 还 是 大 的 ， 它 会 影 响 几 乎 所 有 的 G i t h u b 控 制 器 路 径 。 G i t H u b 内 置 了 一 些 集 成 的 O A u t h 应 用 服 务 ， 其 中 就 包 含 了 G i s t ， G i t H u b   G i s t 和 G i t H u b 共 享 同 一 个 r a i l s 应 用 服 务 ， 只 是 暴 露 的 主 机 名 和 路 径 不 同 而 已 。 当 登 录 G i s t 时 ， 在 进 行 O A u t h 机 制 的 同 时 会 发 生 以 下 一 大 堆 的 跳 转 ： 1 、 h t t p s : / / g i t h u b . c o m / l o g i n / o a u t h / a u t h o r i z e ? c l i e n t _ i d = 7 e 0 a 3 c d 8 3 6 d 3 e 5 4 4 d b d 9 & r e d i r e c t _ u r i = h t t p s : / / g i s t . g i t h u b . c o m / a u t h / g i t h u b / c a l l b a c k 2 、 h t t p s : / / g i s t . g i t h u b . c o m / a u t h / g i t h u b / c a l l b a c k ? b r o w s e r _ s e s s i o n _ i d = X X X & c o d e = Y Y Y 3 、 h t t p s : / / g i s t . g i t h u b . c o m / a u t h / g i t h u b 4 、 h t t p s : / / g i t h u b . c o m / l o g i n / o a u t h / a u t h o r i z e ? c l i e n t _ i d = 7 e 0 a 3 c d 8 3 6 d 3 e 5 4 4 d b d 9 & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F g i s t . g i t h u b . c o m % 2 F a u t h % 2 F g i t h u b % 2 F c a l l b a c k & r e s p o n s e _ t y p e = c o d e & s t a t e = Z Z Z 5 、 h t t p s : / / g i s t . g i t h u b . c o m / a u t h / g i t h u b / c a l l b a c k ? b r o w s e r _ s e s s i o n _ i d = X X X & c o d e = Y Y Y & s t a t e = Z Z Z 6 、 h t t p s : / / g i s t . g i t h u b . c o m / < a   c l a s s = " l i n k "   h r e f = " < % =   u r l _ f o r ( r e q u e s t . q u e r y _ p a r a m e t e r s . m e r g e ( o n l y _ p a t h :   t r u e ) )   % > " >         C l i c k   m e < / a > < a   c l a s s = " l i n k "   h r e f = " j a v a s c r i p t : a l e r t ( 1 ) / / u s e r / r e p o / . . . " >         C l i c k   m e < / a > b e f o r e _ a c t i o n   : c h e c k _ s o u r c e     d e f   c h e c k _ s o u r c e         s o u r c e   =   p a r a m s [ " s o u r c e " ]         r e t u r n   r e d i r e c t _ t o ( c h e c k _ s o u r c e _ r e d i r e c t _ u r l )   i f   s o u r c e   = =   " m e s s a g e "     e n d     d e f   c h e c k _ s o u r c e _ r e d i r e c t _ u r l         q u e r y   =   A d d r e s s a b l e : : U R I . p a r s e ( r e q u e s t . e n v [ " R E Q U E S T _ U R I " ] ) . q u e r y _ v a l u e s   | |   { }         f i l t e r e d _ p a r a m s   =   q u e r y . e x c e p t ( " s o u r c e " ,   " t o k e n " ) . m e r g e ( o n l y _ p a t h :   t r u e )         u r l _ f o r ( f i l t e r e d _ p a r a m s )     e n d c u r l   - i   ' h t t p : / / l o c a l . d e v ? s o u r c e = m e s s a g e & s c r i p t _ n a m e = g g g ' H T T P / 1 . 1   3 0 2   F o u n d X - F r a m e - O p t i o n s :   S A M E O R I G I N X - X S S - P r o t e c t i o n :   1 ;   m o d e = b l o c k X - C o n t e n t - T y p e - O p t i o n s :   n o s n i f f X - D o w n l o a d - O p t i o n s :   n o o p e n X - P e r m i t t e d - C r o s s - D o m a i n - P o l i c i e s :   n o n e R e f e r r e r - P o l i c y :   s t r i c t - o r i g i n - w h e n - c r o s s - o r i g i n L o c a t i o n :   h t t p : / / l o c a l . d e v g g g / w e l c o m e / i n d e x C o n t e n t - T y p e :   t e x t / h t m l ;   c h a r s e t = u t f - 8 C a c h e - C o n t r o l :   n o - c a c h e X - R e q u e s t - I d :   7 c 8 e e d f a - f 5 5 2 - 4 d 5 a - b b c d - 2 9 5 f 4 e 7 f d 9 c 0 X - R u n t i m e :   0 . 0 0 2 7 4 4 T r a n s f e r - E n c o d i n g :   c h u n k e d < h t m l > < b o d y > Y o u   a r e   b e i n g   < a   h r e f = " h t t p : / / l o c a l . d e v g g g / w e l c o m e / i n d e x " > r e d i r e c t e d < / a > . < / b o d y > < / h t m l >
攻 击 者 要 成 功 登 录 G i s t 服 务 ， 只 需 要 上 述 过 程 中 的 b r o w s e r _ s e s s i o n _ i d 和 c o d e 参 数 ， 由 于 c l i e n t _ i d 是 公 开 的 ， 因 为 这 里 只 有 C S R F 防 护 ， 所 以 攻 击 者 端 在 请 求 时 即 可 生 成 s t a t e 参 数 。 刚 开 始 到 r e d i r e c t _ u r i   的 跳 转 ， 可 包 含 c o d e 和 b r o w s e r _ s e s s i o n _ i d 参 数 ， 所 以 我 尝 试 在 其 中 添 加 了 形 如 s c r i p t _ n a m e = . w b o w l i n g . i n f o 域 名 值 ， 一 试 竟 然 有 效 了 ， 可 以 成 功 携 带 相 关 请 求 参 数 跳 转 到 . w b o w l i n g . i n f o 。 之 后 ， 我 通 过 功 能 路 径 h t t p s : / / g i s t . g i t h u b . c o m / a u t h / g i t h u b / c a l l b a c k 获 取 到 了 有 效 的 s t a t e 参 数 ， 然 后 ， 再 综 合 前 面 的 b r o w s e r _ s e s s i o n _ i d 和 c o d e 参 数 ， 成 功 登 录 了 G i s t 服 务 ， 实 现 了 账 户 劫 持 攻 击 。 由 于 G i t H u b   和   G i s t 使 用 的 会 话 t o k e n 不 同 ， 因 此 利 用 该 漏 洞 不 能 对 受 害 者 的 g i t h u b . c o m 服 务 造 成 影 响 ， 仅 会 对 G i s t 服 务 形 成 访 问 控 制 威 胁 。 漏 洞 报 送 和 处 理 进 程 漏 洞 报 送 和 处 理 进 程 2 0 2 0 . 6 . 2 6   0 0 : 3 3 : 3 8   A E S T   -   以 开 放 重 定 向 漏 洞 上 报 2 0 2 0 . 6 . 2 6   1 2 : 5 7 : 3 8   A E S T   -   继 续 测 试 发 现 G i s t 账 户 劫 持 漏 洞 并 上 报 2 0 2 0 . 6 . 2 6   2 3 : 3 3 : 3 0   A E S T   -   漏 洞 分 类 2 0 2 0 . 6 . 2 9   -   告 知 漏 洞 仅 影 响 G i s t 服 务 ， 不 涉 及 G i t H u b   E n t e r p r i s e 产 品 2 0 2 0 . 1 0 . 1 5   0 5 : 4 5 : 4 5   A E D T   G i t h u b 官 方 奖 励 $ 1 0 , 0 0 0 参 考 来 源 ： d e v c r a f t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理