搜索

[13026] 2018-08-05_看我如何发现微软MicrosoftTranslatorHub服务高危漏洞

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2018-08-05_看我如何发现微软MicrosoftTranslatorHub服务高危漏洞 看 我 如 何 发 现 微 软 M i c r o s o f t   T r a n s l a t o r   H u b 服 务 高 危 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 8 - 0 5 因 为 微 软 公 司 部 署 有 很 多 在 线 网 站 和 服 务 ， 对 漏 洞 挖 掘 者 来 说 具 备 较 广 的 攻 击 测 试 面 ， 发 现 漏 洞 入 选 微 软 致 谢 因 为 微 软 公 司 部 署 有 很 多 在 线 网 站 和 服 务 ， 对 漏 洞 挖 掘 者 来 说 具 备 较 广 的 攻 击 测 试 面 ， 发 现 漏 洞 入 选 微 软 致 谢 榜 的 难 度 相 对 不 大 ， 所 以 我 就 把 大 把 时 间 耗 在 了 微 软 漏 洞 发 现 上 。 在 我 分 析 微 软 在 线 应 用 服 务 过 程 中 ， 微 软 的 榜 的 难 度 相 对 不 大 ， 所 以 我 就 把 大 把 时 间 耗 在 了 微 软 漏 洞 发 现 上 。 在 我 分 析 微 软 在 线 应 用 服 务 过 程 中 ， 微 软 的 机 器 翻 译 服 务 机 器 翻 译 服 务 M i c r o s o f t   T r a n s l a t o r   H u b 引 起 了 我 的 注 意 ， 最 终 我 发 现 引 起 了 我 的 注 意 ， 最 终 我 发 现 M i c r o s o f t   T r a n s l a t o r   H u b 存 在 一 个 不 安 存 在 一 个 不 安 全 的 间 接 对 象 引 用 漏 洞 ， 利 用 该 漏 洞 可 以 删 除 用 户 创 建 的 多 达 全 的 间 接 对 象 引 用 漏 洞 ， 利 用 该 漏 洞 可 以 删 除 用 户 创 建 的 多 达 1 3 0 0 0 多 个 翻 译 项 目 。 多 个 翻 译 项 目 。 M i c r o s o f t   T r a n s l a t o r   H u b   ： 微 软 机 器 翻 译 服 务 的 延 伸 ， 它 是 充 分 集 成 在 文 本 翻 译 A P I   并 和   C o l l a b o r a t i v e T r a n s l a t i o n   F r a m e w o r k   ( C T F ) 的 配 合 使 用 。 使 用 建 立 在 H u b 上 的 自 定 义 翻 译 系 统 ， 可 以 安 全 使 用 你 的 组 织 工 作 流 ， 通 过 微 软 翻 译 A P I ， 可 实 现 跨 越 任 意 数 量 的 产 品 和 服 务 ： 从 微 软 、 第 三 方 或 你 自 己 的 自 定 义 开 发 。 微 软 构 建 该 平 台 的 原 因 出 于 2 0 1 0   年 海 地 地 震 时 救 援 人 员 遇 到 的 语 言 障 碍 ， 当 时 没 有 一 款 机 器 翻 译 支 持 海 地 当 地 语 言 。 M i c r o s o f t   T r a n s l a t o r   H u b 重 要 的 是 能 够 构 建 、 训 练 独 特 的 机 器 翻 译 系 统 ， 甚 至 能 保 护 濒 临 灭 绝 的 小 语 种 。 漏 洞 细 节 漏 洞 细 节 M i c r o s o f t   T r a n s l a t o r   H u b 在 线 服 务 允 许 用 户 创 建 自 定 义 的 机 器 语 言 翻 译 项 目 ， 为 了 发 现 漏 洞 ， 尽 管 没 完 全 了 解 其 中 的 功 能 特 征 ， 我 注 册 登 录 后 就 随 手 创 建 了 一 个 名 为   “ h u n t i n g b u g s ”   的 翻 译 项 目 。 从 上 图 中 可 以 看 到 ， 项 目 属 性 中 允 许   “ 编 辑 ”   和   “ 删 除 ” 操 作 ， 如 果 你 点 击   “ 删 除 ” 按 钮 ， 它 就 会 立 马 删 除 你 创 建 的 项 目 ， 其 它 也 没 啥 新 功 能 。 接 下 来 ， 我 就 启 动 了 B u r p S u i t e 准 备 拦 截 H T T P 请 求 通 信 ， 以 下 即 为 “ 删 除 ” 操 作 的 网 络 请 求 包 ：
可 以 看 到 ， P O S T 请 求 包 中 没 有 任 何 内 容 ， 而 且 其 U R L 中 涉 及 的 参 数 “ p r o j e c t i d ” 是 不 是 看 着 有 点 异 样 ， 貌 似 是 来 自 数 据 库 中 的 项 目 I D 号 ， 这 里   p r o j e c t i d   为   1 2 8 3 9 。 所 以 按 照 数 据 库 思 维 来 说 ， 以 上 这 个 P O S T 的 删 除 请 求 可 以 转 化 为 以 下 这 样 的 数 据 库 命 令 ： D e l e t e   p r o j e c t F R O M   p r o j e c t s W H E R E   p r o j e c t i d = 1 2 8 3 9 ; 转 发 通 过 这 个 P O S T 的 H T T P 请 求 之 后 ， 我 们 I D 号 为 “ 1 2 8 3 9 ” 的 项 目 就 自 然 被 删 除 了 。 C S R F   攻 击 可 能 攻 击 可 能 在 这 里 ， 我 想 可 以 针 对 这 个 请 求 包 做 点 手 脚 。 很 明 显 ， 能 发 现 其 服 务 端 没 有 C S R F 保 护 ， 那 么 可 能 会 存 在 C S R F 攻 击 。 也 就 是 说 ， 攻 击 者 会 利 用 这 种 环 境 下 的 C S R F 漏 洞 去 伪 造 合 法 用 户 身 份 ， 执 行 登 录 和 其 它 操 作 。 利 用 情 形 如 下 ： 合 法 用 户 处 于 登 录 状 态 ； 攻 击 者 在 图 片 标 记 、 i f r a m e 框 架 等 其 它 属 性 的 网 页 中 嵌 入 以 下 删 除 请 求 的 链 接 ： h t t p : / / h u b . m i c r o s o f t t r a n s l a t o r . c o m / P r o j e c t s / R e m o v e P r o j e c t ? p r o j e c t I d = 1 2 8 3 9 作 为 受 害 者 的 合 法 用 户 访 问 到 包 含 以 上 请 求 链 接 的 网 页 后 ， 删 除 请 求 便 会 发 出 ； 唯 一 需 要 知 道 的 就 是 合 法 用 户 自 己 创 建 的   P r o j e c t I D   号 ； 主 要 原 因 在 于 在 服 务 端 没 有 设 置   a n t i C S R F   t o k e n 手 段 来 防 止 C S R F 攻 击 ； 某 些 情 况 下 ， 即 使 设 置 有   a n t i C S R F   t o k e n 手 段 ， 也 可 能 被 绕 过 。 最 严 重 的 后 果 最 严 重 的 后 果 我 们 再 看 看 上 面 那 个 项 目 删 除 的 P O S T 请 求 ， 如 果 我 们 对   p r o j e c t I D   进 行 一 些   f u z z   操 作 ， 更 改 为 其 它 项 目 号 会 如 何 呢 ？ 于 是 乎 ， 我 又 另 外 创 建 了 一 个 M i c r o s o f t   T r a n s l a t o r   H u b 账 号 ， 以 该 账 号 用 其 它 浏 览 器 登 录 之 后 ， 在 其 中 创 建 了 两 个 我 自 己 的 翻 译 项 目 。 P O S T   / P r o j e c t s / R e m o v e P r o j e c t ? p r o j e c t I d = 1 2 8 3 9   H T T P / 1 . 1 H o s t :   h u b . m i c r o s o f t t r a n s l a t o r . c o m U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 3 ;   W O W 6 4 ;   r v : 3 6 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 3 6 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p s : / / h u b . m i c r o s o f t t r a n s l a t o r . c o m / P r o j e c t s / I n d e x C o o k i e :   R P S A u t h = F A B K A R S t 1 l M x f Q 3 9 E c b V s L W T 8 h L b E L 1 2 R A N m A A A E g A A A C I 6 H s 9 2 z q y R l C A G c e 1 E q w S J m j J e 2 1 n X V H a r r E J 9 R O z j j 2 1 X A t h l % 2 B U U j z X 3 X R 5 J e C B 8 W I 0 o M d m w Q h y n 3 0 O I i u b B Y a e L e g 2 1 n q X T 0 6 U w z c z F I D A j o q U % 2 B Q p C g 9 S W a L S V S C 3 a K M Z P T 9 2 N V j g y S b I V 8 Y Y x P A 4 X M V M b U 0 4 m v N K v 8 v 5 v a G V M U N B t j H l d x F q K Y E W q I 5 P 0 U Z e t m t a g z O K % 2 B f 2 C R F b g b 3 G a k 6 8 R N 6 M j j / x X t 2 o v C 8 p x Y n 2 q b 9 M q S N x H C 4 Y 3 b A 8 n 6 v y Z o J z M 6 U u 0 z Z p T U P I h v 5 L 1 P y H O O 3 F d X F E L q t t x 2 Y d 2 L E J N v x j k m O N 9 K c Y X I R % 2 B l U s H f i m E 9 0 1 m s D 9 X W B 1 S L G 3 z v m 0 6 o a c n c f 1 W G r d j E d n A 2 l O g U A L l E h Q z x H b G m 6 T r y D M p q % 2 B b r T U / w G ;         R P S S e c A u t h = F A B K A R S t 1 l M x f Q 3 9 E c b V s L W T 8 h L b E L 1 2 R A N m A A A E g A A A C K D d u t u i 3 V q g C A E 5 D V a i p c a F 6 W a W T % 2 B 0 L 0 p p L M A d 7 k i g p Y c Q 8 9 x h w i D i Y N 9 y N h y V f 8 6 E W 6 K i i O s 7 F Y 2 P C T F H 2 r M / u H 3 L Y L I h T E Y t u r Z 5 v O j V P B U P 6 Q q q A t P 9 r v U C t v 9 % 2 B a k v 9 W N w Y 4 g p Z z Q 4 S X j t V p S M q y r V 3 R I N / e m o c W t N D m U 5 B P r n A Z k 5 0 o A n o S f 6 a J X 5 I j a N c X c 6 1 T v 3 B S O 6 m 3 G K L e v x W n p S o y L z I a j E T w M S B e 8 4 f L 5 f W y U I 0 r 3 j X q 7 r W / r U h / G o / R 4 O z S 2 n L 1 o k l 5 1 2 y F c Z F Z F X d s E q 6 k 5 M 0 l K P 0 L 9 Z T V t a W 0 W i Z K X K g Y % 2 B % 2 B P P t I m j I 5 w h K X 2 U 4 w b q g P i D 1 r x X w D o g A l c r L K u 6 Y G E H f V g 0 1 i G 0 G Q 0 U A F % 2 B h V Q 4 C p t u u R m 8 t I 8 X E 9 z m o 3 % 2 B h r ;         A N O N = A = 3 6 5 D F F 2 D D 4 5 6 1 7 9 7 1 7 0 5 D A 3 3 F F F F F F F F & E = 1 0 8 9 & W = 1 ;   N A P = V = 1 . 9 & E = 1 0 2 f & C = h 8 Z S 1 7 X m f 0 z 4 Q 2 T 9 D j 2 6 e _ P i j a c a 9 G 0 0 g 1 P J C c X a I 3 6 L 1 P 7 j W H Y O F Q & W = 1 ;   m s t c i d = [ R e m o v e d E m a i l ] C o n n e c t i o n :   k e e p - a l i v e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   0
接 着 ， 我 再 次 启 动 B u r p S u i t e ， 希 望 对 p r o j e c t I D 做 一 些 f u z z 和 其 它 操 作 。 在 第 一 次 执 行 的 “ 删 除 ” 操 作 网 络 请 求 包 中 ， 我 把 其 中 的 p r o j e c t I D 参 数 值 ， 替 换 成 了 我 第 二 个 M i c r o s o f t   T r a n s l a t o r   H u b 账 号 中 创 建 的 项 目 p r o j e c t I D 参 数 值 ， 之 后 转 发 请 求 并 刷 新 页 面 。 竟 然 发 现 我 第 二 个 M i c r o s o f t   T r a n s l a t o r   H u b 账 号 中 p r o j e c t I D 参 数 值 对 应 的 项 目 被 悄 无 声 息 地 删 除 了 ！ 严 格 意 义 上 来 说 ， 这 种 漏 洞 应 该 称 为 不 安 全 的 间 接 对 象 引 用 ) （ I n d i r e c t   O b j e c t   R e f e r e n c e ） ， 该 漏 洞 的 影 响 也 就 是 说 ： 我 最 近 创 建 项 目 的 p r o j e c t I D 值 为 1 2 8 3 9 ， 如 果 我 把 p r o j e c t I D 参 数 进 行   0   到   1 3 0 0 0 的 遍 历 ， 那 么 也 就 能 针 对 微 软 数 据 库 中 ， 把 将 近 1 3 0 0 0 多 个 的 M i c r o s o f t   T r a n s l a t o r   H u b 用 户 创 建 项 目 删 除 ！ 简 单 来 说 ， 可 用 一 些 简 单 的 检 测 机 制 来 避 免 该 漏 洞 ， 比 如 针 对 项 目 请 求 作 同 一 用 户 检 查 ， 或 者 把 用 户 创 建 的 项 目 和 用 户 作 关 联 检 查 ， 等 等 。 但 是 微 软 却 遗 漏 掉 了 … … 完 美 结 局 完 美 结 局 我 把 该 漏 洞 上 报 给 M S R C 之 后 ， 他 们 给 我 的 回 应 如 下 ： 之 后 ， 微 软 快 速 修 复 了 该 漏 洞 ， 并 最 终 微 软 把 我 列 入 了 漏 洞 致 谢 榜 ：
  * 参 考 来 参 考 来 源 ： 源 ： h a i d e r m ， ， c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理