搜索

[13942] 2019-04-03_从SSRF到最终获取AWSS3Bucket访问权限的实际案例

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-04-03_从SSRF到最终获取AWSS3Bucket访问权限的实际案例 从 S S R F 到 最 终 获 取 A W S   S 3   B u c k e t 访 问 权 限 的 实 际 案 例 s e c i s t   F r e e B u f   2 0 1 9 - 0 4 - 0 3 嗨 ， 大 家 好 ！ 这 是 我 最 近 发 现 的 一 系 列 安 全 漏 洞 当 中 的 一 个 ， 该 漏 洞 与 印 度 最 赚 钱 的 电 子 商 务 公 司 的 一 个 数 据 嗨 ， 大 家 好 ！ 这 是 我 最 近 发 现 的 一 系 列 安 全 漏 洞 当 中 的 一 个 ， 该 漏 洞 与 印 度 最 赚 钱 的 电 子 商 务 公 司 的 一 个 数 据 库 有 关 。 下 面 让 我 们 回 顾 下 这 个 完 整 的 故 事 。 库 有 关 。 下 面 让 我 们 回 顾 下 这 个 完 整 的 故 事 。 注 ： 注 ： 这 是 在 有 关 公 司 的 授 权 许 可 下 完 成 的 ！ 任 何 未 经 授 权 的 行 为 ， 都 属 于 违 法 行 为 ！ 这 应 该 是 一 次 有 针 对 性 的 渗 透 ， 本 人 专 注 于 L F I （ 本 地 文 件 包 含 ） 漏 洞 搜 寻 ， 所 以 我 很 热 衷 与 文 件 交 互 相 关 的 功 能 和 端 点 。 一 个 常 见 的 用 于 下 载 A p p 的 “ A n d r o i d   G o o g l e   P l a y ” 和 “ i P h o n e   A p p   s t o r e ” 选 项 功 能 引 起 了 我 的 注 意 。 当 我 点 击 它 时 ， 它 将 我 重 定 向 到 了 另 一 个 页 面 ， 其 链 接 地 址 如 下   -   接 着 又 立 即 重 定 向 到 之 前 引 用 的 页 面 ， 当 我 在 隐 身 窗 口 中 打 开 它 查 看 没 有 引 用 页 面 时 的 响 应 是 什 么 时 ， 它 被 重 定 向 到 了 一 个 4 0 4 页 面 ， 因 此 很 明 显 它 正 在 寻 找 某 些 条 件 和 参 数 ， 然 后 进 行 简 单 的 i f / e l s e 逻 辑 判 断 。 为 了 查 看 是 否 有 任 何 缺 失 的 参 数 ， 我 偶 然 发 现 了 页 面 的 以 下 H T M L 代 码   -  
逻 辑 非 常 清 晰 ， 正 如 你 在 红 色 框 中 看 到 的 ， 有 一 个 p h p 文 件 “ d o w n l o a d _ h a n d l e r . p h p ” 在 U R L 中 缺 少 ， 需 要 参 数 “ p a t h ” 作 为 f i n a l d o w n l o a d l i n k 以 及 “ n a m e ” 的 U R L 名 称 ， 这 就 是 没 有 下 载 任 何 内 容 的 原 因 。 所 以 最 终 的 U R L 应 该 是   - 我 尝 试 了 目 录 遍 历 攻 击 （ . . / . . / . . / . . / e t c / p a s s w d ） ， 非 常 幸 运 文 件 几 乎 都 给 了 最 大 权 限 （ 一 个 常 见 错 误 ： / ） ， 我 能 够 读 取 / e t c / p a s s w d 文 件 以 及 各 种 其 它 文 件 中 的 内 容   - d o w n l o a d c a l l b a c k / d o w n l o a d _ h a n d l e r . p h p ? p a t h =
我 能 够 读 取 各 种 L i n u x 系 统 文 件 ， 配 置 ， 访 问 日 志 ， 并 获 取 g e t 参 数 中 的 用 户 访 问 令 牌 以 及 其 它 更 为 敏 感 的 信 息 。 导 致 这 个 漏 洞 的 罪 魁 祸 首 是 “ d o w n l o a d _ h a n d l e r . p h p ”   - P H P 文 件 只 是 将 该 文 件 作 为 输 入 并 将 其 读 取 回 客 户 端 。 很 容 易 可 以 看 出 它 应 该 也 非 常 容 易 受 到 S S R F 的 攻 击   - 尝 试 使 用 不 同 的 U R L   s c h e m a s （ f i l e : / / /   ,   d i c t : / /   ,   f t p : / /   a n d   g o p h e r : / / ） 读 取   / e t c / p a s s w o r d ， 你 也 可 以 使 用 f i l e : / / /   s c h e m e 执 行 相 同 操 作   -
早 些 时 候 ， 当 我 通 过 L F I 攻 击 抓 取 敏 感 文 件 时 ， 我 碰 巧 读 取 了 / e t c / m o t d 文 件 ， 该 文 件 表 明 该 应 用 程 序 是 通 过 A W S E l a s t i c B e a n s t a l k 部 署 的 。 这 也 让 我 决 定 继 续 通 过 S S R F 搜 索 A W S 实 例 元 数 据 和 用 户 数 据   - 我 还 能 够 从 以 下 A P I 中 检 索 A W S 账 户 I D 和 R e g i o n   - 当 我 读 取 A W S   E l a s t i c   B e a n s t a l k 时 ， 我 遇 到 了 一 个 A P I 调 用 ， 它 可 以 获 取 A W S   A c c e s s   K e y ， S e c r e t   A c c e s s   K e y 和 T o k e n 。 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / d y n a m i c / i n s t a n c e - i d e n t i t y / d o c u m e n t
我 很 快 通 过 S S R F   进 行 了 调 用 ， 我 能 够 获 取 他 们 的 A W S   A c c e s s   k e y ， I D ， t o k e n ， 在 此 之 前 我 也 获 得 了 他 们 的 帐 户 I D ， 这 表 明 相 比 之 前 漏 洞 变 得 更 加 严 重 了   - 现 在 是 时 候 对 A W S 账 户 进 行 身 份 验 证 了 。 为 了 确 保 凭 证 没 有 过 期 ， 我 配 置 了 a w s - c l i 试 图 列 出 并 将 S 3   b u c k e t 数 据 下 载 到 我 的 本 地 机 器 上   - 将 s 3   b u c k e t 内 容 复 制 到 本 地 机 器   - 在 查 看 每 个 单 独 的 S 3   b u c k e t 时 ， 在 一 些 b u c k e t 中 我 发 现 了 一 些 关 键 文 件 ， 例 如 d a t a b a s e . j s ， c o n f i g . j s ， a p p . j s ， p a y m e n t . c o n f i g 。 这 些 文 件 很 快 引 起 了 我 的 注 意 。 正 如 我 所 料 ， 其 中 包 含 了 支 付 h a s h k e y 和 s a l t （ 可 用 于 篡 改 订 单 的 支 付 ） ， 多 个 数 据 库 凭 据 ， 一 些 内 部 工 具 用 户 名 和 密 码 等 信 息 。 还 有 一 个 正 在 运 行 的 M o n g o D B 实 例 ， 其 凭 据 可 在 配 置 文 件 的 纯 文 本 中 找 到 ， 当 我 尝 试 连 接 到 它 时 ， 我 发 现 他 们 的 客 户 数 据 也 存 储 在 其 中   -   h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / i a m / s e c u r i t y - c r e d e n t i a l s / a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e
虽 然 它 没 有 包 含 所 有 用 户 的 详 细 信 息 ， 但 其 中 已 包 含 的 数 据 量 超 过 了 1 0 0 0 0 条 。 随 后 我 立 即 向 他 们 报 告 了 这 个 漏 洞 ， 他 们 积 极 并 迅 速 的 进 行 了 修 复 。 感 谢 阅 读 ！ * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理