搜索

[13608] 2019-01-03_OculusCDN服务器的XSS漏洞

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2019-01-03_OculusCDN服务器的XSS漏洞 O c u l u s   C D N 服 务 器 的 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 1 - 0 3 前 言 前 言 我 来 分 享 一 个 我 来 分 享 一 个 F a c e b o o k 旗 下 公 司 旗 下 公 司 O c u l u s 网 站 存 在 的 类 似 网 站 存 在 的 类 似 X S S 漏 洞 ， 该 漏 洞 最 终 获 得 了 漏 洞 ， 该 漏 洞 最 终 获 得 了 F a c e b o o k 官 方 官 方 $ 1 5 0 0 美 金 的 奖 励 。 美 金 的 奖 励 。 F a c e b o o k 在 2 0 1 4 年 3 月 宣 布 以 2 0 亿 美 元 收 购 虚 拟 现 实 （ V R ） 头 戴 设 备 制 造 商 O c u l u s ， F a c e b o o k 计 划 将 O c u l u s 的 V R 技 术 优 势 扩 大 至 新 的 垂 直 领 域 ， 如 通 信 、 媒 体 和 娱 乐 、 教 育 及 其 他 领 域 等 。 O c u l u s 发 布 了 定 制 化 开 源 的 开 发 者 项 目 （   C u s t o m   D e v e l o p e r   I t e m s ） ， 这 项 功 能 已 向 社 区 开 发 者 推 送 。 无 论 你 是 开 发 虚 拟 现 实 游 戏 、 社 交 体 验 、 娱 乐 还 是 教 育 类 应 用 ， 都 可 以 使 用 自 己 最 喜 欢 的 游 戏 引 擎 或 我 们 的 原 生   S D K   轻 松 地 在 整 个   O c u l u s   平 台 上 进 行 开 发 。 它 覆 盖 了 O c u l u s   R i f t   +   T o u c h   、 O c u l u s   G o   和   S a m s u n g   G e a r   V R   +   控 制 器 的 V R 产 品 ， 与 主 流 开 源 的 V R 开 发 工 具 U n i t y 结 合 ， 用 户 可 以 定 制 化 地 开 发 属 于 自 己 的 应 用 。 漏 洞 发 现 及 漏 洞 发 现 及 P o C 在 O c u l u s 网 站 的 账 户 管 理 页 面 h t t p s : / / d a s h b o a r d . o c u l u s . c o m / ， 注 册 并 登 录 账 户 后 ， 有 一 个 服 务 端 功 能 允 许 开 发 者 上 传 应 用 相 关 的 a s s e t 资 源 文 件 ， 且 所 有 a s s e t 资 源 文 件 都 储 存 在 了 ” o c u l u s c d n . c o m ” 网 站 中 。 例 如 ， 我 们 用 该 服 务 端 功 能 上 传 一 个 图 片 文 件 时 ， 其 发 送 的 P O S T 请 求 如 下 ： 之 后 ， o c u l u s c d n . c o m 返 回 的 响 应 如 下 ： 其 中 包 含 了 图 片 的 I D 号 ， 称 呼 H a n d l e 和 具 体 的 访 问 链 接 U R L 。 可 以 看 到 ， 我 们 P O S T 请 求 主 机 g r a p h . o c u l u s . c o m ， R e s p o n s e 中 响 应 的 主 机 为 s c o n t e n t . o c u l u s c d n . c o m 。 这 里 存 在 的 漏 洞 就 比 较 简 单 了 ， 不 需 要 像 之 前 f a c e b o o k   c d n 的 那 样 需 要 进 行 c n a m e 域 名 替 换 ， 这 里 直 接 把   / v /   和 H A S H 串 去 掉 ， 就 能 访 问 到 目 标 图 片 了 。 整 个 测 试 过 P O S T   / u p l o a d _ i m a g e /   H T T P / 1 . 1 H o s t :   g r a p h . o c u l u s . c o m m u l t i p a r t / f o r m - d a t a H T T P / 1 . 1   2 0 0   O K { “ i d ” :   “ 1 2 3 4 5 6 7 8 9 0 0 1 2 3 4 5 ” , “ h a n d l e ” :   “ H A N D L E _ T O _ T H E _ I M A G E ” , “ u r i ” :   “ h t t p s : / / s c o n t e n t . o c u l u s c d n . c o m / v / t 6 4 . 5 7 7 1 - 2 5 / 1 2 4 1 0 2 0 0 _ 1 9 0 5 9 7 3 6 3 2 9 9 6 5 5 5 _ 3 1 6 8 2 2 7 7 4 4 5 2 5 8 4 4 4 8 0 _ n . p n g ? _ n c _ c a t = 0 & o h = 6 1 6 3 3 2 6 b 2 e b 5 e 8 7 c 1 6 c 6 9 4 9 f 1 e 7 3 4 6 1 1 & o e = 5 A D 8 4 0 C 8 ” }
程 如 下 ： 上 传 P N G 图 片 ， 用 B u r p S u i t e 拦 截 抓 包 ； 拦 截 到 上 传 的 P N G 图 片 内 容 ， 把 恶 意 的 带 X S S   P a y l o a d 的 j s 外 链 添 加 在 其 末 尾 ； 成 功 上 传 后 ， 从 响 应 内 容 中 提 取 出 图 片 上 传 后 的 具 体 访 问 U R L 链 接 ； 然 后 ， 把 U R L 中 的   “ / v / “   和   H A S H 串 去 掉 去 掉 ， 再 把 上 传 图 片 的 后 缀 格 式 由 . j p g 改 为 . h t m l ， 就 能 成 功 加 载 之 前 添 加 进 入 的 j s 恶 意 P a y l o a d 了 。 这 里 ， 我 用 到 的 带 X S S   P a y l o a d 的 j s 外 链 为 ： h t t p s : / / w w w . a m o l b a i k a r . c o m / w p / j s / o c u l u s . j s 最 终 的 请 求 链 接 如 下 ： h t t p s : / / s c o n t e n t . o c u l u s c d n . c o m / t 6 4 . 5 7 7 1 - 2 5 / 1 2 4 1 0 2 0 0 _ 1 9 0 5 9 7 3 6 3 2 9 9 6 5 5 5 _ 3 1 6 8 2 2 7 7 4 4 5 2 5 8 4 4 4 8 0 _ n . h t m l P o C 视 频 ： 视 频 ： 漏 洞 影 响 漏 洞 影 响 该 漏 洞 允 许 攻 击 者 在 O c u l u s   C D N 服 务 器 上 执 行 任 意 J S 文 件 ， 好 在 有 沙 盒 防 护 机 制 ， 其 不 能 读 取 用 户 的 c o o k i e s / s e s s i o n 信 息 ， 但 应 用 在 实 际 的 攻 击 场 景 中 ， 该 漏 洞 可 以 绕 过 F a c e b o o k 的 链 接 黑 名 单 系 统   L i n k s h i m ， 也 能 用 其 实 施 钓 鱼 行 为 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 3 . 1 9 :   漏 洞 初 报 2 0 1 8 . 3 . 2 2 :   技 术 详 情 提 供 2 0 1 8 . 3 . 2 2 :   P a y l o a d 测 试 2 0 1 8 . 3 . 2 3 :   漏 洞 有 效 性 认 可
2 0 1 8 . 5 . 2 5 :   漏 洞 修 复 2 0 1 8 . 6 . 1 :   $ 1 5 0 0 赏 金 发 放 * 参 考 来 源 ： a m o l b a i k a r ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理