搜索

[12783] 2018-06-03_利用HTTP参数污染方式绕过谷歌reCAPTCHA验证机制

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-06-03_利用HTTP参数污染方式绕过谷歌reCAPTCHA验证机制 利 用 H T T P 参 数 污 染 方 式 绕 过 谷 歌 r e C A P T C H A 验 证 机 制 c l o u d s   F r e e B u f   2 0 1 8 - 0 6 - 0 3 今 年 初 ， 我 上 报 了 一 个 谷 歌 今 年 初 ， 我 上 报 了 一 个 谷 歌 r e C A P T C H A 验 证 码 绕 过 漏 洞 ， 该 漏 洞 在 于 能 用 一 种 验 证 码 绕 过 漏 洞 ， 该 漏 洞 在 于 能 用 一 种 H T T P 参 数 污 染 的 不 安 全 方 参 数 污 染 的 不 安 全 方 式 ， 让 式 ， 让 W e b 页 面 上 的 页 面 上 的 r e C A P T C H A 构 造 一 个 针 对 构 造 一 个 针 对   / r e c a p t c h a / a p i / s i t e v e r i f y   的 请 求 ， 在 这 种 情 况 下 ， 攻 击 者 可 以 的 请 求 ， 在 这 种 情 况 下 ， 攻 击 者 可 以 每 次 都 能 绕 过 每 次 都 能 绕 过 r e C A P T C H A 的 安 全 验 证 机 制 。 之 后 ， 谷 歌 从 的 安 全 验 证 机 制 。 之 后 ， 谷 歌 从 r e C A P T C H A   A P I 的 顶 层 接 口 上 对 这 个 漏 洞 进 行 了 的 顶 层 接 口 上 对 这 个 漏 洞 进 行 了 修 复 。 在 此 ， 我 们 一 起 来 看 看 修 复 。 在 此 ， 我 们 一 起 来 看 看 r e C A P T C H A 机 制 是 如 何 被 绕 过 的 。 机 制 是 如 何 被 绕 过 的 。 r e C A P T C H A 验 证 机 制 介 绍 验 证 机 制 介 绍 r e C A P T C H A 是 谷 歌 提 供 的 一 项 免 费 验 证 服 务 ， 可 以 方 便 W e b 应 用 开 发 者 把 验 证 码 认 证 （ C A P T C H A ） 机 制 添 加 到 一 些 需 要 进 行 人 机 身 份 验 证 或 其 它 形 式 验 证 的 网 站 中 。 r e C A P T C H A 服 务 存 在 很 多 实 际 用 例 ， 比 如 ， 有 时 候 它 会 用 你 登 录 网 站 的 c o o k i e 进 行 验 证 ， 而 有 时 候 它 又 会 让 用 户 手 动 地 去 完 成 一 些 它 提 供 的 识 别 测 试 。 我 是 从 对 某 目 标 网 站 的 访 问 中 发 现 这 个 漏 洞 的 。 当 访 问 目 标 网 站 之 后 ， 就 像 下 图 一 样 ， 网 站 需 要 验 证 用 户 身 份 ， 此 时 ， 调 用 了 谷 歌   r e C A P T C H A   A P I   接 口 显 示 一 组 图 片 或 数 字 ， 让 用 户 进 行 选 择 ：
当 用 户 点 击 验 证 码 C A P T C H A 进 行 “ 验 证 ” （ V e r i f y ） 时 ， 会 触 发 一 个 指 向 访 问 网 站 的 H T T P 请 求 ， 该 请 求 大 致 如 下 ： 之 后 ， 目 标 访 问 网 站 需 要 调 用 谷 歌 的 r e C A P T C H A   A P I 接 口 ， 让 用 户 对 该 A P I 提 供 的 验 证 作 出 测 试 ， 然 后 根 据 该 测 试 响 应 来 验 证 用 户 身 份 。 调 用 谷 歌 r e C A P T C H A   A P I 接 口 过 程 的 P O S T 请 求 如 下 ： 其 中 ，   { a p p l i c a t i o n - s e c r e t }   是 用 来 对 目 标 网 站 的 验 证 ， 而   { r e C A P T C H A - g e n e r a t e d - h a s h }   是 向 谷 歌 r e C A P T C H A A P I 接 口 发 送 的 一 个 响 应 查 询 ， 如 果 用 户 的 最 终 测 试 是 正 确 的 ， 则 A P I 会 返 回 以 下 响 应 信 息 ： 这 个 响 应 信 息 最 终 会 被 目 标 访 问 网 站 接 收 到 ， 之 后 ， 根 据 这 个 响 应 信 息 进 行 处 理 ， 最 终 会 允 许 用 户 去 访 问 到 相 应 的 网 站 资 源 。 H T T P   参 数 污 染 参 数 污 染 H T T P   参 数 污 染 ， 或 者 叫 H P P ， 是 网 站 在 接 受 用 户 输 入 时 ， 将 其 用 于 生 成 发 往 其 它 系 统 的   H T T P   请 求 ， 并 且 不 校 验 用 户 输 出 的 时 候 发 生 ， 这 主 要 是 源 于 不 同 的 网 站 对 不 同 请 求 参 数 的 处 理 方 式 不 同 。
H T T P   参 数 污 染 可 能 存 在 客 户 端 或 服 务 端 等 很 多 地 方 ， 其 风 险 程 度 也 依 不 同 环 境 而 有 所 不 同 ， 在 一 些 特 定 场 景 或 实 际 应 用 中 ， 它 可 以 导 致 数 据 泄 露 ， 但 在 另 外 一 些 用 例 中 ， 它 也 可 能 仅 只 是 一 个 低 风 险 漏 洞 。 我 们 这 里 的 谷 歌 r e C A P T C H A 绕 过 过 程 中 ， 需 要 用 到 目 标 访 问 网 站 中 的 H T T P 参 数 污 染 方 法 ， 因 此 ， 这 个 绕 过 方 式 的 特 殊 需 求 构 造 ， 最 终 也 降 低 了 谷 歌 对 该 漏 洞 的 分 类 评 级 。 以 下 为 存 在 r e C A P T C H A 绕 过 可 能 的 目 标 网 站 请 求 实 例 ： 其 中 的 字 符 串 连 接 符   +   是 用 来 连 接 不 同 的 u r l 变 量 。 需 要 注 意 的 是 ， 在 谷 歌 的 A P I 服 务 器 后 端 ， 发 送 以 下 两 个 H T T P 请 求 ， 会 得 到 相 同 的 响 应 消 息 。 两 个 P O S T 请 求 中 都 有   r e s p o n s e   和   s e c r e t   参 数 。 在 第 二 个 P O S T 请 求 中 ， 谷 歌 的 r e C A P T C H A   A P I   总 会 采 用 其 中 的 第 一 个 s e c r e t 参 数 ， 从 而 忽 略 掉 第 二 个 s e c r e t 参 数 。 严 格 来 说 ， 这 不 是 一 个 r e C A P T C H A   A P I   本 身 存 在 的 漏 洞 ， 而 是 一 种 误 用 机 制 ， 但 可 以 被 用 来 进 行 深 入 的 攻 击 利 用 。 漏 洞 利 用 关 键 点 漏 洞 利 用 关 键 点 W e b 开 发 人 员 需 要 以 自 动 化 的 方 式 测 试 他 们 的 应 用 程 序 ， 为 此 G o o g l e 提 供 了 一 种 在 临 时 模 拟 环 境 中 “ 禁 用 ” r e C A P T C H A 验 证 的 简 单 方 法 。 可 以 点 击 这 里 的 G o o g l e 说 明 文 档 来 参 阅 ， 总 之 ， 如 果 要 禁 用 r e C A P T C H A 验 证 ， 请 使 用 下 面 所 示 的 硬 编 码 站 点 和 密 钥 ： S i t e   k e y :   6 L e I x A c T A A A A A J c Z V R q y H h 7 1 U M I E G N Q _ M X j i Z K h I S e c r e t   k e y :   6 L e I x A c T A A A A A G G - v F I 1 T n R W x M Z N F u o j J 4 W i f J W e 测 试 利 用 测 试 利 用 P o C 现 在 ， 我 们 有 了 所 有 必 须 的 测 试 要 素 ， 我 们 来 看 看 如 何 利 用 ： 如 果 目 标 访 问 网 站 可 能 存 在 H T T P 参 数 污 染 ， 而 且 其 U R L 链 接 是 在 s e c r e t 参 数 之 前 通 过 添 加 r e s p o n s e 参 数 来 构 建 的 ， 那 么 这 种 情 况 下 的   r e C A P T C H A   验 证 方 式 有 可 能 被 绕 过 。
请 注 意 ， 我 要 向 目 标 访 问 网 站 发 送 一 个 经 过 构 造 的 假 冒 响 应 消 息 ， 其 中 包 括 以 下 几 个 属 性 ： a n y t h i n g :   仅 代 表 一 个 占 位 符 % 2 6 :   一 个 经 u r l 编 码 的 & 符 号 字 符 s e c r e t :   我 要 进 行 “ 注 入 ” 的 参 数 名 称 % 3 d :   一 个 经 u r l 编 码 的 = 符 号 字 符 6 L e … J W e :   禁 用   r e C A P T C H A   验 证 响 应 的 s e c r e t   k e y ， 也 是 我 们 要 用 到 的 第 一 个 s e c r e t 参 数 组 合 起 来 之 后 ， 就 形 成 了 以 下 由 目 标 网 站 向 谷 歌   r e C A P T C H A   A P I   发 送 的 一 个 H T T P 请 求 ： 这 个 请 求 中 包 含 了 两 个 s e c r e t 参 数 ， 由 于 目 标 访 问 网 站 存 在 H T T P 参 数 污 染 可 能 ， 所 以 其 中 第 一 个 s e c r e t 参 数 可 由 攻 击 者 控 制 ， 这 个 参 数   6 L e I x A c T A A A A A G G - v F I 1 T n R W x M Z N F u o j J 4 W i f J W e   也 是 谷 歌 官 方 给 出 的 禁 用   r e C A P T C H A 验 证 方 法 的 s e c r e t   k e y ； 第 二 个 s e c r e t 参 数 由 目 标 访 问 网 站 自 己 控 制 。 假 定 谷 歌 的     r e C A P T C H A   A P I   采 用 了 第 一 个 s e c r e t 参 数 ， 那 么 也 就 间 接 禁 用 了   r e C A P T C H A 验 证 ， 则 该 请 求 的 响 应 总 会 是 以 下 这 个 ： 这 样 一 来 ， 在 目 标 访 问 网 站 处 理 过 这 个 请 求 响 应 之 后 ，   r e C A P T C H A   会 被 禁 用 而 绕 过 ， 而 攻 击 者 也 自 然 会 获 得 对 网 站 资 源 的 访 问 权 限 。 谷 歌 从 顶 层 谷 歌 从 顶 层 A P I 上 的 修 复 措 施 上 的 修 复 措 施 谷 歌 决 定 在 他 们 的 R E S T   A P I 中 来 修 复 这 个 问 题 ， 我 认 为 这 是 一 个 非 常 明 智 操 作 。 谷 歌 的 修 复 其 实 也 很 简 单 ： 如 果 对 / r e c a p t c h a / A P I / s i t e v e r i f y   的 H T T P 请 求 包 含 两 个 同 名 的 参 数 ， 则 会 返 回 一 个 错 误 消 息 。 通 过 这 种 修 复 方 式 ， 可 以 保 护 易 受 H T T P 参 数 污 染 攻 击 和 r e C A P T C H A 绕 过 影 响 的 W e b 应 用 ， 而 且 无 需 任 何 更 新 补 丁 ， 非 常 棒 ！ 在 野 利 用 在 野 利 用 要 在 W e b 应 用 程 序 中 利 用 此 漏 洞 ， 有 两 个 必 须 的 要 求 ： 首 先 ， W e b 应 用 程 序 在 创 建 r e C A P T C H A   u r l 时 存 在 H T T P 参 数 污 染 漏 洞 ： 在 G i t h u b 中 ， 我 用 搜 索 方 法 发 现 ， 集 成 有 r e C A P T C H A 验 证 方 式 的 W e b 开 发 架 构 中 有 约 6 0 % 都 会 受 到 H T T P 参 数 污 染 攻 击 。 其 次 ， 易 受 H T T P 参 数 污 染 攻 击 的 W e b 应 用 需 要 首 先 创 建 具 有 r e s p o n s e 参 数 的 u r l ， 然 后 再 创 建 s e c r e t 参 数 ， 也 就 是 形 如 这 样 的 u r l 参 数 ： “ r e s p o n s e = … & s e c r e t = … ” ， 但 很 奇 怪 的 是 ， 几 乎 所 有 采 用 r e C A P T C H A 验 证 的 的 W e b 应 用 都 是 使 用 了 “ s e c r e t = … & r e s p o n s e = … ” 这 种 参 数 格 式 ， 我 想 可 能 是 谷 歌 的 文 档 和 代 码 示 例 就 是 这 样 规 范 的 ， 其 它 框 架 估 计 只 是 复 制 了 这 种 格 式 。 谷 歌 在 这 里 就 很 走 运 了 … 如 果 他 们 反 过 来 这 样 做 ， 这 个 漏 洞 会 影 响 到 更 多 网 站 。 G i t H u b 搜 索 显 示 ， 只 有
5 % 到 1 0 % 的 r e C A P T C H A 验 证 机 制 存 在 这 个 r e s p o n s e 参 数 在 前 且 s e c r e t 参 数 在 后 的 构 造 要 求 。 所 以 ， 如 果 我 想 在 野 外 利 用 这 个 漏 洞 ， 那 么 最 后 只 有 大 约 3 % 的 使 用 r e C A P T C H A 验 证 的 站 点 存 在 这 种 漏 洞 ， 与 其 它 漏 洞 相 比 ， 虽 说 影 响 范 围 和 威 力 较 小 ， 但 多 少 还 能 构 成 一 些 安 全 威 胁 。 总 结 来 说 ， 作 为 开 发 者 ， 请 慎 用 字 符 串 连 接 来 构 建 请 求 字 符 串 u r l ， 尽 可 能 使 用 字 典 方 式 来 储 存 密 钥 和 键 值 ， 然 后 再 进 行 u r l 编 码 ； 作 为 安 全 测 试 方 来 说 ， H T T P 参 数 污 染 是 个 不 错 的 渗 透 测 试 方 式 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 - J a n - 2 9   /   上 报 谷 歌 2 0 1 8 - J a n - 3 0   /   谷 歌 回 复 :   “ r e C A P T C H A   机 制 没 啥 毛 病 啊 ！ ？ “ 2 0 1 8 - J a n - 3 1   /   我 请 求 谷 歌 方 面 认 真 阅 读 我 的 漏 洞 报 告 2 0 1 8 - J a n - 3 1   /   谷 歌 要 求 我 提 供 更 多 测 试 证 明 2 0 1 8 - F e b - 1   /     谷 歌 确 认 漏 洞 2 0 1 8 - F e b - 1 5   /   谷 歌 奖 励 我 $ 5 0 0 美 金 ， 我 转 手 把 这 点 钱 捐 赠 给 了 慈 善 机 构 2 0 1 8 - M a r - 2 5   /   谷 歌 修 复 漏 洞 * 参 考 来 源 ： a n d r e s r i a n c h o ， F r e e B u f   小 编   c l o u d s   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理