搜索

[13011] 2018-08-01_看我如何发现Google生产网络SSRF漏洞获取$13337赏金

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2018-08-01_看我如何发现Google生产网络SSRF漏洞获取$13337赏金 看 我 如 何 发 现 G o o g l e 生 产 网 络 S S R F 漏 洞 获 取 $ 1 3 3 3 7 赏 金 F r e e B u f   2 0 1 8 - 0 8 - 0 1 今 年 今 年 3 月 份 时 ， 我 曾 上 报 过 月 份 时 ， 我 曾 上 报 过 G o o g l e 的 任 意 的 任 意 h t m l / j a v a s c r i p t 网 页 在 线 嵌 入 工 具 网 页 在 线 嵌 入 工 具 C a j a 的 一 个 的 一 个 X S S 漏 洞 ， 到 漏 洞 ， 到 5 月 份 时 ， 月 份 时 ， 这 个 漏 洞 才 被 修 复 。 之 后 ， 我 想 看 看 谷 歌 协 作 平 台 （ 这 个 漏 洞 才 被 修 复 。 之 后 ， 我 想 看 看 谷 歌 协 作 平 台 （ G o o g l e   S i t e s ） 网 站 调 用 的 ） 网 站 调 用 的 C a j a 服 务 是 否 还 存 在 这 个 未 修 服 务 是 否 还 存 在 这 个 未 修 复 漏 洞 。 于 是 ， 对 复 漏 洞 。 于 是 ， 对 G o o g l e   S i t e s 进 行 了 一 番 测 试 ， 可 惜 这 个 进 行 了 一 番 测 试 ， 可 惜 这 个 C a j a   X S S 漏 洞 是 不 存 在 的 ， 但 经 过 其 它 方 向 的 深 入 漏 洞 是 不 存 在 的 ， 但 经 过 其 它 方 向 的 深 入 测 试 ， 我 发 现 了 测 试 ， 我 发 现 了 G o o g l e 内 部 生 产 网 络 的 内 部 生 产 网 络 的 S S R F 漏 洞 。 漏 洞 。 背 景 介 绍 背 景 介 绍 G o o g l e   S i t e s ： 谷 歌 协 作 平 台 是 一 款 在 线 协 作 编 辑 工 具 ， 它 可 以 帮 助 企 业 创 建 企 业 内 网 、 项 目 管 理 跟 踪 、 外 延 网 、 以 及 其 它 类 型 的 定 制 网 站 。 用 户 可 以 通 过 G o o g l e   S i t e s 将 所 有 类 型 的 文 件 包 括 文 档 、 视 频 、 图 片 、 日 历 等 与 好 友 、 团 队 或 整 个 网 络 分 享 。 G o o g l e   C a j a 服 务 会 解 析 h t m l / j a v a s c r i p t 文 件 ， 并 会 消 除 掉 其 中 像 i f r a m e 、 o b j e c t 对 像 标 记 和 d o c u m e n t . c o o k i e 等 敏 感 j a v a s c r i p t 内 容 ， 起 到 安 全 过 滤 作 用 。 通 常 ， C a j a 服 务 主 要 针 对 客 户 端 的 H T M L 标 记 进 行 解 析 和 安 全 过 滤 ， 但 是 ， 对 于 一 些 类 似 < s c r i p t   s r c = “ x x x ” > 的 远 程 调 用 j a v a s c r i p t 标 记 来 说 ， 远 程 资 源 的 获 取 、 解 析 和 过 滤 是 在 服 务 端 进 行 的 。 端 倪 发 现 端 倪 发 现 我 曾 试 图 在 我 的 自 架 服 务 器 上 托 管 了 一 个 j a v a s c r i p t 文 件 ， 像 这 样 h t t p s : / / [ a t t a c k e r ] . c o m / s c r i p t . j s ， 之 后 把 它 嵌 入 到 一 个 远 程 调 用 标 记 中 ， 以 此 来 测 试   G o o g l e   S i t e s   服 务 端 的 X S S 漏 洞 ， 但 可 惜 G o o g l e   S i t e s   服 务 端 的 响 应 显 示 ， h t t p s : / / [ a t t a c k e r ] . c o m / s c r i p t . j s 无 法 访 问 。 经 过 几 多 测 试 ， 我 才 意 识 到 G o o g l e   S i t e s 中 的 C a j a 服 务 只 会 调 用 谷 歌 自 身 的 资 源 文 件 ， 就 像 h t t p s : / / w w w . g o o g l e . c o m   或   h t t p s : / / w w w . g s t a t i c . c o m   网 站 托 管 的 文 件 才 行 ， 但 像 h t t p s : / / w w w . f a c e b o o k . c o m   这 样 的 外 部 资 源 就 不 行 啦 。 这 就 有 点 奇 怪 了 ， 因 为 C a j a 服 务 远 程 调 用 功 能 本 来 就 是 可 以 获 取 到 任 何 外 部 资 源 的 啊 ， 这 种 设 置 看 起 来 就 像 一 个 被 破 坏 的 功 能 。 更 有 意 思 的 是 ， 由 于 谷 歌 的 服 务 网 站 非 常 之 多 ， 要 确 定 某 个 外 调 U R L 链 接 是 否 属 于 谷 歌 ， 还 是 有 些 难 度 的 。 除 非 … …
发 现 发 现 G o o g l e 的 的 S S R F 漏 洞 漏 洞 每 当 我 能 通 过 服 务 端 应 用 获 取 到 任 意 内 容 时 ， 我 都 会 顺 便 测 试 一 下 S S R F 漏 洞 。 针 对 G o o g l e 的 应 用 服 务 ， 我 做 过 好 多 S S R F 测 试 ， 但 没 有 一 次 是 成 功 的 。 对 G o o g l e   C a j a 服 务 端 怪 异 行 为 的 解 释 ， 唯 一 的 可 能 就 是 ， C a j a 的 链 接 提 取 动 作 发 生 在 G o o g l e 内 部 网 络 的 ， 而 且 G o o g l e 只 能 调 用 提 取 自 身 的 资 源 文 件 消 息 ， 而 其 它 的 外 部 资 源 文 件 就 不 行 。 这 从 逻 辑 上 来 说 ， 可 以 算 是 一 个 b u g ， 现 在 的 问 题 是 ， 它 是 否 算 得 上 一 个 安 全 漏 洞 ！ 在 G o o g l e 服 务 器 上 托 管 和 运 行 任 意 代 码 非 常 容 易 ， 例 如 使 用 G o o g l e 云 服 务 啊 ！ 于 是 ， 我 创 建 了 一 个 G o o g l e   A p p   E n g i n e 应 用 实 例 ， 并 在 上 面 托 管 了 一 个 j a v a s c r i p t 文 件 。 然 后 ， 我 将 这 个 j a v a s c r i p t 文 件 的 U R L 链 接 ， 作 为 外 部 资 源 引 用 链 接 在 我 的 G o o g l e   S i t e s 页 面 上 作 了 配 置 。 之 后 ， G o o g l e   C a j a 服 务 端 成 功 获 取 并 解 析 了 该 j a v a s c r i p t 文 件 。 据 此 ， 我 查 看 了 我 的 G o o g l e   A p p   E n g i n e 实 例 日 志 ， 看 看 这 个 外 部 资 源 链 接 到 底 是 谁 来 请 求 它 的 ， 啊 哈 ， 出 现 了 一 个 I P 地 址 ： 1 0 . x . x . 2 0 1 ， 这 明 显 是 一 个 内 部 网 络 I P 地 址 啊 ！ 有 点 希 望 了 ！ 那 么 ， 我 用 包 含 这 个 G o o g l e 内 部 网 络 的 I P 地 址 作 为 G o o g l e   S i t e s 页 面 的 j a v a s c r i p t 调 用 外 链 会 产 生 什 么 效 果 呢 ？ 试 试 吧 ， 一 起 来 静 待 真 相 。 但 在 请 求 之 后 快 半 分 钟 了 ， 还 是 没 啥 反 应 ， 我 都 觉 得 是 不 是 请 求 被 拦 截 了 ， 就 快 要 把 页 面 关 闭 了 。 但 是 ， 当 我 查 看   G o o g l e   C a j a   服 务 的 响 应 时 ， 却 发 现 其 响 应 数 据 并 不 象 通 常 的 1 K B 左 右 的 典 型 错 误 消 息 ， 而 是 有 1 M B 容 量 的 内 容 ！ 这 些 1 M B 的 响 应 消 息 是 来 自 G o o g l e 内 部 网 络 的 某 I P 地 址   1 0 . x . x . x ， 此 时 ， 我 是 相 当 的 兴 奋 ！ 打 开 这 个 1 M B 文 件 ， 我 发 现 其 中 包 含 了 很 多 G o o g l e 内 部 网 络 系 统 的 敏 感 信 息 ！ 利 用 利 用 S S R F 漏 洞 获 取 到 的 漏 洞 获 取 到 的 G o o g l e 内 部 信 息 内 部 信 息 首 先 ， 我 想 说 的 是 ， 我 并 没 有 对 G o o g l e 内 部 网 络 进 行 过 探 测 扫 描 ， 我 只 是 对 其 内 网 测 试 了 3 个 请 求 就 确 定 了 该 S S R F 漏 洞 ， 并 马 上 上 报 给 了 谷 歌 的 漏 洞 团 队 V R P ， 4 8 小 时 之 后 ， G o o g l e 团 队 修 复 了 该 漏 洞 。 在 此 之 前 ， 我 也 好 奇 心 强 烈 地 创 建 了 其 它 2 到 3 个 请 求 ， 想 看 看 能 否 基 于 该 S S R F 漏 洞 ， 深 入 利 用 发 现 其 它 的 未 限 制 文 件 访 问 或 R C E 漏 洞 ， 但 可 惜 最 后 都 没 有 。 我 创 建 的 第 一 个 请 求 是 发 向   h t t p : / / 1 0 . x . x . 2 0 1 /   的 ， 它 响 应 了 一 个   “ B o r g l e t ”   的 服 务 器 状 态 监 控 页 面 。 我 对 此 进 行 了 一 些 G o o g l e 查 询 ， 发 现 这 是 G o o g l e 内 部 的 大 规 模 集 群 管 理 系 统 B o r g 。 经 历 多 种 架 构 演 变 ， G o o g l e 曾 在 2 0 1 4 年 开 源 了   B o r g 的 继 任 系 统 K u b e r n e t e s ， 虽 然 K u b e r n e t e s 越 来 越 受 欢 迎 ， 但 谷 歌 内 部 的 生 产 网 络 架 构 仍 然 严 重 依 赖 B o r g 系 统 。 B o r g 单 元 由 一 组 机 器 ， 一 个 称 为 B o r g m a s t e r 的 逻 辑 中 央 控 制 器 和 单 元 中 每 台 机 器 上 运 行 的 称 之 为 B o r g l e t 的 代 理 进 程 构 成 。 我 创 建 的 第 二 个 请 求 是 发 向   h t t p : / / 1 0 . x . x . 1 /   的 ， 它 响 应 了 另 一 个   “ B o r g l e t ”   服 务 器 状 态 监 控 页 面 ， 我 创 建 的 第 三 个 请 求 则 是   h t t p : / / 1 0 . x . x . 1 / g e t s t a t u s ， 它 的 响 应 主 体 也 是 一 个   “ B o r g l e t ”   服 务 器 状 态 监 控 页 面 ， 但 其 中 包 含 了 很 多 进 程 任 务 的
权 限 和 参 数 等 详 细 信 息 。 每 个 B o r g l e t 代 表 一 台 服 务 器 ， 从 硬 件 方 面 来 说 ， 1 0 . x . x . 1   和   1 0 . x . x . 2 0 1   这 两 台 服 务 器 都 使 用 了 英 特 尔 第 四 代 架 构 的 H a s w e l l   2 . 3 0 G H z   7 2 内 核 C P U ， 相 当 于 一 组 2 到 3 个 X e o n   E 5   v 3   C P U 处 理 器 。 这 两 台 服 务 器 都 使 用 了   7 7 % 的 C P U ， 它 们 具 备 2 5 0   G B 内 存 ， 使 用 量 达   7 0 % 。 它 们 的 硬 盘 容 量 都 是 2 T B 硬 盘 ， 且 每 台 硬 盘 容 量 几 乎 都 是 空 的 ， 只 有 1 5 个 G 的 使 用 占 有 空 间 。 所 以 ， 重 要 数 据 可 能 存 储 在 其 它 地 方 。 服 务 器 中 的 处 理 进 程 非 常 多 样 化 ， 我 想 这 种 方 式 可 能 是 一 种 资 源 优 化 手 段 吧 ， 有 些 进 程 在 使 用 着 内 存 ， 其 它 的 可 能 在 用 C P U 、 网 络 等 ， 有 一 些 则 具 备 高 优 先 权 ， 等 等 … 。 还 有 一 些 服 务 看 似 非 常 活 跃 ： 如 视 频 编 码 、 G m a i l 和 广 告 等 。 这 也 并 不 奇 怪 ， 因 为 视 频 处 理 非 常 繁 重 ， G m a i l 是 谷 歌 的 主 要 服 务 之 一 ， 而 广 告 是 谷 歌 的 核 心 业 务 。 我 没 有 在 服 务 器 任 务 列 表 信 息 中 看 到 G o o g l e   S i t e s   或   C a j a 服 务 ， 所 以 要 成 功 形 成 S S R F 漏 洞 ， 要 么 是 通 过 一 个 代 理 ， 或 是   1 0 . x . x . 2 0 1   服 务 器 上 的 ， 有 别 于 我 在 G o o g l e   A p p   E n g i n e 实 例 日 志 中 的 ， 其 它 网 络 环 境 下 的 一 个 B o r g l e t 来 形 成 的 。 在 架 构 方 面 ， 我 们 可 以 发 现 很 多 G o o g l e 系 统 栈 相 关 的 元 素 ， 特 别 是   M a p R e d u c e ,   B i t T a b l e ,   F l u m e ,   G F S … 等 。 在 技 术 方 面 ， J a v a 使 用 频 率 较 高 ， 我 没 发 现 任 何 关 于 P y t h o n 、 c + + 、 N o d e J S 或 G o 语 言 的 提 及 ， 但 这 也 并 不 意 味 着 G o o g l e 没 使 用 这 些 编 程 语 言 ， 不 能 定 论 。 我 想 说 的 是 ，   B o r g   和   K u b e r n e t e s   一 样 都 依 赖 D o c k e r   和   V M 虚 拟 机 这 样 的 容 器 技 术 。 另 外 ， 在 视 频 处 理 方 面 ， G o o g l e 使 用 的 是 其 开 源 工 具 G v i s o r ， G v i s o r 貌 似 能 在 容 器 运 行 和 虚 拟 机 安 全 方 面 表 面 不 错 。 从 S S R F 漏 洞 获 取 的 参 数 中 ， 有 着 网 络 端 口 到 应 用 程 序 映 射 信 息 。 在 B o r g 系 统 中 ， 貌 似 每 个 服 务 器 上 的 所 有 应 用 程 序 都 共 享 相 同 的 I P 地 址 ， 且 每 个 应 用 程 序 都 有 一 些 专 用 的 端 口 。 对 我 来 说 ， 全 是 代 码 的 应 用 程 序 参 数 是 最 有 意 思 的 部 份 。 我 虽 然 没 能 发 现 神 秘 的 G o o g l e 搜 索 排 名 算 法 原 理 ， 但 是 我 发 现 了 如 下 一 些 有 趣 的 查 询 ： 你 可 能 会 想 ， G m a i l 的 系 统 用 户 是 什 么 呢 ？ 它 是 ： g m a i l @ p r o d . g o o g l e . c o m 还 有 一 个 名 为   “ l e g a l - d i s c o v e r y @ p r o d . g o o g l e . c o m ”   的 用 户 ， 据 我 推 测 ， 它 具 备 针 对   “ m d b : a l l - p e r s o n - u s e r s ”   用 户 的 “ a u t h . i m p e r s o n a t i o n . i m p e r s o n a t e N o r m a l U s e r ” 权 限 。 在 我 的 测 试 中 ， 大 部 份 任 务 还 没 完 成 就 被 无 故 终 止 执 行 了 。 最 后 ， 还 存 在 大 量 指 向 其 它 G o o g l e 服 务 器 和 应 用 服 务 端 的 U R L 链 接 ， 特 别 是 ， 当 我 尝 试 去 访 问 一 个 很 有 可 能 的   h t t p : / / w i k i /   链 接 时 ， 竟 然 没 成 功 。 于 是 乎 ， 我 在 该 服 务 上 测 试 了 以 下 链 接 ： M S C R ( M ( C u s t o m e r . A d G r o u p C r i t e r i o n + C u s t o m e r . A d G r o u p C r i t e r i o n - m a r s h a l + F i l t e r D u r i a n A d G r o u p C r i t e r i o n + F i l t e r N e e d R e v i e w A d G r o u p C r i t e r i o n + G r o u p A d G r o u p C r i t e r i o n B y A d G r o u p K e y + J o i n A d G r o u p D a t a / M a k e U n i o n T a b l e : 3 ) + M ( J o i n A d G r o u p D a t a / M a k e U n i o n T a b l e : 2 ) + M ( C u s t o m e r . A d G r o u p + C u s t o m e r . A d G r o u p - m a r s h a l + F i l t e r D u r i a n A d G r o u p + P a r D o ( A d G r o u p D a t a S t r i p F i e l d s F n ) + J o i n A d G r o u p D a t a / M a k e U n i o n T a b l e ) + R ( J o i n A d G r o u p D a t a / G r o u p U n i o n T a b l e s + J o i n A d G r o u p D a t a / C o n s t r u c t J o i n R e s u l t s + J o i n A d G r o u p D a t a / E x t r a c t T u p l e s + E x t r a c t C r e a t i v e A n d K e y w o r d R e v i e w a b l e s ) )
/ g e t F i l e ? F i l e N a m e = / s y s / b o r g l e t / b o r g l e t . I N F O G o o g l e   V R P   安 全 团 队 的 响 应 安 全 团 队 的 响 应 我 于 2 0 1 8 年 5 月 1 2 日 星 期 六 上 报 了 这 个 漏 洞 ， 它 被 G o o g l e 自 动 分 类 为 P 3 中 等 优 先 级 问 题 。 在 星 期 天 ， 我 又 向 G o o g l e   安 全 团 队 发 送 了 一 封 漏 洞 邮 件 ， 希 望 对 方 能 有 所 响 应 。 星 期 一 一 大 早 ， 该 漏 洞 就 被 提 升 为 P 0 （ 高 危 ） 级 ， 之 后 又 被 降 为 P 1   级 ， 星 期 一 晚 上 ， 漏 洞 就 得 到 了 修 复 ， 相 关 漏 洞 服 务 端 被 删 除 。 确 定 S S R F 漏 洞 的 影 响 危 害 非 常 不 易 ， 因 为 这 要 看 内 部 网 络 的 实 际 情 况 而 定 。 G o o g l e 倾 向 于 让 其 大 部 分 基 础 架 构 在 内 部 可 用 ， 与 此 同 时 ， 使 用 了 大 量 w e b 应 用 端 ， 这 就 意 味 着 ， 如 果 发 生 S S R F 漏 洞 ， 攻 击 者 可 能 会 间 接 访 问 到 数 百 甚 至 数 千 个 内 部 w e b 应 用 程 序 。 但 另 一 方 面 ， G o o g l e 严 重 依 赖 认 证 来 实 现 资 源 访 问 ， 这 种 手 段 某 种 程 度 上 也 限 制 了 S S R F 漏 洞 的 威 胁 。 但 在 G o o g l e 的 认 证 手 段 下 ， B o r g l e t 状 态 监 控 页 面 未 经 身 份 验 证 ， 就 泄 露 了 很 多 关 于 内 部 网 络 的 基 础 设 施 信 息 。 但 据 我 了 解 ， K u b e r n e t e s 系 统 的 这 种 状 态 监 控 页 而 是 要 经 身 份 验 证 的 。 最 终 ， G o o g l e 安 全 团 队 奖 励 了 我   $ 1 3 , 3 3 7 美 金 ， 这 相 当 于 未 授 权 文 件 访 问 级 别 的 高 危 漏 洞 了 。 G o o g l e 对 该 奖 励 的 解 释 是 ， 虽 然 其 大 多 数 内 部 资 源 需 要 身 份 验 证 ， 但 他 们 发 现 很 多 内 部 开 发 项 目 或 调 试 处 理 程 序 ， 可 以 被 攻 击 者 利 用 的 不 仅 是 信 息 泄 露 问 题 ， 因 此 他 们 决 定 奖 励 这 种 存 在 严 重 潜 在 影 响 的 漏 洞 。 感 谢 G o o g l e 的 慷 慨 赏 金 和 快 速 反 应 。 * 参 考 来 源 ： 参 考 来 源 ： o p e n s e c ， ， c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理