搜索

[11687] 2017-08-20_挖洞经验记一次针对Twitter（Periscope）API的有趣挖洞经历

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2017-08-20_挖洞经验记一次针对Twitter（Periscope）API的有趣挖洞经历 挖 洞 经 验   |   记 一 次 针 对 T w i t t e r （ P e r i s c o p e ） A P I   的 有 趣 挖 洞 经 历 A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 8 - 2 0 近 期 ， 我 在 近 期 ， 我 在 T w i t t e r 的 的 P e r i s c o p e 服 务 中 发 现 了 一 个 漏 洞 。 这 是 一 个 服 务 中 发 现 了 一 个 漏 洞 。 这 是 一 个 C S R F （ 跨 站 请 求 伪 造 ） 漏 洞 ， 虽 然 这 个 漏 洞 并 不 算 是 高 危 漏 洞 ， 但 是 发 现 该 漏 洞 的 整 个 过 程 我 认 为 是 非 常 值 得 跟 大 家 分 （ 跨 站 请 求 伪 造 ） 漏 洞 ， 虽 然 这 个 漏 洞 并 不 算 是 高 危 漏 洞 ， 但 是 发 现 该 漏 洞 的 整 个 过 程 我 认 为 是 非 常 值 得 跟 大 家 分 享 的 。 享 的 。 就 在 几 天 之 前 ， 我 发 现 T w i t t e r 发 布 了 一 个 名 叫 P r o d u c e r A P I 的 接 口 ， 该 接 口 目 前 仅 提 供 给 T w i t t e r 的 合 作 伙 伴 使 用 ， T w i t t e r 的 第 三 方 合 作 伙 伴 可 以 在 特 定 的 应 用 （ 例 如 外 部 相 机 设 备 ） 中 利 用 该 A P I 与 P e r i s c o p e 账 号 同 步 流 媒 体 视 频 。 注 ： 在 此 之 前 ， P e r i s c o p e 曾 是 一 家 流 媒 体 直 播 服 务 运 营 商 。 广 大 用 户 不 仅 可 以 通 过 P e r i s c o p e 与 其 他 人 进 行 视 频 直 播 ， 而 且 还 可 以 分 享 视 频 或 进 行 评 论 。 T w i t t e r 在 2 0 1 5 年 3 月 份 以 接 近 亿 美 金 的 架 构 收 购 了 P e r i s c o p e ， 并 将 其 融 入 了 自 己 现 有 的 社 交 平 台 服 务 中 。 这 样 看 来 ， T w i t t e r 应 该 在 这 里 需 要 使 用 到 一 些 与 O A u t h 相 关 的 东 西 ， 而 就 我 过 去 所 积 累 的 经 验 来 看 ， O A u t h 的 实 现 过 程 中 一 般 都 会 存 在 安 全 问 题 ， 因 此 我 决 定 要 深 入 分 析 一 下 这 个 A P I 接 口 。 在 分 析 过 程 中 ， 我 遇 到 的 第 一 个 问 题 就 是 T w i t t e r 似 乎 并 没 有 提 供 P e r i s c o p e   A P I 的 开 发 文 档 。 不 过 T w i t t e r 在 一 篇 官 方 博 客 中 列 举 出 了 能 够 使 用 这 个 A P I 的 第 三 方 厂 商 ， 所 以 我 感 觉 可 以 看 看 这 些 厂 家 是 怎 样 跟 这 个 A P I 交 互 的 ， 然 后 也 许 还 能 从 中 找 出 一 些 端 倪 。 但 不 幸 的 是 ， 大 多 数 的 这 些 厂 商 或 服 务 都 需 要 订 阅 之 后 才 能 使 用 P e r i s c o p e 的 功 能 ， 即 便 是 我 愿 意 为 服 务 付 费 也 没 用 。 不 过 我 后 来 发 现 有 一 个 移 动 端 应 用 程 序 （ M e v o   f o r   i O S ） 也 在 使 用 这 个 A P I 。 在 这 个 移 动 应 用 中 ， O A u t h 请 求 都 是 直 接 从 客 户 端 发 送 的 ， 这 样 我 们 就 有 可 能 通 过 拦 截 并 分 析 网 络 流 量 来 了 解 A P I 的 调 用 情 况 了 。 与 O A u t h   1 . 0 a 不 同 的 是 （ O A u t h   1 . 0 a 使 用 了 签 名 来 隐 藏 类 似 c o n s u m e _ s e c r e t 这 样 的 重 要 信 息 ， 并 防 止 流 量 被 拦 截 ） ， O A u t h   2 . 0 会 通 过 H T T P S 来 发 送 所 有 流 量 。 因 此 ， 除 非 应 用 程 序 使 用 了 某 种 安 全 系 数 非 常 高 的 证 书 机 制 （ 可 以 使 用 S S L   K i l l   S w i t c h 2 来 解 决 ） ， 否 则 这 些 还 是 难 不 倒 我 们 的 。 我 遇 到 的 第 二 个 问 题 是 ， 为 了 使 用 这 个 A p p ， 我 首 先 得 要 有 一 个 M e v o 摄 像 头 才 行 … 在 亚 马 逊 上 逛 了 一 圈 之 后 ， 最 便 宜 的 M e v o 摄 像 头 要 3 9 9 . 9 9 美 金 ， 穷 哭 在 厕 所 的 我 当 然 不 会 为 了 测 试 而 去 买 这 么 贵 的 东 西 了 ， 而 且 这 里 还 不 一 定 存 在 漏 洞 。 于 是 乎 ， 我 决 定 通 过 另 一 种 方 法 来 进 行 测 试 ， 即 逆 向 工 程 分 析 。 首 先 ， 我 需 要 一 台 已 越 狱 的 i P h o n e 和 C l u t c h 来 解 密 I P A 文 件 ， 然 后 用 c l a s s - d u m p 来 生 成 O b j e c t i v e - C 头 文 件 ， 最 后 再 用 H o p p e r 来 对 代 码 进 行 反 汇 编 。 一 开 始 我 尝 试 在 头 文 件 中 搜 索 字 符 串 “ P e r i s c o p e ” ， 因 为 那 些 负 责 处 理 P e r i s c o p e 交 互 逻 辑 的 类 很 有 可 能 会 包 含 这 个 字 符 串 。
搜 索 之 后 ， 这 些 类 似 P e r i s c o p e B r o a d c a s t C r e a t e O p e r a t i o n . h 或 P e r i s c o p e B r o a d c a s t P u b l i s h A P I O p e r a t i o n . h 的 文 件 名 吸 引 了 我 的 注 意 ， 因 为 这 些 头 文 件 看 起 来 似 乎 与 P e r i s c o p e   A P I 的 调 用 有 关 。 通 过 对 这 些 文 件 进 行 分 析 之 后 ， 我 发 现 它 们 都 继 承 了 P e r i s c o p e A P I O p e r a t i o n 类 ， 所 以 接 下 来 我 就 要 重 点 分 析 这 个 P e r i s c o p e A P I O p e r a t i o n 类 了 。 P e r i s c o p e A P I O p e r a t i o n 类 的 代 码 如 下 所 示 ： / / / /   G e n e r a t e d   b y   c l a s s - d u m p   3 . 5   ( 6 4   b i t ) . / / / /   c l a s s - d u m p   i s   C o p y r i g h t   ( C )   1 9 9 7 - 1 9 9 8 , 2 0 0 0 - 2 0 0 1 ,   2 0 0 4 - 2 0 1 3   b y   S t e v e   N y g a r d . / /   # i m p o r t   " G r o u p O p e r a t i o n . h "   @ c l a s s   N S D i c t i o n a r y ,   N S M u t a b l e U R L R e q u e s t , P e r i s c o p e O A u t h O p e r a t i o n , P e r i s c o p e R e f r e s h T o k e n A P I O p e r a t i o n , U R L S e s s i o n T a s k O p e r a t i o n ;   @ i n t e r f a c e   P e r i s c o p e A P I O p e r a t i o n   : G r o u p O p e r a t i o n { N S D i c t i o n a r y   * _ J S O N ; U R L S e s s i o n T a s k O p e r a t i o n   * _ t a s k O p e r a t i o n ; P e r i s c o p e R e f r e s h T o k e n A P I O p e r a t i o n   * _ r e f r e s h T o k e n O p e r a t i o n ; P e r i s c o p e O A u t h O p e r a t i o n   * _ o a u t h O p e r a t i o n ; N S M u t a b l e U R L R e q u e s t   * _ r e q u e s t ; }   +   ( v o i d ) r e m o v e C o o k i e s ; +   ( v o i d ) l o g o u t ; +   ( i d ) u s e r I D ; +   ( i d ) r e f r e s h T o k e n ; +   ( i d ) a c c e s s T o k e n ; +   ( v o i d ) u p d a t e A c c e s s T o k e n : ( i d ) a r g 1 ; +   ( v o i d ) s e t A c c e s s T o k e n : ( i d ) a r g 1 r e f r e s h T o k e n : ( i d ) a r g 2   f o r A c c o u n t : ( i d ) a r g 3 ; +   ( _ B o o l ) i s U s e r A u t h o r i z e d ; +   ( i d ) b u i l d R e q u e s t F o r P a t h : ( i d ) a r g 1 p a r a m s : ( i d ) a r g 2   q u e r y : ( i d ) a r g 3   q u e r y I t e m s : ( i d ) a r g 4   H T T P M e t h o d : ( i d ) a r g 5 a c c e s s T o k e n : ( i d ) a r g 6 ;   @ p r o p e r t y ( r e t a i n ,   n o n a t o m i c ) N S M u t a b l e U R L R e q u e s t   * r e q u e s t ;   / /   @ s y n t h e s i z e   r e q u e s t = _ r e q u e s t ; @ p r o p e r t y ( r e t a i n ,   n o n a t o m i c ) P e r i s c o p e O A u t h O p e r a t i o n   * o a u t h O p e r a t i o n ;   / /   @ s y n t h e s i z e o a u t h O p e r a t i o n = _ o a u t h O p e r a t i o n ; @ p r o p e r t y ( r e t a i n ,   n o n a t o m i c ) P e r i s c o p e R e f r e s h T o k e n A P I O p e r a t i o n   * r e f r e s h T o k e n O p e r a t i o n ;   / /   @ s y n t h e s i z e r e f r e s h T o k e n O p e r a t i o n = _ r e f r e s h T o k e n O p e r a t i o n ;
@ p r o p e r t y ( r e t a i n ,   n o n a t o m i c ) U R L S e s s i o n T a s k O p e r a t i o n   * t a s k O p e r a t i o n ;   / /   @ s y n t h e s i z e t a s k O p e r a t i o n = _ t a s k O p e r a t i o n ; @ p r o p e r t y ( r e t a i n )   N S D i c t i o n a r y   * J S O N ;   / / @ s y n t h e s i z e   J S O N = _ J S O N ;   -   ( v o i d ) . c x x _ d e s t r u c t ; -   ( v o i d ) r e p e a t O p e r a t i o n ; -   ( _ B o o l ) o p e r a t i o n H a s 4 0 1 C o d e ; -   ( _ B o o l ) s h o u l d H a n d l e 4 0 1 C o d e ; -   ( v o i d ) o p e r a t i o n D i d F i n i s h : ( i d ) a r g 1 w i t h E r r o r s : ( i d ) a r g 2 ; -   ( v o i d ) f i n i s h W i t h E r r o r : ( i d ) a r g 1 ; -   ( i d ) i n i t W i t M e t h o d : ( i d ) a r g 1 p a r a m s : ( i d ) a r g 2 ; -   ( i d ) i n i t W i t M e t h o d : ( i d ) a r g 1 p a r a m s : ( i d ) a r g 2   H T T P M e t h o d : ( i d ) a r g 3 ; -   ( i d ) i n i t W i t M e t h o d : ( i d ) a r g 1 q u e r y I t e m s : ( i d ) a r g 2 ; -   ( i d ) i n i t W i t M e t h o d : ( i d ) a r g 1 p a r a m s : ( i d ) a r g 2   H T T P M e t h o d : ( i d ) a r g 3   q u e r y I t e m s : ( i d ) a r g 4 ;   @ e n d 大 家 可 以 从 上 面 这 段 代 码 中 看 到 ， 其 中 包 含 了 很 多 很 多 的 属 性 和 方 法 。 从 这 些 方 法 名 中 可 以 看 出 ， 这 个 类 应 该 就 是 负 责 处 理 P e r i s c o p e   A P I 调 用 的 类 了 。 接 下 来 ， 我 打 开 了 H o p p e r 来 验 证 我 的 想 法 。 果 然 没 错 ， 这 些 方 法 都 会 调 用 i n i t W i t M e t h o d 并 通 过 传 递 各 种 参 数 来 实 现 A P I 的 初 始 化 。 这 样 一 来 ， 我 只 需 要 找 出 其 他 调 用 了 这 个 方 法 的 地 方 ， 我 就 能 够 列 出 所 有 的 P e r i s c o p e   A P I 调 用 以 及 相 关 的 参 数 名 。 通 过 对 相 关 类 进 行 深 入 分 析 之 后 ， 我 还 可 以 从 静 态 字 符 串 中 提 取 出 M e v o 的 A P I   r o o t 、 c l i n e t _ i d 以 及 c l i e n t _ s e c r e t 了 。 接 下 来 ， 我 们 就 可 以 检 查 P e r i s c o p e 的 O A u t h 实 现 中 的 漏 洞 了 ， 而 P e r i s c o p e 初 始 的 身 份 认 证 节 点 并 没 有 部 署 C S R F 保 护 机 制 。 如 果 一 个 第 三 方 应 用 可 以 请 求 获 取 用 户 P e r i s c o p e 账 号 信 息 的 完 整 权 限 ， 那 么 攻 击 者 就 有 可 能 创 建 一 个 恶 意 第 三 方 应 用 来 伪 装 成 用 户 执 行 恶 意 操 作 了 。 总 结 总 结 1 . 从 今 以 后 ， 我 都 会 时 刻 关 注 T w i t t e r 的 更 新 情 况 ， 并 在 第 一 时 间 对 T w i t t e r 新 上 线 的 功 能 进 行 安 全 测 试 。 2 . 将 功 能 开 放 给 特 定 的 第 三 方 （ 或 在 公 开 A P I 之 前 ） 不 意 味 着 你 就 不 用 对 该 功 能 的 安 全 性 进 行 测 试 了 ， 有 时 我 们 只 需 要 找 到 一 个 访 问 A P I 的 方 法 ， 我 们 也 许 就 能 轻 松 地 找 出 其 中 存 在 的 安 全 问 题 。 当 然 了 ， 如 果 厂 商 给 特 定 服 务 设 立 了 漏 洞 奖 励 计 划 的 话 ， 你 也 许 就 不 必 绕 弯 路 了 。 3 . 最 后 一 点 ， 当 你 没 钱 的 时 候 ， 不 要 立 刻 放 弃 ， 你 应 该 想 办 法 绕 过 或 避 免 那 些 需 要 你 花 钱 的 东 西 。 不 过 你 也 可 以 换 个 角 度 考 虑 ， 人 们 一 般 都 不 喜 欢 去 投 资 那 些 所 谓 的 “ 不 确 定 性 ” ， 这 也 就 意 味 着 如 果 某 个 服 务 需 要 收 费 ， 说 明 会 有 一 部 分 人 不 愿 意 花 钱 去 测 试 ， 那 你 就 很 有 可 能 从 中 发 现 一 些 别 人 无 法 发 现 的 漏 洞 了 。 如 果 这 个 服 务 又 有 漏 洞 奖 励 计 划 的 话 ， 那 你 估 计 就 要 发 财 了 。 参 考 资 料 参 考 资 料 关 于 该 漏 洞 的 详 细 技 术 分 析 以 及 P o C ， 请 参 考 发 布 在 H a c k e r O n e 上 的 原 始 报 告 。 *   参 考 来 源 ： 参 考 来 源 ： i n n e r h t ， ，   F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理