搜索

[13586] 2018-12-28_挖洞经验用跨站搜索在谷歌问题跟踪平台实现敏感信息获取

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2018-12-28_挖洞经验用跨站搜索在谷歌问题跟踪平台实现敏感信息获取 挖 洞 经 验   |   用 跨 站 搜 索 在 谷 歌 问 题 跟 踪 平 台 实 现 敏 感 信 息 获 取 c l o u d s   F r e e B u f   2 0 1 8 - 1 2 - 2 8 前 言 前 言 本 文 中 ， 作 者 详 细 介 绍 了 在 谷 歌 的 本 文 中 ， 作 者 详 细 介 绍 了 在 谷 歌 的 M o n o r a i l 问 题 跟 踪 平 台 （ 问 题 跟 踪 平 台 （ h t t p s : / / b u g s . c h r o m i u m . o r g / ） 上 ） 上   ， 实 现 跨 站 搜 索 攻 ， 实 现 跨 站 搜 索 攻 击 （ 击 （ X S - S e a r c h   a t t a c k ） ， 从 一 些 谷 歌 未 公 开 的 漏 洞 报 告 中 ， 获 取 源 代 码 和 涉 及 函 数 所 在 行 数 等 敏 感 的 漏 洞 报 ） ， 从 一 些 谷 歌 未 公 开 的 漏 洞 报 告 中 ， 获 取 源 代 码 和 涉 及 函 数 所 在 行 数 等 敏 感 的 漏 洞 报 告 信 息 。 告 信 息 。 M o n o r a i l   服 务 介 绍 服 务 介 绍 M o n o r a i l 是 谷 歌 旗 下 用 于 针 对 C h r o m i u m 浏 览 器 项 目 的 开 源 问 题 跟 踪 平 台 （ I s s u e   T r a c k e r ） ， 它 具 备 云 托 管 、 自 定 义 A C L 问 题 和 用 户 权 限 、 组 件 和 代 码 结 构 的 相 互 映 衬 、 组 件 所 有 者 具 备 一 定 权 限 、 问 题 的 自 定 义 描 述 、 多 项 目 托 管 和 问 题 在 项 目 间 的 无 缝 对 接 。 M o n o r a i l 的 问 题 跟 踪 机 制 主 要 应 用 于 基 于 C h r o m i u m 浏 览 器 的 开 源 项 目 中 ， 当 然 也 包 括 M o n o r a i l 服 务 自 身 ， 而 针 对 我 们 所 熟 知 的 谷 歌 其 它 开 源 项 目 ， 如 A n g l e 、 P D F i u m 、 G e r r i t ,   V 8   和   开 放 媒 体 联 盟 （ t h e   A l l i a n c e   f o r   O p e n   M e d i a ） ， 谷 歌 安 全 团 队 P r o j e c t   Z e r o 也 会 使 用 M o n o r a i l 来 跟 踪 这 些 项 目 的 漏 洞 发 现 和 处 理 进 程 。
从 头 说 起 从 头 说 起 我 分 析 M o n o r a i l 服 务 时 最 先 研 究 的 功 能 就 是 ， 查 询 结 果 的 C S V 格 式 报 告 下 载 功 能 。 比 如 说 ， 我 们 以 使 用 M o n o r a i l 服 务 的 h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / 问 题 跟 踪 平 台 为 例 ， 我 们 查 询 i d 号 9 1 1 3 7 4 和 9 1 1 3 7 5 问 题 ， 会 有 以 下 查 询 显 示 结 果 ： 可 看 到 ， 右 下 角 会 有 一 个 C S V 结 果 报 告 下 载 按 钮 ， 右 键 复 制 其 下 载 链 接 后 ， 可 得 到 以 下 链 接 ： h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / c s v ? c a n = 1 & q = i d % 3 A 9 1 1 3 7 4 % 2 C 9 1 1 3 7 5 & c o l s p e c = I D 下 载 之 后 的 C S V 文 件 结 果 如 下 ： 我 研 究 了 其 高 级 搜 索 功 能 （ A d v a n c e d   S e a r c h ） ， 其 中 对 查 询 结 果 作 了 多 种 过 滤 条 件 ， 如 安 全 团 队 可 看 的 显 示 视 角 R e s t r i c t - V i e w - S e c u r i t y T e a m ： p e r m i s s i o n   s e c u r i t y t e a m   n e e d e d   t o   u s e   v i e w   ， 利 用 这 种 过 滤 条 件 ， 我 发 现 该 功 能 中 存 在 一 个 C S R F 漏 洞 ， 也 就 是 说 ， 如 果 某 个 链 接 是 可 以 访 问 的 ， 那 么 可 以 恶 意 构 造 针 对 这 个 链 接 的 访 问 查 询 请 求 ， 通 过 下 载 其 返 回 的 C S V 格 式 结 果 报 告 ， 间 接 知 晓 该 链 接 下 包 含 的 内 容 。
如 可 以 构 造 q = R e s t r i c t = V i e w - S e c u r i t y T e a m 的 以 下 查 询 请 求 链 接 ： h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / c s v ? c a n = 1 & q = R e s t r i c t = V i e w - S e c u r i t y T e a m & c o l s p e c = I D 服 务 器 对 该 请 求 的 响 应 如 下 ： 从 上 述 图 片 中 可 知 ， 请 求 响 应 中 没 有 针 对 C S R F 攻 击 的 保 护 机 制 ， 因 此 ， 构 造 了 q = R e s t r i c t = V i e w - S e c u r i t y T e a m 的 标 签 ， 就 能 将 最 终 查 询 结 果 定 义 到   ” 安 全 团 队 查 看 视 角 “ 下 ， 该 过 滤 条 件 查 询 出 来 的 结 果 全 是 一 些 未 公 开 的 安 全 相 关 问 题 内 容 ， 如 i d 号 为 8 9 5 7 3 5 、 8 7 7 3 4 7 和 8 7 0 5 7 3 条 目 等 ， 这 些 条 目 问 题 是 不 能 由 普 通 用 户 查 询 得 到 的 ， 只 有 谷 歌 安 全 团 队 或 高 级 别 的 漏 洞 报 告 者 才 具 备 这 种 权 限 。 任 意 增 加 结 果 生 成 列 （ 重 复 生 成 结 果 列 ） 任 意 增 加 结 果 生 成 列 （ 重 复 生 成 结 果 列 ） 另 一 个 重 要 发 现 就 是 ， 在 查 询 结 果 的 C S V 生 成 报 告 中 ， 可 以 任 意 增 加 结 果 生 成 列 ， 比 如 ， 我 们 使 用 包 含 c o l s p e c = I D + S u m m a r y + S u m m a r y + S u m m a r y 的 以 下 查 询 链 接 ： h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / c s v ? c a n = 1 & q = i d : 5 1 3 3 7 & c o l s p e c = I D + S u m m a r y + S u m m a r y + S u m m a r y 最 终 生 成 的 C S V 报 告 中 ， 就 会 包 含 3 个 S u m m a r y 列 （ 原 来 只 有 1 个 S u m m a r y 列 ） ：
综 合 利 用 形 成 跨 站 搜 索 攻 击 （ 综 合 利 用 形 成 跨 站 搜 索 攻 击 （ X S - S e a r c h   A t t a c k ） ） 跨 站 搜 索 攻 击 （ X S - S e a r c h   A t t a c k ， X S - T i m i n g   A t t a c k   o n   s e a r c h   s e r v i c e ） ： 类 似 边 信 道 攻 击 ， 通 过 向 目 标 站 点 发 送 搜 索 请 求 ， 结 合 特 定 搜 索 功 能 ， 根 据 响 应 时 间 差 异 （ X S - T i m i n g ） 来 判 断 目 标 服 务 端 隐 私 信 息 的 准 确 性 ， 间 接 绕 过 ” 同 源 策 略 “ 影 响 ， 是 一 种 新 型 的 W e b 攻 击 方 式 。 在 可 搜 索 信 息 量 较 大 ， 或 目 标 服 务 端 搜 索 功 能 多 样 化 的 场 景 下 ， 是 一 种 有 效 的 信 息 获 取 手 段 。 跨 站 搜 索 攻 击   最 早 为 以 色 列 巴 伊 兰 大 学 的 安 全 研 究 员 发 现 ， 可 参 考 《   x s   s e a r c h   a t t a c k 》 和 《 A p p S e c I L 2 0 1 5 _ C r o s s - S i t e - S e a r c h - A t t a c k s _ H e m i L e i b o w i t z 》 两 篇 原 始 议 题 。 综 合 以 上 两 方 面 的 漏 洞 发 现 ， 我 们 就 具 备 了 发 起 跨 站 搜 索 攻 击 （ X S - S e a r c h   A t t a c k ） 的 所 有 可 能 条 件 ： 1 、 执 行 复 杂 搜 索 查 询 的 能 力 2 、 扩 展 显 示 查 询 响 应 的 能 力 尤 其 是 第 二 个 条 件 较 为 重 要 ， 如 果 某 个 搜 索 查 询 的 响 应 和 某 个 漏 洞 （ b u g ） 报 告 相 匹 配 ， 那 么 利 用 这 种 扩 展 性 ， 我 们 就 能 在 其 生 成 的 C S V 报 告 中 显 示 出 更 多 原 本 不 存 在 的 内 容 。 由 于 响 应 内 容 的 长 度 存 在 很 大 差 异 ， 因 此 ， 可 以 计 算 出 每 个 请 求 完 成 后 所 花 费 的 时 间 ， 以 此 来 推 断 查 询 是 否 会 返 回 结 果 。 基 于 此 ， 我 们 可 以 实 现 向 G o o g l e 服 务 端 抛 出 一 些 ” 跨 域 布 尔 问 题 “ （ c r o s s - o r i g i n   b o o l e a n   q u e s t i o n s ） ， 布 尔 值 问 题 即 真 （ T r u e ） o r   假 （ F a l s e ） 的 问 题 ， 看 看 是 否 能 得 到 有 效 响 应 。 “ 跨 域 布 尔 问 题 “ （ c r o s s - o r i g i n   b o o l e a n   q u e s t i o n s ） 来 源 于 跨 站 搜 索 攻 击 的 共 同 发 现 者 以 色 列 巴 伊 兰 大 学 H e m i   L e i b o w i t z 在 2 0 1 5 年   O W A S P   A p p S e c   大 会 的 议 题 分 享 ， 其 中 涉 及 了 针 对 G m a i l 发 送 请 求 的 响 应 判 断 。 例 如 在 这 里 ， 可 以 本 质 上 理 解 为 我 们 对 服 务 端 请 求 如 下 问 题 ： 有 与 目 录 相 匹 配 的 未 公 开 漏 洞 报 告 吗 ？ 之 后 ， 基 于 时 间 差 的 响 应 判 断 ， 我 们 会 跨 域 地 从 服 务 端 中 间 接 获 取 到 上 述 问 题 的 答 案 。 结 合 此 例 ， 简 单 地 说 ， 可 用 以 下 几 个 步 骤 来 对 跨 站 搜 索 攻 击 做 个 认 识 。 比 如 ， 我 们 根 据 b u g s . c h r o m i u m . o r g 服 务 端 的 任 意 增 加 结 果 生 成 列 漏 洞 ， 对 其 构 造 查 询 问 题 ： s r c / t h i r d _ p a r t y / p d f i u m /
第 一 种 情 况 第 一 种 情 况 ：   构 造   “ S u m m a r y :   T h i s   b u g   e x i s t s ” 样 式 查 询 ， 然 后 其 查 询 结 果   C S V 报 告 中 会 生 成 以 下 内 容 ： 第 二 种 情 况 第 二 种 情 况 ：   构 造 “ S u m m a r y :   T h i s   b u g   d o e s n ’ t   e x i s t ” 样 式 查 询 ， 然 后 其 查 询 结 果   C S V 报 告 中 会 生 成 以 下 内 容 ： 第 三 种 情 况 第 三 种 情 况 ： 构 造   ” S u m m a r y :   T h i s   b u g   e x i s t s   O R   S u m m a r y :   T h i s   b u g   d o e s n ’ t   e x i s t “ 样 式 查 询 ， 然 后 其 查 询 结 果   C S V 报 告 中 会 生 成 以 下 内 容 ： 可 以 看 到 ， 在 第 一 和 第 三 种 情 况 中 ， 由 于 请 求 的 问 题 或 b u g 最 终 匹 配 了 s u m m a r y 中 的   “ T h i s   b u g   e x i s t s ” ， 所 以 可 以 生 成 任 意 的 大 内 容 C S V 结 果 文 件 ； 而 第 二 种 情 况 中 ， C S V 结 果 文 件 除 了 头 部 内 容 之 外 ， s u m m a r y 部 份 信 息 是 空 的 ， 这 是 因 为 其 请 求 的 问 题 或 b u g 结 果 ， 与 s u m m a r y 中 的   “ T h i s   b u g   d o e s n ’ t   e x i s t ” 不 匹 配 。 而 值 得 注 意 的 是 ， 第 三 种 情 况 中 ， 我 们 使 用 了 O R 逻 辑 符 来 综 合 了 第 一 和 第 二 种 请 求 。 T o   a s k   o r   n o t   t o   a s k ? 有 了 这 种 构 思 后 ， 我 考 虑 的 是 在 漏 洞 利 用 P o C 中 应 该 向 M o n o r a i l 服 务 发 出 怎 样 的 提 问 （ 搜 索 ） ？ M o n o r a i l 的 搜 索 功 能 中 不 允 许 对 漏 洞 报 告 中 涉 及 的 特 定 字 母 进 行 查 询 ， 只 能 查 询 单 词 ， 而 我 也 不 可 能 对 其 进 行 逐 字 符 的 暴 力 枚 举 查 询 。 意 识 到 这 点 ， 我 只 好 退 后 一 步 ， 在 网 上 查 找 一 些 谷 歌 公 开 的 漏 洞 报 告 ， 看 看 其 披 露 的 相 关 信 息 是 否 可 以 拿 来 进 一 步 利 用 。 之 后 ， 我 发 现 许 多 公 开 且 能 找 到 的 C h r o m i u m 相 关 漏 洞 报 告 中 ， 其 披 露 信 息 中 包 含 了 一 些 文 件 的 路 径 和 提 及 相 关 函 数 在 代 码 中 的 行 号 （ l i n e   n u m b e r   ） 信 息 ， 如 链 接 为   h t t p s : / / b u g s . c h r o m i u m . o r g / p / c h r o m i u m / i s s u e s / d e t a i l ? i d = 7 7 0 1 4 8 的 漏 洞 报 告 ：
这 对 于 跨 站 搜 索 攻 击 （ X S - S e a r c h   a t t a c k ） 来 说 非 常 适 合 ， 由 于 C h r o m i u m 项 目 的 文 件 结 构 和 M o n o r a i l 服 务 只 会 把 斜 线 作 为 文 字 分 隔 符 ， 也 就 是 说 ， 如 果 对 某 个 漏 洞 报 告 涉 及 路 径 “ p a t h / t o / d i r ”   的 查 询 结 果 中 ， 一 样 会 包 含 对 路 径 “ p a t h / t o / d i r / s u b / d i r ” 的 查 询 结 果 。 所 以 ， 我 们 可 以 抽 象 地 来 构 造 出 如 下 流 程 的 查 询 请 求 ： 1 、 假 设 我 们 要 查 询 的 谷 歌 未 公 开 漏 洞 报 告 ， 涉 及 到 了 在 C h r o m i u m 项 目 文 件 结 构 中 的 某 个 文 件 ， 那 么 ， 我 们 可 以 用 以 下 链 接 作 为 基 本 查 询 链 接 ， 再 深 入 进 行 延 伸 ： h t t p s : / / c s . c h r o m i u m . o r g / c h r o m i u m / s r c / 2 、 可 用 O R 连 接 符 来 对 不 同 文 件 路 径 进 行 查 询 ， 如   s r c / b l i n k   O R   s r c / b u i l d   ， 如 下 图 所 示 ： 3 、 反 复 重 复 以 上 第 2 步 的 查 询 ， 如 果 能 得 到 相 应 结 果 （ 这 就 等 同 于 前 面 描 述 的 生 成 大 内 容 C S V 结 果 报 告 ） ， 那 么 ， 把 查 询 请 求 限 定 在 前 半 部 分 s r c / b l i n k ； 如 果 不 能 得 到 相 应 结 果 （ 这 就 等 同 于 前 面 描 述 的 生 成 的 C S V 结 果 报 告 为 空 ） ， 则 把 查 询 请 求 限 定 在 后 半 部 分 s r c / b u i l d ； 4 、 以 此 反 复 ， 得 到 包 含 文 件 的 准 确 文 件 目 录 ， 然 后 ， 基 于 前 述 链 接 ， 继 续 构 造 其 它 文 件 目 录 往 下 一 级 目 录 深 入 查 询 。 最 终 ， 经 过 多 轮 判 断 ， 我 们 会 得 到 那 个 包 含 文 件 的 完 整 U R L 链 接 ， 也 就 会 理 所 当 然 地 得 到 其 涉 及 的 未 公 开 漏 洞 报 告 信 息 。 一 个 请 求 就 能 得 到 所 有 信 息 一 个 请 求 就 能 得 到 所 有 信 息 你 可 能 奇 怪 ， 那 么 ， 我 们 怎 样 来 知 晓 上 述 第 3 步 中 的 C S V 大 小 呢 ？ 因 为 同 源 策 略 下 ， 限 制 了 不 同 域 之 间 的 信 息 获 取 。 虽 然 我 们 不 能 确 切 知 道 查 询 响 应 结 果 的 具 体 大 小 ， 但 可 以 测 试 得 到 每 个 请 求 完 成 所 需 要 的 具 体 时 间 ， 然 后 利 用 跨 站 搜 索 攻 击 中 提 到 的 r e s p o n s e - l e n g t h   i n f l a t i o n 技 术 ， 根 据 不 同 的 空 响 应 （ e m p t y   r e s p o n s e ） 和 全 响 应 （ f u l l   r e s p o n s e ） 查 询 ， 得 到 不 同 的 响 应 时 间 差 异 ， 然 后 根 据 这 种 时 间 差 异 来 对 查 询 结 果 作 出 可 能 的 判 断 。 例 如 ， 有 效 查 询 出 某 个 漏 洞 报 告 的 时 间 ， 可 能 会 比 无 效 查 询 响 应 的 时 间 慢 得 多 。 然 而 ， 要 获 得 比 较 高 的 可 信 度 ， 简 单 地 抛 出 一 个 查 询 请 求 是 远 远 不 够 的 ， 可 能 需 要 对 同 一 个 页 面 做 无 数 次 的 请 求 ， 同 时 ， 测 出 其 各 个 请 求 的 平 均 响 应 时 间 ， 以 此 才 能 发 现 可 靠 的 漏 洞 利 用 。 这 种 场 景 下 ， 缓 存 A P I （ C a c h e   A P I ） 就 可 以 派 上 用 场 了 ， 只 需 发 出 一 个 请 求 ， 就 能 重 复 计 算 响 应 到 达 缓 存 之 间 的 时 长 ， 以 此 能 确 定 地 推 断 出 搜 索 查 询 结 果 是 否 可 有 效 返 回 想 要 的 漏 洞 报 告 。
换 句 话 说 ， 较 小 的 响 应 消 息 要 比 较 大 的 响 应 消 息 所 需 要 的 缓 存 时 间 少 。 鉴 于 缓 存 A P I （ C a c h e   A P I ） 几 乎 没 有 时 间 限 制 ， 而 且 还 非 常 快 ， 我 们 可 以 对 同 一 个 响 应 进 行 多 次 的 缓 存 和 测 量 ， 然 后 ， 把 其 与 空 搜 索 响 应 的 测 量 结 果 进 行 比 较 ， 这 样 就 能 间 接 区 分 出 大 响 应 和 小 / 空 响 应 了 ， 之 后 ， 可 以 进 一 步 过 滤 掉 硬 件 和 网 络 差 异 ， 来 提 高 漏 洞 利 用 场 景 下 的 速 度 和 可 靠 性 。 具 体 可 参 考 漏 洞 利 用 代 码   -   g i s t . g i t h u b :   e x p l o i t   c o d e 结 尾 结 尾 最 终 ， 经 过 测 试 ， 我 在 M o n o r a i l 服 务 中 发 现 了 这 种 跨 站 搜 索 攻 击 可 应 用 的 三 个 点 ， 上 报 给 谷 歌 之 后 ， 分 别 被 分 配 给 了 三 个 不 同 的 C V E 漏 洞 编 号 ： C V E - 2 0 1 8 – 1 0 0 9 9 、 C V E - 2 0 1 8 – 1 9 3 3 4   和   C V E - 2 0 1 8 – 1 9 3 3 5 ， 按 照 谷 歌 赏 金 政 策 ， 这 三 个 漏 洞 总 计 提 供 9 4 0 1 . 1 美 金 的 奖 励 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理