搜索

[12631] 2018-04-26_挖洞经验利用密码重置功能实现账号劫持

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-04-26_挖洞经验利用密码重置功能实现账号劫持 挖 洞 经 验   |   利 用 密 码 重 置 功 能 实 现 账 号 劫 持 c l o u d s   F r e e B u f   2 0 1 8 - 0 4 - 2 6 最 近 ， 我 参 加 了 某 平 台 邀 请 的 漏 洞 测 试 项 目 ， 在 其 中 发 现 了 一 个 独 特 的 账 号 劫 持 漏 洞 ， 整 个 漏 洞 发 现 过 程 非 常 最 近 ， 我 参 加 了 某 平 台 邀 请 的 漏 洞 测 试 项 目 ， 在 其 中 发 现 了 一 个 独 特 的 账 号 劫 持 漏 洞 ， 整 个 漏 洞 发 现 过 程 非 常 意 外 也 非 常 幸 运 ， 通 过 密 码 重 置 功 能 就 能 实 现 账 号 劫 持 ， 在 此 我 就 把 它 写 成 意 外 也 非 常 幸 运 ， 通 过 密 码 重 置 功 能 就 能 实 现 账 号 劫 持 ， 在 此 我 就 把 它 写 成   w r i t e u p   分 享 出 来 。 由 于 测 试 项 目 分 享 出 来 。 由 于 测 试 项 目 的 保 密 和 隐 私 原 则 ， 抱 歉 截 图 太 少 ， 且 下 文 中 涉 及 的 网 站 域 名 部 分 我 已 作 了 编 辑 隐 藏 ， 敬 请 见 谅 。 的 保 密 和 隐 私 原 则 ， 抱 歉 截 图 太 少 ， 且 下 文 中 涉 及 的 网 站 域 名 部 分 我 已 作 了 编 辑 隐 藏 ， 敬 请 见 谅 。 从 从 B l i n d   X S S 说 起 说 起 在 对 一 个 域 名 进 行 前 期 踩 点 时 ， 我 偶 然 发 现 一 个 前 端 应 用 ， 它 有 一 个 是 很 旧 的 主 界 页 ， 但 登 录 表 单 没 有 使 用 H T T P S 。 我 想 ， 如 果 连 登 录 页 面 的 证 书 都 没 有 ， 那 应 该 还 会 存 在 什 么 脆 弱 性 呢 ？ 于 是 我 认 真 检 查 并 发 起 测 试 请 求 ， 尝 试 在 该 页 面 网 站 注 册 一 个 新 账 号 。 可 惜 的 是 ， 必 须 需 要 一 个 后 缀 为 @ c o m p a n y . c o m 的 公 司 邮 箱 ， 或 者 注 册 帐 号 需 要 后 台 管 理 员 验 证 批 准 ， 才 能 成 功 完 成 注 册 。 考 虑 到 这 一 点 ， 我 想 我 应 该 测 试 一 下 该 前 端 应 用 是 否 存 在 B l i n d   X S S 漏 洞 ， 于 是 我 在 登 录 的 “ 名 字 ” 和 “ 姓 氏 ” 字 段 中 提 交 了 有 效 的 X S S 测 试 载 荷 ， 当 我 单 击 “ 提 交 ” 按 钮 时 ， 收 到 以 下 错 误 消 息 ， 这 让 我 感 到 意 外 。 我 没 把 b l i n d   X S S 测 试 载 荷 一 起 截 屏 ， 但 整 个 过 程 返 回 了 以 下 错 误 响 应 ： 测 试 盲 注 漏 洞 （ 测 试 盲 注 漏 洞 （ B l i n d   S Q L i ） ） 好 吧 ， 既 然 这 样 ， 那 我 来 试 试 盲 注 漏 洞 （ B l i n d   S Q L i ） 吧 。 通 常 ， 出 现 这 类 错 误 响 应 信 息 后 ， 我 会 第 一 时 间 想 到 用 S q l m a p 来 测 试 一 下 注 入 漏 洞 。 但 遗 憾 的 是 ， 可 能 因 为 不 能 使 用 同 一 个 邮 箱 两 次 注 册 账 号 ， 此 处 发 起 的 账 号 注 册 式 的 S Q L 注 入 请 求 没 能 成 功 响 应 。 另 外 ， 在 S q l m a p 中 存 在 一 个 选 项 设 置 ， 可 以 在 账 号 注 册 需 要 的 邮 箱 地 址 中 添 加 一 个 数 字 ， 形 成 特 殊 的 注 册 请 求 ， 但 是 我 发 现 手 动 来 做 速 度 会 更 快 。 就 这 样 ， 我 反 反 复 复 试 来 试 去 ， 最 终 也 只 能 得 到 一 些 无 效 的 语 法 响 应 。 好 在 ， 在 朋 友 G e r b e n   J a v a d o 的 帮 助 下 ， 我 成 功 构 造 了 一 条 有 效 的 账 号 注 册 式 S Q L 请 求 ， 其 响 应 提 示 ， 该 注 册 账 号 已 成 功 创 建 ， 但 却 需 要 等 待 后 台 激 活 。 既 然 能 这 样 ， 那 这 肯 定 存 在 盲 注 漏 洞 （ B l i n d   S Q L i ） ， 但 由 于 我 无 法 从 测 试 页 面 中 查 看 到 请 求 响 应 结 果 ， 我 就 转 而 使 用 以 下 P a y l o a d 来 继 续 测 试 ： 该 P a y l o a d 下 ， 页 面 在 1 0 秒 过 后 发 生 响 应 ， 其 中 M I D ( @ @ v e r s i o n , 1 , 1 )   =   5 来 测 试 后 端 M y S Q L 数 据 库 版 本 是 否 为 5 以 上 。 另 外 ， 我 还 在 此 发 现 了 一 个 反 射 型 X S S 。
实 现 账 号 劫 持 实 现 账 号 劫 持 现 在 ， 可 以 构 造 有 效 的 账 号 注 册 式 S Q L 请 求 ， 也 能 形 成 有 效 的 盲 注 漏 洞 （ B l i n d   X S S   ） ， 为 此 ， 我 一 直 用 X S S H u n t e r 来 测 试 看 看 能 否 发 现 新 的 X S S 点 ， 几 经 测 试 已 是 深 夜 ， 困 的 不 行 ， 只 能 明 天 再 战 。 第 二 天 ， 我 认 真 查 看 测 试 记 录 ， 意 识 到 接 下 来 可 以 从 3 个 方 面 深 入 ： 在 第 一 张 M y S Q L 的 错 误 响 应 截 图 中 ， 在 底 中 可 以 看 到 它 提 示 “ P l e a s e   c o n t a c t   X X X X X X   a n d   l e t   h i m   k n o w y o u ’ r e   h a v i n g   t r o u b l e . “ ， 这 至 少 能 说 明 我 给 出 的 注 册 需 要 邮 箱 是 有 效 的 ； 在 第 二 张 账 号 注 册 式 的 S Q L 请 求 截 图 中 ， 其 中 提 示 ， 网 站 系 统 后 台 会 向 注 册 邮 箱 发 送 一 封 验 证 邮 件 ； 另 外 ， 可 以 对 网 站 系 统 的 密 码 重 置 功 能 进 行 一 些 后 续 分 析 。 综 合 以 上 三 方 面 情 况 ， 我 决 定 测 试 一 下 其 密 码 重 置 功 能 。 由 于 我 提 交 了 上 述 发 现 的 盲 注 漏 洞 ， 目 标 公 司 告 知 我 ， 曾 经 按 计 划 ， 这 个 网 站 应 用 本 来 是 要 被 移 除 下 线 的 ， 为 此 他 们 让 我 不 用 担 心 风 险 后 果 ， 放 开 手 脚 去 测 试 。 另 外 ， 征 得 目 标 公 司 同 意 ， 我 获 得 了 一 个 有 效 的 公 司 名 后 缀 邮 箱 v a l i d _ u s e r _ a d d r e s s @ c o m p a n y . c o m ， 以 便 用 于 后 续 测 试 。 在 密 码 重 置 功 能 中 ， 唯 一 的 要 求 是 有 一 个 有 效 的 公 司 名 后 缀 电 子 邮 箱 ， 它 会 向 用 户 发 送 一 封 电 子 邮 件 ， 该 邮 件 内 容 具 体 不 详 。 我 先 来 测 试 它 是 否 易 受 H T T P 参 数 污 染 攻 击 （   H T T P   P a r a m e t e r   P o l l u t i o n ） ， 之 后 是 S Q L 注 入 漏 洞 ， 但 好 像 都 不 行 。 然 后 我 想 ， 如 果 系 统 后 台 正 在 向 我 提 供 的 邮 箱 地 址 发 送 验 证 性 邮 件 ， 那 么 我 是 否 可 以 尝 试 ， 使 用 S M T P 标 头 注 入 法 （   S M T P   h e a d e r   i n j e c t i o n ） 将 我 自 己 设 置 的 邮 箱 地 址 ， 添 加 成 抄 送 或 密 件 抄 送 的 另 外 一 个 邮 箱 地 址 ， 这 样 我 就 能 收 到 与 提 供 邮 箱 同 样 的 验 证 邮 件 了 。 S M T P 头 注 入 漏 洞 是 在 未 进 行 充 分 审 查 过 滤 的 情 况 下 ， 用 户 输 入 被 放 入 电 子 邮 件 标 头 中 ， 从 而 使 攻 击 者 能 够 注 入 具 有 任 意 值 的 其 他 标 头 。 此 行 为 可 用 于 向 第 三 方 发 送 电 子 邮 件 副 本 、 附 加 病 毒 、 提 供 网 络 钓 鱼 攻 击 ， 并 经 常 更 改 电 子 邮 件 的 内 容 。 典 型 应 用 就 是 ， 垃 圾 邮 件 发 送 者 通 常 会 以 这 种 方 式 ， 利 用 存 在 漏 洞 的 攻 击 公 司 名 声 ， 来 增 加 其 电 子 邮 件 合 法 性 。 如 果 电 子 邮 件 包 含 了 一 些 攻 击 者 不 该 看 到 的 敏 感 信 息 ( 如 密 码 重 置 令 牌 等 ) ， 则 此 问 题 就 非 常 严 重 。 — — - P o r t s w i g g e r 最 终 ， 我 形 成 的 抄 送 命 令 如 下 U R L 解 码 之 后 是 这 样 的 ： v a l i d _ u s e r _ a d d r e s s @ c o m p a n y . c o m B C C : m e @ m e . c o m 其 中 ， m e @ m e . c o m 是 我 自 己 提 供 的 邮 箱 ， 即 抄 送 副 本 的 第 二 个 邮 箱 地 址 。 而 v a l i d _ u s e r _ a d d r e s s @ c o m p a n y . c o m 是 我 征 求 公 司 获 取 的 有 效 公 司 邮 箱 地 址 。 上 述 抄 送 命 令 提 交 之 后 ， 我 立 即 查 看 了 我 的 邮 箱 m e @ m e . c o m ， 看 看 是 否 有 某 种 密 码 重 置 令 牌 或 其 它 可 进 行 密 码 重 置 的 东 东 ， 当 然 ， 我 希 望 这 种 重 置 机 制 最 好 是 没 有 其 它 类 型 的 双 重 验 证 （ 2 F A ） 。 让 我 惊 喜 的 是 ， 我 邮 箱 收 到 的 电 子 邮 件 内 容 如 下 :
就 这 样 ， 网 站 以 明 文 形 式 向 我 发 送 了 用 户 密 码 ， 我 甚 至 可 以 通 过 登 录 确 认 该 密 码 仍 然 有 效 。 最 终 ， 我 向 项 目 组 提 交 了 我 的 测 试 报 告 ， 另 外 ， 结 合 之 前 发 现 的 B l i n d   X S S ， 我 还 发 现 了 更 多 的 S Q L 注 入 漏 洞 ， 之 后 ， 目 标 测 试 公 司 也 下 线 停 用 了 该 网 站 。 * 参 考 来 源 ： j r 0 c h 1 7 ， F r e e B u f   小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理