搜索

[14546] 2019-09-04_从谷歌防灾地图服务发现Google.org的XSS和Clickjacking漏洞

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2019-09-04_从谷歌防灾地图服务发现Google.org的XSS和Clickjacking漏洞 从 谷 歌 防 灾 地 图 服 务 发 现 G o o g l e . o r g 的 X S S 和 C l i c k j a c k i n g 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 9 - 0 4 除 了 谷 歌 地 图 之 外 ， 可 能 很 少 有 人 知 道 谷 歌 的 在 线 防 灾 地 图 （ 除 了 谷 歌 地 图 之 外 ， 可 能 很 少 有 人 知 道 谷 歌 的 在 线 防 灾 地 图 （ G o o g l e   C r i s i s   M a p ） ， 它 创 建 于 ） ， 它 创 建 于 2 0 1 2 年 ， 年 ， W e b 架 架 构 更 新 缓 慢 ， 网 站 访 问 量 相 对 较 少 。 而 作 者 就 是 通 过 在 这 个 构 更 新 缓 慢 ， 网 站 访 问 量 相 对 较 少 。 而 作 者 就 是 通 过 在 这 个 “ 老 旧 老 旧 ” 的 地 图 服 务 中 ， 发 现 了 的 地 图 服 务 中 ， 发 现 了 X S S 和 依 托 其 服 务 的 和 依 托 其 服 务 的 g o o g l e . o r g 点 击 劫 持 漏 洞 。 该 篇 点 击 劫 持 漏 洞 。 该 篇 W r i t e u p 也 算 是 在 也 算 是 在 “ 犄 角 旮 旯 犄 角 旮 旯 ” 角 落 里 发 现 漏 洞 的 典 型 ， 我 们 一 起 来 看 看 。 角 落 里 发 现 漏 洞 的 典 型 ， 我 们 一 起 来 看 看 。 谷 歌 防 灾 地 图 （ 谷 歌 防 灾 地 图 （ G o o g l e   C r i s i s   M a p ） 介 绍 ） 介 绍 谷 歌 防 灾 地 图 创 建 于 2 0 1 2 年 ， 目 的 在 于 帮 助 人 们 发 现 和 预 警 重 要 的 灾 害 活 动 ， 网 站 访 问 量 较 少 ， 它 托 管 于 谷 歌 旗 下 域 名 g o o g l e . o r g ， 从 客 户 漏 洞 角 度 来 说 ， 虽 然 没 有 g o o g l e . c o m 那 么 引 人 注 目 ， 但 好 歹 也 是 属 于 谷 歌 域 名 。 登 录 登 录 我 们 可 以 通 过 h t t p s : / / g o o g l e . o r g / c r i s i s m a p 主 页 进 行 浏 览 ， 其 中 右 上 角 显 示 出 “ 天 气 ， 灾 害 ， 应 急 准 备 ” ， 此 时 ， 我 们 能 做 的 仅 只 是 简 单 浏 览 这 个 防 灾 地 图 。 经 测 试 ， 我 们 可 以 在 其 U R L 后 面 添 加 一 个 . m a p s 来 创 建 自 己 的 地 图 ， 也 就 是 h t t p s : / / g o o g l e . o r g / c r i s i s m a p / . m a p s 打 开 该 链
接 之 后 ， 就 会 以 谷 歌 账 号 登 录 进 入 ， 其 中 可 以 看 到 三 幅 默 认 地 图 ， 这 三 幅 地 图 对 任 意 用 户 都 可 见 ， 如 下 ： 点 击 P u b l i s h e d   M a p 下 的 地 图 名 称 即 可 查 看 相 应 地 图 。 创 建 地 图 创 建 地 图 来 到 左 上 角 ， 点 击   “ C r e a t e   M a p ”   按 钮 之 后 ， 会 跳 出 以 下 的 提 示 框 告 知 G m a i l 账 号 不 能 创 建 地 图 ， 只 有 个 人 或 企 业 定 制 域 名 身 份 才 具 备 地 图 创 建 权 限 ： 也 就 是 说 ， 我 们 需 要 以 谷 歌 关 联 的 个 人 或 组 织 机 构 邮 箱 身 份 才 能 创 建 地 图 ， 这 里 ， 可 以 通 过 G S u i t e 账 户 或 其 它 非 g m a i l . c o m 后 缀 邮 箱 登 录 即 可 。 之 后 ， 创 建 地 图 开 始 ， 点 击 下 图 C o n t i n u e 之 后 就 行 ： 发 现 发 现 X S S 漏 洞 漏 洞
在 创 建 地 图 的 过 程 中 ， 点 击 ' A d d   l a y e r ' 我 们 可 以 向 其 中 添 加 新 的 图 层 （ l a y e r ） ， 之 后 ， 会 跳 出 图 层 对 话 框 ， 其 中 包 含 了 图 层 标 题 、 描 述 、 属 性 、 图 例 、 缩 放 坐 标 、 来 源 U R L （ S o u r c e   U R L ） 等 填 写 项 。 当 我 们 简 单 填 写 了 图 层 标 题 ， 选 择 了 图 层 类 型 ， 并 在 来 源 U R L （ S o u r c e   U R L ） 中 填 入 j a v a s c r i p t : a l e r t ( d o c u m e n t . d o m a i n ) 的 X S S   P a y l o a d ， 提 交 保 存 后 ， 它 会 反 应 出 错 提 示 ： I n v a l i d   U R L   –   p l e a s e   i n c l u d e   a   p r o t o c o l   ( e . g .   h t t p : / /   o r   h t t p s : / / )
这 看 似 是 在 图 层 保 存 之 前 ， 后 端 会 检 查 其 S o u r c e   U R L 的 合 法 性 ， 其 检 查 逻 辑 可 能 如 下 ： 更 关 键 的 是 ， 该 合 法 性 验 证 貌 似 是 请 求 提 交 到 后 端 服 务 前 ， 对 客 户 端 的 唯 一 一 项 验 证 措 施 。 在 此 ， 我 们 可 以 用 B u r p S u i t e 代 理 工 具 来 对 请 求 抓 包 分 析 ， 并 对 请 求 进 行 相 应 更 改 提 交 给 后 端 服 务 。 首 先 ， 我 们 可 以 把 代 表 S o u r c e   U R L 的 值 进 行 一 个 替 换 ， 这 里 我 们 把 它 替 换 成 h t t p s : / / e x a m p l e . c o m ， 然 后 点 击 O K 并 保 存 ， 在 此 过 程 中 的 请 求 如 下 ： P O S T   h t t p s : / / g o o g l e . o r g / c r i s i s m a p / . a p i / m a p s / 1 2 3 4 在 此 ， 我 们 把 其 中 代 表 S o u r c e   U R L 的 h t t p s : / / e x a m p l e . c o m 替 换 成 之 前 的 X S S   P a y l o a d   - j a v a s c r i p t : a l e r t ( d o c u m e n t . d o m a i n ) ， 然 后 转 发 请 求 。 请 求 竟 然 可 以 成 功 被 提 交 保 存 ！ 之 后 ， 我 们 打 开 图 层 选 项 ， 点 击 下 载 按 钮 “ D o w n l o a d   K M L ” ， 就 能 完 美 触 发 X S S   P a y l o a d : 这 个 X S S 漏 洞 原 因 是 什 么 呢 ？ 原 来 那 个 S o u r c e   U R L 合 法 性 验 证 只 会 发 生 在 前 端 （   f r o n t e n d ） ， 而 与 谷 歌 防 灾 地 图 的 数 据 库 进 行 交 互 的 后 端 （ b a c k e n d ） 却 没 有 该 U R L 验 证 。 其 漏 洞 的 危 害 就 是 ， 任 意 用 户 可 以 创 建 地 图 并 公 开 发 布 ， 比 如 我 们 以 后 缀 e x a m p l e . c o m 的 邮 箱 进 行 创 建 地 图 并 发 布 ， 那 么 该 地 图 的 U R L 就 是 ： h t t p : / / g o o g l e . o r g / c r i s i s m a p / e x a m p l e . c o m / t e s t 那 么 ， 任 何 查 看 下 载 该 地 图 的 用 户 ， 由 于 其 中 存 在   j a v a s c r i p t :   U R I   的 X S S   P a y l o a d ， 点 击 相 应 的 “ D o w n l o a d   K M L ” 下 载 按 钮 之 后 ， 就 会 成 功 触 发 X S S   P a y l o a d ， 当 然 ， 有 效 的 漏 洞 利 用 还 需 要 更 多 深 入 的 构 造 。 点 击 劫 持 （ 点 击 劫 持 （ C l i c k j a c k i n g ） ） i f   ( u r l   & &   ! u r l . t o L o w e r C a s e ( ) . m a t c h ( " ^ s * ( h t t p : / / | h t t p s : / / | d o c s : / / | $ ) " ) )   {     s h o w E r r o r ( " I n v a l i d   U R L   -   p l e a s e   i n c l u d e   a   p r o t o c o l   ( e . g .   h t t p : / /   o r   h t t p s : / / ) " {     " i d " :   " 1 2 3 4 " ,     " t i t l e " :   " U n t i t l e d   m a p " ,     " b a s e _ m a p _ t y p e " :   " G O O G L E _ R O A D M A P " ,     " l a y e r s " :   [ {         " i d " :   " 1 " ,         " t i t l e " :   " T e s t   l a y e r "
在 与 后 端 交 互 过 程 中 ， 如 果 我 们 查 看 一 下 响 应 中 的 H T T P 消 息 头 ， 发 现 g o o g l e . o r g 并 没 有 要 求 X - F r a m e - O p t i o n s 设 置 。 X - F r a m e - O p t i o n s   的 H T T P   响 应 头 是 用 来 给 浏 览 器 指 示 允 许 一 个 页 面 可 否 在 < f r a m e > 、 < i f r a m e > 、 < e m b e d >   或 者 < o b j e c t >   中 展 现 的 标 记 。 应 用 该 设 置 的 站 点 可 以 通 过 确 保 网 站 没 有 被 嵌 入 到 别 人 的 站 点 里 面 ， 从 而 避 免   c l i c k j a c k i n g   攻 击 。 那 么 ， 也 就 是 说 ， 我 们 可 以 把 上 述 创 建 发 布 的 地 图 以 i f r a m e 方 式 嵌 入 到 我 们 控 制 的 网 站 中 去 ， 又 能 触 发 X S S ， 也 能 证 明 C l i c k j a c k i n g ， 如 下 ： < i f r a m e   s r c = " h t t p s : / / g o o g l e . o r g / c r i s i s m a p / e x a m p l e . c o m / t e s t " > < / i f r a m e >
但 受 害 者 还 需 点 击 “ L a y e r s ”   >   “ D o w n l o a d   K M L “ 才 能 触 发 X S S 。 所 以 ， 我 又 想 到 用 背 景 为 黑 色 的 D I V 标 签 来 把 i f r a m e 伪 装 成 一 个 点 击 链 接 ， 不 好 的 是 ， 还 是 需 要 两 次 点 击 才 能 触 发 ， 如 下 ： 这 是 < 点 击 我 > 一 个 P O C   d e m o ， 它 把 i f r a m e 缩 放 了 5 0 倍 ， 并 将 其 移 动 到 我 们 希 望 受 害 者 用 户 单 击 的 位 置 。 两 次 连 续 点 击 之 后 ， 会 出 现 我 创 建 发 布 的 地 图 ， 大 家 可 以 试 试 。 总 结 总 结
1 、 任 何 用 户 输 入 点 都 值 得 怀 疑 。 对 厂 商 来 说 ， 需 要 在 保 存 提 交 数 据 之 前 进 行 一 些 必 要 的 验 证 措 施 ； 2 、 考 虑 C l i c k j a c k i n g 时 ， 可 检 查 X - F r a m e - O p t i o n s   ； 3 、 寻 找 漏 洞 时 ， 尽 量 去 实 现 最 坏 的 漏 洞 危 害 ， 或 综 合 利 用 ； 4 、 尽 量 在 测 试 范 围 内 的 一 些 “ 老 旧 ” 系 统 中 多 做 挖 掘 。 漏 洞 上 报 进 程 漏 洞 上 报 进 程 2 0 1 8 . 9 . 1 2         漏 洞 上 报 2 0 1 8 . 1 0 . 1 2       漏 洞 被 分 类 为 P 1 级 别 2 0 1 8 . 1 0 . 1 2       谷 歌 深 入 调 查 并 给 予 肯 定 （ N i c e   C a t c h ） 2 0 1 8 . 1 1 . 1 2         得 到 一 笔 赏 金 * 参 考 来 源 ： 参 考 来 源 ： a p p i o ， ， c l o u d s 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理