搜索

[16652] 2021-04-10_GoogleRichMedia中的多个授权绕过漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-04-10_GoogleRichMedia中的多个授权绕过漏洞 G o o g l e   R i c h   M e d i a 中 的 多 个 授 权 绕 过 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 4 - 1 0 写 在 前 面 的 话 写 在 前 面 的 话 在 最 近 的 一 次 安 全 测 试 过 程 中 ， 我 对 G o o g l e 的 应 用 程 序 “ R i c h m e d i a   S t u d i o ” 进 行 了 安 全 测 试 ， 即 G o o g l e 的 一 个 营 销 活 动 管 理 平 台 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 分 享 我 在 G o o g l e   R i c h   M e d i a 中 发 现 的 几 个 安 全 漏 洞 。 第 一 个 挑 战 ： 访 问 系 统 第 一 个 挑 战 ： 访 问 系 统 虽 然 这 并 不 是 什 么 安 全 问 题 ， 但 我 仍 然 觉 得 很 有 意 思 ， 因 为 从 这 里 才 是 我 们 打 开 G o o g l e   R i c h   M e d i a 攻 击 面 的 第 一 步 。 如 果 你 的 账 户 里 面 没 有 配 置 并 启 用 该 功 能 的 话 ， 你 是 没 有 办 法 看 到 这 个 功 能 的 。 其 实 它 并 不 是 一 个 “ 未 授 权 ” 的 页 面 ， 我 们 只 是 被 网 站 重 定 向 到 其 他 地 方 了 ， 不 信 你 可 以 尝 试 访 问 一 下 。 这 一 点 很 关 键 ， 因 为 一 开 始 我 都 没 发 现 过 这 个 应 用 程 序 ， 即 使 我 花 了 大 量 时 间 去 搜 索 G o o g l e 的 系 统 。 如 果 你 想 访 问 这 个 系 统 ， 你 需 要 点 击 【 阅 读 原 文 】 去 填 写 一 个 表 格 ， 如 果 G o o g l e 授 权 你 访 问 的 话 ， 你 将 收 到 一 封 邀 请 邮 件 ， 点 击 之 后 你 就 可 以 访 问 这 个 系 统 了 。 到 处 看 看 到 处 看 看 这 是 什 么 ？ R i c h m e d i a   s t u d i o ? 据 我 所 知 ， ， 该 平 台 主 要 用 于 管 理 在 线 广 告 活 动 ， 以 及 与 广 告 商 的 关 系 。 角 色 管 理 系 统 允 许 管 理 员 创 建 新 的 活 动 并 将 媒 体 （ 如 H T M L 页 面 、 视 频 、 图 像 等 ） 上 传 到 这 些 活 动 中 。 管 理 员 可 以 给 不 同 的 广 告 客 户 访 问 活 动 ， 以 及 通 过 Q A 管 理 它 （ 所 有 通 过 权 限 管 理 ） 和 留 下 评 论 等 等 。 因 为 我 不 太 了 解 营 销 活 动 的 流 程 ， 所 以 我 不 确 定 我 对 这 个 平 台 具 体 功 能 的 定 义 是 否 准 确 。 第 一 个 漏 洞 ： 访 问 其 他 用 户 的 媒 体 资 源 （ 第 一 个 漏 洞 ： 访 问 其 他 用 户 的 媒 体 资 源 （ 5 0 0 美 金 漏 洞 奖 励 ） 美 金 漏 洞 奖 励 ） 我 开 始 研 究 的 是 其 媒 体 资 源 上 传 功 能 ， 我 希 望 看 到 与 大 多 数 谷 歌 应 用 程 序 相 同 的 机 制 ， 上 传 的 文 件 存 储 在 用 户 的 谷 歌 驱 动 器 下 ， 并 通 过 一 个 带 有 长 随 机 I D 的 临 时 “ g o o g l e u s e r c o n t e n t ” 链 接 公 开 。 但 事 实 并 非 如 此 ， 在 G o o g l e   R i c h   M e d i a 中 ， 文 件 会 上 传 到 一 个 不 同 的 域 名 - “ s 0 . 2 m d n . n e t ” 。 样 本 链 接 如 下 将 文 件 托 管 在 一 个 单 独 的 （ 非 “ g o o g l e ” ） 域 上 会 引 发 授 权 问 题 ， 因 为 浏 览 器 不 持 有 该 域 的 c o o k i e s （ 当 然 ， 可 以 通 过 其 他 方 式 解 决 授 权 问 题 ） ， 而 且 尝 试 从 匿 名 浏 览 器 访 问 示 例 上 传 文 件 时 ， 确 实 表 明 不 需 要 授 权 。 然 而 ， 这 本 身 并 不 是 一 个 真 正 的 问 题 。 这 种 联 系 是 复 杂 的 ， 不 可 能 可 以 通 过 暴 力 破 解 或 猜 解 攻 击 来 拿 到 资 源 链 接 。 但 我 们 先 来 看 看 这 个 链 接 ， 访 问 之 后 ， 一 个 “ 预 览 ” 按 钮 出 现 在 了 我 们 的 眼 前 。 这 是 存 储 文 件 的 实 际 路 径 ， 还 是 仅 仅 指 向 从 实 际 源 生 成 的 “ 预 览 ” 的 链 接 ？ 于 是 乎 ， 我 又 上 传 了 另 一 个 文 件 ， 然 后 仔 细 分 析 了 网 络 请 求 ， 我 发 现 我 怀 疑 的 是 对 的 。 在 一 个 单 独 的 H T T P 响 应 中 ， 指 向 该 文 件 的 直 接 链 接 （ 而 不 是 它 的 “ 预 览 ” ） 被 返 回 到 浏 览 器 。 这 些 直 接 链 接 也 可 以 在 没 有 身 份 验 证 的 情 况 下 访 问 ， 并 且 可 以 由 攻 击 者 生 成 （ 前 8 位 数 字 只 是 可 以 从 s t u d i o 应 用 程 序 枚 举 的 商 家 I D ， 后 8 位 数 字 由 上 载 日 期 和 短 随 机 数 组 成 ） 。 所 以 这 里 我 们 有 一 个 清 晰 的 I D O R - 一 个 到 另 一 个 用 户 文 件 的 可 猜 测 的 链 接 ， 而 且 没 有 任 何 身 份 验 证 。 我 已 经 将 该 漏 洞 上 报 给 了 G o o g l e 团 队 ， 并 拿 到 了 5 0 0 美 元 漏 洞 奖 励 。 第 二 个 漏 洞 ： 访 问 其 他 用 户 的 活 动 （ 第 二 个 漏 洞 ： 访 问 其 他 用 户 的 活 动 （ 5 0 0 0 美 元 漏 洞 奖 励 ） 美 元 漏 洞 奖 励 ） 说 实 话 ， 这 个 太 简 单 了 ， 我 都 没 想 到 。 还 记 得 我 之 前 提 到 过 的 一 个 角 色 管 理 系 统 吗 ？ 你 可 以 在 这 里 创 建 一 个 账 户 ， 而 无 需 访 问 Q A 仪 表 盘 。 事 实 上 ， 如 果 您 创 建 这 样 一 个 用 户 ， 那 么 仪 表 盘 看 起 来 会 不 太 一 样 。 管 理 员 仪 表 盘 界 面 如 下 ： ： h t t p s : / / s 0 . 2 m d n . n e t / p r e v i e w / C g k I A R C o m 4 r X 5 i 4 S G Q C k o P P I I T T 8 7 3 V A 4 l A - b B u t t V L C h P w s X n U / a d s / r i c h m e d i a / s t u d i o / 6 0 0 1 9 8 6 4 / 6 0 0 1 9 8 6 4 _ 2 0 2 0 1 0 0 4 0 1 0 9 0 9 3 5 7 _ x s s p n g . h t t p : / / s 0 . 2 m d n . n e t / a d s / r i c h m e d i a / s t u d i o / p v 2 / 6 1 5 8 0 9 2 7 / 2 0 2 0 1 0 0 4 0 4 0 9 1 5 0 8 8 / x s s p n g . p n g
受 限 账 号 界 面 如 下 ： 如 果 我 试 图 使 用 受 限 账 号 访 问 S Q 页 面 的 话 ， 会 怎 么 样 呢 ， 结 果 着 实 令 人 惊 讶 ： 我 不 仅 可 以 访 问 与 我 的 用 户 相 关 的 活 动 的 Q A 页 面 ， 还 可 以 看 到 所 有 活 动 ， 所 有 帐 户 ！ 我 已 经 将 该 漏 洞 上 报 给 了 G o o g l e 团 队 ， 并 拿 到 了 5 0 0 0 美 元 漏 洞 奖 励 。 第 三 个 漏 洞 ： 第 三 个 漏 洞 ： G W T G o o g l e   R i c h   M e d i a 使 用 了 G W T 来 处 理 其 A P I 请 求 。 我 在 G o o g l e 系 统 中 发 现 的 第 一 个 问 题 就 是 G W T 的 授 权 问 题 。 当 我 再 次 研 究 文 件 上 传 过 程 时 ， 我 将 注 意 力 放 在 了 G W T 请 求 上 。 仔 细 研 究 ， 你 就 会 发 现 它 很 容 易 破 解 。 最 后 的 两 个 字 符 串 “ D l Q X E ” 和 “ D l Q W U ” 引 起 了 我 的 注 意 — 它 们 似 乎 是 表 示 我 实 际 要 访 问 的 文 件 的 字 符 串 。 在 系 统 中 ， 很 明 显 这 些 字 符 串 实 际 上 是 表 示 系 统 中 特 定 活 动 的 I D 。 没 错 ， - 我 作 为 一 个 不 同 的 用 户 登 录 并 获 得 了 另 一 对 I D 。 然 后 我 尝 试 在 第 一 个 用 户 的 c o o k i e s 中 使 用 这 个 I D ， 并 且 能 够 获 得 第 二 个 用 户 文 件 的 U R L 链 接 。 我 运 行 了 一 个 脚 本 来 猜 测 相 似 的 I D ， 并 很 快 找 到 了 更 多 有 效 的 I D ， 即 指 向 更 多 属 于 其 他 用 户 的 文 件 。 我 已 经 将 该 漏 洞 上 报 给 了 G o o g l e 团 队 ， 又 拿 到 了 5 0 0 美 元 漏 洞 奖 励 。 第 四 第 五 个 漏 洞 第 四 第 五 个 漏 洞 我 现 在 已 经 非 常 兴 奋 了 ， 而 且 我 仍 然 在 围 绕 该 系 统 的 授 权 机 制 进 行 研 究 ， 感 觉 它 应 该 是 “ 漏 洞 百 出 ” 的 。 果 然 ， 我 又 发 现 了 一 个 问 题 ： G o o g l e 的 团 队 似 乎 也 同 意 我 的 观 点 ， 也 许 G o o g l e   R i c h   M e d i a 的 授 权 机 制 确 实 应 该 好 好 调 整 调 整 了 。 7 | 0 | 8 | h t t p s : / / w w w . g o o g l e . c o m / d o u b l e c l i c k / s t u d i o / g w t / | 9 D B 0 7 3 B 0 A 4 A F E 7 5 F 8 6 7 9 0 0 3 2 6 4 9 4 4 E E 5 | c o m . g o o g l e . a d s . a p i . g w t . r p c . c l i e n t . B a t c h e d I n v o c a t i o n S e r v i c e | i n v o k e | c o m . g o o g l e . a d s . a p i . g w t . r p c . c l i e n t . B a t c h e d I n v o c a t i o n R e q u e s t / 2 9 8 3 7 6 6 9 8 7 |
总 结 总 结 研 究 几 天 之 后 ， 我 脑 子 里 想 的 已 经 不 是 授 权 的 问 题 了 ， 而 实 最 初 的 目 标 应 用 程 序 发 现 。 我 之 前 肯 定 见 到 过 这 个 链 接 ， 但 由 于 我 没 有 权 限 的 系 统 ， 我 只 是 不 知 道 它 的 存 在 。 还 有 多 少 这 样 的 应 用 在 暗 中 潜 伏 ？ 确 实 有 些 值 得 思 考 的 东 西 ； ） 精 精 彩 彩 推 推 荐 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理