搜索

[14395] 2019-07-26_奖金高达3万美元的Instagram账户漏洞

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2019-07-26_奖金高达3万美元的Instagram账户漏洞 奖 金 高 达 3 万 美 元 的 I n s t a g r a m 账 户 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 7 - 2 6 该 该 W r i t e u p 是 关 于 是 关 于 I n s t a g r a m 平 台 的 任 意 账 户 劫 持 漏 洞 ， 作 者 通 过 构 造 出 突 破 速 率 限 制 （ 平 台 的 任 意 账 户 劫 持 漏 洞 ， 作 者 通 过 构 造 出 突 破 速 率 限 制 （ R a t e   L i m i t i n g ） 的 方 法 ， 可 暴 力 猜 解 出 任 意 ） 的 方 法 ， 可 暴 力 猜 解 出 任 意 I n s t a g r a m 账 账 户 的 密 码 重 置 确 认 码 ， 以 此 实 现 户 的 密 码 重 置 确 认 码 ， 以 此 实 现 I n s t a g r a m 账 户 劫 持 。 最 终 账 户 劫 持 。 最 终 F a c e b o o k 和 和 I n s t a g r a m 的 安 全 团 队 联 合 修 复 了 该 漏 洞 ， 并 对 作 者 给 出 了 高 达 的 安 全 团 队 联 合 修 复 了 该 漏 洞 ， 并 对 作 者 给 出 了 高 达 $ 3 0 , 0 0 0 美 美 金 的 奖 励 。 以 下 是 作 者 的 分 享 。 金 的 奖 励 。 以 下 是 作 者 的 分 享 。 从 密 码 重 置 功 能 入 口 试 运 气 从 密 码 重 置 功 能 入 口 试 运 气 在 著 名 的 数 据 泄 露 事 件 发 生 之 后 ， F a c e b o o k 在 全 平 台 不 断 改 进 它 的 安 全 控 制 措 施 。 出 于 对 包 括 账 户 劫 持 等 严 重 漏 洞 的 奖 励 ， F a c e b o o k 增 加 了 相 应 的 漏 洞 赏 金 数 额 。 我 想 试 试 运 气 ， 看 看 能 否 发 现 一 些 东 西 ， 结 果 真 的 就 在 I n s t a g r a m 上 中 大 奖 了 。 （ I n s t a g r a m 为 F a c e b o o k 旗 下 的 子 应 用 ） 对 I n s t a g r a m 的 测 试 一 开 始 ， 我 就 想 到 了 账 户 劫 持 漏 洞 （ A c c o u n t   T a k e o v e r ） ， 当 然 与 之 相 关 的 应 该 就 是 I n s t a g r a m 的 忘 记 密 码 功 能 了 。 所 以 ， 我 就 在 W e b 方 式 下 ， 用 我 自 己 的 I n s t a g r a m 账 户 进 行 反 复 的 密 码 重 置 测 试 。 密 码 重 置 请 求 发 出 后 ， I n s t a g r a m 会 给 账 户 相 应 的 邮 箱 返 回 一 条 重 置 链 接 ， 这 种 重 置 链 接 貌 似 进 行 了 全 面 的 安 全 防 范 ， 滴 水 不 漏 ， 我 找 不 到 任 何 破 绽 。 转 向 移 动 端 深 入 分 析 转 向 移 动 端 深 入 分 析 所 以 ， 我 就 转 向 了 I n s t a g r a m 移 动 应 用 端 的 密 码 重 置 机 制 下 ， 不 料 我 就 在 这 里 发 现 了 一 个 可 疑 行 为 。 密 码 重 置 要 求 下 ， 当 用 户 输 入 他 的 手 机 号 码 后 ， I n s t a g r a m 会 向 该 手 机 号 发 送 一 个 6 位 确 认 码 ， 在 手 机 端 输 入 该 6 位 确 认 码 之 后 ， 密 码 重 置 才 能 成 功 生 效 。 理 论 上 来 说 ， 这 种 6 位 数 确 认 码 ， 有 1 0 1 0 1 0 1 0 1 0 1 0 的 一 百 万 种 可 能 ， 如 果 我 在 手 机 端 都 能 尝 试 一 遍 所 有 这 一 百 万 种 的 各 种 可 能 ， 那 么 是 不 是 就 能 对 任 意 账 户 实 现 账 户 劫 持 了 呢 ？ 可 以 肯 定 的 是 ， 应 对 这 种 暴 力 破 解 ， I n s t a g r a m 后 端 肯 定 存 在 一 定 的 速 率 限 制 （ R a t e   L i m i t i n g ） 。 不 过 ， 我 决 定 试 试 看 。 至 少 我 的 测 试 验 证 了 I n s t a g r a m 后 端 的 速 率 限 制 机 制 长 什 么 样 。 在 我 发 送 的 1 0 0 0 多 个 请 求 中 ， 大 约 有 2 5 0 个 左 右 会 被 有 效 通 过 ， 其 余 的 7 5 0 个 会 被 速 率 限 制 机 制 阻 挡 掉 。 然 后 ， 我 又 发 送 了 另 外 一 组 1 0 0 0 多 个 请 求 ， 这 一 次 ， 其 中 有 绝 大 部 分 被 速 率 限 制 机 制 阻 挡 掉 。 这 样 看 来 ， I n s t a g r a m 的 验 证 和 速 率 限 制 机 制 还 可 以 。 但 有 两 件 事 我 有 点 想 不 通 ， 那 就 是 发 出 的 请 求 数 量 和 I n s t a g r a m 未 对 请 求 执 行 黑 名 单 化 的 行 为 。 原 因 在 于 ， 即 使 我 能 在 短 时 间 内 发 送 有 限 数 量 的 请 求 ， 但 我 也 能 连 续 发 送 请 求 而 不 会 被 阻 挡 掉 。 这 就 … . . 是 不 是 有 点 问 题 呢 ？ 发 现 突 破 速 率 限 制 （ 发 现 突 破 速 率 限 制 （ R a t e   L i m i t i n g ） 的 方 法 ） 的 方 法 经 过 几 天 的 连 续 测 试 ， 我 发 现 了 可 以 成 功 绕 过 I n s t a g r a m 速 率 限 制 机 制 的 方 法 ， 那 就 是 ： R a c e   H a z a r d （ 竞 态 条 件 ） I P   R o t a t i o n （ I P 轮 换 ） 竞 争 冒 险 （ R a c e   H a z a r d ） ： 又 名 竞 态 条 件 、 竞 争 条 件 （ R a c e   C o n d i t i o n ） ， 它 旨 在 描 述 一 个 系 统 或 者 进 程 的 输 出 依 赖 于 不 受 控 制 的 事 件 出 现 顺 序 或 者 出 现 时 机 。 此 词 源 自 于 两 个 信 号 试 着 彼 此 竞 争 ， 来 影 响 谁 先 输 出 。 举 例 来 说 ， 如 果 计 算 机 中 的 两 个 进 程 同 时 试 图 修 改 一 个 共 享 内 存 的 内 容 ， 在 没 有 并 发 控 制 的 情 况 下 ， 最 后 的 结 果 依 赖 于 两 个 进 程 的 执 行 顺 序 与 时 机 。 而 且 如 果 发 生 了 并 发 访 问 冲 突 ， 则 最 后 的 结 果 是 不 正 确 的 。 竞 争 冒 险 常 见 于 不 良 设 计 的 电 子 系 统 ， 尤 其 是 逻 辑 电 路 。 但 它 们 在 软 件 中 也 比 较 常 见 ， 尤 其 是 有 采 用 多 线 程 技 术 的 软 件 。 I P 轮 换 （ I P   R o t a t i o n ） ： 是 指 在 一 定 时 间 内 ， 用 不 同 的 I P 地 址 去 请 求 同 一 个 服 务 端 接 口 。 通 常 用 代 理 可 实 现 这 种 I P 地 址 轮 换 ， 这 种 方 式 应 用 于 突 破 网 站 反 爬 虫 机 制 对 大 量 数 据 的 抓 取 。 如 果 你 对 竞 争 冒 险 （ R a c e   H a z a r d ） 或 竞 态 条 件 （ R a c e   C o n d i t i o n ） 了 解 较 少 ， 请 自 行 百 度 熟 悉 。 在 竞 态 条 件 之 下 ， 我 使 用 多 个 I P 地 址 向 I n s t a g r a m 后 端 发 送 多 个 密 码 重 置 的 确 认 码 并 发 请 求 ， 这 种 情 况 下 ， 可 以 绕 过 I n s t a g r a m 的 速 率 限 制 机 制 ， 不 被 阻 挡 。 可 以 发 送 的 请 求 数 量 取 决 于 请 求 的 并 发 性 和 我 们 使 用 的 I P 地 址 数 量 。 另 外 ， 我 还 发 现 ， 密 码 重 置 的 确 认 码 会 在 1 0 分 钟 之 后 过 期 ， 这 就 使 得 此 类 攻 击 更 加 困 难 ， 也 因 此 ， 我 们 可 能 需 要 多 达 1 0 0 0 个 的 不 同 I P 地 址 来 执 行 这 种 攻 击 。 后 来 ， 我 把 该 漏 洞 上 报 给 F a c e b o o k 之 后 ， 由 于 在 漏 洞 报 告 中 没 详 细 说 明 情 况 ， 他 们 的 安 全 团 队 起 初 无 法 复 现 漏 洞 。 之 后 ， 经 过 和 他 们 的 反 复 邮 件 沟 通 ， 我 又 制 作 了 一 段 概 念 验 证 性 视 频 发 给 他 们 ， 最 终 他 们 确 认 了 该 漏 洞 的 有 效 性 。 概 念 验 证 性 攻 击 （ 概 念 验 证 性 攻 击 （ P o C ） ） 密 码 重 置 时 向 I n s t a g r a m 后 端 请 求 确 认 码 ： P O S T   / a p i / v 1 / u s e r s / l o o k u p /   H T T P / 1 . 1 U s e r - A g e n t :   I n s t a g r a m   9 2 . 0 . 0 . 1 1 . 1 1 4   A n d r o i d   ( 2 7 / 8 . 1 . 0 ;   4 4 0 d p i ;   1 0 8 0 × 2 1 5 0 ;   X i a o m i / x i a o m i ;   R e d m i   N o t e   6   P r o ;   t u l i p ;   q c o m ;   e n _ I N ;   1 5 2 8 3 0 6 5 4 ) A c c e p t - L a n g u a g e :   e n - I N ,   e n - U S C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ;   c h a r s e t = U T F - 8 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e
该 P O S T 请 求 发 出 后 ， 受 害 都 将 会 收 到 一 个 6 位 数 的 密 码 重 置 确 认 码 ， 该 确 认 码 的 有 效 期 为 1 0 分 钟 。 客 户 端 输 入 以 上 确 认 码 后 ， I n s t a g r a m 后 端 对 该 确 认 码 的 验 证 ： 基 于 以 上 两 个 P O S T 请 求 和 之 前 的 攻 击 策 略 ， 我 们 需 要 使 用 多 个 I P 地 址 对 该 密 码 重 置 服 务 端 进 行 暴 力 猜 解 。 经 测 试 发 现 ， 大 概 来 说 ， 我 可 以 用 每 个 I P 地 址 发 送 将 近 2 0 0 0 个 的 请 求 ， 而 不 被 I n s t a g r a m 后 端 的 速 率 限 制 阻 挡 。 在 我 的 实 际 测 试 中 ， 我 用 1 0 0 0 台 机 器 对 应 的 1 0 0 0 个 I P 地 址 ， 并 轻 松 实 现 了 请 求 并 发 ， 发 送 了 将 近 2 0 万 个 请 求 ， 占 1 0 0 万 个 总 概 率 的 2 0 % 。 以 下 是 实 际 测 试 的 P o C 视 频 ： 总 结 总 结 真 实 攻 击 场 景 下 ， 攻 击 者 用 5 0 0 0 个 I P 地 址 就 能 成 功 暴 力 猜 解 出 一 个 有 效 的 密 码 重 置 确 认 码 ， 以 此 就 能 “ 黑 ” 掉 （ 劫 持 掉 ） 一 个 I n s t a g r a m 账 户 。 这 么 多 的 I P 地 址 听 起 来 貌 似 很 难 实 现 ， 但 如 果 用   A m a z o n   或   G o o g l e 等 云 服 务 就 能 非 常 容 易 地 让 你 拥 有 如 此 多 的 I P 地 址 ， 执 行 完 一 百 万 个 密 码 重 置 确 认 码 的 暴 力 猜 解 ， 全 程 的 成 本 花 费 也 仅 仅 就 是 1 5 0 美 元 。 这 … . 。 最 终 ， F a c e b o o k 安 全 团 队 因 我 那 个 2 0 万 个 有 效 请 求 发 送 的 P O C 视 频 确 认 了 漏 洞 ， 并 及 时 修 复 了 该 漏 洞 。 而 我 最 后 也 获 得 了 F a c e b o o k 官 方 奖 励 的 $ 3 0 , 0 0 0 美 金 。 * 参 考 来 源 ： 参 考 来 源 ： t h e z e r o h a c k ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e H o s t :   i . i n s t a g r a m . c o m C o n n e c t i o n :   k e e p - a l i v e q = m o b i l e _ n u m b e r & d e v i c e _ i d = a n d r o i d - d e v i c e - i d - h e r e P O S T   / a p i / v 1 / a c c o u n t s / a c c o u n t _ r e c o v e r y _ c o d e _ v e r i f y /   H T T P / 1 . 1 U s e r - A g e n t :   I n s t a g r a m   9 2 . 0 . 0 . 1 1 . 1 1 4   A n d r o i d   ( 2 7 / 8 . 1 . 0 ;   4 4 0 d p i ;   1 0 8 0 × 2 1 5 0 ;   X i a o m i / x i a o m i ;   R e d m i   N o t e   6   P r o ;   t u l i p ;   q c o m ;   e n _ I N ;   1 5 2 8 3 0 6 5 4 ) A c c e p t - L a n g u a g e :   e n - I N ,   e n - U S C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ;   c h a r s e t = U T F - 8 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e H o s t :   i . i n s t a g r a m . c o m C o n n e c t i o n :   k e e p - a l i v e r e c o v e r _ c o d e = 1 2 3 4 5 6 & d e v i c e _ i d = a n d r o i d - d e v i c e - i d - h e r e
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理