搜索

[11992] 2017-11-10_挖洞经验看我如何发现谷歌漏洞跟踪管理平台漏洞获得$15600赏金

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2017-11-10_挖洞经验看我如何发现谷歌漏洞跟踪管理平台漏洞获得$15600赏金 挖 洞 经 验   |   看 我 如 何 发 现 谷 歌 漏 洞 跟 踪 管 理 平 台 漏 洞 获 得 $ 1 5 6 0 0 赏 金 c l o u d s   F r e e B u f   2 0 1 7 - 1 1 - 1 0 你 听 说 过 谷 歌 的 漏 洞 跟 踪 管 理 平 台 （ 你 听 说 过 谷 歌 的 漏 洞 跟 踪 管 理 平 台 （   G o o g l e   I s s u e   T r a c k e r ） 吗 ？ ） 吗 ？   我 想 大 多 数 人 可 能 没 有 ， 除 非 你 是 谷 歌 内 部 我 想 大 多 数 人 可 能 没 有 ， 除 非 你 是 谷 歌 内 部 雇 员 或 是 最 近 上 报 过 谷 歌 相 关 产 品 漏 洞 的 开 发 者 。 我 也 不 知 道 这 个 东 西 ， 直 到 最 近 我 通 过 上 报 给 谷 歌 的 漏 洞 才 雇 员 或 是 最 近 上 报 过 谷 歌 相 关 产 品 漏 洞 的 开 发 者 。 我 也 不 知 道 这 个 东 西 ， 直 到 最 近 我 通 过 上 报 给 谷 歌 的 漏 洞 才 发 现 ， 谷 歌 除 了 通 常 的 邮 件 通 知 外 ， 还 采 取 了 这 个 新 的 漏 洞 跟 踪 反 馈 处 理 机 制 （ 如 下 图 所 示 ） ， 所 以 ， 我 决 定 发 现 ， 谷 歌 除 了 通 常 的 邮 件 通 知 外 ， 还 采 取 了 这 个 新 的 漏 洞 跟 踪 反 馈 处 理 机 制 （ 如 下 图 所 示 ） ， 所 以 ， 我 决 定 想 办 法 来 搞 搞 它 。 想 办 法 来 搞 搞 它 。 根 据 相 关 文 档 介 绍 ， 该 漏 洞 跟 踪 反 馈 平 台 在 谷 歌 内 部 称 为 B u g a n i z e r ， 是 谷 歌 内 部 用 于 产 品 开 发 周 期 内 对 漏 洞 和 需 求 问 题 进 行 跟 踪 反 馈 的 系 统 。 为 满 足 多 方 和 特 定 项 目 合 作 需 求 ， 它 同 样 提 供 了 外 部 访 问 接 口 。 也 就 是 说 ， 如 果 谷 歌 产 品 存 在 被 人 上 报 的 漏 洞 问 题 ， 这 些 问 题 就 会 显 示 在 该 平 台 中 ， 有 点 道 理 ， 对 吧 ？ 作 为 外 部 用 户 的 我 们 ， 只 能 看 到 其 中 的 冰 山 一 角 ： 显 示 给 我 们 的 仅 只 是 预 先 审 核 分 类 过 的 信 息 ， 或 一 些 内 部 用 户 添 加 外 部 账 户 的 问
题 ， 包 括 白 帽 们 上 报 的 一 些 漏 洞 报 告 。 而 在 这 些 表 面 信 息 之 下 又 存 在 着 多 少 不 为 人 知 的 深 层 漏 洞 信 息 呢 ？ 我 们 来 一 探 究 竟 。 看 看 漏 洞 和 问 题 的 最 近 排 序 I D ， 我 们 能 估 计 出 该 平 台 的 大 概 处 理 工 作 量 ， 峰 值 时 最 多 第 小 时 能 接 收 2 0 0 0 至 3 0 0 0 0 个 问 题 报 告 ， 而 谷 歌 选 择 公 开 的 ， 仅 只 是 这 些 问 题 或 漏 洞 的 0 . 1 % ， 如 果 该 平 台 存 在 信 息 泄 露 漏 洞 ， 那 就 好 玩 了 ， 好 吧 ， 我 们 一 起 来 看 看 ！ 第 一 个 漏 洞 ： 通 过 更 改 第 一 个 漏 洞 ： 通 过 更 改 B u g a n i z e r 平 台 关 联 邮 箱 地 址 绕 过 谷 歌 身 份 认 证 平 台 关 联 邮 箱 地 址 绕 过 谷 歌 身 份 认 证 经 研 究 发 现 ， B u g a n i z e r 平 台 在 对 问 题 和 漏 洞 的 跟 踪 处 理 过 程 中 ， 会 以 以 下 特 殊 邮 箱 格 式 向 漏 洞 上 报 人 发 送 一 些 漏 洞 相 关 的 交 流 信 息 ： b u g a n i z e r - s y s t e m + c o m p o n e n t I D + i s s u e I D @ g o o g l e . c o m 其 中 ， c o m p o n e n t I D 代 表 分 类 ， i s s u e I D 代 表 特 定 的 漏 洞 问 题 编 号 。 这 让 我 想 起 了 最 近 有 研 究 人 员 披 露 的 h e l p d e s k 服 务 控 制 台 欺 骗 技 巧 ， 利 用 该 技 术 可 以 结 合 以 上 邮 箱 模 式 对 某 些 公 司 的 内 部 聊 天 系 统 进 行 成 功 渗 透 。 考 虑 到 该 邮 箱 地 址 是 以 @ g o o g l e . c o m 结 尾 的 ， 所 以 我 用 以 上 谷 歌 的 一 个 邮 箱 地 址 为 账 户 去 尝 试 登 录 谷 歌 的 S l a c k 服 务 ， 虽 然 出 现 了 一 个 登 录 确 认 页 面 ， 但 却 没 有 任 何 S l a c k 的 返 回 信 息 ， 有 可 能 是 谷 歌 内 部 团 队 没 有 开 启 或 利 用 S l a c k 服 务 。 接 下 来 我 能 想 到 的 就 是 ， 想 办 法 获 取 一 个 谷 歌 内 部 雇 员 邮 箱 @ g o o g l e . c o m 了 ， 这 样 或 许 能 对 这 样 或 许 能 对 B u g a n i z e r 平 台 的 访 问 提 供 特 殊 权 限 ， 这 种 内 部 雇 员 邮 箱 一 般 通 过 外 网 是 注 册 不 了 的 ， 只 有 内 部 员 工 或 外 包 商 才 能 拥 有 。
于 是 我 尝 试 利 用 一 种 方 法 来 绕 过 这 种 机 制 ： 在 使 用 谷 歌 B u g a n i z e r 平 台 过 程 中 ， B u g a n i z e r 平 台 的 G o o g l e 账 户 关 联 邮 箱 可 以 任 意 更 改 ， 所 以 我 把 其 更 改 为 了 b u g a n i z e r - s y s t e m + 1 2 3 1 2 3 + 6 7 1 1 1 1 1 1 @ g o o g l e . c o m ， 之 后 ， B u g a n i z e r 平 台 会 向 我 之 前 旧 的 关 联 邮 箱 发 送 来 一 封 关 于 当 前 B u g a n i z e r 平 台 G o o g l e 账 户 关 联 邮 箱 地 址 变 更 的 确 认 邮 件 ， 其 中 包 含 了 一 个 确 认 链 接 ： 这 一 改 ， B u g a n i z e r 平 台 就 已 经 默 认 我 是 谷 歌 内 部 员 工 了 ！ 点 击 返 回 的 确 认 链 接 之 后 ， 就 直 接 转 到 了 谷 歌 的 内 部 登 录 系 统 了 ： 答 案 是 肯 定 的 ， 在 此 ， 这 个 新 注 册 邮 箱 b u g a n i z e r - s y s t e m + 1 2 3 1 2 3 + 6 7 1 1 1 1 1 1 @ g o o g l e . c o m 当 然 是 不 能 成 功 登 录 进 入 的 。 但 已 经 能 够 说 明 问 题 了 ： 利 用 这 种 漏 洞 ， 我 能 对 其 它 谷 歌 服 务 的 安 全 性 作 出 测 试 ， 或 许 能 享 受 其 车 辆 定 位 服 务 系 统 的 免 费 搭 车 。 这 依 然 是 一 个 存 在 安 全 隐 患 的 漏 洞 。 最 终 我 上 报 了 该 漏 洞 ， 谷 歌 安 全 团 队 在 1 1 个 小 时 之 后 进 行 了 采 纳 修 复 ， 我 也 获 得 了 $ 3 , 1 3 3 . 7 的 赏 金 ， 该 漏 洞 严 重 程 度 为 危 急 。 第 二 个 漏 洞 ： 获 取 谷 歌 内 部 相 关 凭 据 的 通 知 提 示 信 息 第 二 个 漏 洞 ： 获 取 谷 歌 内 部 相 关 凭 据 的 通 知 提 示 信 息 B u g a n i z e r 平 台 的 另 外 一 个 让 我 觉 得 有 意 思 的 地 方 就 是 其 星 标 条 目 ， 标 记 为 星 标 的 条 目 表 示 你 个 人 对 该 漏 洞 问 题 比 较 关 注 ， 并 希 望 接 收 B u g a n i z e r 平 台 上 其 他 人 对 该 漏 洞 的 一 些 实 时 评 论 。
该 功 能 比 较 有 意 思 的 是 ， 当 我 用 它 标 记 一 些 不 具 备 访 问 权 限 的 漏 洞 条 目 时 ， 竟 然 缺 少 一 些 错 误 提 示 。 这 貌 似 说 明 B u g a n i z e r 平 台 未 采 用 某 些 访 问 控 制 规 则 ， 于 是 ， 我 用 我 的 另 外 一 个 账 户 登 录 进 入 B u g a n i z e r 平 台 ， 并 尝 试 通 过 替 换 请 求 中 的 i s s u e I D 来 对 上 个 主 账 户 中 的 某 个 漏 洞 报 告 进 行 星 标 标 记 ， 于 是 ， 我 看 到 了 以 下 这 条 信 息 ， 表 示 标 记 行 为 成 功 ： 1   p e r s o n   h a s   s t a r r e d   t h i s   i s s u e . 这 样 就 能 侧 面 监 控 一 些 谷 歌 漏 洞 的 最 新 状 态 了 吗 ？ 于 是 ， 我 很 快 对 该 星 标 漏 洞 条 目 进 行 了 评 论 ， 看 看 我 的 虚 构 账 户 是 否 能 收 到 其 状 态 提 示 通 知 。 但 可 惜 ， 还 是 没 有 任 何 邮 件 反 馈 。 由 于 某 种 原 因 ， 我 决 定 对 此 问 题 继 续 进 行 一 些 深 入 测 试 。 所 以 ， 我 选 择 了 一 个 近 期 的 漏 洞 条 目 i s s u e I D ， 并 推 断 出 了 B u g a n i z e r 平 台 上 最 近 数 千 个 漏 洞 条 目 的 I D 范 围 ， 然 后 把 它 们 全 部 标 记 为 星 标 条 目 。 几 分 钟 之 后 ， 我 的 收 件 箱 出 现 了 这 些 情 况 ： 我 想 ， 这 应 该 中 奖 了 吧 ！ 但 是 ， 仔 细 查 看 后 发 现 ， 这 些 提 示 邮 件 中 并 没 有 太 多 有 价 值 的 信 息 ， 更 多 的 是 一 些 不 同 语 言 的 评 论 和 对 话 内 容 。 我 希 望 后 期 对 此 漏 洞 进 行 一 些 深 入 研 究 ， 想 办 法 找 出 更 严 重 的 问 题 ， 所 以 ， 它 一 直 在 我 手 上 耽 搁 了 几 个 小 时 。 但 之 后 ， 我 想 谷 歌 安 全 团 队 应 该 会 对 该 漏 洞 感 兴 趣 吧 ， 于 是 ， 我 就 上 报 了 该 漏 洞 。 最 终 ， 谷 歌 安 全 团 队 以 高 优 先 级 方 式 在 5 小 时 之 后 确 认 了 该 漏 洞 ， 我 也 因 此 获 得 了 $ 5 0 0 0 赏 金 。 第 三 个 漏 洞 ： 第 三 个 漏 洞 ： B u g a n i z e r 平 台 存 在 无 访 问 权 限 验 证 机 制 导 致 可 以 查 看 任 意 上 报 漏 洞 平 台 存 在 无 访 问 权 限 验 证 机 制 导 致 可 以 查 看 任 意 上 报 漏 洞 当 你 作 为 外 部 用 户 访 问 B u g a n i z e r 平 台 （ I s s u e   T r a c k e r ） 时 ， 其 实 大 部 分 功 能 是 被 剥 离 的 ， 给 你 的 权 限 非 常 有 限 ，   而 根 据 J a v a S c r i p t 文 档 中 A P I 服 务 端 点 可 以 发 现 ， 谷 歌 内 部 员 工 可 以 进 行 很 多 酷 炫 操 作 。 这 些 操 作 功 能 对 外 部 用 户 来 说 ， 很 多 都 被 完 全 禁 用 了 ， 也 有 一 些 被 简 单 地 隐 藏 在 接 口 之 中 。
在 设 计 这 个 对 外 部 用 户 有 功 能 限 制 的 系 统 时 ， 开 发 者 预 留 了 邮 件 抄 送 列 表 的 删 除 功 能 ， 也 就 是 说 ， 如 果 我 们 对 某 个 漏 洞 问 题 不 感 兴 趣 而 不 需 要 对 其 状 态 进 行 关 注 时 ， 那 么 该 漏 洞 的 状 态 信 息 将 不 会 发 送 到 我 们 的 邮 箱 中 。 该 抄 送 列 表 功 能 可 以 通 过 以 下 P O S T 方 式 来 实 现 ： 但 是 ， 这 种 功 能 的 实 现 却 导 致 了 严 重 的 问 题 ： 不 当 的 访 问 控 制 规 则 ： 在 尝 试 执 行 给 定 操 作 之 前 ， 对 当 前 用 户 是 否 具 备 访 问 i s s u e I D 中 特 定 漏 洞 的 权 限 无 任 何 明 确 检 查 行 为 ； 不 报 错 机 制 ： 如 果 你 提 供 的 邮 箱 地 址 不 在 当 前 漏 洞 问 题 状 态 的 邮 件 抄 送 列 表 中 ， 客 户 端 就 会 返 回 一 条 消 息 称 该 邮 箱 地 址 被 成 功 删 除 ； 返 回 消 息 中 包 含 了 完 整 的 漏 洞 信 息 ： 如 果 在 操 作 期 间 没 有 发 生 错 误 ， 系 统 的 另 一 部 分 服 务 就 会 假 设 当 前 用 户 具 备 适 当 的 操 作 管 理 权 限 ， 因 此 ， 那 些 特 定 I D 的 漏 洞 细 节 信 息 都 会 出 现 在 返 回 的 H T T P 响 应 内 容 中 。 根 据 以 上 存 在 的 三 个 问 题 ， 我 现 在 可 以 通 过 在 请 求 中 替 换 掉 i s s u e i d 来 查 看 B u g a n i z e r 平 台 数 据 库 中 每 个 漏 洞 的 详 细 信 息 ， 超 赞 ！ 我 只 尝 试 性 地 查 看 了 几 个 连 续 的 漏 洞 I D ， 然 后 用 一 个 无 关 帐 户 进 行 了 验 证 ， 确 认 这 个 问 题 的 严 重 性 。 是 的 ， 我 可 以 看 到 漏 洞 报 告 的 所 有 详 细 信 息 ， 包 括 B u g a n i z e r 平 台 上 托 管 的 其 他 内 容 。 更 严 重 的 是 ， 我 可 以 在 单 个 请 求 中 窃 取 到 多 个 用 户 凭 据 的 相 关 数 据 内 容 ， 因 此 ， 这 样 甚 至 可 以 无 限 制 地 实 时 监 控 B u g a n i z e r 平 台 的 所 有 内 部 活 动 ！ 我 把 该 漏 洞 及 时 上 报 给 了 谷 歌 安 全 团 队 ， 他 们 在 一 小 时 之 内 紧 急 进 行 了 修 复 ， 并 禁 用 了 相 关 存 在 漏 洞 的 服 务 终 端 ， 好 快 的 响 应 速 度 ！ 我 也 因 此 获 得 了   $ 7 5 0 0 的 赏 金 。 后 记 后 记 当 我 第 一 次 挖 掘 B u g a n i z e r 平 台 的 信 息 泄 露 漏 洞 时 ， 我 就 认 为 这 将 会 是 “ 谷 歌 漏 洞 的 圣 杯 ” ( H o l y   G r a i l   o f   G o o g l e   b u g s ) ， 因 为 B u g a n i z e r 平 台 本 身 就 是 谷 歌 的 漏 洞 跟 踪 管 理 系 统 ， 其 一 旦 存 在 漏 洞 ， 攻 击 者 就 能 访 问 谷 歌 产 品 中 那 些 尚 未 修 复 的 漏 洞 信 息 ， 进 一 步 深 入 利 用 这 些 漏 洞 ， 会 对 谷 歌 自 身 和 全 球 用 户 造 成 严 重 的 安 全 影 响 。 但 幸 运 的 是 ， 谷 歌 安 全 团 队 第 一 时 间 就 修 复 了 B u g a n i z e r 平 台 的 漏 洞 ， 及 时 堵 塞 了 漏 洞 ， 化 解 了 风 险 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， f r e e b u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M P O S T   / a c t i o n / i s s u e s / b u l k _ e d i t   H T T P / 1 . 1 {       " i s s u e I d s " : [             6 7 1 1 1 1 1 1 ,             6 7 1 1 1 1 1 2       ] ,       " a c t i o n s " : [             {                   " f i e l d N a m e " : " c c s " ,                   " v a l u e " : " t e s t @ e x a m p l e . c o m " ,                   " a c t i o n T y p e " : " R E M O V E "             }       ] }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理