搜索

[16385] 2021-01-31_可劫持Facebook和Oculus用户账户的XSS漏洞分析

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-01-31_可劫持Facebook和Oculus用户账户的XSS漏洞分析 可 劫 持 F a c e b o o k 和 O c u l u s 用 户 账 户 的 X S S 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 1 - 0 1 - 3 1 该 W r i t e u p 涉 及 F a c e b o o k 旗 下 V R 穿 戴 公 司 O c u l u s 论 坛 f o r u m s . o c u l u s v r . c o m ， 攻 击 者 利 用 其 存 在 的 X S S 漏 洞 可 以 窃 取 受 害 者 登 录 O c u l u s 官 网 时 的 访 问 令 牌 ( A c c e s s   T o k e n ) ， 以 此 实 现 对 F a c e b o o k 和 关 联 O c u l u s 用 户 的 账 户 劫 持 。 漏 洞 最 终 被 F a c e b o o k 给 予 了 高 达 $ 3 0 0 0 0 的 奖 励 。 我 们 一 起 来 看 看 作 者 的 发 现 过 程 和 思 路 。 漏 洞 细 节 漏 洞 细 节 漏 洞 原 因 主 要 在 于 ， O c u l u s 论 坛 f o r u m s . o c u l u s v r . c o m 采 用 了 o c u l u s . c o m 的 认 证 机 制 ， 该 认 证 机 制 使 用 了 路 径 h t t p s : / / g r a p h . o c u l u s . c o m / a u t h e n t i c a t e _ w e b _ a p p l i c a t i o n / 来 验 证 登 录 用 户 ， 之 后 会 把 用 户 跳 转 到 h t t p s : / / f o r u m s . o c u l u s v r . c o m / e n t r y / o c u l u s ， 跳 转 后 用 户 携 带 了 一 个 o c u l u s 访 问 令 牌 ( a c c e s s _ t o k e n ) ， 且 利 用 该 访 问 令 牌 ， 可 以 有 权 限 访 问 g r a p h . o c u l u s . c o m / g r a p h q l ， 并 实 现 G r a p h Q L 查 询 。 因 此 ， 基 于 该 G r a p h Q L 查 询 ， 恶 意 用 户 可 以 利 用 该 功 能 实 现 对 其 他 用 户 的 账 户 劫 持 。 由 于 论 坛 f o r u m s . o c u l u s . c o m 基 于 开 源 网 站 应 用 V a n i l l a   F o r u m 搭 建 ， 本 来 不 在 F a c e b o o k 漏 洞 奖 励 项 目 内 ， 但 是 ， 由 于 该 漏 洞 存 在 F a c e b o o k 论 坛 的 身 份 验 证 机 制 中 ， 且 攻 击 者 无 需 创 建 新 的 论 坛 账 户 就 能 实 现 漏 洞 利 用 ， 因 此 之 后 F a c e b o o k 也 把 该 漏 洞 认 定 为 重 要 和 有 效 。 从 页 面 h t t p s : / / f o r u m s . o c u l u s v r . c o m / e n t r y / o c u l u s 中 的 源 码 可 以 看 到 ， 其 开 启 了 调 试 模 式 ， 并 嵌 入 了 以 下 J S 脚 本 文 件 - h t t p s : / / f o r u m s . o c u l u s v r . c o m / p l u g i n s / o c u l u s / j s / o c u l u s - o a u t h . j s ， 通 过 了 解 该 J S 文 件 ， 可 知 其 中 在 s t a t e 参 数 读 取 时 采 用 了 d o c u m e n t . w r i t e 方 法 ， 如 果 把 攻 击 P A Y L O A D 赋 值 给 s t a t e ( # s t a t e = P A Y L O A D ) ， 那 会 不 会 产 生 安 全 问 题 呢 ？ 请 注 意 ， 尽 管 d o c u m e n t . l o c a t i o n 也 被 传 递 给 了 d o c u m e n t . w r i t e ， 但 这 里 我 们 可 以 用 其 U R L 中 涉 及 的 “ s t a t e ” 参 数 来 加 载 攻 击 测 试 的 有 效 负 载 P a y l o a d ， 因 为 d o c u m e n t . l o c a t i o n 最 后 会 将 带 有 效 负 载 P a y l o a d 的 U R L 编 码 格 式 ， 之 后 ， 在 d e c o d e U R I C o m p o n e n t   方 法 解 码 h a s h 片 段 提 取 “ r e s p o n s e ” 时 ， “ s t a t e ” 将 会 被 解 码 。 v a r   o c u l u s C o n n e c t   =   f u n c t i o n ( p a r a m s )   {           i f   ( t y p e o f   p a r a m s   = = =   " u n d e f i n e d " )   {                   r e t u r n ;           }   i f   ( t y p e o f   p a r a m s . c o n n e c t   = = =   " u n d e f i n e d " )   { r e t u r n ;   }   v a r   r e s p o n s e   =   d e c o d e U R I C o m p o n e n t ( d o c u m e n t . l o c a t i o n . h a s h ) ; v a r   h a s h   =   r e s p o n s e . s u b s t r i n g ( r e s p o n s e . i n d e x O f ( " # " )   +   1 ,   r e s p o n s e . i n d e x O f ( " & " ) ) ;   v a r   q u e r y S t r i n g   =   r e s p o n s e . r e p l a c e ( " # "   +   h a s h ,   " " ) ;   v a r   q u e r y S t r i n g S p l i t   =   q u e r y S t r i n g . s p l i t ( " & " ) ;  
至 此 ， 代 码 分 析 到 这 里 ， 初 步 的 感 觉 是 可 以 从 P a y l o a d 中 做 手 脚 把 它 构 造 成 一 个 X S S ， 但 是 ， 如 果 认 真 看 其 中 的 代 码 可 知 ， 在 d o c u m e n t . w r i t e 方 法 调 用 前 还 有 代 码 v a r   l o g i n T y p e   =   t h i s . f r a m e E l e m e n t . i d ; ， 所 以 这 并 不 如 我 们 所 料 ， 这 里 ， 如 果 按 照 我 们 之 前 的 构 造 将 会 返 回 错 误 消 息 “ T y p e E r r o r :   C a n n o t   r e a d   p r o p e r t y   ‘ i d ’   o f   n u l l ” ， 只 有 当 前 这 个 页 面 是 框 架 化 且 与 其 父 页 面 是 同 源 才 能 正 确 调 用 通 过 。 为 此 ， 需 要 把 论 坛 网 站 f o r u m s . o c u l u s v r . c o m 中 的 页 面 h t t p s : / / f o r u m s . o c u l u s v r . c o m / e n t r y / o c u l u s # s t a t e = p a y l o a d   进 行 框 架 化 ， 然 后 把 其 框 架 化 的 U R L 链 接 发 送 给 受 害 者 ， 才 能 触 发 漏 洞 。 开 源 网 站 应 用 开 源 网 站 应 用 V a n i l l a   F o r u m s 中 的 嵌 入 利 用 中 的 嵌 入 利 用 经 分 析 发 现 ， 开 源 网 站 应 用 V a n i l l a   F o r u m s 源 码 中 加 载 嵌 入 了 一 个 白 名 单 网 站 列 表 ， 如 下 ： v a r   q u e r y S t r i n g S p l i t   =   q u e r y S t r i n g . s p l i t ( " & " ) ;   v a r   s t a t e   =   g e t P a r a m ( q u e r y S t r i n g S p l i t ,   " s t a t e " ) ;   v a r   s a v e d S t a t e   =   p a r a m s . c o n n e c t . s a v e d S t a t e ;   v a r   h a s h S p l i t   =   h a s h . s p l i t ( " = " ) ;   v a r   h a s h K e y   =   h a s h S p l i t [ 0 ] ;   v a r   h a s h V a l u e   =   h a s h S p l i t [ 1 ] ;   v a r   l o g i n T y p e   =   t h i s . f r a m e E l e m e n t . i d ;   i f   ( p a r a m s . c o n n e c t . d e b u g )   {           d o c u m e n t . w r i t e ( " l o g i n   t y p e   :   "   +   l o g i n T y p e   +   " ; < b r   > d o c u m e n t   l o c a t i o n : "   +   d o c u m e n t . l o c a t i o n   +   " ; < b r   > S a v e d   S t a t e : "   +   s a v e d S t a t e   +   " ; < b r   > S t a t e : "   +   s t a t e   +   " ; < b r   > H a s h   K e y : "   +     h a s h K e y ) ;   } . . . # P a s s i n g   p a r a m e t e r s   t o   o c u l u s C o n n e c t   f u n c t i o n #   d o c u m e n t . a d d E v e n t L i s t e n e r ( " D O M C o n t e n t L o a d e d " ,   f u n c t i o n ( )   {                 v a r   p a r a m s   =   {                         " c o n n e c t " :                                 {                                         " d e b u g "   :   " 1 "   ,                                         " s a v e d S t a t e " :   " G 1 H 7 L E 7 U O J "   ,                                         " a u t h o r i z e U r l " :   " h t t p s : / / g r a p h . o c u l u s . c o m / a u t h e n t i c a t e _ w e b _ a p p l i c a t i o n "   ,                                         " o c u l u s H a s h " :   " X "   ,                                         " a s s o c i a t i o n K e y " :   " O C | 1 2 3 8 8 1 6 3 4 9 4 6 8 3 7 0 | "   ,                                         " w e b A d d r e s s " :   " h t t p s : / / f o r u m s . o c u l u s v r . c o m "                                 }                 } o c u l u s C o n n e c t ( p a r a m s ) ; p u b l i c   f u n c t i o n   u n e m b e d C o n t e n t ( s t r i n g   $ c o n t e n t ) :   s t r i n g   {                 i f   ( $ t h i s - > e m b e d C o n f i g - > i s Y o u t u b u E n a b l e d ( ) )   {                         $ c o n t e n t   =   p r e g _ r e p l a c e (                                 ' ` < i f r a m e . * s r c = " h t t p s ? : / / . * y o u t u b u . c o m / e m b e d / ( [ a - z 0 - 9 _ - ] * ) " . * < / i f r a m e > ` i ' ,                                 " n h t t p s : / / w w w . y o u t u b u . c o m / w a t c h ? v = $ 1 n " ,                                 $ c o n t e n t                         ) ;                         $ c o n t e n t   =   p r e g _ r e p l a c e (                                 ' ` < o b j e c t . * v a l u e = " h t t p s ? : / / . * y o u t u b u . c o m / v / ( [ a - z 0 - 9 _ - ] * ) [ ^ " ] * " . * < / o b j e c t > ` i ' ,                                 " n h t t p s : / / w w w . y o u t u b u . c o m / w a t c h ? v = $ 1 n " ,                                 $ c o n t e n t                         ) ;                 }                 i f   ( $ t h i s - > e m b e d C o n f i g - > i s V i m e o E n a b l e d ( ) )   {
                        $ c o n t e n t   =   p r e g _ r e p l a c e (                                 ' ` < i f r a m e . * . * < / i f r a m e > ` i ' ,                                 " n $ 2 : / / v i m e o . c o m / $ 3 n " ,                                 $ c o n t e n t                         ) ;                         $ c o n t e n t   =   p r e g _ r e p l a c e (                                 ' ` < o b j e c t . * v a l u e = " ( ( h t t p s ? ) : / / . * v i m e o . c o m . * c l i p _ i d = ( [ 0 - 9 ] * ) [ ^ " ] * ) " . * < / o b j e c t > ` i ' ,                                 " n $ 2 : / / v i m e o . c o m / $ 3 n " ,                                 $ c o n t e n t                         ) ;                 }                 i f   ( $ t h i s - > e m b e d C o n f i g - > i s G e t t y E n a b l e d ( ) )   {                         $ c o n t e n t   =   p r e g _ r e p l a c e (                                 ' ` < i f r a m e . * . * < / i f r a m e > ` i ' ,                                 " n h t t p : / / e m b e d . g e t t y i m a g e s . c o m / $ 2 / $ 3 / $ 4 n " ,                                 $ c o n t e n t                         ) ;                 }                 r e t u r n   $ c o n t e n t ;         }         p r i v a t e   f u n c t i o n   g e t E m b e d R e g e x e s ( ) :   a r r a y   {                 r e t u r n   [                         ' Y o u T u b u '   = >   [                                 ' r e g e x '   = >   [                                         / /   W a r n i n g :   V e r y   l o n g   r e g e x .                                         ' / h t t p s ? : / / ( ? : ( ? : w w w . ) | ( ? : m . ) ) ? ( ? : ( ? : y o u t u b u . c o m ) | ( ? : y o u t u . b e ) ) / ( ? : ( ? : p l a y l i s t ? ) '                                         .   ' | ( ? : ( ? : w a t c h ? v = ) ? ( ? P < v i d e o I d > [ w - ] { 1 1 } ) ) ) ( ? : ? | & ) ? '                                         .   ' ( ? : l i s t = ( ? P < l i s t I d > [ w - ] * ) ) ? ( ? : t = ( ? : ( ? P < m i n u t e s > d * ) m ) ? ( ? P < s e c o n d s > d * ) s ) ? ( ? : # t = ( ? P < s t a r t > d * ) ) ? / i '                                 ] ,                         ] ,                         ' T w i t t e r '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / ( ? : w w w . ) ? t w i t t e r . c o m / ( ? : # ! / ) ? ( ? : [ ^ / ] + ) / s t a t u s ( ? : e s ) ? / ( [ d ] + ) / i ' ] ,                         ] ,                         ' V i m e o '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / ( ? : w w w . ) ? v i m e o . c o m / ( ? : c h a n n e l s / [ a - z 0 - 9 ] + / ) ? ( d + ) / i ' ] ,                         ] ,                         ' V i n e '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / ( ? : w w w . ) ? v i n e . c o / ( ? : v / ) ? ( [ w ] + ) / i ' ] ,                         ] ,                         ' I n s t a g r a m '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / ( ? : w w w . ) ? i n s t a g r ( ? : . a m | a m . c o m ) / p / ( [ w - ] + ) / i ' ] ,                         ] ,                         ' P i n t e r e s t '   = >   [                                 ' r e g e x '   = >   [                                         ' / h t t p s ? : / / ( ? : w w w . ) ? p i n t e r e s t . c o m / p i n / ( [ d ] + ) / i ' ,                                         ' / h t t p s ? : / / ( ? : w w w . ) ? p i n t e r e s t . c a / p i n / ( [ d ] + ) / i ' ,                                 ] ,                         ] ,                         ' G e t t y '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / e m b e d . g e t t y i m a g e s . c o m / ( [ w = ? & ; + - _ ] * ) / ( [ d ] * ) / ( [ d ] * ) / i ' ] ,                         ] ,                         ' T w i t c h '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / ( ? : w w w . ) ? t w i t c h . t v / ( [ w ] + ) $ / i ' ] ,                         ] ,                         ' T w i t c h R e c o r d e d '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / ( ? : w w w . ) ? t w i t c h . t v / v i d e o s / ( w + ) $ / i ' ] ,                         ] ,
这 其 中 的 某 个 白 名 单 网 站 存 在 一 个 漏 洞 ， 导 致 能 让 我 从 V a n i l l a   F o r u m s 嵌 入 页 面 跳 转 到 h t t p s : / / f o r u m s . o c u l u s v r . c o m / e n t r y / o c u l u s   ， 并 实 现 最 终 的 X S S   P a y l o a d 触 发 。 遗 憾 的 是 ， 由 于 该 漏 洞 还 未 完 全 修 复 ， 因 此 抱 歉 在 此 我 不 能 公 开 该 漏 洞 。 漏 洞 利 用 漏 洞 利 用 用 O c u l u s 账 户 登 录 f o r u m s . o c u l u s . c o m 网 站 ， 到 “ N e w   D i s c u s s i o n ” 区 域 点 击 “ T o g g l e   H t m l   V i e w “ ， 然 后 添 加 进 V a n i l l a   F o r u m s 中 的 漏 洞 利 用 P a y l o a d ， 这 里 为 了 安 全 起 见 ， 做 了 隐 藏 处 理 。 精 彩 推 荐 精 彩 推 荐                         ] ,                         ' S o u n d c l o u d '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : ( ? : w w w . ) ? / / s o u n d c l o u d . c o m / ( [ w = ? & ; + - _ ] * ) / ( [ w = ? & ; + - _ ] * ) / i ' ] ,                         ] ,                         ' G i f v '   = >   [                                 ' r e g e x '   = >   [ ' / h t t p s ? : / / i . i m g u r . c o m / ( [ a - z 0 - 9 ] + ) . g i f v / i ' ] ,                         ] ,                         ' W i s t i a '   = >   [                                 ' r e g e x '   = >   [                                         / /   F o r m a t 1                                         ' / h t t p s ? : / / ( ? : [ A - z a - z 0 - 9 - ] + . ) ? ( ? : w i s t i a . c o m | w i . s t ) / . * ? '                                         .   ' ? w v i d e o = ( ? < v i d e o I D > ( [ A - z a - z 0 - 9 ] + ) ) ( ? w t i m e = ( ? < t i m e > ( ( d ) + m ) ? ( ( d ) + s ) ? ) ) ? / i ' ,                                         / /   F o r m a t 2                                         ' / h t t p s ? : / / ( [ A - z a - z 0 - 9 - ] + . ) ? ( w i s t i a . c o m | w i . s t ) / m e d i a s / ( ? < v i d e o I D > [ A - z a - z 0 - 9 ] + ) '                                         .   ' ( ? w t i m e = ( ? < t i m e > ( ( d ) + m ) ? ( ( d ) + s ) ? ) ) ? / i ' ,                                 ] ,                         ] ,                 ] ;         } }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理