搜索

[12281] 2018-01-25_挖洞经验看我如何利用两个漏洞实现雅虎邮箱通讯录信息获取

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2018-01-25_挖洞经验看我如何利用两个漏洞实现雅虎邮箱通讯录信息获取 挖 洞 经 验   |   看 我 如 何 利 用 两 个 漏 洞 实 现 雅 虎 邮 箱 通 讯 录 信 息 获 取 c l o u d s   F r e e B u f   2 0 1 8 - 0 1 - 2 5 前 段 时 间 ， 我 利 用 了 前 段 时 间 ， 我 利 用 了 X S S 和 和 C O R S 错 误 配 置 两 个 漏 洞 实 现 了 对 雅 虎 邮 箱 用 户 的 通 讯 录 信 息 窃 取 ， 这 些 相 关 信 息 错 误 配 置 两 个 漏 洞 实 现 了 对 雅 虎 邮 箱 用 户 的 通 讯 录 信 息 窃 取 ， 这 些 相 关 信 息 包 括 ： 受 害 者 姓 名 、 电 话 号 码 和 住 址 等 。 在 此 ， 我 来 详 细 说 说 整 个 过 程 。 包 括 ： 受 害 者 姓 名 、 电 话 号 码 和 住 址 等 。 在 此 ， 我 来 详 细 说 说 整 个 过 程 。 跨 域 资 源 共 享 C O R S 跨 域 资 源 共 享 （ C O R S ） 策 略 是 一 种 利 用 附 加 H T T P 头 标 记 ， 让 用 户 代 理 获 得 不 同 域 服 务 器 上 对 特 定 资 源 访 问 权 限 的 机 制 。 但 出 于 保 护 用 户 信 息 安 全 的 目 的 ， 大 多 浏 览 器 都 会 实 施 “ 同 源 策 略 ” （ S a m e   O r i g i n   P o l i c y ） 机 制 ， 所 谓 “ 同 源 策 略 ” 指 的 是 不 同 源 的 客 户 端 脚 本 在 没 有 明 确 授 权 情 况 下 ， 不 允 许 读 写 对 方 的 资 源 ， 也 即 网 站 上 的 数 据 只 允 许 相 同 域 名 和 端 口 访 问 。 因 此 ， 配 置 了 跨 域 资 源 共 享 （ C O R S ） 策 略 之 后 ， 就 能 实 现 跨 域 数 据 访 问 。 跨 站 脚 本 漏 洞 X S S ( C r o s s   S i t e   S c r i p t i n g ) X S S 一 种 客 户 端 代 码 注 入 方 式 ， 利 用 这 种 方 式 可 在 有 漏 洞 的 应 用 中 注 入 如 j a v a s c r i p t 等 运 行 脚 本 ， 实 现 恶 意 目 的 。 漏 洞 漏 洞 1 ： ： C O R S 错 误 配 置 错 误 配 置 - h t t p : / / p r o d d a t a . x o b n i . y a h o o . c o m 研 究 人 员 用 B u r p   S u i t e 对 * . y a h o o . c o m 子 域 名 的 不 同 请 求 进 行 了 分 析 ， 发 现 一 个 很 有 趣 的 子 域 名 p r o d d a t a . x o b n i . y a h o o . c o m ， 记 录 的 请 求 很 少 ， 但 是 都 是 请 求 的 e n d p o i n t 都 相 同 — — h t t p s : / / p r o d d a t a . x o b n i . y a h o o . c o m / v 4 / c o n t a c t s 。 该 e n d p o i n t 含 有 联 系 人 目 录 中 的 每 一 个 联 系 人 ， 而 且 带 有 A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e 的 源 h t t p s : / / m a i l . y a h o o . c o m 被 反 射 回 A c c e s s - C o n t r o l - A l l o w - O r i g i n 。 研 究 人 员 尝 试 修 改 o r i g i n 为 不 同 的 p a y l o a d 但 是 并 没 有 效 果 ， 因 此 研 究 人 员 用 一 个 雅 虎 的 子 域 名 替 换 了 该 p a y l o a d 。 我 利 用 B u r p   S u i t e 对 * . y a h o o . c o m 子 域 名 进 行 了 枚 举 之 后 ， 发 现 了 一 个 有 意 思 的 域 名 -   p r o d d a t a . x o b n i . y a h o o . c o m ， 虽 然 该 域 名 涉 及 的 请 求 不 多 ， 但 都 指 向 了 同 一 个 服 务 端 ： h t t p s : / / p r o d d a t a . x o b n i . y a h o o . c o m / v 4 / c o n t a c t s ， 该 服 务 端 中 包 含 了 利 用 G E T 请 求 测 试 的 所 有 通 讯 录 联 系 人 信 息 。 我 注 意 服 务 端 响 应 中 包 含 了 A c c e s s - C o n t r o l - A l l o w - O r i g i n 源 为 h t t p s : / / m a i l . y a h o o . c o m ， 且 A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e 的 头 信 息 ， 由 此 ， 我 尝 试 对 A c c e s s - C o n t r o l - A l l o w - O r i g i n 源 作 出 一 些 修 改 访 问 ， 但 可 惜 一 个 都 成 功 ，
之 后 ， 我 试 着 把 其 更 改 为 与 m a i l . y a h o o . c o m 不 同 的 其 它 雅 虎 子 域 名 。 如 下 ： c u r l   ‘ h t t p s : / / p r o d d a t a . x o b n i . y a h o o . c o m / v 4 / c o n t a c t s ‘   - s   - H   ‘ O r i g i n :   h t t p s : / / h a c k e r o n e - c d l . y a h o o . c o m ‘   — h e a d 得 到 的 响 应 为 ： A c c e s s - C o n t r o l - A l l o w - O r i g i n :   h t t p s : / / h a c k e r o n e - c d l . y a h o o . c o m A c c e s s - C o n t r o l - A l l o w - M e t h o d s :   G E T , P O S T , P U T , D E L E T E , O P T I O N S A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s :   t r u e 从 上 述 信 息 可 知 ， 它 可 以 接 受 任 何 . y a h o o . c o m 子 域 名 为 源 ， 且 A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s 为 t r u e ， 这 也 说 是 说 ， 如 果 在 . y a h o o . c o m 中 发 现 了 X S S 漏 洞 ， 那 么 就 可 以 利 用 这 种 C O R S 错 误 配 置 漏 洞 来 窃 取 用 户 的 通 讯 录 信 息 了 。 A c c e s s - C o n t r o l - A l l o w - C r e d e n t i a l s   头 指 定 了 当 浏 览 器 的 c r e d e n t i a l s 设 置 为 t r u e 时 是 否 允 许 浏 览 器 读 取 r e s p o n s e 的 内 容 ， 具 体 参 考 ： d e v e l o p e r . m o z i l l a 漏 洞 漏 洞 2 :   雅 虎 邮 箱 （ 雅 虎 邮 箱 （ Y a h o o !   M a i l ） 服 务 的 ） 服 务 的 X S S 漏 洞 漏 洞 现 在 ， 寻 找 雅 虎 X S S 漏 洞 成 了 关 键 ， 但 遗 憾 的 是 ， 经 过 好 多 天 的 尝 试 分 析 ， 我 也 没 有 发 现 一 个 有 效 的 X S S 。 之 后 ， 通 过 T w i t t e r 发 贴 信 息 ， 我 发 现 安 全 研 究 人 员 E n g u e r r a n   G i l l i e r   ( @ o p n s e c )   发 现 了 一 个 雅 虎 邮 箱 相 关 且 暂 不 修 复 （ w o n t f i x ） 的 复 制 粘 贴 型 X S S 漏 洞 。 于 是 乎 ， 我 马 上 通 过 其 给 出 的 P O C 信 息 ， 结 合 漏 洞 1 作 出 了 一 些 测 试 分 析 。 尽 管 最 终 利 用 方 式 存 在 一 些 用 户 交 互 条 件 ， 但 不 管 这 么 多 了 ， 只 要 证 明 漏 洞 存 在 就 好 。 （ P S ： 后 来 通 过 向 雅 虎 提 交 了 漏 洞 我 才 发 现 ， 由 于 E n g u e r r a n   G i l l i e r 与 Y a h o o 方 面 存 在 一 些 沟 通 问 题 ， 所 以 才 导 致 该 X S S 漏 洞 被 Y a h o o 方 面 标 记 为 暂 不 修 复 （ w o n t f i x ） 状 态 ， 我 是 有 多 幸 运 啊 ！ ） 最 终 利 用 方 式 （ 最 终 利 用 方 式 （ P o C ） ） 以 下 为 我 的 最 终 P o C ， 需 要 受 害 者 用 户 登 录 雅 虎 邮 箱 ， 之 后 复 制 以 下 页 面 中 的 任 意 信 息 ， 然 后 粘 贴 到 新 建 发 信 正 文 中 ， 此 后 ， 受 害 者 用 户 雅 虎 邮 箱 中 的 所 有 通 讯 录 信 息 就 会 通 过 6 1 3 1 5 端 口 自 动 发 送 到 我 的 控 制 端 中 ：
视 频 :   h t t p s : / / w w w . y o u t u b e . c o m / e m b e d / l K 2 3 t B E V K x U 漏 洞 报 送 进 程 漏 洞 报 送 进 程 2 0 1 7 . 1 1 . 8       通 过 H a c k e r O n e 向 雅 虎 报 送 漏 洞 2 0 1 7 . 1 1 . 9       雅 虎 初 次 确 认 分 类 并 发 放 前 期 $ 1 5 0 美 金 奖 励 2 0 1 7 . 1 1 . 1 5     雅 虎 方 面 修 复 漏 洞 2 0 1 7 . 1 2 . 1 0     雅 虎 方 面 又 向 我 发 放 了   1 8 5 0   美 元 的 后 期 奖 励                   （ 共   2 0 0 0   美 金 ） * 参 考 来 源 ： s x c u r i t y ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理