搜索

[13001] 2018-07-30_又一个登陆框引起的血案

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-07-30_又一个登陆框引起的血案 又 一 个 登 陆 框 引 起 的 血 案 原 创   丶 楼 兰   F r e e B u f   2 0 1 8 - 0 7 - 3 0 继 上 次 继 上 次 登 陆 框 引 起 的 血 案 登 陆 框 引 起 的 血 案 这 个 文 章 之 后 ， 时 隔 一 个 月 笔 者 又 写 了 续 集 ， 呃 这 个 文 章 之 后 ， 时 隔 一 个 月 笔 者 又 写 了 续 集 ， 呃 … … 升 华 版 。 升 华 版 。 0 x 0 0   文 章 内 容 结 构 图 文 章 内 容 结 构 图 0 x 0 1   信 息 泄 露 信 息 泄 露 利 用 泄 露 的 信 息 可 以 大 大 增 加 我 们 的 可 测 试 点 ， 从 而 增 加 我 们 的 成 功 率 。 1 .   H T M L 源 代 码 源 代 码 必 看 的 肯 定 要 属 H T M L 源 代 码 了 ， 源 代 码 里 包 含 了 下 面 所 说 的 J S 文 件 。 H T M L 源 代 码 会 泄 露 很 多 信 息 ， 像 程 序 员 未 删 除 的 注 释 、 敏 感 路 径 等 都 可 能 在 H T M L 源 代 码 中 找 的 到 ， 从 来 增 加 发 现 漏 洞 的 成 功 率 。 2 .   J S 文 件 文 件 很 多 J S 文 件 中 会 泄 露 其 他 路 径 ， 或 者 敏 感 函 数 等 。 泄 露 其 他 路 径 可 以 增 加 我 们 可 以 测 试 的 点 ， 泄 露 一 些 敏 感 函 数 可 以 实 现 未 授 权 访 问 等 恶 意 操 作 。 3 .   其 他 敏 感 文 件 其 他 敏 感 文 件 还 可 以 利 用 其 他 途 径 获 得 到 的 文 件 ， 如 爆 破 、 爬 虫 等 其 他 方 式 得 到 的 敏 感 文 件 ， 可 能 会 发 现 日 志 文 件 、 配 置 文 件 、 网 站 的 其 他 业 务 页 面 等 。
0 x 0 2   点 我 链 接 登 陆 你 的 账 号 点 我 链 接 登 陆 你 的 账 号 这 个 问 题 多 出 现 在 第 三 方 登 陆 功 能 中 1 .   主 站 账 号 登 陆 2 .   微 信 登 陆 3 .   Q Q 登 陆 4 .   微 博 登 陆 5 .   … . 1 .   一 个 二 维 码 引 领 风 骚 一 个 二 维 码 引 领 风 骚 呃 ， 小 石 师 傅 是 真 男 神 ， 把 我 带 进 了 米 斯 特 ， 从 此 不 知 归 路 . . … … 子 业 务 选 择 使 用 主 站 账 号 扫 码 登 陆 时 ： 将 二 维 转 换 为 H T T P 请 求 （ h t t p s : / / c l i . i m / d e q r / ） 可 以 发 现 只 有 一 个 T O K E N 参 数 ： 使 用 主 站 A P P   扫 码 进 行 登 录 扫 描 之 后 ， 会 弹 出 确 认 登 录 框 以 确 认 登 录 。 在 点 击 “ 登 录 ” 按 钮 的 之 后 ， 发 送 如 下 P O S T 数 据 包 来 进 行 登 陆 ： P O S T   h t t p s : / / x x x . c o m / x x x x / c o n f i r m   H T T P / 1 . 1 … . t o k e n = x x x x x & s o u r c e = p a s s p o r t & f i n g e r p r i n t = 一 大 长 串 字 符
删 除 f i n d e r p r i n t 参 数 ， 发 现 对 请 求 无 影 响 = > 删 除 删 除 r e f e r e r 参 数 ， 发 现 对 请 求 无 影 响 = > 可 以 C S R F 将 请 求 方 法 改 为 G E T 型 ， 发 现 失 败 = > 只 能 构 造 表 单 进 行 C S R F 此 时 受 害 者 只 要 是 主 站 登 陆 状 态 下 ， 发 送 了 我 们 构 造 好 的 这 个 表 单 ， 那 么 我 这 里 就 可 以 直 接 登 陆 他 的 账 号 。 2 .   二 维 码 又 起 风 波 二 维 码 又 起 风 波 使 用 账 号 所 绑 定 的 微 信 登 陆 ： 扫 描 之 后 发 现 不 需 要 点 击 确 认 就 登 录 了 ， 和 常 规 的 微 信 二 维 码 扫 描 登 录 完 全 不 一 样 ， 这 时 候 才 发 现 原 来 这 里 是 使 用 的 微 信 公 众 号 绑 定 的 账 户 去 登 录 的 , 解 析 的 二 维 码 地 址 为 ： 条 件 ： 受 害 者 微 信 公 众 号 绑 定 了 账 号 ； 受 害 者 微 信 内 点 击 我 们 的 链 接 ， 我 这 里 就 这 可 以 直 接 登 陆 了 0 x 0 3   劫 持 用 户 身 份 凭 证 劫 持 用 户 身 份 凭 证 1 .   X S S 劫 持 劫 持 子 站 使 用 主 站 账 号 登 陆 时 ， 来 来 回 回 N 个 数 据 包 ， 经 过 我 仔 细 观 察 ， 得 出 重 要 结 论 ： 如 果 主 站 是 登 陆 状 态 ， 那 么 访 问 如 下 链 接 ， 主 站 便 会 返 回 身 份 凭 证 经 过 测 试 发 现 ： 这 个 c l i e n t _ i d 参 数 必 须 存 在 ， 但 是 没 有 什 么 影 响 ， 不 会 影 响 整 个 攻 击 。
然 后 ， 我 们 便 可 以 使 用 返 回 的 这 个 链 接 来 登 陆 受 害 者 这 个 子 站 。 为 了 获 得 响 应 包 里 面 L o c a t i n 的 值 ， 我 们 可 以 使 用 该 域 下 面 的 X S S 来 获 得 。 2 .   J S O N 劫 持 劫 持 当 然 ， 如 果 发 现 此 处 返 回 的 用 户 凭 证 如 下 格 式 ， 那 么 当 然 首 先 考 虑 到 的 便 是 j s o n 劫 持 了 。 关 于 j s o n 劫 持 ， 大 家 可 以 移 步 k e y 师 傅 博 客 h t t p : / / g h 0 s t . c n / a r c h i v e s / 2 0 1 8 - 0 3 - 2 2 / 1 0 x 0 4   X S S 1 . 登 陆 时 登 陆 时 X S S P O S T 类 型 ， 尝 试 修 改 改 为 G E T 类 型 ：
发 现 成 功 弹 窗 ， 呃 ， 即 使 不 能 修 改 成 功 ， 那 么 还 可 以 组 合 C S R F 一 起 使 用 。 2 .   登 陆 成 功 时 登 陆 成 功 时 X S S 所 有 参 数 测 试 一 遍 ， 发 现 l i n k 参 数 ， 存 在 x s s ， 直 接 在 s c r i p t 标 签 里 面 ， 并 且 还 送 U R L 跳 转 一 个 。 3 .   登 陆 失 败 时 登 陆 失 败 时 X S S 逐 个 参 数 进 行 测 试 后 ， 最 后 发 现 g o u r l 参 数 存 在 x s s ， 过 滤 了 s c r i p t 关 键 字 ， 使 用 t a b 键 进 行 绕 过 。
4 .   利 用 泄 露 的 文 件 进 行 利 用 泄 露 的 文 件 进 行 X S S 通 过 源 代 码 发 现 了 一 个 隐 藏 的 链 接 ： 打 开 之 后 发 现 提 示 缺 少 s i d 参 数 ， 此 时 手 动 构 造 ： 点 击 确 定 之 后 ， 跳 过 去 的 是 一 个 荒 废 的 页 面 ， 此 时 我 回 过 头 来 看 了 一 下 源 代 码 ， 尝 试 手 动 添 加 a c t i o n 、 m e t h o d 参 数 ： 发 现 了 m e t h o d 参 数 有 效 ， 此 时 构 造 x s s   p a y l o a d ， 成 功 弹 窗 （ =   =   没 想 到 m e t h o d 参 数 也 可 以 ） 。
5 .   接 口 接 口 J S O N   X S S 发 现 请 求 链 接 是 ： h t t p : / / x x x x / s w a p / i m ? c a l l b a c k = j Q u e r y 1 8 9 0 0 9 2 6 7 1 1 2 2 3 8 4 2 6 8 7 而 响 应 包 内 容 是 ： 灵 光 一 闪 ： 可 以 测 试 J S O N 劫 持 嘛 。 但 是 由 于 响 应 包 的 内 容 并 没 有 啥 作 用 ， 所 以 此 处 的 J S O N 劫 持 完 全 没 有 危 害 ， 但 是 这 里 却 还 可 以 测 试 X S S 漏 洞 。 构 造 如 下 链 接 ， 成 功 弹 窗 ： 0 x 0 5   U R L 跳 转 跳 转 用 户 登 陆 这 个 功 能 这 里 ， 可 以 测 试 的 点 可 以 但 不 仅 仅 并 且 不 一 定 是 如 下 几 个 ： 1 . 登 陆 成 功 后 跳 转 到 的 页 面 登 陆 成 功 后 跳 转 到 的 页 面 此 处 l i n k 1 参 数 可 以 控 制 跳 转 到 的 页 面 ： j Q u e r y 1 8 9 0 0 9 2 6 7 1 1 2 2 3 8 4 2 6 8 7 ( { " e r r o r C o d e " : 1 , " e r r o r M e s s a g e " : x x x x x x x } ) h t t p : / / x x x x / s w a p / i m ? c a l l b a c k = < s c r i p t > a l e r t ( 1 ) < / s c r i p t >
2 . 登 陆 失 败 后 跳 转 到 的 页 面 登 陆 失 败 后 跳 转 到 的 页 面 此 处 的 g o u r l 参 数 可 以 控 制 返 回 的 页 面 ： 可 以 看 到 设 置 了 自 动 跳 转 ， （ 呃 … … 我 们 让 他 跳 转 到 m s t s e c ） 。 0 x 0 6   未 授 权 访 问 未 授 权 访 问
1 .   J S 文 件 背 后 的 秘 密 文 件 背 后 的 秘 密 在 查 看 源 代 码 时 发 现 引 入 了 该 J S 文 件 ， 跟 踪 … … 发 现 了 两 处 接 口 ， 逐 个 跟 踪 。 发 现 下 面 那 个 接 口 直 接 未 授 权 访 问 …   泄 露 了 该 站 ， 所 有 的 用 户 名 ， 此 时 便 可 以 进 行 有 针 对 性 撞 库 了 。 2 . 看 看 J S 如 何 不 见 泰 山 如 何 不 见 泰 山 通 过 J S 来 验 证 权 限 时 ， 还 可 以 通 过 删 除 J S 来 实 现 未 授 权 访 问 ， 例 如 登 陆 失 败 时 通 过 J S 来 实 现 跳 回 主 页 面 。 简 言 之 便 是 绕 过 客 户 端 校 验 类 型 ， s o   e a s y ~ 0 x 0 7   不 安 全 的 对 象 直 接 引 用 不 安 全 的 对 象 直 接 引 用   |   设 计 缺 陷 设 计 缺 陷
1 .   J S 文 件 文 件 G E T S H E L L 通 过 读 取 J S 代 码 时 发 现 这 么 一 段 ， 竟 然 可 以 文 件 上 传 。 构 造 如 下 表 单 ： 成 功 G E T S H E L L ： 2 .   任 意 用 户 登 陆 之 绕 过 客 户 端 校 验 任 意 用 户 登 陆 之 绕 过 客 户 端 校 验
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理