搜索

[11521] 2017-07-02_挖洞经验雅虎小企业服务平台Luminate身份认证漏洞

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2017-07-02_挖洞经验雅虎小企业服务平台Luminate身份认证漏洞 挖 洞 经 验 | 雅 虎 小 企 业 服 务 平 台 L u m i n a t e 身 份 认 证 漏 洞 c l o u d s   F r e e B u f   2 0 1 7 - 0 7 - 0 2 对 内 容 管 理 系 统 的 开 发 来 说 ， 一 个 重 要 和 关 键 的 步 骤 就 是 账 户 的 身 份 认 证 实 现 。 身 份 认 证 功 能 可 以 管 理 用 户 登 录 行 为 对 内 容 管 理 系 统 的 开 发 来 说 ， 一 个 重 要 和 关 键 的 步 骤 就 是 账 户 的 身 份 认 证 实 现 。 身 份 认 证 功 能 可 以 管 理 用 户 登 录 行 为 和 会 话 ， 作 出 有 效 的 登 录 访 问 控 制 。 通 常 ， 这 种 认 证 功 能 一 般 由 用 户 名 和 密 码 来 实 现 ， 但 在 实 际 应 用 场 景 中 ， 某 些 重 和 会 话 ， 作 出 有 效 的 登 录 访 问 控 制 。 通 常 ， 这 种 认 证 功 能 一 般 由 用 户 名 和 密 码 来 实 现 ， 但 在 实 际 应 用 场 景 中 ， 某 些 重 要 的 内 容 管 理 系 统 仍 然 存 在 严 重 的 身 份 认 证 漏 洞 。 比 如 我 测 试 的 雅 虎 小 企 业 平 台 要 的 内 容 管 理 系 统 仍 然 存 在 严 重 的 身 份 认 证 漏 洞 。 比 如 我 测 试 的 雅 虎 小 企 业 平 台 L u m i n a t e 。 。 L u m i n a t e ： 前 身 为 图 片 广 告 公 司 ， 后 被 雅 虎 于 2 0 1 4 年 9 月 收 购 ， 与 雅 虎 小 企 业 服 务 平 台 整 合 ， 共 同 推 动 雅 虎 广 告 和 小 企 业 客 户 业 务 。 忘 记 密 码 功 能 忘 记 密 码 功 能 在 我 晚 间 例 行 参 与 的 漏 洞 众 测 项 目 中 ， 我 决 定 研 究 研 究 L u m i n a t e 的 密 码 忘 记 处 理 功 能 。 果 然 ， 他 们 还 有 一 个 重 置 用 户 密 码 的 方 法 ： 该 方 法 的 基 本 流 程 如 下 ： 首 先 ， 用 户 向 雅 虎 服 务 器 提 交 邮 箱 地 址 ， 告 知 服 务 器 自 己 忘 记 密 码 ： 服 务 器 将 根 据 提 交 请 求 的 用 户 创 建 一 个 一 次 性 令 牌 ， 并 发 往 用 户 邮 箱 ： 用 户 将 使 用 这 个 一 次 性 令 牌 验 证 自 己 身 份 ， 并 进 行 密 码 重 置 操 作 ： P O S T   / f o r g o t p a s s w o r d   H T T P / 1 . 1 H o s t :   l o g i n . l u m i n a t e . c o m o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   8 6 1 C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 e m a i l = e x a m p l e @ e x a m p l e . c o m h t t p s : / / l o g i n . l u m i n a t e . c o m / p a s s w o r d r e s e t ? s i g n = T M a J J n A j i g f n p r x q b c f n u B K 8 e J m J L 2 P H F B y A A 8 O b l f y H d Z v x h X k e T m o 5 G _ V 1 T N a b J H U m S R 9 O S e Y A n z m - y A l K b U f C Y L s C Q t r Z n Z F 2 I x C o t L h _ V E n 7 P x 6 n V T A 3 S m _ f F 9 t 4 9 0 t _ x 9 - t 1 x K c V q R P L O g Q G S H b 3 w X Y B e v s y p D b l P o O 1 c 4
P O S T   / p a s s w o r d r e s e t   H T T P / 1 . 1 H o s t :   l o g i n . l u m i n a t e . c o m A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , / ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   4 6 3 o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 p a s s w o r d = p a s s w o r d & c p a s s w o r d = p a s s w o r d & u u i d = 6 4 9 1 c 8 0 b - 2 8 5 0 - 4 d 9 c - 9 0 6 1 - 7 3 a 6 1 2 2 b 3 d c a & s i g n = T M a J J n A j i g f n p r x q b c f n u B K 8 e J m J L 2 P H F B y A A 8 O b l f y H d Z v x h X k e T m o 5 G _ V 1 T N a b J H U m S R 9 O S e Y A n z m - y A l K b U f C Y L s C Q t r Z n Z F 2 I x C o t L h _ V E n 7 P x 6 n V T A 3 S m _ f F 9 t 4 9 0 t _ x 9 - t 1 x K c V q R P L O g Q G T i D - O C P P q B l p A W p i 4 y X g z 0 & e m a i l = e x a m p l e @ e x a m p l e . c o m 实 验 实 验 这 个 密 码 重 置 方 法 非 常 有 趣 ， 因 为 它 包 含 了 其 它 一 些 没 必 要 的 额 外 参 数 。 在 以 上 流 程 第 二 步 中 ， 为 了 排 除 利 用 数 据 猜 测 发 起 的 密 码 重 置 攻 击 ， 服 务 器 根 据 用 户 邮 箱 地 址 生 成 了 一 串 安 全 密 钥 的 s i g n 参 数 。 严 格 意 义 上 来 说 ， 该 s i g n 参 数 是 密 码 重 置 的 唯 一 必 要 参 数 ， 其 它 参 数 只 是 系 统 辅 助 数 据 。 在 以 上 流 程 第 三 步 中 ， 可 以 看 到 ， 在 实 际 的 密 码 重 置 要 求 中 ， 用 户 竟 然 可 以 修 改 “ e m a i l ” 和 “ u u i d ” 参 数 ， 这 是 非 常 有 意 思 的 地 方 ， 因 为 它 可 能 与 用 户 身 份 认 证 相 关 。 随 着 一 点 点 的 研 究 深 入 ， 我 发 现 修 改 e m a i l 参 数 根 本 无 济 于 事 ， 它 只 是 起 到 了 一 个 直 观 的 提 示 作 用 。 那 么 ， “ u u i d ” 参 数 是 什 么 呢 ？ 再 次 勾 起 了 我 的 兴 趣 。 如 果 s i g n 参 数 是 必 须 的 ， 那 么 这 个 独 特 的 用 户 u u i d 参 数 又 是 什 么 作 用 呢 ？ 从 编 程 开 发 的 角 度 来 看 ， 我 觉 得 开 发 者 在 超 出 常 人 想 像 设 计 系 统 时 ， 可 能 会 利 用 s i g n 参 数 识 别 并 获 取 数 据 ， 把 这 些 数 据 存 储 在 h i d d e n 隐 藏 字 段 中 ， 之 后 ， 再 对 这 些 数 据 进 行 进 一 步 的 解 析 验 证 。 利 用 发 现 的 问 题 进 行 攻 击 测 试 利 用 发 现 的 问 题 进 行 攻 击 测 试 根 据 以 上 的 假 设 和 实 验 可 知 ， u u i d 是 与 用 户 账 户 I D 关 联 的 参 数 。 如 果 该 参 数 可 以 利 用 的 话 ， 我 想 那 么 不 需 要 与 s i g n 参 数 配 < i n p u t   n a m e = " u u i d "   v a l u e = " 6 4 9 1 c 8 0 b - 2 8 5 0 - 4 d 9 c - 9 0 6 1 - 7 3 a 6 1 2 2 b 3 d c a "   t y p e = " h i d d e n " >
对 ， 就 能 用 其 它 人 的 用 户 I D 进 行 密 码 重 置 。 为 了 验 证 这 种 攻 击 猜 测 ， 我 利 用 测 试 账 号 “ a t t a c k e r @ a t t a c k e r . c o m ” 进 行 密 码 重 置 信 息 提 交 ， 其 产 生 了 一 个 U U I D ： 1 2 3 1 c 3 2 b - 2 8 5 0 - 4 e 9 c - 9 0 6 1 - 4 2 k 3 0 2 2 b 3 d c d ； 另 一 个 测 试 账 号 为 我 自 己 的 s a m w c u r r y @ g m a i l . c o m ， 产 生 的 U U I D 为 ： 6 4 9 1 c 8 0 b - 2 8 5 0 - 4 d 9 c - 9 0 6 1 - 7 3 a 6 1 2 2 b 3 d c a 。 当 把 “ a t t a c k e r @ a t t a c k e r . c o m ” 产 生 的 U U I D 替 换 成 我 自 己 账 号 s a m w c u r r y @ g m a i l . c o m 生 成 的 U U I D 后 ， 按 照 以 上 重 置 流 程 操 作 ， 利 用 B u r p S u i t e 向 服 务 器 提 交 修 改 后 的 P O S T 请 求 ， 最 终 s a m w c u r r y @ g m a i l . c o m 账 号 对 应 的 密 码 竟 然 以 账 号 a t t a c k e r @ a t t a c k e r . c o m 身 份 被 成 功 重 置 了 ， G O D ： 问 题 总 结 起 来 是 这 样 的 ： u u i d 是 与 每 个 用 户 账 户 关 联 的 认 证 参 数 ， 在 密 码 重 置 请 求 提 交 时 可 以 被 修 改 ， 密 码 重 置 操 作 时 与 s i g n 参 数 无 关 。 漏 洞 利 用 思 路 漏 洞 利 用 思 路 回 到 文 章 一 开 始 ， 用 户 名 密 码 是 身 份 验 证 的 重 要 方 式 ， 当 然 ， 掌 握 了 密 码 就 能 控 制 账 户 。 而 u u i d 又 与 账 户 密 码 重 置 相 关 ， 当 然 ， 换 句 话 说 ， 如 果 知 晓 u u i d ， 也 就 能 控 制 账 户 。 假 设 的 攻 击 场 景 如 下 ： 虽 然 u u i d 值 获 取 存 在 难 度 ， 但 这 种 攻 击 场 景 也 能 说 明 雅 虎 小 企 业 平 台 存 在 的 身 份 认 证 漏 洞 。 一 旦 攻 击 者 获 取 了 u u i d ， 就 可 以 利 用 这 种 攻 击 进 行 反 复 密 码 重 置 攻 击 ， 直 到 完 全 接 管 控 制 账 户 。
漏 洞 报 送 时 间 表 漏 洞 报 送 时 间 表 2 0 1 7 年 6 月 1 4 日   –   向 雅 虎 漏 洞 初 报 2 0 1 7 年 6 月 1 4 日   –   雅 虎 方 面 进 行 漏 洞 验 证 分 类 2 0 1 7 年 6 月 1 5 日   –   漏 洞 修 复 2 0 1 7 年 6 月 2 5 日   –   公 布 漏 洞 ， 等 待 赏 金 。 该 漏 洞 利 用 存 在 一 定 前 提 ， 文 中 表 达 思 路 仅 供 测 试 参 考 。 * 参 考 来 源 ： 参 考 来 源 ： s a m c u r r y ， ， f r e e b u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理