搜索

[12171] 2017-12-29_吐槽为何Uber的漏洞奖励计划让我一分钱没赚到？

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-18
2017-12-29_吐槽为何Uber的漏洞奖励计划让我一分钱没赚到？ 吐 槽   |   为 何 U b e r 的 漏 洞 奖 励 计 划 让 我 一 分 钱 没 赚 到 ？ A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 1 2 - 2 9 根 据 根 据 U b e r 在 在 H a c k e r O n e 上 发 布 的 公 开 漏 洞 奖 励 计 划 ， 如 果 有 人 可 以 在 上 发 布 的 公 开 漏 洞 奖 励 计 划 ， 如 果 有 人 可 以 在 U b e r 的 应 用 程 序 或 在 线 服 务 中 找 到 安 全 的 应 用 程 序 或 在 线 服 务 中 找 到 安 全 漏 洞 的 话 ， 漏 洞 的 话 ， U b e r 将 至 少 给 这 个 人 奖 励 将 至 少 给 这 个 人 奖 励 5 0 0 美 金 。 近 些 年 来 ， 我 一 直 在 给 企 业 客 户 进 行 渗 透 测 试 培 训 ， 因 此 我 准 美 金 。 近 些 年 来 ， 我 一 直 在 给 企 业 客 户 进 行 渗 透 测 试 培 训 ， 因 此 我 准 备 尝 试 看 看 能 否 找 到 备 尝 试 看 看 能 否 找 到 U b e r 的 漏 洞 。 的 漏 洞 。 寻 找 漏 洞 寻 找 漏 洞 在 对 U b e r 的 客 户 端 以 及 在 线 服 务 进 行 安 全 分 析 ， 我 花 了 好 几 天 的 时 间 收 集 了 一 些 资 源 ， 然 后 利 用 子 域 名 枚 举 以 及 应 用 程 序 指 纹 构 建 出 了 比 较 全 面 的 U b e r 节 点 地 图 。 接 下 来 我 又 对 A n d r o i d   S D K 进 行 了 分 析 ， 并 且 花 了 好 几 个 小 时 才 在 A R M 模 拟 器 中 成 功 运 行 了 U b e r 的 A n d r o i d 端 应 用 ， 确 实 是 有 点 慢 了 … 经 过 了 研 究 和 分 析 之 后 ， 我 成 功 绕 过 了 U b e r 的 A P K 所 绑 定 的 安 全 证 书 ， 并 且 成 功 映 射 出 了 U b e r 的 移 动 端 节 点 。 因 为 我 在 A P K 的 网 络 流 量 中 发 现 了 指 向 M i c r o s o f t   P h o n e   A P I 的 引 用 ， 所 以 我 来 到 了 微 软 的 应 用 商 城 ， 然 后 对 U b e r 的 S u r f a c e / W i n d o w s   P h o n e 应 用 程 序 进 行 了 分 析 测 试 。 经 过 研 究 后 发 现 ， U b e r 的 移 动 端 应 用 并 没 有 实 现 任 何 的 证 书 绑 定 机 制 ， 这 已 经 违 反 了 U b e r 本 身 的 安 全 机 制 ， 因 此 按 理 来 说 我 至 少 能 够 拿 到 5 0 0 美 金 的 漏 洞 奖 励 了 吧 ！ U b e r 在 所 有 的 移 动 端 身 份 认 证 流 中 都 使 用 了 O A u t h 2 令 牌 ， 而 跟 基 于 C o o k i e 的 身 份 认 证 机 制 相 比 ， 这 种 技 术 要 更 加 的 安 全 。 我 自 己 写 了 一 个 P y t h o n 客 户 端 ， 它 可 以 跟 U b e r 的 后 台 进 行 交 互 ， 然 后 收 集 O A u t h 2 令 牌 来 进 行 熵 分 析 ， 因 为 我 想 看 看 他 们 所 采 用 的 伪 随 机 数 生 成 器 有 没 有 安 全 漏 洞 。 可 奇 怪 的 是 ， 我 获 取 到 的 O A u t h 2 令 牌 一 直 都 没 有 改 变 过 ， 而 且 我 在 U b e r 的 开 发 者 文 档 中 也 没 有 找 到 任 何 关 于 令 牌 到 期 的 问 题 。 所 以 我 每 次 得 到 的 令 牌 ， 都 跟 我 在 第 一 次 注 册 U b e r 账 号 时 所 得 到 的 令 牌 完 全 一 样 。 无 论 我 使 用 S u r f a c e 应 用 程 序 进 行 多 少 次 登 录 和 注 销 ， 我 得 到 的 令 牌 都 是 一 样 的 。 难 道 U b e r 不 会 更 新 这 些 令 牌 的 吗 ？ 我 待 会 儿 再 跟 大 家 讨 论 这 个 问 题 ， 我 们 先 来 看 看 U b e r 的 营 销 推 广 节 点 。 由 于 该 节 点 既 没 有 实 现 任 何 形 式 的 多 因 素 身 份
验 证 ， 也 没 有 对 推 广 代 码 的 P O S T 请 求 进 行 任 何 类 型 的 频 率 限 制 ， 因 此 这 里 存 在 两 个 非 常 明 显 的 安 全 漏 洞 。 也 就 是 说 ， 攻 击 者 将 能 够 利 用 这 个 漏 洞 并 配 合 H T T P 测 试 工 具 来 向 这 个 节 点 发 送 无 数 次 P O S T 请 求 ， 然 后 枚 举 出 O A u t h 2 令 牌 。 在 测 试 的 过 程 中 ， 我 只 需 要 几 分 钟 的 时 间 就 能 够 枚 举 出 超 过 一 百 万 个 O A u t h 2 令 牌 ， 而 且 还 不 会 被 I P 黑 名 单 或 请 求 频 率 所 限 制 。 那 么 我 们 回 到 令 牌 到 期 这 个 问 题 上 。 如 果 我 可 以 通 过 某 种 方 法 弄 清 楚 U b e r 处 理 令 牌 到 期 的 方 法 ， 那 我 就 可 以 得 到 无 数 个 O A u t h 2 令 牌 ， 并 使 用 某 些 可 视 化 工 具 来 对 令 牌 模 式 进 行 分 析 ， 最 终 函 数 逼 近 等 数 学 方 法 来 推 算 出 有 效 的 O A u t h 2 令 牌 。 但 是 U b e r 的 S u r f a c e 应 用 程 序 在 处 理 注 销 行 为 时 ， 并 不 会 跟 U b e r 的 后 台 服 务 器 进 行 交 互 ， 而 我 却 能 够 在 S u r f a c e 应 用 程 序 注 销 之 后 使 用 我 自 己 的 O A u t h 2 令 牌 来 访 问 其 他 U b e r 乘 客 的 账 号 。 这 也 就 意 味 着 ， U b e r 的 移 动 端 应 用 程 序 是 在 本 地 处 理 注 销 操 作 的 ， 而 且 没 有 采 用 任 何 类 型 的 令 牌 到 期 以 及 身 份 验 证 机 制 。 这 是 一 个 非 常 严 重 的 安 全 问 题 ， 我 现 在 终 于 知 道 为 什 么 U b e r 的 开 发 者 文 档 里 面 没 有 提 到 任 何 关 于 令 牌 到 期 的 问 题 了 ： 因 为 当 用 户 创 建 好 一 个 U b e r 账 户 后 ， U b e r 给 用 户 发 送 的 O A u t h 2 令 牌 永 远 都 不 会 到 期 ， 而 U b e r 的 移 动 端 应 用 程 序 只 会 在 本 地 处 理 注 销 行 为 。 因 此 这 些 安 全 问 题 应 该 符 合 C V E 或 O W A S P 对 安 全 漏 洞 的 定 义 ， 所 以 我 把 这 些 问 题 提 交 到 了 H a c k e r O n e 上 ， 以 期 够 拿 到 漏 洞 奖 金 。 报 告 及 厂 商 回 复 报 告 及 厂 商 回 复 问 题 1 ： U b e r 的 营 销 推 广 节 点 没 有 实 现 多 因 素 身 份 验 证 机 制 ， 这 将 导 致 攻 击 者 能 够 枚 举 出 成 千 上 万 名 U b e r 司 机 及 乘 客 的 O A u t h 2 令 牌 。
问 题 2 ： U b e r 的 营 销 推 广 节 点 没 有 实 现 任 何 类 型 的 频 率 限 制 以 及 I P 黑 名 单 机 制 ， 这 将 导 致 攻 击 者 能 够 枚 举 出 成 千 上 万 名 U b e r 司 机 以 及 乘 客 的 O A u t h 2 令 牌 。 问 题 3 ： U b e r 的 M i c r o s o f t S u r f a c e / P h o n e 应 用 程 序 没 有 实 现 证 书 绑 定 机 制 ， 并 且 允 许 使 用 自 签 名 的 证 书 ， 这 违 反 了 U b e r 的 安 全 规 定 。 问 题 4 ： U b e r 的 移 动 端 应 用 程 序 只 在 本 地 处 理 注 销 行 为 ， 这 将 导 致 O A u t h 2 令 牌 永 远 不 会 到 期 ， 当 用 户 注 销 了 自 己 的 U b e r 移 动 端 应 用 之 后 ， 攻 击 者 将 能 够 访 问 到 其 他 司 机 以 及 乘 客 的 账 号 。 U b e r 安 全 团 队 的 R o b   F l e t c h e r 在 收 到 了 我 提 交 的 报 告 之 后 ， 给 我 的 回 复 如 下 ： 问 题 1 ： U b e r 已 经 了 解 了 相 关 问 题 ， 我 们 会 尝 试 进 行 修 复 ， 但 不 会 提 供 奖 金 。 问 题 2 ： U b e r 已 经 了 解 了 相 关 问 题 ， 我 们 会 尝 试 进 行 修 复 ， 但 不 会 提 供 奖 金 。 问 题 3 ： U b e r 已 经 了 解 了 相 关 问 题 ， 我 们 会 尝 试 进 行 修 复 ， 但 不 会 提 供 奖 金 。 问 题 4 ： U b e r 目 前 无 法 让 已 颁 发 的 O A u t h 2 令 牌 到 期 ， 我 们 将 会 在 下 一 代 身 份 验 证 框 架 中 解 决 该 问 题 ， 但 还 是 不 会 给 你 提 供 奖 金 。 但 是 目 前 为 止 ， 我 已 经 花 了 一 周 左 右 的 时 间 来 尝 试 获 取 这 个 价 值 “ 高 达 ” 5 0 0 美 金 的 漏 洞 奖 励 ， 而 我 所 发 现 的 安 全 漏 洞 既 没 有 被 发 布 在 U b e r 的 漏 洞 奖 励 计 划 中 ， 也 没 有 记 录 在 H a c k e r O n e 的 项 目 页 面 上 ， 这 就 很 尴 尬 了 ！ H a c k e r O n e 的 工 作 人 员 K e v i n   R o s e n b a u m 给 我 的 回 复 如 下 ： “ 很 抱 歉 ， 你 所 提 交 的 漏 洞 没 有 通 过 审 核 ， U b e r 的 应 用 安 全 团 队 并 不 认 为 你 所 提 交 的 这 些 会 影 响 U b e r 的 安 全 性 ， 它 们 并 不 在 U b e r 漏 洞 奖 励 范 畴 之 内 。 我 知 道 这 很 令 人 沮 丧 ， 但 U b e r 已 经 查 看 了 你 的 漏 洞 报 告 ， 并 且 会 重 视 这 个 问 题 。 我 希 望 你 能 够 继 续 帮 助 H a c k e r O n e 完 成 更 多 的 漏 洞 项 目 ， 祝 你 生 活 愉 快 。 ” 我 恼 火 了 ！ 现 在 打 算 给 U b e r 演 示 一 个 更 加 严 重 的 漏 洞 。 努 力 并 不 一 定 会 有 结 果 努 力 并 不 一 定 会 有 结 果
通 过 进 一 步 分 析 之 后 ， 我 发 现 我 能 够 从 U b e r 的 移 动 端 节 点 h t t p s : / / m . u b e r . c o m 反 射 出 查 询 参 数 。 他 们 的 内 容 安 全 策 略 中 包 括 一 个 * . c l o u d f r o n t . n e t 白 名 单 。 因 此 ， 我 能 够 启 动 我 亚 马 逊 W e b 服 务 终 端 的 C l o u d f r o n t ， 并 托 管 任 何 我 想 要 的 J a v a S c r i p t 代 码 ， 然 后 最 终 在 h t t p s : / / m . u b e r . c o m 上 执 行 这 些 代 码 。 简 而 言 之 ， 除 了 内 容 安 全 策 略 中 的 那 个 问 题 之 外 ， 我 又 发 现 了 一 个 反 射 型 X S S ， 并 将 它 们 一 并 提 交 给 了 U b e r 。 除 此 之 外 ， 我 还 绕 过 了 U b e r   O n e L o g i n   S S O 门 户 网 站 的 验 证 机 制 ， 并 成 功 获 取 到 了 U b e r 内 部 u C h a t 员 工 信 息 系 统 的 源 代 码 。 虽 然 这 个 问 题 跟 之 前 的 相 比 没 那 么 严 重 ， 但 我 还 是 将 其 写 到 了 第 二 份 漏 洞 报 告 中 一 并 提 交 给 了 U b e r 。 但 R o b   F l e t c h e r 这 一 次 给 我 的 回 复 如 下 ： “ 我 们 接 下 来 会 对 你 所 提 交 的 漏 洞 再 次 进 行 审 核 ， 但 就 目 前 的 情 况 来 看 ， 你 所 提 交 的 漏 洞 并 不 能 在 现 代 浏 览 器 中 实 现 J a v a S c r i p t 执 行 ， 而 且 你 所 说 的 ‘ 通 过 单 引 号 实 现 任 意 文 本 生 成 ’ 听 起 来 就 像 是 简 单 的 内 容 注 入 攻 击 一 样 ， 它 们 都 不 在 我 们 的 漏 洞 奖 励 范 畴 之 内 。 请 你 按 照 我 们 的 漏 洞 奖 励 计 划 来 提 交 相 关 安 全 报 告 ， 并 对 漏 洞 的 安 全 性 影 响 做 出 理 论 上 的 论 证 。 ” 如 果 我 必 须 努 力 去 证 明 一 个 应 用 程 序 或 服 务 是 多 么 地 容 易 受 到 攻 击 ， 那 我 干 嘛 不 直 接 把 漏 洞 利 用 方 式 卖 给 犯 罪 分 子 拉 倒 ？ 而 现 在 ， H a c k e r O n e 上 的 U b e r 漏 洞 奖 励 报 告 提 交 按 钮 已 经 变 成 这 样 了 ： 总 结 总 结 1 .   U b e r 拥 有 美 国 以 及 其 他 国 家 数 以 千 万 计 用 户 的 G P S 定 位 数 据 ， 所 以 U b e r 的 安 全 问 题 几 乎 成 为 了 公 众 的 安 全 问 题 。 2 .   近 期 所 有 关 于 U b e r 企 业 文 化 的 负 面 新 闻 都 是 真 的 。 3 .   U b e r 并 没 有 像 他 们 所 声 称 的 那 样 在 安 全 方 面 做 出 了 多 大 的 努 力 ， 而 且 他 们 在 H a c k e r O n e 上 发 布 的 漏 洞 奖 励 计 划 纯 粹 是 个 摆 设 。 4 .   H a c k e r O n e 并 不 能 保 证 厂 商 一 定 会 支 付 其 声 明 的 “ 最 少 漏 洞 奖 金 ” ， 而 且 他 们 也 不 会 为 了 保 护 白 帽 子 的 利 益 而 去 跟 厂 商 撕 破 脸 。 *   参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理