搜索

[13215] 2018-09-22_子域名劫持漏洞的挖掘指南

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2018-09-22_子域名劫持漏洞的挖掘指南 子 域 名 劫 持 漏 洞 的 挖 掘 指 南 c l o u d s   F r e e B u f   2 0 1 8 - 0 9 - 2 2 在 在 H a c k e r O n e 实 时 更 新 的 公 开 漏 洞 推 送 实 时 更 新 的 公 开 漏 洞 推 送 H a c k t i v i t y 消 息 中 ， 我 们 可 以 发 现 ， 其 中 的 子 域 名 劫 持 漏 洞 （ 消 息 中 ， 我 们 可 以 发 现 ， 其 中 的 子 域 名 劫 持 漏 洞 （ S u b d o m a i n T a k e o v e r ） 占 比 不 少 。 自 从 ） 占 比 不 少 。 自 从 2 0 1 4 年 年 D e t e c t i f y 实 验 室 发 布 了 一 系 列 子 域 名 劫 持 攻 击 姿 势 的 文 章 之 后 ， 众 测 行 业 出 实 验 室 发 布 了 一 系 列 子 域 名 劫 持 攻 击 姿 势 的 文 章 之 后 ， 众 测 行 业 出 现 了 大 量 此 类 问 题 相 关 的 上 报 漏 洞 。 现 了 大 量 此 类 问 题 相 关 的 上 报 漏 洞 。 子 域 名 劫 持 漏 洞 的 基 本 前 提 可 以 大 致 的 解 释 为 ， 发 生 了 错 误 配 置 情 况 ， 对 应 主 机 指 向 了 一 个 当 前 未 在 用 的 特 定 服 务 ， 这 样 一 来 ， 攻 击 者 就 能 通 过 在 该 特 定 的 第 三 方 服 务 中 注 册 账 户 ， 声 明 对 该 子 域 的 接 管 权 限 ， 由 此 ， 在 该 子 域 上 部 署 网 络 服 务 ， 实 现 对 该 子 域 有 目 的 的 利 用 。 作 为 一 位 白 帽 和 安 全 分 析 师 ， 我 每 天 都 会 遇 到 这 类 漏 洞 问 题 。 今 天 ， 我 就 来 和 大 家 聊 聊 子 域 名 错 误 配 置 导 致 的 子 域 名 劫 持 漏 洞 相 关 的 理 解 、 挖 掘 、 利 用 和 上 报 ， 文 章 假 设 读 者 具 备 了 一 定 的 D N S 知 识 和 子 域 名 设 置 基 础 。 子 域 名 劫 持 漏 洞 介 绍 子 域 名 劫 持 漏 洞 介 绍 如 果 你 此 前 不 了 解 子 域 名 劫 持 漏 洞 ， 想 从 基 本 原 理 听 起 ， 我 这 里 就 设 计 了 一 个 简 单 的 实 例 场 景 。 在 该 场 景 中 ， 假 设 e x a m p l e . c o m 是 你 在 参 与 漏 洞 众 测 的 目 标 网 站 ， 经 过 对 e x a m p l e . c o m 的 所 有 子 域 名 进 行 枚 举 之 后 ， 发 现 了 其 中 一 个 子 域 名 s u b d o m a i n . e x a m p l e . c o m ， 该 子 域 名 错 误 配 置 指 向 了 一 个 G i t H u b 页 面 。 由 此 ， 我 们 可 以 先 来 看 看 该 子 域 名 的 D N S 记 录 ， 在 这 里 假 设 该 子 域 名 所 属 的 G i t H u b 页 面 存 在 多 条 指 向 G i t H u b 特 定 I P 地 址 的 A 记 录 ： 网 页 访 问 s u b d o m a i n . e x a m p l e . c o m 后 ， 我 们 可 以 发 现 以 下 4 0 4 响 应 页 面 ： $   h o s t   s u b d o m a i n . e x a m p l e . c o m s u b d o m a i n . e x a m p l e . c o m   h a s   a d d r e s s   1 9 2 . 3 0 . 2 5 2 . 1 5 3 s u b d o m a i n . e x a m p l e . c o m   h a s   a d d r e s s   1 9 2 . 3 0 . 2 5 2 . 1 5 4 $   w h o i s   1 9 2 . 3 0 . 2 5 2 . 1 5 3   |   g r e p   " O r g N a m e " O r g N a m e :   G i t H u b ,   I n c .
看 到 这 里 ， 大 多 数 白 帽 可 能 会 觉 得 有 戏 了 。 这 个 4 0 4 页 面 表 示 ， 在 域 名 对 应 网 站 的 顶 级 根 目 录 下 没 被 注 册 部 署 任 何 网 页 内 容 ， 因 此 ， 我 们 可 以 尝 试 去 注 册 把 该 子 域 名 接 管 为 我 们 个 人 的 G i t H u b 库 所 有 。 但 是 ， 请 注 意 ， 出 现 这 种 情 况 ， 并 不 代 表 所 有 对 应 的 域 名 都 存 在 劫 持 漏 洞 。 因 为 有 一 些 域 名 应 用 可 能 还 需 要 检 查 具 体 的 H T T P 和 H T T P S 响 应 情 况 ， 以 此 来 判 断 域 名 控 制 权 限 ， 而 另 外 有 些 域 名 就 不 存 在 劫 持 漏 洞 。 这 里 ， 假 设 就 存 在 子 域 名 劫 持 漏 洞 吧 。 当 我 们 把 该 子 域 名 添 加 进 入 个 人   G i t H u b   项 目 之 后 ， 就 能 把 它 部 署 上 我 们 自 己 的 W e b 内 容 了 ， 也 就 是 说 ， 我 们 就 能 把 子 域 名 接 管 为 我 们 自 己 所 有 了 。 如 下 可 以 让 s u b d o m a i n . e x a m p l e . c o m 指 向 任 何 你 部 署 的 网 页 内 容 ：
二 阶 子 域 名 劫 持 漏 二 阶 子 域 名 劫 持 漏 洞 洞 这 里 所 说 的 二 阶 子 域 名 劫 持 漏 洞 ， 有 点 像 过 期 坏 链 劫 持 （ B r o k e n   L i n k   H i j a c k i n g ） ， 这 种 情 况 下 的 子 域 名 ， 并 不 属 于 目 标 网 站 所 有 ， 但 却 是 用 来 运 行 目 标 网 站 的 网 页 内 容 的 。 也 就 是 说 ， 如 目 标 网 站 网 页 内 容 中 某 个 资 源 需 要 从 外 部 导 入 的 第 三 方 资 源 ， 举 例 来 说 ， 像 j s 文 件 一 样 ， 那 么 ， 攻 击 者 就 可 以 通 过 J a v a S c r i p t 的 B l o b 对 象 类 型 进 行 导 入 ， 从 而 声 明 对 目 标 网 站 相 关 子 域 名 的 控 制 权 限 。 这 种 在 网 页 页 面 的 主 机 劫 持 可 以 导 致 存 储 型 跨 站 漏 洞 ， 攻 击 者 可 以 针 对 目 标 网 站 页 面 ， 利 用 这 种 模 式 来 加 载 任 意 的 客 户 端 代 码 。 我 在 此 提 出 这 种 威 胁 ， 就 是 希 望 我 们 不 要 把 想 像 力 只 限 制 在 子 域 名 身 上 ， 还 可 以 延 伸 到 代 码 审 查 和 目 标 网 站 的 主 机 映 射 等 方 面 。 像 下 图 网 站 中 ， 存 在 导 入 的 第 三 方 资 源 h t t p : / / s u b d o m a i n . e x a m p l e . c o m / s c r i p t . j s ， 那 么 ， 能 否 存 在 s u b d o m a i n . e x a m p l e . c o m 可 被 劫 持 ， 从 而 我 可 以 变 换 s c r i p t . j s 实 现 对 e x a m p l e . c o m 的 间 接 劫 持 呢 ？
当 然 ， 也 要 说 明 的 是 ， 如 果 你 想 对 某 个 子 网 站 域 名 进 行 劫 持 ， 那 么 可 以 花 点 时 间 ， 去 看 看 该 网 站 上 各 个 页 面 中 的 第 三 方 导 入 资 源 是 否 能 被 劫 持 利 用 。 子 域 名 枚 举 和 探 测 子 域 名 枚 举 和 探 测 现 在 ， 我 们 对 如 何 在 错 误 配 置 的 子 域 名 上 部 署 我 们 自 己 的 网 页 内 容 有 了 大 致 了 解 ， 接 下 来 ， 我 就 来 介 绍 发 现 漏 洞 子 域 名 的 各 种 技 术 、 技 巧 和 工 具 。 在 深 入 之 前 ， 我 们 需 要 区 分 检 索 （   S c r a p i n g   ） 和 暴 力 猜 解 （ B r u t e   F o r c i n g ） 的 不 同 ， 因 为 这 两 种 方 法 都 能 帮 助 你 发 现 子 域 名 ， 但 最 终 结 果 却 有 所 不 同 。 检 索 是 一 种 被 动 的 侦 测 方 式 ， 它 利 用 D N S   D u m p s t e r 和 V i r u s T o t a l 等 外 部 服 务 和 资 源 ， 来 收 集 属 于 某 个 特 定 主 机 的 子 域 名 。 这 种 方 式 能 快 速 检 索 出 外 部 服 务 资 源 中 之 前 加 载 过 的 子 域 记 录 ， 算 是 一 种 不 费 太 多 精 力 的 子 域 名 发 现 方 式 。 如 以 下 D N S   D u m p s t e r 网 站 中 记 录 的 r e d d i t . c o m 子 域 名 情 况 ：
检 索 （   S c r a p i n g   ） 方 式 中 不 仅 中 以 包 含 索 引 页 面 ， 还 可 以 添 加 进 目 标 网 站 的 G I T 库 、 内 容 安 全 策 略 头 、 源 代 码 和 漏 洞 跟 踪 消 息 等 反 馈 源 ， 只 要 你 能 想 得 到 ， 检 索 列 表 是 非 常 之 多 的 。 我 就 经 常 更 新 我 自 己 的 检 索 列 表 资 源 库 ， 反 正 你 应 用 的 技 术 越 多 越 奇 特 ， 那 么 最 终 你 发 现 的 结 果 也 会 与 众 不 同 。 所 以 ， 从 这 一 点 来 说 ， 在 做 漏 洞 众 测 时 ， 我 们 一 定 要 具 备 创 新 精 神 。 S u b l i s t 3 r 算 是 检 索 （   S c r a p i n g   ） 方 式 的 一 个 简 单 子 域 名 发 现 工 具 了 ， 它 利 用 了 轻 量 级 的 P y t h o n 脚 本 ， 从 各 种 搜 索 引 擎 、 S S L 证 书 和 D N S 记 录 网 站 中 来 收 集 目 标 子 域 名 。 具 体 的 安 装 和 应 用 如 下 图 所 示 ： $   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / a b o u l 3 l a / S u b l i s t 3 r . g i t $   c d   S u b l i s t 3 r $   s u d o   p i p   i n s t a l l   - r   r e q u i r e m e n t s . t x t
暴 力 猜 解 子 域 名 时 ， 我 们 可 以 依 托 字 典 进 行 迭 代 请 求 尝 试 ， 然 后 根 据 其 响 应 来 判 断 子 域 名 的 有 效 性 。 但 请 注 意 ， 如 果 目 标 网 站 开 户 了 泛 域 名 （ W i l d c a r d ） 模 式 ， 进 行 子 域 暴 力 猜 解 时 ， 可 能 会 得 到 很 多 误 报 响 应 。 泛 域 名 模 式 （ W i l d c a r d ） 也 就 是 说 ， 所 有 的 子 域 名 解 析 都 可 能 会 对 应 到 同 一 I P 地 址 下 ， 如 a . e x a m p l e . c o m 和 c t k . e x a m p l e . c o m 都 会 解 析 到 同 一 个 I P 地 址 。 使 用 泛 域 名 ， 可 以 让 域 名 支 持 无 限 的 子 域 名 ， 也 可 以 防 止 用 户 输 入 错 误 的 子 域 名 ， 而 无 法 访 问 网 站 。 所 以 ， 这 个 时 候 ， 可 以 解 析 一 个 目 标 网 站 不 可 能 使 用 的 子 域 名 ， 依 其 响 应 来 判 断 是 否 可 以 正 常 解 析 ， 如 果 能 正 常 响 应 ， 则 证 明 其 开 启 了 泛 域 名 模 式 。 如 下 ： 针 对 子 域 名 暴 力 猜 解 ， 我 个 人 认 为 最 好 的 方 式 就 是 ， 根 据 你 平 时 积 累 的 经 验 ， 或 个 人 感 兴 趣 的 方 式 ， 创 建 你 自 己 的 猜 解 字 典 。 例 如 ， 我 经 常 对   A t l a s s i a n   J i r a   系 统 和   G I T 用 例 的 漏 洞 挖 掘 较 多 ， 所 以 我 会 在 子 域 名 猜 解 字 典 中 添 加 进   “ j i r a ” 和   “ g i t ”   等 相 关 关 键 字 。 如 果 你 打 算 创 建 个 人 的 子 域 名 猜 解 字 典 ， 我 强 烈 建 议 你 可 以 参 考   J a s o n   H a d d i x   的 字 典 ， 他 花 了 很 多 精 力 ， 将 各 种 子 域 名 发 现 工 具 的 不 同 列 表 合 并 成 了 一 个 广 泛 的 字 典 列 表 。 指 纹 识 别 （ 指 纹 识 别 （ F i n g e r p r i n t i n g ） ） 为 了 增 加 你 的 子 域 名 发 现 结 果 ， 不 管 是 检 索 （   S c r a p i n g   ） 还 是 暴 力 猜 解 （ B r u t e   F o r c i n g ） 方 式 中 ， 都 可 以 采 用 一 种 名 为 指 纹 识 别 （ F i n g e r p r i n t i n g ） 的 技 术 ， 这 种 技 术 可 以 通 过 对 目 标 网 站 的 通 用 字 典 创 建 ， 然 后 以 此 来 显 示 出 那 些 ， 你 用 普 通 字 典 列 表 无 法 识 别 的 属 于 目 标 网 站 的 资 产 。 一 些 经 典 的 子 域 名 发 现 工 具 一 些 经 典 的 子 域 名 发 现 工 具 $   h o s t   r a n d o m i f j e 8 z 1 9 3 h f 8 j a f v h 7 g 4 q 7 9 g h 2 7 4 . e x a m p l e . c o m
在 这 里 ， 我 要 介 绍 一 些 好 用 的 子 域 名 发 现 工 具 ： A l t d n s 这 是 S h u b h a m   S h a h 开 发 的 一 个 子 域 名 递 归 暴 力 猜 解 工 具 ， 你 先 要 创 建 一 个 目 标 网 站 存 在 的 子 域 名 字 典 s u b d o m a i n s . t x t ， 这 就 是 你 的 通 用 f i n g e r p r i n t 字 典 ， 然 后 再 创 建 一 个 递 归 置 换 字 典   w o r d s . t x t ， 然 后 用 A l t d n s 命 令 ： 进 行 子 域 生 成 发 现 。 我 喜 欢 用   A l t d n s   来 生 成 字 典 列 表 ， 然 后 再 配 合 其 它 工 具 来 运 行 发 现 。 C o m m o n s p e a k C o m m o n s p e a k 也 是 S h u b h a m 开 发 的 另 外 一 个 工 具 ， 它 通 过 G o o g l e 的 B i g Q u e r y 查 询 记 录 来 生 成 字 典 列 表 ， 其 中 包 含 了 当 前 每 天 更 新 的 各 类 子 域 名 ， 非 常 及 时 快 速 。 你 可 以 通 过 查 看 这 篇 文 章 ， 来 了 解 C o m m o n s p e a k 的 字 典 收 集 和 子 域 提 取 机 制 。 S u b F i n d e r 这 是 一 个 兼 具 检 索 （   S c r a p i n g   ） 和 暴 力 猜 解 （ B r u t e   F o r c i n g ） 的 子 域 发 现 工 具 ， 就 我 个 人 来 说 ， 我 用 S u b F i n d e r 比 S u b l i s t 3 r 多 ， S u b F i n d e r 能 从 包 含 A P I 接 口 在 内 的 各 种 服 务 中 来 发 现 子 域 名 ， 最 终 结 果 也 相 对 较 好 。 M a s s d n s M a s s d n s 是 一 个 非 常 快 速 的 子 域 枚 举 工 具 ， 其 它 工 具 可 能 用 1 5 分 钟 才 能 完 成 ， 但 用 M a s s d n s 仅 需 一 分 钟 。 但 如 果 你 想 用 M a s s d n s ， 得 先 指 定 一 个 有 效 的 D N S 存 根 解 析 器 （   R e s o l v e r ） ， 如 这 个 h t t p s : / / p u b l i c - d n s . i n f o / n a m e s e r v e r s . t x t ， 通 过 其 中 的 h o s t 进 行 域 名 解 析 发 现 。 如 果 你 长 期 不 更 新 这 个 解 析 器 列 表 ， 结 果 也 可 能 会 出 现 误 报 。 流 程 自 动 化 流 程 自 动 化 在 挖 掘 子 域 名 劫 持 漏 洞 的 过 程 中 ， 自 动 化 非 常 关 键 。 顶 级 的 白 帽 黑 客 总 会 长 期 关 注 目 标 网 站 的 任 何 变 动 ， 或 是 对 目 标 网 站 的 所 属 子 域 名 进 行 持 续 的 状 态 跟 踪 。 本 文 中 ， 我 们 不 谈 具 体 的 跟 踪 关 注 手 段 ， 相 反 ， 我 会 介 绍 一 些 简 单 技 巧 ， 以 便 能 节 省 些 许 挖 掘 分 析 时 间 ， 实 现 一 定 程 度 的 自 动 化 。 我 喜 欢 用 的 第 一 项 自 动 化 任 务 是 从 一 些 主 机 列 表 中 过 滤 出 实 时 有 效 的 子 域 名 。 因 为 在 子 域 名 检 索 方 法 中 ， 最 后 的 结 果 可 能 为 有 些 子 域 名 是 过 期 的 ， 有 些 则 是 不 可 访 问 的 ， 因 此 ， 我 们 需 要 检 测 出 哪 些 主 机 对 应 的 子 域 名 是 实 时 有 效 的 。 请 记 住 ， 正 如 之 后 会 看 到 的 示 例 显 示 ， 虽 然 一 些 主 机 不 能 有 效 解 析 ， 但 也 存 在 被 劫 持 可 能 。 这 里 的 自 动 化 ， 我 们 就 用 h o s t 命 令 来 实 现 吧 ， 如 果 某 个 子 域 名 不 存 活 为 无 效 ， 那 么 就 会 响 应 返 回 一 个 错 误 消 息 。 把 所 有 检 测 和 发 现 机 制 抽 象 化 后 ， 可 以 表 示 为 以 下 流 程 ： . / a l t d n s . p y   - i   s u b d o m a i n s . t x t   - o   d a t a _ o u t p u t   - w   w o r d s . t x t   - r   - s   r e s u l t s _ o u t p u t . t x t $   . / s c r i p t s / s u b b r u t e . p y   l i s t s / n a m e s . t x t   e x a m p l e . c o m   |   . / b i n / m a s s d n s   - r   l i s t s / r e s o l v e r s . t x t   - t   A   - o   S   - w   r e s u l t s . t x t w h i l e   r e a d   s u b d o m a i n ;   d o i f   h o s t   " $ s u b d o m a i n "   >   / d e v / n u l l ;   t h e n #   I f   h o s t   i s   l i v e ,   p r i n t   i t   i n t o #   a   f i l e   c a l l e d   " l i v e . t x t " . e c h o   " $ s u b d o m a i n "   > >   l i v e . t x t f i d o n e   <   s u b d o m a i n - l i s t . t x t
接 下 来 需 要 对 子 域 名 有 个 大 致 的 了 解 ， 这 里 有 两 种 显 示 模 式 ， 一 种 为 运 行 子 域 名 截 图 脚 本 抓 取 所 有 子 域 名 网 站 截 图 ， 另 一 种 为 存 储 各 个 子 域 名 网 站 的 显 示 内 容 。 做 子 域 名 截 图 ， 可 以 考 虑 工 具 E y e W i t n e s s ， 它 能 对 目 标 列 表 子 域 名 生 成 一 个 包 含 截 图 、 响 应 头 和 标 头 信 息 的 H T M L 文 件 。 可 能 有 时 候 ， 你 只 需 要 存 储 子 域 名 网 站 的 简 单 G E T 请 求 响 应 页 面 内 容 时 ， E y e W i t n e s s 就 显 得 有 点 大 材 小 用 了 。 这 个 时 候 ， 我 会 用 T o m   H u d s o n 开 发 的 工 具 m e g ， 它 会 向 目 标 子 域 名 发 送 简 单 的 请 求 并 把 响 应 内 容 进 行 存 储 为 明 文 ， m e g 相 比 E y e W i t n e s s 显 得 更 轻 量 级 一 些 。 特 殊 情 况 特 殊 情 况 也 存 在 一 种 特 殊 情 况 需 要 说 明 ， F r a n s   R o s é n 大 牛 曾 在 他 的 演 讲 《 D N S   h i j a c k i n g   u s i n g   c l o u d   p r o v i d e r s   –   N o v e r i f i c a t i o n   n e e d e d 》 中 提 到 ， 如 果 你 遇 到 一 些 d e a d   D N S   r e c o r d s （ 废 弃 的 D N S 记 录 ） ， 不 要 就 表 面 性 地 认 为 其 不 存 在 子 域 名 劫 持 漏 洞 。 据 F r a n s   R o s é n 的 观 点 ， h o s t 命 令 可 能 会 出 错 ， 但 如 果 用 d i g 命 令 的 话 ， 可 能 就 会 发 现 一 些 d e a d r e c o r d s 。 漏 洞 利 用 漏 洞 利 用 现 在 ， 假 设 你 可 以 控 制 目 标 网 站 所 属 的 某 个 子 域 名 ， 那 么 ， 接 下 来 该 做 什 么 呢 ？ 当 你 想 用 这 个 错 误 配 置 的 子 域 名 来 实 现 某 些 可 能 的 攻 击 场 景 时 ， 最 关 键 的 是 需 要 去 了 解 这 个 子 域 名 与 目 标 网 站 的 核 心 服 务 存 在 些 什 么 交 互 。 C o o k i e s 利 用 子 域 名 劫 持 漏 洞 ， 针 对 可 控 制 的 子 域 名 s u b d o m a i n . e x a m p l e . c o m 进 行 w e b 服 务 部 署 ， 可 以 窃 取 用 户 隶 属 于 e x a m p l e . c o m   的 C o o k i e ， 以 此 实 现 劫 持 受 害 者 会 话 的 目 的 。 $   . / E y e W i t n e s s   - f   l i v e . t x t   - d   o u t   - - h e a d l e s s $   m e g   - d   1 0   - c   2 0 0   /   l i v e . t x t
利 用 在 线 前 端 编 辑 网 站 o u t p u t . j s b i n . c o m ， 我 们 可 以 对 c o o k i e 进 行 编 辑 设 置 。 如 果 确 定 目 标 网 站 存 在 会 话 I D 是 确 知 不 变 的 攻 击 风 险 （ S e s s i o n   F i x a t i o n ） h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / S e s s i o n _ f i x a t i o n ， 并 且 使 用 了 H T T P O n l y 类 的 c o o k i e ， 那 么 你 就 可 以 对 c o o k i e 进 行 设 置 ， 当 受 害 者 启 动 浏 览 器 后 ， 由 于 c o o k i e 的 按 序 排 列 ， 你 这 里 的 恶 意 c o o k i e 将 会 优 先 于 对 方 的 新 生 成 的 c o o k i e ， 从 而 间 接 实 现 了 对 受 害 者 身 份 的 劫 持 。 C O R S 跨 域 资 源 共 享 跨 域 资 源 共 享 跨 域 资 源 共 享 ， C r o s s - O r i g i n   R e s o u r c e   S h a r i n g   ( C O R S ) ,   允 许   W e b   应 用 服 务 器 进 行 跨 域 的 网 页 访 问 控 制 。 在 W e b 应 用 创 建 的 某 个 域 中 ， 按 照 一 组 规 则 来 允 许 某 些 网 站 可 以 访 问 提 取 包 括 认 证 数 据 在 内 的 数 据 信 息 。 以 某 些 子 域 名 是 可 信 域 名 的 前 提 下 ， 一 些 W e b 应 用 还 允 许 子 域 名 执 行 跨 域 的 H T T P 请 求 。 当 你 挖 掘 子 域 名 劫 持 漏 洞 时 ， 可 以 留 意 一 下 C O S R 头 信 息 ， 在 B u r p   S u i t e   P r o 专 业 版 中 就 有 这 个 检 测 功 能 ， 另 外 可 以 看 看 W e b 应 用 是 否 将 子 域 名 列 入 了 白 名 单 ， 这 些 设 置 都 可 能 实 现 对 W e b 授 权 用 户 的 数 据 窃 取 。 O a u t h   授 权 白 名 单 化 授 权 白 名 单 化 与 跨 域 资 源 共 享 ， O a u t h   授 权 过 程 同 样 具 备 一 个 白 名 单 机 制 ， 藉 此 ， W e b 开 发 者 可 以 指 定 指 定 哪 个 回 调 U R I s 是 可 以 接 受 的 。 这 里 的 风 险 在 于 ， 当 存 在 劫 持 漏 洞 的 子 域 名 被 列 入 这 个 白 名 单 中 时 ， 攻 击 者 可 以 在 O a u t h 授 权 过 程 中 把 用 户 会 话 重 定 向 到 先 前 那 个 存 在 劫 持 漏 洞 的 子 域 名 中 ， 以 此 窃 取 用 户 的   O a u t h   授 权 信 息 。 内 容 安 全 策 略 （ 内 容 安 全 策 略 （ C o n t e n t - S e c u r i t y   P o l i c i e s ） ） 可 以 说 ， 内 容 安 全 策 略 是 W e b 应 用 信 任 的 另 一 个 主 机 列 表 ， C S P 的 目 的 在 于 限 制 哪 些 主 机 可 以 在 应 用 中 执 行 客 户 端 代 码 。 如 果 希 望 尽 量 减 少 跨 站 脚 本 的 影 响 ， 这 种 方 式 非 常 有 用 。 如 果 你 可 以 劫 持 控 制 的 子 域 名 包 含 在 白 名 单 中 ， 你 就 可 以 绕 过 C S P 限 制 ， 在 W e b 应 用 中 执 行 恶 意 的 客 户 端 代 码 。 点 击 劫 持 （ 点 击 劫 持 （ C l i c k J a c k i n g ） ） 像 《 C u r e 5 3   B r o w s e r   S e c u r i t y   W h i t e   P a p e r 》 中 提 到 的 那 样 ， 在 X - F r a m e - O p t i o n s 标 头 中 ， I E 、 E d g e 和 S a f a r i 都 支 持 $   c u r l   - s I   h t t p s : / / h a c k e r o n e . c o m   |   g r e p   - i   " c o n t e n t - s e c u r i t y - p o l i c y " c o n t e n t - s e c u r i t y - p o l i c y :   d e f a u l t - s r c   ' n o n e ' ;   b a s e - u r i   ' s e l f ' ;   b l o c k - a l l - m i x e d - c o n t e n t ;   c h i l d - s r c   w w w . y o u t u b e - n o c o o k i e . c o m ;   c o n n e c t - s r c   ' s e l f '   w w w . g o o g l e - a n a l y t i c s . c o m   e r r o r s . h a c k e r o n e . n e t ;   f o n t - s r c   ' s e l f ' ;   f o r m - a c t i o n   ' s e l f ' ;   f r a m e - a n c e s t o r s   ' n o n e ' ;   i m g - s r c   ' s e l f '   d a t a :   c o v e r - p h o t o s . h a c k e r o n e - u s e r - c o n t e n t . c o m   h a c k a t h o n - p h o t o s . h a c k e r o n e - u s e r - c o n t e n t . c o m   p r o f i l e - p h o t o s . h a c k e r o n e - u s e r - c o n t e n t . c o m   h a c k e r o n e - u s - w e s t - 2 - p r o d u c t i o n - a t t a c h m e n t s . s 3 - u s - w e s t - 2 . a m a z o n a w s . c o m ;   m e d i a - s r c   ' s e l f '   h a c k e r o n e - u s - w e s t - 2 - p r o d u c t i o n - a t t a c h m e n t s . s 3 - u s - w e s t - 2 . a m a z o n a w s . c o m ;   s c r i p t - s r c   ' s e l f '   w w w . g o o g l e - a n a l y t i c s . c o m ; s t y l e - s r c   ' s e l f '   ' u n s a f e - i n l i n e ' ;   r e p o r t - u r i   h t t p s : / / e r r o r s . h a c k e r o n e . n e t / a p i / 3 0 / c s p - r e p o r t / ? s e n t r y _ k e y = 6 1 c 1 e 2 f 5 0 d 2 1 4 8 7 c 9 7 a 0 7 1 7 3 7 7 0 1 f 5 9 8
A L L O W - F R O M   u r i 机 制 ， 表 示 该 页 面 可 以 在 指 定 来 源 的   f r a m e   中 展 示 ， 也 就 是 说 ， 如 果 你 可 劫 持 控 制 的 子 域 名 在 该 机 制 的 白 名 单 中 ， 那 么 就 可 以 在 目 标 网 页 应 用 中 构 建 欺 骗 页 面 ， 执 行 点 击 劫 持 （ C l i c k J a c k i n g ） 攻 击 。 密 码 管 理 器 的 密 码 信 息 泄 露 密 码 管 理 器 的 密 码 信 息 泄 露 这 一 点 可 以 不 必 在 一 些 漏 洞 上 报 中 进 行 考 虑 ， 但 也 是 我 们 值 得 关 注 的 方 面 。 某 些 密 码 管 理 器 ， 如 L a s t P a s s 会 在 一 些 主 网 站 所 属 的 子 域 名 网 站 中 执 行 自 动 密 码 填 充 功 能 ， 这 相 当 于 让 网 站 设 置 了 一 个 包 含 明 文 密 码 的 非 h t t p o n l y 类 c o o k i e ， 可 以 方 便 子 域 名 劫 持 之 后 的 深 入 利 用 。 拦 截 电 子 邮 件 拦 截 电 子 邮 件 安 全 研 究 者 R o j a n   R i j a l 曾 发 现 了 U b e r 基 于 S e n d G r i d 服 务 的 某 个 可 劫 持 子 域 名 ， 之 后 ， 利 用 该 子 域 名 ， 他 成 功 拦 截 了 U b e r 内 部 的 公 司 电 邮 通 信 ， 获 取 了 U b e r 官 方 $ 1 0 , 0 0 0 美 金 的 奖 励 。 （ 翻 墙 - 点 此 查 看 文 字 分 析 ， 点 此   观 看 P o C 视 频 ） 上 报 子 域 名 劫 持 漏 洞 的 注 意 事 项 上 报 子 域 名 劫 持 漏 洞 的 注 意 事 项
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理