搜索

[16213] 2020-12-15_安全研究Facebook中基于DOM的XSS漏洞利用分析

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2020-12-15_安全研究Facebook中基于DOM的XSS漏洞利用分析 安 全 研 究   |   F a c e b o o k 中 基 于 D O M 的 X S S 漏 洞 利 用 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 2 - 1 5 概 述 概 述 我 们 发 现 的 第 一 个 漏 洞 将 允 许 一 名 恶 意 攻 击 者 从 f a c e b o o k . c o m 域 名 并 通 过 p o s t M e s s a g e 来 发 送 跨 域 消 息 。 存 在 漏 洞 的 终 端 节 点 将 接 收 请 求 参 数 中 用 户 可 控 制 的 内 容 ， 并 使 用 p o s t M e s s a g e 中 的 发 送 消 息 来 构 建 一 个 数 据 对 象 ， 该 对 象 将 与 p o s t M e s s a g e 一 起 发 送 到 已 打 开 的 窗 口 。 接 下 来 ， 我 们 所 发 现 的 第 二 个 漏 洞 跟 第 一 个 漏 洞 有 关 ， 攻 击 者 可 以 利 用 这 个 漏 洞 来 根 据 E v e n t l i s t e n e r 接 收 到 的 表 单 提 交 数 据 来 构 造 一 个 不 安 全 的 脚 本 。 从 从 f a c e b o o k . c o m 源 通 过 源 通 过 p o s t M e s s a g e 发 送 消 息 发 送 消 息 存 在 漏 洞 的 节 点 为 h t t p s : / / w w w . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ， 这 个 节 点 的 响 应 信 息 可 以 由 各 种 参 数 来 控 制 。 我 们 发 现 的 其 中 一 个 有 意 思 的 参 数 为 “ t y p e ” ， 这 个 参 数 如 果 从 平 时 的 “ i ” 改 成 了 “ r p ” 的 话 ， 它 将 会 它 将 使 用 p o s t M e s s a g e 与 打 开 该 页 面 的 窗 口 通 信 （ 如 果 是 “ i ” ， 那 么 它 将 使 用 w i n d o w . p a r e n t . p a y m e n t s F l o w s . p r o c e s s I F r a m e 方 法 ） 。 需 要 注 意 的 是 ， 目 标 源 需 要 设 置 为 o u r . i n t e r n . f a c e b o o k . c o m 。 现 在 ， 我 们 知 道 p o s t M e s s a g e 方 法 仅 会 提 供 给 F a c e b o o k 的 员 工 使 用 ， 因 为 o u r . i n t e r n . f a c e b o o k . c o m 这 个 域 名 只 有 他 们 才 拥 有 完 整 的 访 问 权 ， 如 果 不 是 F a c e b o o k 的 员 工 ， 则 会 被 重 定 向 至 w w w . f a c e b o o k . c o m 。 在 这 里 ， 我 试 图 通 过 访 问 另 一 个 域 中 的 同 一 个 节 点 a l p h a . f a c e b o o k . c o m 来 绕 过 这 种 限 制 。 如 果 访 问 的 是 o u r . a l p h a . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ， 它 将 会 返 回 到 o u r . a l p h a . f a c e b o o k . c o m ， 因 为 p o s t M e s s a g e 中 的 t a r g e t O r i g i n 设 置 的 就 是 这 个 地 址 。 跟 o u r . i n t e r n 不 同 的 是 ， o u r . a l p h a 不 会 重 定 向 至 w w w . 。 这 里 要 注 意 ， o u r . a l p h a . f a c e b o o k . c o m 域 名 包 含 的 内 容 跟 w w w . f a c e b o o k . c o m 其 实 是 一 样 的 。 这 样 ， 我 们 的 消 息 就 可 以 传 递 到 打 开 的 窗 口 了 ， 因 为 t a r g e t O r i g i n 条 件 已 经 满 足 ， 并 且 会 将 消 息 发 送 到 o u r . a l p h a . f a c e b o o k . c o m 。 现 在 ， 我 们 已 经 知 道 了 我 们 要 找 的 是 包 含 了 E v e n t L i s t e n e r s 的 页 面 ， 而 它 只 接 收 消 息 源 为 a c c e p t   f a c e b o o k . c o m 的 消 息 。 X S S 漏 洞 的 发 现 和 利 用 漏 洞 的 发 现 和 利 用 F a c e b o o k   C a n v a s 应 用 程 序 托 管 在 a p p s . f a c e b o o k . c o m 上 ， 如 果 你 访 问 了 这 个 域 名 所 托 管 的 应 用 程 序 ， 你 将 会 发 现 F a c e b o o k 会 加 载 一 个 i f r a m e 中 的 U R L ， 并 向 这 个 U R L 地 址 发 送 一 个 包 含 了 类 似 “ s i g n e d _ r e q u e s t ” 参 数 的 P O S T 新 消 息 。 通 过 跟 踪 请 求 源 ， 我 发 现 这 个 页 面 同 样 加 载 了 i f r a m e 中 的 h t t p s : / / w w w . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / ？ v e r s i o n = X ， 然 后 用 p o s t M e s s a g e 向 其 发 送 消 息 。 p a g e _ p r o x y 这 个 页 面 中 包 含 下 列 代 码 ： 这 个 页 面 中 包 含 下 列 代 码 ： 上 述 这 段 代 码 主 要 完 成 了 两 件 事 情 。 首 先 ， 它 会 利 用 p o s t M e s s a g e 将 带 有 f r a m e N a m e 的 消 息 发 送 到 任 何 源 。 其 次 ， 它 将 设 置 一 个 E v e n t L i s t e n e r 并 等 待 接 收 消 息 。 如 果 收 到 了 一 条 满 足 所 有 条 件 的 消 息 ， 它 将 在 根 据 消 息 中 的 数 据 设 置 其 属 性 之 后 提 交 一 个 f o r m 表 单 。 表 单 构 造 方 法 s u b m i t F o r m ( ) 有 趣 的 地 方 就 在 于 ， 这 个 表 单 中 的 a c t i o n 属 性 会 被 直 接 设 置 为 “ a . d a t a . p a r a m s . a p p T a b U r l ” ， 这 个 地 址 是 通 过 消 息 来 接 收 的 。 U R L 中 的 “ a p p T a b U r l ” 字 符 串 中 的 U R L 没 有 检 查 是 否 以 h t t p / h t t p s 开 头 ， 因 此 我 们 就 可 以 使 用 J a v a S c r i p t 来 实 现 利 用 X S S 漏 洞 了 。 接 下 来 ， 我 们 需 要 再 p a g e _ p r o x y 脚 本 中 构 造 一 个 包 含 了 满 足 所 有 条 件 的 P a y l o a d 对 象 ， 具 体 如 下 所 示 ： h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ? t y p e = r p & n a m e = _ s e l f & p a r a m s [ a p p T a b U r l ] = j a v a s c r i p t : a l e r t ( 1 ) ; & p a r a m s [ s i g n e d R e q u e s t ] = S I G N E D _ X & p l a t f o r m A p p C o n t r o l l e r G e t F r a m e P a r a m s R e s p o n s e = 1 O B J :   { “ t y p e ” : ” r p ” , ” n a m e ” : ” _ s e l f ” , ” p a r a m s ” : { “ a p p T a b U r l ” : ” j a v a s c r i p t : a l e r t ( 1 ) ; ” , ” s i g n e d R e q u e s t ” : ” S I G N E D _ X ” } , ” p l a t f o r m A p p C o n t r o l l e r G e t F r a m e P a r a m s R e s p o n s e ” : ” 1 ″ }
漏 洞 利 用 漏 洞 利 用 目 标 用 户 需 要 访 问 攻 击 者 托 管 的 恶 意 网 站 ， 该 网 站 页 面 中 需 要 包 含 下 列 代 码 ： 在 这 里 ， 我 们 不 打 算 直 接 重 定 向 到 p a g e _ p r o x y 节 点 ， 因 为 我 们 需 要 设 置 一 个 延 时 来 确 保 h t t p s : / / w w w . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / 的 成 功 加 载 。 p a g e 2 . h t m l ： ： 这 里 我 设 置 了 一 个 三 秒 的 延 迟 ， 然 后 重 定 向 到 存 在 漏 洞 的 页 面 中 ， 并 执 行 a l e r t ( 1 ) ， 而 我 设 置 的 P o C 将 会 窃 取 用 户 的 访 问 令 牌 ， 这 个 令 牌 将 直 接 允 许 我 们 接 管 目 标 F a c e b o o k 账 号 。 漏 洞 修 复 漏 洞 修 复 F a c e b o o s 目 前 已 成 功 修 复 了 该 漏 洞 ， 他 们 直 接 将 支 付 重 定 向 （ / p a y m e n t s / r e d i r e c t . p h p ） 中 的 p o s t M e s s a g e 组 件 移 除 了 ， 并 在 a p p T a b U r l 中 添 加 了 针 对 h t t p / h t t p s 的 检 测 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 < h t m l > < b u t t o n   c l a s s = " b u t t o n "   o n C l i c k = " w i n d o w . o p e n ( ' h t t p s : / / a t t a c k e r / p a g e 2 . h t m l ' ,   ' _ b l a n k ' ) ; d o c u m e n t . l o c a t i o n . h r e f   =   ' h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / ? v e r s i o n = X # _ s e l f ' ; " < s p a n   c l a s s = " i c o n " > S t a r t   A t t a c k < / s p a n > < / b u t t o n > < / h t m l > < h t m l > < s c r i p t > s e t T i m e o u t ( f u n c t i o n ( ) {   w i n d o w . l o c a t i o n . h r e f   =   ' h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ? t y p e = r p & m e r c h a n t _ g r o u p = 8 6 & n a m e = _ s e l f & p a r a m s [ a p p T a b U r l ] = j a v a s c r i p t : a l e r t ( 1 ) ; & p a r a m s [ s i g n e d R e q u e s t ] = S I G N E D _ X & p l a t f o r m A p p C o n t r o l l e r G e t F r a m e P a r a m s R e s p o n s e = 1 ' < / s c r i p t > < / h t m l >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理