搜索

[13523] 2018-12-12_看我如何发现影响20多个Uber子域名的XSS漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-12-12_看我如何发现影响20多个Uber子域名的XSS漏洞 看 我 如 何 发 现 影 响 2 0 多 个 U b e r 子 域 名 的 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 1 2 - 1 2 大 家 好 ， 今 天 我 要 分 享 的 是 一 个 影 响 大 家 好 ， 今 天 我 要 分 享 的 是 一 个 影 响 2 0 多 个 多 个 U b e r 子 域 名 的 子 域 名 的 X S S 漏 洞 ， 该 漏 洞 存 在 于 漏 洞 ， 该 漏 洞 存 在 于 u b e r i n t e r n a l . c o m 身 份 验 证 时 向 身 份 验 证 时 向 u b e r . o n e l o g i n . c o m 的 跳 转 过 程 中 ， 漏 洞 最 终 获 得 了 的 跳 转 过 程 中 ， 漏 洞 最 终 获 得 了 U b e r 官 方 官 方 $ 2 5 0 0 美 金 奖 励 。 美 金 奖 励 。 先 导 概 念 先 导 概 念 文 章 开 始 前 ， 我 们 需 要 先 来 了 解 一 下 安 全 断 言 标 记 语 言 S A M L （ S e c u r i t y   A s s e r t i o n   M a r k u p   L a n g u a g e ） 。 S A M L 是 一 种 基 于 X M L 的 开 源 标 准 数 据 格 式 ， 它 在 当 事 方 之 间 交 换 身 份 验 证 和 授 权 数 据 ， 尤 其 是 在 身 份 提 供 者 和 服 务 提 供 者 之 间 交 换 。 S A M L 规 范 定 义 了 三 个 角 色 ： 委 托 人 （ 通 常 为 一 名 用 户 ） 、 身 份 提 供 者 （ I d P ） ， 服 务 提 供 者 （ S P ） 。 在 用 S A M L 解 决 的 使 用 案 例 中 ， 委 托 人 从 服 务 提 供 者 那 里 请 求 一 项 服 务 。 服 务 提 供 者 请 求 身 份 提 供 者 并 从 那 里 并 获 得 一 个 身 份 断 言 。 服 务 提 供 者 可 以 基 于 这 一 断 言 进 行 访 问 控 制 的 判 断 — — 即 决 定 委 托 人 是 否 有 权 执 行 某 些 服 务 。 在 将 身 份 断 言 发 送 给 服 务 提 供 者 之 前 ， 身 份 提 供 者 也 可 能 向 委 托 人 要 求 一 些 信 息 — — 例 如 用 户 名 和 密 码 ， 以 验 证 委 托 人 的 身 份 。 S A M L 规 范 了 三 方 之 间 的 断 言 ， 尤 其 是 断 言 身 份 消 息 是 由 身 份 提 供 者 传 递 给 服 务 提 供 者 。 在 S A M L 中 ， 一 个 身 份 提 供 者 可 能 提 供 S A M L 断 言 给 许 多 服 务 提 供 者 。 同 样 的 ， 一 个 服 务 提 供 者 可 以 依 赖 并 信 任 许 多 独 立 的 身 份 提 供 者 的 断 言 。 更 多 信 息 参 考 S A M L 说 明 。 信 息 收 集 信 息 收 集
在 信 息 收 集 阶 段 ， 我 发 现 U b e r 的 内 部 系 统 网 站 u b e r i n t e r n a l . c o m 也 在 测 试 范 围 之 内 ， 于 是 ， 我 就 开 始 对 它 执 行 子 域 名 枚 举 ， 该 过 程 ， 我 用 到 了 子 域 名 枚 举 神 器 a q u a t o n e ， 它 发 现 了 一 堆 子 域 名 网 站 并 作 了 截 图 。 值 得 注 意 的 是 ， u b e r i n t e r n a l . c o m 的 大 多 数 子 域 名 网 站 在 身 份 验 证 阶 段 ， 都 会 跳 转 到 u b e r . o n e l o g i n . c o m ， 而 o n e l o g i n 就 是 使 用 S A M L 验 证 的 一 个 U b e r 服 务 。 有 意 思 的 是 ， 在 S A M L 的 应 用 中 ， 存 在 很 多 验 证 被 绕 过 的 实 例 ， 这 其 中 就 包 括 了 影 响 U b e r 自 身 服 务 的 一 些 漏 洞 ， 如 实 例 1 和 实 例 2 。 首 先 ， 我 计 划 来 找 找 是 否 存 在 S A M L 身 份 验 证 绕 过 的 情 况 ， 一 开 始 我 选 的 目 标 是 U c h a t 系 统 ， 但 是 有 人 已 经 早 我 一 步 发 现 了 这 个 漏 洞 ， 接 下 来 ， 我 只 有 改 变 目 标 了 。 在 登 录 u b e r i n t e r n a l . c o m 相 关 服 务 的 过 程 中 ， 会 涉 及 到 S A M L 验 证 ， 首 先 ， S A M L 机 制 会 向 u b e r . o n e l o g i n . c o m 后 端 验 证 服 务 发 送 一 个 请 求 ， 成 功 登 录 u b e r i n t e r n a l . c o m 服 务 后 ， u b e r . o n e l o g i n . c o m 会 返 回 一 个 有 效 响 应 。 在 此 互 动 中 ， 我 感 兴 趣 的 是 用 来 接 收 u b e r . o n e l o g i n . c o m 响 应 的 页 面 。 由 此 ， 可 以 来 看 看 u b e r i n t e r n a l . c o m 在 身 份 验 证 时 发 生 页 面 跳 转 的 情 况 ， 在 下 图 中 ， 可 以 看 到 ， 它 向 u b e r . o n e l o g i n . c o m 传 递 了 一 个 b a s e 6 4 编 码 的 S A M L R e q u e s t 参 数 ： 为 了 解 码 这 个 b a s e 6 4 请 求 参 数 ， 我 们 可 以 用 s a m l t o o l 这 个 在 线 工 具 中 的 S A M L   D e c o d e r 功 能 ， 解 码 后 ， 可 以 看 到 ， 其 中 包 含 了 一 个 用 来 接 收 u b e r . o n e l o g i n . c o m 响 应 的 链 接 ， 也 可 称 之 为   S A M L   c o n s u m e   U R L ： h t t p s : / / c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m : 4 4 3 / o i d a u t h / s a m l _ c o n s u m e 如 果 你 还 想 深 入 测 试 一 下 这 种 跳 转
过 程 中 发 生 的 S A M L 交 互 ， B u r p S u i t e 中 就 有 一 个 专 门 用 来 测 试 S A M L 的 插 件 ， 非 常 适 合 用 来 测 试 S A M L 。 不 过 ， 最 终 我 还 是 自 己 写 了 一 个 小 工 具   S A M L E x t r a c t o r ， 可 以 用 它 来 解 码 提 取 出 跳 转 发 生 时 ， 用 来 接 收 响 应 的 那 个 S A M L   c o n s u m e   U R L 。 接 下 来 ， 我 们 要 来 尝 试 的 就 是 绕 过 上 述 S A M L   c o n s u m e   U R L 链 接 的 S A M L 身 份 验 证 了 ， 因 为 我 不 是 太 了 解 这 种 机 制 ， 所 以 我 决 定 用 以 下 d i r s e a r c h 命 令 ， 来 看 看 其 o i d a u t h 目 录 下 是 否 还 有 其 它 存 在 的 子 目 录 或 文 件 ： . / d i r s e a r c h . p y   - u   h t t p s : / / c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m : 4 4 3 / o i d a u t h /   - e j s o n 漏 洞 发 现 漏 洞 发 现 在 经 过 一 番 暴 力 枚 举 之 后 ， 我 发 现 o i d a u t h 目 录 下 存 在 的 以 下 这 个 页 面 ： h t t p s : / / c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m : 4 4 3 / o i d a u t h / l o g o u t 这 是 一 个 登 录 退 出 页 面 ， 为 什 么 我 觉 得 它 有 意 思 呢 ， 因 为 很 多 w e b 开 发 者 会 把 这 种 退 出 页 面 用 来 实 现 重 定 向 跳 转 ， 而 且 ， 有 时 候 这 种 页 面 中 可 能 会 存 在 X S S 漏 洞 。 为 此 ， 当 我 在 浏 览 器 中 打 开 上 述 页 面 链 接 之 后 ， 其 又 跳 转 到 了 以 下 这 个 页 面 ： h t t p s : / / c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m / o i d a u t h / p r o m p t ? b a s e = h t t p s % 3 A % 2 F % 2 F c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m % 3 A 4 4 3 % 2 F o i d a u t h & r e t u r n t o = % 2 F % 3 F o p e n i d c % 3 D 1 5 4 2 1 5 6 7 6 6 . 5 % 2 F S n N Q g % 3 D % 3 D & s p l a s h _ d i s a b l e d = 1 U R L 解 码 之 后 的 链 接 如 下 ： h t t p s : / / c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m / o i d a u t h / p r o m p t ? b a s e = h t t p s : / / c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m : 4 4 3 / o i d a u t h & r e t u r n t o = / ? o p e n i d c = 1 5 4 2 1 5 6 7 6 6 . 5 / S n N Q g = = & s p l a s h _ d i s a b l e d = 1 注 意 其 中 的 b a s e 参 数 ， 它 是 用 于 获 取 另 一 个 U R L “ c a r b o n - p r o t o t y p e . u b e r i n t e r n a l . c o m : 4 4 3 ” 的 ， 但 是 ， 当 我 把 它 置 换 为 经 典 的 j a v a s c r i p t : a l e r t ( 1 2 3 )   之 后 ， X S S 出 现 了 ！ 不 仅 如 此 ， 这 个 页 面 还 存 在 点 击 劫 持 漏 洞 （ C l i c k j a c k i n g ） ， 在 利 用 场 景 中 ， 可 以 把 X S S 和 C l i c k j a c k i n g 一 起 配 合 ， 可 更 为 方 便 地 实 现 攻 击 。 延 伸 发 现 延 伸 发 现 利 用 之 前 我 编 写 的 小 工 具 S A M L E x t r a c t o r 中 批 量 发 现 S A M L   c o n s u m e   U R L 的 功 能 ， 我 把 所 有 u b e r i n t e r n a l . c o m 的 子 域 名 网 站 都 测 试 了 一 遍 ， 看 看 是 否 还 有 其 它 子 域 名 网 站 具 备 这 种 相 同 的 调 用 机 制 。 在 我 的 改 装 脚 本 中 ， 我 会 在 验 证 方 式 中 去 调 用 存 在 X S S 漏 洞 的 页 面 o i d a u t h / p r o m p t   ， 然 后 尝 试 j a v a s c r i p t : a l e r t ( 1 2 3 )   的 X S S 漏 洞 ， 如 果 存 在 X S S ， 那 么 就 会 完 美 地 跳 出 j a v a s c r i p t : a l e r t ( 1 2 3 ) 内 容 了 ！ i m p o r t   r e q u e s t s i m p o r t   u r l l i b 3 u r l l i b 3 . d i s a b l e _ w a r n i n g s ( u r l l i b 3 . e x c e p t i o n s . I n s e c u r e R e q u e s t W a r n i n g ) f r o m   c o l o r a m a   i m p o r t   i n i t   , F o r e ,   B a c k ,   S t y l e i n i t ( ) w i t h   o p e n ( " / h o m e / f a d y / u b e r S A M L O I D A U T H " )   a s   u r l L i s t :                         f o r   u r l   i n   u r l L i s t :                                 u r l 2   =   u r l . s t r i p ( ) . s p l i t ( " o i d a u t h " ) [ 0 ]   +   " o i d a u t h / p r o m p t ? b a s e = j a v a s c r i p t % 3 A a l e r t ( 1 2 3 ) % 3 B % 2 F % 2 F F a d y & r e t u r n _ t o = % 2 F % 3 F o p e n i d _ c % 3 D 1 5 2 0 7 5 8 5 8 5 . 4 2 S t P D w Q % 3 D % 3 D & s p l a s h _ d i s a b l e d = 1 "                                 r e q u e s t   =   r e q u e s t s . g e t ( u r l 2 ,   a l l o w _ r e d i r e c t s = T r u e , v e r i f y = F a l s e )                                 d o e s i t   =   F o r e . R E D   +   " n o "                                 i f   ( " F a d y "   i n   r e q u e s t . c o n t e n t ) :                                         d o e s i t   =   F o r e . G R E E N   +   " y e s "                                 p r i n t ( F o r e . W H I T E   +   u r l 2 )                                 p r i n t ( F o r e . W H I T E   +   " L e n   :   "   +   s t r ( l e n ( r e q u e s t . c o n t e n t ) )   +   "       V u l n e r a b l e   :   "   +   d o e s i t )
最 终 ， 我 先 发 现 了 h t t p s : / / e n g . u b e r i n t e r n a l . c o m 这 个 网 站 存 在 上 述 X S S 漏 洞 作 了 上 报 ， 之 后 ， 我 又 用 这 种 方 式 发 现 了 u b e r i n t e r n a l . c o m 下 2 0 多 个 子 域 名 网 站 存 在 上 述 X S S 漏 洞 ， 两 次 漏 洞 报 告 先 后 分 别 获 得 了 U b e r 官 方 奖 励 的 $ 5 0 0 和 $ 2 0 0 0 美 金 。 更 多 信 息 ， 请 参 考 原 漏 洞 报 告 -   r e p o r t   1   /   r e p o r t   2 参 考 来 源 ： 参 考 来 源 ： f a d y ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理