搜索

[14028] 2019-04-25_与Yahoo和Paypal相关的两个独特漏洞（$5k+$3.2k）

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-18
2019-04-25_与Yahoo和Paypal相关的两个独特漏洞（$5k+$3.2k） 与 Y a h o o 和 P a y p a l 相 关 的 两 个 独 特 漏 洞 （ $ 5 k + $ 3 . 2 k ） c l o u d s   F r e e B u f   2 0 1 9 - 0 4 - 2 5 本 文 分 享 的 是 与 本 文 分 享 的 是 与 Y a h o o 和 和 P a y p a l 相 关 的 两 个 独 特 漏 洞 ， 一 个 为 相 关 的 两 个 独 特 漏 洞 ， 一 个 为 Y a h o o 的 的 I D O R 漏 洞 （ 不 安 全 的 直 接 对 象 引 用 ） ， 另 一 个 为 漏 洞 （ 不 安 全 的 直 接 对 象 引 用 ） ， 另 一 个 为 P a y p a l 的 的 D o S 漏 洞 ， 两 个 漏 洞 的 发 现 者 都 为 印 度 安 全 工 程 师 ， 其 发 现 原 理 和 思 路 也 相 对 简 单 和 典 型 ， 分 享 于 此 ， 漏 洞 ， 两 个 漏 洞 的 发 现 者 都 为 印 度 安 全 工 程 师 ， 其 发 现 原 理 和 思 路 也 相 对 简 单 和 典 型 ， 分 享 于 此 ， 希 望 能 对 读 者 起 到 借 鉴 参 考 作 用 。 希 望 能 对 读 者 起 到 借 鉴 参 考 作 用 。 Y A H O O 的 的 I D O R 漏 洞 （ 漏 洞 （ $ 5 , 0 0 0 ） ） 繁 忙 的 一 天 ， 当 我 外 出 工 作 回 到 办 公 室 的 时 候 ， 已 经 是 下 午 5 点 了 ， 还 有 一 小 时 就 下 班 回 家 。 好 吧 ， 这 点 时 间 我 只 有 打 开 B u r p 测 试 一 些 目 标 网 站 了 。 那 个 时 候 ， 我 经 常 用 Y a h o o   N o t e p a d （ 雅 虎 网 络 笔 记 ） 来 记 录 一 些 个 人 心 得 体 会 ， 此 时 ， 我 就 突 然 想 来 测 测 这 个 应 用 到 底 如 何 。 于 是 ， 我 打 开 了 这 个 雅 虎 网 络 笔 记 的 对 应 网 站   -   h t t p s : / / n o t e p a d . y a h o o . c o m ， 然 后 ， 在 开 启 了 B u r p 抓 包 的 同 时 ， 我 也 在 向 我 的 个 人 笔 记 空 间 中 书 写 笔 记 。 笔 记 记 录 完 之 后 ， 我 在 P r o x y   H T T P   H i s t o r y 标 签 中 进 行 了 检 查 ， 一 个 G E T 请 求 中 的 加 密 字 符 串 映 入 了 我 的 眼 帘 ： H o s t :   c a l e n d a r . y a h o o . c o m 可 以 看 到 ， 在 u s e r s / 旁 边 的 加 密 字 符 串 - f z i y 4 w z x r 4 1 k 4 q w s g u m u 2 v 2 q y m y n z a t 6 k c l q p w m c ， 它 代 表 什 么 呢 ？ 我 立 马 意 识 到 ， 它 是 我 的 用 户 名 ， 它 被 加 密 然 后 发 送 到 服 务 器 端 ！ 那 我 就 想 着 ， 能 不 能 把 它 换 成 我 明 文 方 式 的 Y a h o o 用 户 名 呢 ?   这 样 一 来 ， 其 构 造 的 G E T 请 求 如 下 ： H o s t :   c a l e n d a r . y a h o o . c o m 让 人 意 外 的 是 ， 我 把 这 个 加 密 字 符 串 换 成 了 我 明 文 方 式 的 Y a h o o 用 户 名 后 ， Y a h o o 服 务 端 的 响 应 和 加 密 字 符 串 的 响 应 是 相 同 的 ， 也 就 是 两 者 的 响 应 内 容 都 是 相 同 的 包 含 同 一 笔 记 内 容 的 J S O N 格 式 ！ 接 着 ， 我 又 在 上 述 G E T 请 求 中 ， 尝 试 把 这 个 用 户 名 换 成 了 我 另 外 一 个 Y a h o o 测 试 账 户 ( t e s t _ a c c o u n t _ 2 2 2 2 )   ， 之 后 ， 它 响 应 的 是 我 这 个 Y a h o o 测 试 账 户 的 笔 记 内 容 。 问 题 之 处 在 于 ， Y a h o o   N o t e p a d （ 雅 虎 网 络 笔 记 ） 虽 然 把 用 户 名 进 行 了 加 密 传 输 ， 但 是 在 对 服 务 端 的 请 求 过 程 中 ， 毫 无 对 用 户 名 和 账 户 的 匹 配 检 查 机 制 ， 这 也 就 导 致 了 可 以 通 过 输 入 任 意 用 户 名 来 获 取 任 意 账 户 的 云 端 笔 记 内 容 。 / w s / v 3 / u s e r s / f z i y 4 w z x r 4 1 k 4 q w s g u m u 2 v 2 q y m y n z a t 6 k c l q p w m c / i t e m s ? / w s / v 3 / u s e r s / u s e r - n a m e / i t e m s ? 经 过 几 个 测 试 账 号 的 反 复 实 验 确 认 ， 我 确 定 该 漏 洞 漏 洞 确 实 存 在 ， 理 论 上 来 说 ， 这 应 该 算 是 一 个 大 漏 洞 了 ， 因 为 我 可 以 在 G E T 请 求 中 输 入 任 意 用 户 名 的 方 式 ， 去 查 看 任 意 用 户 账 户 对 应 的 雅 虎 网 络 笔 记 内 容 。 G E T   / w s / v 3 / u s e r s / f z i y 4 w z x r 4 1 k 4 q w s g u m u 2 v 2 q y m y n z a t 6 k c l q p w m c / i t e m s ? f o r m a t = j s o n & c o u n t = 2 0 0 & t y p e = J o u r n a l & w s s i d = 5 5 m J m c M k 3 t g & r a n d = 1 4 7 8 5 4 1 3 0 8 3 9 7 & p r o g = a e o n   H T T P / 1 . 1 G E T   / w s / v 3 / u s e r s / y a h o o - u s e r n a m e / i t e m s ? f o r m a t = j s o n & k w = t e s t & c o u n t = 2 0 0 & t y p e = J o u r n a l & w s s i d = 5 5 m J m c M k 3 t g & r a n d = 1 4 7 8 5 4 1 3 0 8 3 9 7 & p r o g = a e o n   H T T P / 1 . 1
实 际 上 ， 从 检 查 应 用 请 求 到 发 现 漏 洞 的 整 个 过 程 中 ， 总 共 也 就 花 了 差 不 多 1 5 分 钟 ， 欣 喜 若 狂 之 余 我 也 非 常 清 醒 理 智 ， 要 淡 定 要 淡 定 。 这 肯 定 是 一 个 很 独 特 的 漏 洞 ， 需 要 的 是 不 同 的 思 维 方 式 和 敏 锐 的 嗅 觉 ， 这 一 次 恭 喜 我 做 到 了 ！ 漏 洞 最 终 被 Y a h o o 分 类 为 I D O R （ 不 安 全 的 直 接 对 象 引 用 ） 漏 洞 ， 获 得 了 $ 5 , 0 0 0 美 金 的 奖 励 。 我 个 人 的 感 觉 是 ， 开 发 人 员 认 为 只 要 加 密 就 安 全 了 ， 但 其 实 不 然 ， 除 了 加 密 ， 还 需 要 验 证 手 段 才 行 。 P a y P a l 的 的 D o S 漏 洞 （ 漏 洞 （ $ 3 , 2 0 0 ） ） 某 天 ， 我 在 测 试 网 站   -   b r a i n t r e e p a y m e n t s . c o m   的 漏 洞 ， 它 属 于 P a y p a l 漏 洞 众 测 范 围 内 项 目 ， 是 P a y P a l 于 2 0 1 3 年 收 购 的 在 线 支 付 平 台 。 在 检 查 该 网 站 的 源 代 码 过 程 中 ， 我 发 现 了 以 下 这 段 奇 怪 的 J a v a S c r i p t 代 码 ： 在 仔 细 阅 读 完 代 码 之 后 ， 分 析 可 知 ， l o c a l e 为 地 区 语 言 参 数 ， c u r r e n t L o c a l e 为 当 前 语 言 参 数 ， 如 e n - u s 。 我 注 意 到 该 代 码 段 具 备 的 一 个 功 能 是 ， 去 检 查 用 户 带 有 l o c a l e 参 数 的 请 求 ， 如 果 该 参 数 的 值 不 等 于 e n - u s ， 也 就 是 浏 览 器 获 取 到 的 c u r r e n t L o c a l e 值 时 ， 那 么 ， 这 个 用 户 的 l o c a l e 参 数 值 就 会 被 代 码 方 法   w i n d o w . l o c a l S t o r a g e . s e t I t e m ( ‘ l o c a l e ’ ,   t a r g e t L o c a l e )   存 储 到 s t o r e d L o c a l e 中 去 。 在 这 种 机 制 下 ， 每 当 一 位 用 户 访 问 b r a i n t r e e p a y m e n t s . c o m 网 站 时 ， 如 果 其 当 前 的 c u r r e n t L o c a l e 值 与 s t o r e d L o c a l e 不 匹 配 ， 那 么 他 就 会 被 强 制 重 定 向 到 网 页 -   h t t p s : / / b r a i n t r e e p a y m e n t s . c o m / ， 这 种 情 况 下 ， 即 使 他 点 击 h t t p s : / / b r a i n t r e e p a y m e n t s . c o m / 网 站 上 的 任 意 链 接 ， 最 终 也 是 一 样 被 重 定 向 到 网 页 -   h t t p s : / / b r a i n t r e e p a y m e n t s . c o m / 。 这 个 功 能 可 构 造 出 一 个 什 么 漏 洞 呢 ？ 当 然 是 D o s 了 。 尽 管 l o c a l e 地 区 参 数 只 有 5 位 字 母 （ 如 e n - u s 、 z h - c n 等 ） ， 才 能 被 保 存 在 浏 览 器 的 l o c a l s t o r a g e 中 ， 但 这 也 足 够 用 来 创 建 一 个 适 合 的 P o C 了 ， 如 下 ： h t t p s : / / w w w . b r a i n t r e e p a y m e n t s . c o m / l e g a l / p o l i c y - u p d a t e s ? u t m _ c a m p a i g n = B T _ E M E A _ L U X _ S a f e H a r b o r U p d a t e _ 2 0 1 6 0 4 1 3 & u t m _ m e d i u m = e m a i l & u t m _ s o u r c e = E l o q u a & e l q _ c i d = 5 2 3 0 7 9 3 & l o c a l e = f w o r d 该 P o C 链 接 造 成 的 影 响 是 ， 受 害 者 一 旦 点 击 访 问 了 上 述 链 接 ， 他 们 就 会 被 自 动 重 定 向 到 h t t p s : / / b r a i n t r e e p a y m e n t s . c o m / f w o r d 网 页 中 去 ， 即 使 他 们 再 点 击 其 中 的 L o g   i n 或 S i g n   u p 也 一 样 没 用 ， 还 是 会 继 续 跳 转 到 h t t p s : / / b r a i n t r e e p a y m e n t s . c o m / f w o r d 网 页 中 。 漏 洞 影 响 就 是 ， 如 果 恶 意 攻 击 者 通 过 一 些 公 开 渠 道 大 肆 散 布 上 述 P o C 链 接 ， 大 量 受 害 者 会 重 定 向 到 h t t p s : / / b r a i n t r e e p a y m e n t s . c o m / f w o r d 网 页 ， 将 会 造 成 普 通 用 户 无 法 正 常 访 问 使 用 b r a i n t r e e p a y m e n t 平 台 网 站 ， 形 成 间 接 方 式 的 D o s 攻 击 ， 且 受 害 者 需 要 清 除 浏 览 器 中 的 J S 缓 存 才 能 解 除 这 种 恶 意 重 定 向 。 漏 洞 上 报 后 ， 获 得 了 P a y p a l 官 方 $ 3 , 2 0 0 美 金 的 奖 励 。 * 参 考 来 源 ： m e d i u m [ u s e r j o u r n a l ] ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 推 荐 荐 阅 阅 读 读 v a r   t a r g e t L o c a l e   =   w i n d o w . l o c a t i o n . h r e f . m a t c h ( / l o c a l e = ( . { 5 } ) / )   ?   w i n d o w . l o c a t i o n . h r e f . m a t c h ( / l o c a l e = ( . { 5 } ) / ) [ 1 ]   :   n u l l ; l o c a l e l o c a l e
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理