搜索

[14528] 2019-08-30_Medium博客平台从StoredXSS到账号劫持

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2019-08-30_Medium博客平台从StoredXSS到账号劫持 M e d i u m 博 客 平 台 从 S t o r e d   X S S 到 账 号 劫 持 c l o u d s   F r e e B u f   2 0 1 9 - 0 8 - 3 0 本 文 分 享 的 是 作 者 在 博 客 平 台 本 文 分 享 的 是 作 者 在 博 客 平 台 M e d i u m 上 编 写 文 章 时 ， 偶 然 发 现 一 个 上 编 写 文 章 时 ， 偶 然 发 现 一 个 S t o r e d   X S S 漏 洞 ， 在 此 基 础 上 深 入 分 析 又 发 现 了 漏 洞 ， 在 此 基 础 上 深 入 分 析 又 发 现 了 A c c o u n t   T a k e o v e r 账 号 劫 持 漏 洞 ， 完 美 实 现 赏 金 账 号 劫 持 漏 洞 ， 完 美 实 现 赏 金 1 0 0 0 的 提 升 。 的 提 升 。 偶 然 发 现 偶 然 发 现 S t o r e d   X S S 漏 洞 漏 洞 几 个 星 期 以 前 的 某 个 晚 上 ， 我 正 在 M e d i u m 上 写 博 客 ， 内 容 无 非 就 是   -   为 什 么 公 司 企 业 应 该 大 力 接 纳 漏 洞 众 测 模 式 … 云 云 ， 一 番 吐 槽 宣 泄 之 后 ， 脑 子 短 路 突 然 不 知 道 该 写 啥 了 。 那 就 休 息 休 息 先 干 点 别 的 吧 ， 于 是 我 就 摆 弄 起 M e d i u m 的 博 客 编 辑 器 来 。 我 不 太 记 得 当 时 我 是 怎 么 做 的 了 ， 但 是 ， 我 注 意 到 可 以 从 中 添 加 类 似 于 m a i l t o : 这 样 的 特 殊 链 接 ， 所 以 ， 我 脑 子 马 上 想 起 来 ， 那 既 然 能 用 m a i l t o : 样 式 ， 那 能 不 能 用 j a v a s c r i p t : 呢 ？ 因 此 ， 我 就 用 j A v A s C r I p T : c o n f i r m ( ) 来 试 了 试 。 不 敢 相 信 ， 竟 然 可 以 的 ！ 我 把 它 嵌 入 我 的 博 客 文 章 中 ， 打 开 文 章 后 点 击 对 应 链 接 ， 马 上 就 跳 出 一 个 确 认 对 话 框 来 ： 也 就 是 说 ， 我 在 M e d i u m 平 台 的 关 键 位 置 发 现 了 一 个 存 储 型 X S S ！ 立 马 上 报 之 后 我 就 睡 觉 去 了 。 不 能 就 这 样 算 了 不 能 就 这 样 算 了 第 二 天 早 上 醒 来 ， 我 想 ， 能 用 5 分 钟 发 现 一 个 存 储 型 X S S 漏 洞 ， 真 的 就 只 能 如 此 了 吗 ？ 接 下 来 ， 在 编 写 博 客 时 ， 我 就 用 U n s p l a s h 图 片 上 传 方 式 进 行 测 试 ， 并 对 此 过 程 进 行 抓 包 ， 该 P O S T 请 求 如 下 ： 可 以 看 到 ， 其 中 存 在 X - X S R F - T o k e n :   [ R e d a c t e d ] ， 以 及 超 链 接 指 定 属 性 h r e f ， 那 把 h r e f 其 值 替 换 成 j A v A s C r I p T : c o n f i r m ( ) 试 试 看 ， 替 换 后 的 请 求 如 下 : 哦 靠 ， 竟 然 又 可 以 了 ！ 现 在 这 样 ， 根 据 M e d i u m 赏 金 政 策 ， 顶 多 也 就 1 0 0 0 美 金 。 所 以 我 还 是 想 搞 个 大 的 。 账 户 劫 持 账 户 劫 持 基 于 以 上 发 现 的 编 辑 器 存 储 型 X S S ， 我 想 能 不 能 测 测 账 号 劫 持 呢 ？ 由 于 请 求 交 互 过 程 中 的 会 话 C o o k i e 具 备 H T T P o n l y 设 置 ， 所 以 客 户 端 脚 本 是 不 能 正 常 读 取 C o o k i e 内 容 的 ， 当 然 也 就 无 法 窃 取 C o o k i e 了 ， 这 就 需 要 其 它 方 法 了 。 我 来 到 个 人 资 料 选 项 设 置 中 ， 看 看 能 否 把 其 中 的 注 册 邮 箱 地 址 更 改 替 换 成 别 人 的 邮 箱 ， 一 试 ， 竟 然 不 需 要 密 码 就 能 更 改 。 这 种 情 况 下 ， 为 了 测 试 起 见 ， 我 手 动 更 改 了 其 中 的 注 册 邮 箱 为 我 另 一 邮 箱 ， 然 后 往 该 邮 箱 发 送 了 一 条 包 含 临 时 登 录 的 U R L 链 接 ， 然 后 我 在 另 一 邮 箱 中 打 开 该 链 接 竟 然 能 成 功 登 录 。 整 个 过 程 可 以 用 以 下 两 步 来 实 现 ： 1 、 用 S t o r e d   X S S 获 得 用 户 的 C S R F   t o k e n （ 该 步 骤 中 不 可 获 取 到 C o o k i e ） 2 、 向 / m e / e m a i l 路 径 发 送 包 含 新 邮 箱 的 P U T 请 求 最 终 P a y l o a d 如 下 ： 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 9 . 7 . 1 0     X S S 漏 洞 初 报 2 0 1 9 . 7 . 1 0     再 次 上 报 U n s p l a s h 图 片 上 传 X S S 漏 洞 2 0 1 9 . 7 . 1 2     上 报 账 户 劫 持 漏 洞 2 0 1 9 . 7 . 1 3     M e d i u m 安 全 团 队 响 应 并 奖 励 $ 1 0 0 0 美 金 2 0 1 9 . 8 . 3       漏 洞 修 复 2 0 1 9 . 8 . 6       我 获 得 M e d i u m 名 人 堂 h u m a n s . t x t 致 谢 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 P O S T   / p / 8 f 2 x x x x x x x / d e l t a s ? l o g L o c k I d = 9 7 0   H T T P / 1 . 1 H o s t :   m e d i u m . c o m U s e r - A g e n t :   [ R e d a c t e d ] A c c e p t :   a p p l i c a t i o n / j s o n A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p s : { " i d " : " 8 f 2 x x x x x x x " , " d e l t a s " : [ { " t y p e " : 3 , " i n d e x " : 1 , " p a r a g r a p h " : { " n a m e " : " e x x x " , " t y p e " : 4 , " t e x t " : " P h o t o   b y   S o m e   A u t h o r   o n   U n s p l a s h " , " m a r k u p s " : [ { " t y p e " : 3 , " s t a r t " : 9 , " e n d " : 1 7 , " h r e f " : J a V a S c R i P t : v a r   x = w i n d o w . _ _ P R E L O A D E D _ S T A T E _ _ . s e s s i o n . x s r f ; v a r   h   =   n e w   X M L H t t p R e q u e s t ( ) ; h . o p e n ( ‘ P U T ’ ,   ‘ / m e / e m a i l ’ ,   t r u e ) ; h . s e t R e q u e s t H e a d e r ( ‘ C o n t e n t - T y p e ’ ,   ‘ a p p l i c a t i o n / j s o n ’ ) ; h . s e t R e q u e s t H e a d e r ( ‘ X - X S R F - T o k e n ’ ,   x ) ; h . s e n d ( ‘ { “ e m a i l ” : ” a t t a c k e r
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理