搜索

[14917] 2019-12-29_利用Instagram版权功能构造CSRF漏洞删除其他用户文件

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2019-12-29_利用Instagram版权功能构造CSRF漏洞删除其他用户文件 利 用 I n s t a g r a m 版 权 功 能 构 造 C S R F 漏 洞 删 除 其 他 用 户 文 件 c l o u d s   F r e e B u f   2 0 1 9 - 1 2 - 2 9 最 近 ， 我 注 意 到 最 近 ， 我 注 意 到 I n s t a g r a m 增 加 了 大 量 的 版 权 说 明 部 分 ， 其 中 声 称 ， 当 用 户 上 传 到 增 加 了 大 量 的 版 权 说 明 部 分 ， 其 中 声 称 ， 当 用 户 上 传 到 I n s t a g r a m 的 媒 体 文 件 侵 犯 了 的 媒 体 文 件 侵 犯 了 其 他 地 方 的 知 识 版 权 后 ， 就 会 显 示 一 个 通 知 反 映 媒 体 文 件 的 版 权 上 诉 信 息 ， 之 后 其 他 地 方 的 知 识 版 权 后 ， 就 会 显 示 一 个 通 知 反 映 媒 体 文 件 的 版 权 上 诉 信 息 ， 之 后 I n s t a g r a m 会 自 动 删 除 该 文 件 。 会 自 动 删 除 该 文 件 。 I n s t a g r a m 版 权 说 明 中 有 这 样 的 描 述 ： 收 到 权 利 所 有 人 投 诉   I n s t a g r a m   上 的 内 容 侵 犯 其 知 识 产 权 的 举 报 后 ， 我 们 可 能 需 要 立 即 从 I n s t a g r a m   删 除 相 关 内 容 ， 而 不 会 事 先 联 系 您 。 如 果   I n s t a g r a m   根 据 通 过 在 线 表 单 提 交 的 知 识 产 权 举 报 删 除 您 发 布 的 内 容 ， 就 会 向 您 发 送 通 知 消 息 ， 并 附 上 提 交 举 报 的 权 利 所 有 人 的 姓 名 和 电 子 邮 箱 或 者 举 报 详 情 。 您 如 果 认 为 相 关 内 容 不 应 该 被 删 除 ， 则 可 以 直 接 联 系 提 交 举 报 的 用 户 ， 尝 试 解 决 此 问 题 。 根 据 以 上 说 明 ， 所 以 我 决 定 对 此 功 能 进 行 一 些 测 试 。 我 就 上 传 了 一 个 包 含 某 首 音 乐 面 临 版 权 问 题 的 视 频 文 件 ， 经 测 试 发 现 ， I n s t a g r a m 会 使 用 一 个 G E T 请 求 来 删 除 该 文 件 。 其 删 除 操 作 路 径 为 ： h t t p s : / / w w w . i n s t a g r a m . c o m / m e d i a / { M E D I A _ I D } / c o p y r i g h t / d i s m i s s _ a m / 其 中 的 M E D I A _ I D 代 表 将 要 被 删 除 的 视 频 文 件 或 发 贴 I D ， 后 来 我 发 现 ， 只 要 获 取 对 受 害 者 所 发 贴 或 上 传 的 相 关 文 件 I D 号 ， 然 后 把 上 述 链 接 发 送 给 受 害 者 用 户 后 ， 都 会 把 对 方 发 贴 或 相 关 文 件 删 除 掉 ， 造 成 间 接 的 C S R F 场 景 ， 实 现 恶 意 破 坏 目 的 。 该 B u g 在 I n s t a g r a m 的 手 机 A P P 或 网 页 版 中 都 能 成 功 复 现 。 漏 洞 上 报 及 处 理 进 程 漏 洞 上 报 及 处 理 进 程 2 0 1 9 . 1 . 2 9   漏 洞 初 报 2 0 1 9 . 1 . 2 9   漏 洞 分 类 2 0 1 9 . 1 . 3 0   漏 洞 修 复
2 0 1 9 . 2 . 1 4   F a c e b o o k 奖 励 了 $ 3 , 0 0 0 * 参 考 来 源 ： 参 考 来 源 ： d y n a m i c w o r l d ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理