搜索

[13165] 2018-09-09_看我如何发现Facebook的$5000美金漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2018-09-09_看我如何发现Facebook的$5000美金漏洞 看 我 如 何 发 现 F a c e b o o k 的 $ 5 0 0 0 美 金 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 9 - 0 9 最 近 ， 我 在 参 与 一 最 近 ， 我 在 参 与 一 些 漏 洞 众 测 项 目 ， 本 文 中 我 就 来 分 享 一 个 我 发 现 的 些 漏 洞 众 测 项 目 ， 本 文 中 我 就 来 分 享 一 个 我 发 现 的 F a c e b o o k 某 服 务 器 漏 洞 ， 该 漏 洞 获 得 某 服 务 器 漏 洞 ， 该 漏 洞 获 得 F a c e b o o k 官 方 官 方 $ 5 0 0 0 美 美 金 奖 励 。 金 奖 励 。 端 倪 端 倪 在 我 前 期 对 F a c e b o o k 网 段 1 9 9 . 2 0 1 . 6 5 . 0 / 2 4 进 行 探 测 时 发 现 ， 其 中 在 I P   1 9 9 . 2 0 1 . 6 5 . 3 6   上 部 署 有 S e n t r y 服 务 ， 其 主 机 名 为 s e n t r y a g r e e m e n t s . t h e f a c e b o o k . c o m 。 S e n t r y 是 基 于 P y t h o n 语 言 和 D j a n g o 架 构 的 ， 一 种 W e b 形 式 的 日 志 收 集 应 用 。 发 现 发 现 在 对 该 W e b 应 用 进 行 分 析 过 程 中 ， 页 面 上 经 常 有 一 些 莫 名 其 妙 的 堆 栈 跟 踪 行 为 （ s t a c k t r a c e ） 跳 出 来 。 并 且 其 用 户 密 码 重 置 功 能 貌 似 非 常 不 稳 定 ， 老 是 会 崩 溃 。 如 果 在 不 关 闭 D j a n g o 调 试 模 式 的 情 况 下 ， 当 发 生 堆 栈 跟 踪 行 为 时 ， 页 面 上 就 会 打 印 显 示 出 整 个 运 行 环 境 ， 好 在 其 中 不 包 括 密 码 、 密 钥 或 k e y 等 敏 感 信 息 。 但 是 ， 在 认 真 查 看 堆 栈 跟 踪 方 法 时 ， 一 些 环 境 变 量 值 看 似 很 有 意 思 ， 比 如 ： S E S S I O N _ C O O K I E _ N A M E 的 名 称 是 s e n t r y s i d S E S S I O N _ S E R I A L I Z E R 对 应 的 调 用 方 法 是 d j a n g o . c o n t r i b . s e s s i o n s . s e r i a l i z e r s . P i c k l e S e r i a l i z e r
S E S S I O N _ E N G I N E 对 应 的 调 用 方 法 是 d j a n g o . c o n t r i b . s e s s i o n s . b a c k e n d s . s i g n e d _ c o o k i e s S E N T R Y _ O P T I O N S 值 中 包 含 了 一 个 S e n t r y 服 务 的 配 置 信 息 列 表 在 P y t h o n 中 ， P i c k l e 模 块 是 对 P y t h o n 对 象 结 构 进 行 二 进 制 序 列 化 和 反 序 列 化 的 协 议 实 现 ， 就 是 把 P y t h o n 数 据 变 成 流 的 形 式 ， 就 像 其 中 的 类 和 方 法 一 样 。 可 以 查 看 此 文 ， 了 解 P i c k l e 的 运 行 机 制 和 安 全 实 现 。 假 设 一 下 ， 如 果 我 们 可 以 伪 造 包 含 任 意 P i c k l e 内 容 的 会 话 ， 那 么 就 能 在 系 统 中 间 接 执 行 命 令 了 。 但 是 ， D j a n g o 框 架 中 用 来 验 证 会 话 c o o k i e 的 S E C R E T _ K E Y ， 在 堆 栈 跟 踪 行 为 中 是 不 存 在 的 。 咦 ， 怎 么 在 S E N T R Y _ O P T I O N S 中 的 S e n t r y 配 置 信 息 列 表 中 包 含 了 一 个 名 为 s y s t e m . s e c r e t - k e y 的 键 值 ！ 这 个 键 值 是 未 被 D j a n g o 框 架 过 滤 掉 的 。 然 后 ， 我 又 把 S e n t r y   应 用 的 说 明 文 档 翻 了 一 遍 ， 发 现 s y s t e m . s e c r e t - k e y 是 ” 一 个 用 于 会 话 验 证 的 安 全 密 钥 ， 如 果 该 密 钥 受 到 破 坏 或 窃 取 ， 则 需 要 对 它 重 新 生 成 ， 否 则 用 户 会 话 存 在 被 劫 持 的 可 能 。 哇 ， 如 果 这 样 ， 那 是 不 是 存 在 D j a n g o 的 S E C R E T - K E Y 重 写 漏 洞 了 呢 ？ 漏 洞 测 试 漏 洞 测 试 由 于 要 伪 造 包 含 任 意 P i c k l e 内 容 的 会 话 ， 所 以 我 写 了 一 个 小 脚 本 ， 用 来 向 我 的 s e n t r y s i d   c o o k i e 中 添 加 了 一 个 P a y l o a d 执 行 载 荷 。 这 就 是 一 个 简 单 的 P o C 代 码 ， 它 首 先 会 获 取 当 前 的 s e n t r y s i d   c o o k i e ， 然 后 在 反 序 列 化 时 ， 用 任 意 对 象 内 容 以 o s . s y s t e m ( “ s l e e p   3 0 ” )   挂 起 方 法 来 把 s e n t r y s i d   c o o k i e 进 行 替 换 。
当 系 统 使 用 了 这 个 被 替 换 的 s e n t r y s i d   c o o k i e 之 后 ， 页 面 实 际 上 会 增 加 3 0 秒 的 延 迟 响 应 。 当 然 ， 如 果 会 出 现 这 种 情 况 ， 也 就 证 明 漏 洞 的 存 在 。 最 终 ， F a c e b o o k 承 认 了 该 漏 洞 的 有 效 性 ， 之 后 ， 把 这 个 s e n t r y a g r e e m e n t s . t h e f a c e b o o k . c o m 系 统 下 线 ， 并 告 知 我 漏 洞 补 丁 已 经 在 着 手 开 发 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 7 . 3 0   0 0 : 0 0   漏 洞 初 报 2 0 1 8 . 7 . 3 0   1 5 : 2 5   F a c e b o o k 进 行 漏 洞 分 类 并 将 S e n t r y 服 务 系 统 下 线 2 0 1 8 . 8 . 9   1 8 : 1 0   补 丁 修 复 2 0 1 8 . 8 . 9   2 0 : 1 0   F a c e b o o k 向 我 奖 励 了 $ 5 0 0 0 美 金 ， 并 告 知 我 这 个 S e n t r y 服 务 器 位 于 一 个 单 独 的 V L A N 中 ， 其 中 未 包 含 特 定 的 用 户 数 据 。 * 参 考 来 源 ： 参 考 来 源 ： s c r t ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理