搜索

[12482] 2018-03-18_看我如何发现Google云平台漏洞并获得$7500赏金

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2018-03-18_看我如何发现Google云平台漏洞并获得$7500赏金 看 我 如 何 发 现 G o o g l e 云 平 台 漏 洞 并 获 得 $ 7 5 0 0 赏 金 c l o u d s   F r e e B u f   2 0 1 8 - 0 3 - 1 8 本 文 讲 述 了 一 名 乌 拉 圭 本 文 讲 述 了 一 名 乌 拉 圭 1 7 岁 高 中 生 ， 因 对 信 息 安 全 感 兴 趣 ， 通 过 学 习 研 究 ， 独 立 发 现 谷 歌 云 平 台 漏 洞 并 获 得 岁 高 中 生 ， 因 对 信 息 安 全 感 兴 趣 ， 通 过 学 习 研 究 ， 独 立 发 现 谷 歌 云 平 台 漏 洞 并 获 得 $ 7 5 0 0 美 金 （ 此 前 ， 他 曾 发 现 了 价 值 美 金 （ 此 前 ， 他 曾 发 现 了 价 值 $ 1 0 0 0 0 美 金 的 谷 歌 主 机 头 泄 露 漏 洞 ） 。 在 谈 论 该 漏 洞 的 具 体 细 节 之 前 ， 希 美 金 的 谷 歌 主 机 头 泄 露 漏 洞 ） 。 在 谈 论 该 漏 洞 的 具 体 细 节 之 前 ， 希 望 读 者 对 谷 歌 云 服 务 和 望 读 者 对 谷 歌 云 服 务 和 A P I 机 制 相 关 能 有 所 了 解 ， 可 以 先 来 熟 悉 几 个 相 关 概 念 。 机 制 相 关 能 有 所 了 解 ， 可 以 先 来 熟 悉 几 个 相 关 概 念 。 先 导 概 念 先 导 概 念 谷 歌 运 行 有 一 个 名 为 G o o g l e   S e r v i c e   M a n a g e m e n t 的 管 理 服 务 ， 谷 歌 通 过 它 来 管 理 各 种 应 用 谷 歌 系 统 的 内 外 部 接 口 和 用 户 自 行 创 建 的 云 端 服 务 。 在 G o o g l e   S e r v i c e   M a n a g e m e n t 下 ， 用 户 可 以 在 自 己 的 云 平 台 项 目 中 对 使 用 到 的 M a p s   A P I 、 G m a i l   A P I 、 p r i v a t e   A P I s 等 个 人 接 口 服 务 进 行 个 性 化 启 用 关 闭 ， 并 且 能 通 过 接 口 配 置 文 件 对 各 种 服 务 进 行 实 时 管 理 控 制 。 通 常 来 说 ， 作 为 开 发 人 员 的 我 们 一 般 不 会 直 接 使 用 G o o g l e   S e r v i c e   M a n a g e m e n t 服 务 ， 大 多 交 互 操 作 都 是 通 过 云 端 控 制 台 G o o g l e   C l o u d   C o n s o l e 或 命 令 行 （ 如 启 用 / 关 闭 服 务 ） ， 或 通 过 A P I 管 理 接 口 G o o g l e   C l o u d   E n d p o i n t s 来 完 成 ， 但 值 得 一 提 的 是 ， G o o g l e   S e r v i c e   M a n a g e m e n t 服 务 的 一 个 有 意 思 的 A P I 接 口 。 该 A P I 接 口 不 仅 能 实 现 上 述 服 务 管 理 功 能 ， 在 谷 歌 官 方 说 明 文 档 中 还 记 载 说 ， 可 以 使 用 该 A P I 接 口 去 访 问 一 些 谷 歌 服 务 的 隐 藏 功 能 。 这 些 隐 藏 功 能 可 以 用 多 种 方 式 来 发 现 ， 但 最 简 单 最 容 易 的 一 种 就 是 ， 在 用 户 的 谷 歌 云 平 台 项 目 G o o g l e   C l o u d   P l a t f o r m p r o j e c t 中 ， 启 用 S e r v i c e   M a n a g e m e n t 的 A P I 接 口 ， 并 开 启 用 于 项 目 流 量 过 滤 的 组 合 框 。 步 骤 如 下 ：
在 以 上 最 后 一 张 图 中 ， 可 以 看 到 各 种 通 过 A P I 来 实 现 的 功 能 方 法 ， 其 中 就 包 含 了 一 些 红 框 标 注 的 隐 藏 方 法 。 所 谓 隐 藏 方 法 就 是 ， 不 允 许 非 谷 歌 客 户 端 对 其 进 行 访 问 ， 当 非 谷 歌 客 户 端 尝 试 对 其 进 行 访 问 时 ， 就 会 返 回 4 0 4 错 误 。 非 常 有 意 思 的 是 ， 这 种 4 0 4 错 误 不 是 以 H T M L 页 面 一 般 那 种 ‘ 这 里 出 错 ’ 的 提 示 出 现 ， 而 是 以 J S O N 方 式 被 给 出 的 ， 它 会 提 示 该 方 法 不 存 在 。
同 样 ， 在 A P I 本 身 中 也 存 在 一 些 隐 藏 方 法 ， 它 们 是 一 些 公 开 方 法 中 接 收 的 隐 藏 参 数 ， 但 相 对 来 说 ， 这 些 隐 藏 更 难 发 现 。 对 隐 藏 方 法 和 隐 藏 参 数 来 说 ， 它 们 都 使 用 了 一 种 叫 做 “ V i s i b i l i t y ” 的 谷 歌 服 务 功 能 ， 该 功 能 记 录 可 从 公 开 文 档 中 查 询 ， 但 只 作 为 谷 歌 内 部 使 用 。 提 示 ： 谷 歌 自 身 A P I 的 隐 藏 部 分 可 以 通 过 多 种 方 式 来 发 现 ， 大 多 数 时 候 它 们 也 有 一 些 隐 藏 的 文 档 记 录 ， 而 且 ， 谷 歌 不 认 为 这 种 隐 藏 的 A P I 功 能 泄 露 ， 或 隐 藏 的 A P I 记 录 文 档 存 在 是 一 种 安 全 漏 洞 。 （ 我 曾 经 报 告 过 这 些 给 谷 歌 ） 。 但 是 ， 也 有 一 些 隐 藏 功 能 ， 如 果 可 成 功 利 用 ， 就 会 被 认 为 是 一 种 安 全 漏 洞 ， 比 如 我 在 一 年 前 发 现 的 某 隐 藏 参 数 ， 成 功 利 用 后 形 成 漏 洞 ， 谷 歌 奖 励 了 我 $ 5 0 0 0 美 金 。 由 于 目 前 该 漏 洞 还 处 于 修 复 期 ， 现 暂 不 方 便 透 露 。 前 期 分 析 前 期 分 析 了 解 了 上 述 知 识 后 ， 我 尝 试 用 一 种 方 法 去 访 问 这 些 谷 歌 的 隐 藏 功 能 ， 说 来 也 不 难 ， 只 是 在 访 问 谷 歌 云 端 控 制 台 G o o g l e C l o u d   C o n s o l e 时 ， 去 仔 细 分 析 其 中 产 生 的 H T T P 请 求 。 谷 歌 云 端 控 制 台 （ G o o g l e   C l o u d   C o n s o l e ） 使 用 多 个 公 开 和 私 有 的 G o o g l e   A P I ， 和 自 己 的 客 户 端 程 序 ， 以 及 A P I 密 钥 A I z a S y C I - z s R P 8 5 U V O i 0 D j t i C w W B w Q 1 d j D y 7 4 1 g ， 来 实 现 云 端 项 目 的 信 息 访 问 。 谷 歌 云 端 控 制 台 （ G o o g l e   C l o u d   C o n s o l e ） 客 户 端 的 常 见 请 求 如 下 所 示 ： 我 们 来 看 看 其 中 的 名 部 分 含 义 ： “ c l i e n t s 6 . g o o g l e . c o m ” ： 是 请 求 ” g o o g l e a p i s . c o m ” 的 另 外 一 种 表 示 方 法 ， 由 于 其 中 的 c o o k i e 只 能 访 问 到 g o o g l e . c o m 的 子 域 名 ， 所 以 这 种 方 式 是 必 须 的 ； “ S A P I S I D H A S H ”   ： 据 S t a c k O v e r f l o w 论 坛 解 释 ， 是 ” T I M E S T A M P H A S H ” （ 时 间 戳 哈 希 ） 的 值 ， 论 坛 中 其 它 多 种 生 成 S A P I S I D H A S H 的 方 式 ， 与 本 漏 洞 无 关 ； “ X - O r i g i n ” ： 也 称   “ O r i g i n ” ,   是 这 里 S A P I S I D H A S H 部 分 和 客 户 端 对 访 问 网 站 进 行 受 信 验 证 不 可 缺 少 的 头 信 息 ； C o o k i e ： 包 括 S I D 、 H S I D 、 S S I D 、 A P I S I D 和 S A P I S I D 等 ， 谷 歌 用 户 需 要 登 录 才 能 获 取 到 这 些 C o o k i e 信 息 。 由 此 看 来 ， 要 伪 造 谷 歌 云 端 控 制 台 （ G o o g l e   C l o u d   C o n s o l e ） 的 请 求 非 常 简 单 ， 而 且 由 于 它 是 谷 歌 自 身 的 客 户 端 程 序 ， 因 此 它 可 以 访 问 到 多 个 G o o g l e   A P I ， 甚 至 是 一 些 私 有 G o o g l e   A P I 的 某 些 内 部 功 能 ， 其 中 就 包 括 S e r v i c e   M a n a g e m e n t 的 A P I 。 谷 歌 云 端 控 制 台 （ G o o g l e   C l o u d   C o n s o l e ） 客 户 端 的 多 个 功 能 之 一 就 是 ， 创 建 一 个 从 一 开 始 就 附 加 了 配 置 项 的 服 务 （ 一 般 的 客 户 端 通 常 会 忽 略   “ s e r v i c e C o n f i g ” 参 数 ， 因 为 该 参 数 是 隐 藏 的 ， 而 且 在 创 建 服 务 时 不 产 生 初 始 配 置 操 作 ） ， 其 简 单 的 配 置 请 求 如 下 ： G E T   / v 1 / s e r v i c e s ? k e y = A I z a S y C I - z s R P 8 5 U V O i 0 D j t i C w W B w Q 1 d j D y 7 4 1 g   H T T P / 1 . 1 H o s t :   s e r v i c e m a n a g e m e n t . c l i e n t s 6 . g o o g l e . c o m A u t h o r i z a t i o n :   S A P I S I D H A S H   < S A P I S I D H A S H > X - O r i g i n :   h t t p s : / / c o n s o l e . c l o u d . g o o g l e . c o m C o o k i e :   < G O O G L E   C O O K I E S >
漏 洞 分 析 漏 洞 分 析 通 常 来 说 ， 参 数 ” s e r v i c e N a m e ” 和 ” s e r v i c e C o n f i g . n a m e ” 必 须 与 指 定 了 两 者 的 请 求 发 生 匹 配 ， 但 在 实 际 的 服 务 创 建 过 程 中 ， 当   “ c o n f i g V e r s i o n ”   变 量 值 被 设 置 为 1 或 2 ， 或 者 是 2 1 4 7 4 8 3 6 4 8 至 4 2 9 4 9 6 7 2 9 5 之 间 的 值 时 （ 相 当 于 后 端 发 生 了 一 个 整 型 溢 出 ） ， 这 种 匹 配 的 受 限 条 件 并 不 会 被 检 查 实 行 ， 因 此 ， 任 意 用 户 都 可 以 使 用 真 实 的 名 称 （ 如 “ t h e - e x p a n s e . a p p s p o t . c o m ” ） 来 创 建 服 务 ， 只 需 在 其 配 置 文 件 中 声 明 它 其 中 还 存 在 另 一 个 不 同 的 服 务 ， 如 ” m y - p r i v a t e - s e c u r e - a p i . a p p s p o t . c o m ” 。 N o t e ： 出 于 兼 容 性 的 某 个 特 殊 设 置 ， 该 漏 洞 不 会 对 一 些 旧 版 本 的 谷 歌 服 务 造 成 影 响 。 该 漏 洞 的 出 现 会 对 谷 歌 服 务 产 生 重 要 影 响 ， 一 些 重 要 的 流 程 使 用 服 务 配 置 中 的 服 务 名 称 来 执 行 除 权 限 检 查 之 外 的 任 意 操 作 ， 所 以 ， 如 果 配 置 中 加 入 了 不 同 的 服 务 名 称 后 ， 攻 击 者 就 可 以 在 不 同 的 服 务 中 执 行 一 些 重 要 的 操 作 。 这 些 操 作 包 括 ： 1 # 启 用 其 它 服 务 启 用 其 它 服 务 如 果 我 拥 有 服 务 ” t h e - e x p a n s e . a p p s p o t . c o m ”   ， 和 其 在 配 置 项 中 对 应 的 ” v e r y - i m p o r t a n t - a p i . e x a m p l e . c o m ”   ， 当 启 用   “ t h e - e x p a n s e . a p p s p o t . c o m ” 运 行 某 项 谷 歌 的 云 端 项 目 时 ， 谷 歌 服 务 会 继 续 运 行 ， 因 为 我 拥 有 启 用 ” t h e - e x p a n s e . a p p s p o t . c o m ” 的 权 限 ， 但 是 ， 最 终 操 作 会 实 现 在 ” v e r y - i m p o r t a n t - a p i . e x a m p l e . c o m ” 的 执 行 上 ， 因 此 ， 最 终 可 以 启 用 ” v e r y - i m p o r t a n t - a p i . e x a m p l e . c o m ” 。 如 果 用 户 设 置 了 具 备 G o o g l e   A P I   密 钥 或 G o o g l e 认 证 令 牌 的 A P I ， 来 对 合 法 客 户 进 行 认 证 ， 那 么 ， 攻 击 者 可 以 绕 过 这 种 身 份 验 证 机 制 。 由 于 谷 歌 本 身 使 用 了 这 种 方 法 来 认 证 合 法 客 户 端 ， 因 此 ， 攻 击 者 可 以 使 用 一 些 用 于 开 发 的 私 有 G o o g l e   A P I ， 获 取 到 一 些 仅 供 白 名 单 用 户 （ 可 信 测 试 人 员 、 G o o g l e   M y   B u s i n e s s   A P I 等 ） 才 能 访 问 的 内 部 信 息 。 2 # 访 问 隐 藏 功 能 访 问 隐 藏 功 能 S e r v i c e   M a n a g e m e n t   A P I 中 的 一 个 隐 藏 方 法 是 “ P a t c h P r o j e c t S e t t i n g s ” ， 这 允 许 服 务 的 所 有 者 配 置 针 对 特 定 服 务 项 目 的 某 些 隐 藏 设 置 ， 在 这 些 设 置 中 ， 可 以 选 择 配 置 可 见 性 标 签 来 对 隐 藏 功 能 的 访 问 进 行 管 理 。 例 如 ， 如 果 我 有 服 务 “ t h e - e x p a n s e . a p p s p o t . c o m ” ， 和 其 配 置 项 中 的 “ c l o u d r e s o u r c e m a n a g e r . g o o g l e a p i s . c o m ” ， 我 可 以 发 送 以 下 请 求 访 问 我 的 云 端 项 目 ( t h e - e x p a n s e ) 中 ， 由 少 数 可 信 测 试 人 员 测 试 的 功 能 。 3 # 关 闭 他 人 云 端 项 目 的 服 务 功 能 关 闭 他 人 云 端 项 目 的 服 务 功 能 利 用 上 述 同 样 的 方 法 ， 我 们 可 以 对 某 云 端 项 目 是 否 启 用 或 关 闭 某 项 服 务 进 行 控 制 ， 但 是 ， 要 注 意 的 是 ， 这 种 方 法 只 能 P O S T   / v 1 / s e r v i c e s ? k e y = A I z a S y C I - z s R P 8 5 U V O i 0 D j t i C w W B w Q 1 d j D y 7 4 1 g   H T T P / 1 . 1 H o s t :   s e r v i c e m a n a g e m e n t . c l i e n t s 6 . g o o g l e . c o m A u t h o r i z a t i o n :   S A P I S I D H A S H   < S A P I S I D H A S H > X - O r i g i n :   h t t p s : / / c o n s o l e . c l o u d . g o o g l e . c o m C o o k i e :   < G O O G L E   C O O K I E S > C o n t e n t - L e n g t h :   < C O N T E N T - L E N G T H > {     " s e r v i c e N a m e " :   " < S E R V I C E   N A M E > " ,     " p r o d u c e r P r o j e c t I d " :   " < P R O J E C T > " ,     " s e r v i c e C o n f i g " :   {         " n a m e " :   " < S E R V I C E   N A M E > " ,         " p r o d u c e r P r o j e c t I d " :   " < P R O J E C T > " ,         " c o n f i g V e r s i o n " :   3 } P A T C H   / v 1 / s e r v i c e s / t h e - e x p a n s e . a p p s p o t . c o m / p r o j e c t S e t t i n g s / t h e - e x p a n s e ? u p d a t e M a s k = v i s i b i l i t y S e t t i n g s & k e y = A I z a S y C I - z s R P 8 5 U V O i 0 D j t i C w W B w Q 1 d j D y 7 4 1 g   H T T P / 1 . 1 < . . S A M E   H E A D E R S   A S   B E F O R E . . . > {     " v i s i b i l i t y S e t t i n g s " :   {         " v i s i b i l i t y L a b e l s " :   [             " T R U S T E D _ T E S T E R "         ]     } }
禁 用 其 他 人 项 目 中 的 服 务 ， 不 能 执 行 服 务 启 用 操 作 。 比 如 ， 如 果 我 有 服 务 ” t h e - e x p a n s e . a p p s p o t . c o m ”   ， 以 及 配 置 项 中 的 ” c l o u d r e s o u r c e m a n a g e r . g o o g l e a p i s . c o m ”   ， 我 可 以 发 送 以 下 请 求 去 禁 用 位 于 C l o u d   S D K 中 的 谷 歌 云 端 资 源 管 理 A P I ： 漏 洞 影 响 漏 洞 影 响 该 漏 洞 可 导 致 很 多 问 题 ， 如 启 用 私 有 A P I 、 访 问 隐 藏 功 能 、 禁 用 其 他 人 项 目 中 的 服 务 ， 进 而 导 致 客 户 对 谷 歌 云 端 服 务 的 使 用 问 题 。 我 没 一 一 进 行 过 验 证 ， 但 我 可 以 肯 定 的 是 ， 该 漏 洞 可 以 实 现 以 下 操 作 ， 对 客 户 服 务 造 成 影 响 ： 访 问 各 种 处 于 开 发 阶 段 尚 未 公 开 的 G o o g l e   A P I 和 其 中 的 内 置 功 能 ； 免 费 使 用 一 些 收 费 的 G o o g l e   A P I 功 能 ； 访 问 那 些 使 用 谷 歌 云 端 服 务 来 进 行 开 发 的 私 有 A P I ； 访 问 一 些 谷 歌 自 身 未 向 公 众 开 放 的 A P I 隐 藏 功 能 ； 绕 过 一 些 特 殊 限 制 条 件 ； 在 该 漏 洞 基 础 上 ， 对 其 它 潜 在 漏 洞 形 成 威 胁 利 用 ； 对 关 键 A P I 的 禁 用 导 致 的 重 要 服 务 中 断 （ 如 C l o u d   S D K 无 法 访 问 项 目 ， A n d r o i d 的 Y o u T u b e 应 用 无 法 检 索 视 频 的 元 数 据 等 等 ） 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 - 0 1 - 2 7   发 现 漏 洞 2 0 1 8 - 0 1 - 2 7   漏 洞 初 报 2 0 1 8 - 0 1 - 2 9   谷 歌 开 发 团 队 修 复 了 服 务 创 建 过 程 的 漏 洞 2 0 1 8 - 0 1 - 2 9   漏 洞 报 告 分 类 2 0 1 8 - 0 1 - 3 0   与 s e r v i c e N a m e / s e r v i c e C o n f i g . n a m e 不 匹 配 的 所 有 服 务 都 被 从 谷 歌 系 统 中 清 除 ， 该 漏 洞 也 不 能 再 被 利 用 2 0 1 8 - 0 1 - 3 0   谷 歌 安 全 团 队 不 能 复 现 第 3 # 种 威 胁 ， 但 其 测 试 工 程 师 还 能 收 到 4 0 1   错 误 2 0 1 8 - 0 1 - 3 0   谷 歌 安 全 团 队 发 现 了 疑 似 与 该 漏 洞 相 关 的 入 侵 事 件 ， 并 紧 急 发 布 了 修 复 补 丁 2 0 1 8 - 0 1 - 3 1   谷 歌 方 面 告 知 我 其 开 发 团 队 在 我 的 漏 洞 报 告 之 后 一 小 时 ， 也 独 立 发 现 了 该 漏 洞 ,   但 我 的 漏 洞 报 告 还 是 被 发 往 谷 歌 安 全 团 队 以 评 估 赏 金 2 0 1 8 - 0 2 - 1 4   谷 歌 方 面 向 我 发 放 了 $ 7 5 0 0 的 漏 洞 赏 金 * 参 考 来 源 ： 参 考 来 源 ： g o o g l e - b l o g ， ， F r e e B u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M P A T C H   / v 1 / s e r v i c e s / t h e - e x p a n s e . a p p s p o t . c o m / p r o j e c t S e t t i n g s / g o o g l e . c o m : c l o u d s d k t o o l ? u p d a t e M a s k = u s a g e S e t t i n g s & k e y = A I z a S y C I - z s R P 8 5 U V O i 0 D j t i C w W B w Q 1 d j D y 7 4 1 g   H T T P / 1 . 1 < . . S A M E   H E A D E R S   A S   B E F O R E . . . > {     " u s a g e S e t t i n g s " :   {         " c o n s u m e r E n a b l e S t a t u s " :   " D I S A B L E D "     } }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理