搜索

[14922] 2019-12-30_通过Vimeo的文件上传功能发现其SSRF漏洞（$5000）

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-18
2019-12-30_通过Vimeo的文件上传功能发现其SSRF漏洞（$5000） 通 过 V i m e o 的 文 件 上 传 功 能 发 现 其 S S R F 漏 洞 （ $ 5 0 0 0 ） c l o u d s   F r e e B u f   2 0 1 9 - 1 2 - 3 0 本 文 分 享 的 是 视 频 分 享 网 站 本 文 分 享 的 是 视 频 分 享 网 站 V i m e o 的 一 个 的 一 个 S S R F 漏 洞 ， 作 者 通 过 漏 洞 ， 作 者 通 过 V i m e o 上 传 功 能 中 上 传 功 能 中 V i m e o 分 次 读 取 部 分 文 件 流 的 分 次 读 取 部 分 文 件 流 的 机 制 发 现 了 该 漏 洞 ， 漏 洞 最 终 获 得 了 机 制 发 现 了 该 漏 洞 ， 漏 洞 最 终 获 得 了 V i m e o 官 方 官 方 $ 5 , 0 0 0 美 金 奖 励 。 以 下 是 作 者 的 分 享 。 美 金 奖 励 。 以 下 是 作 者 的 分 享 。 漏 洞 发 现 过 程 漏 洞 发 现 过 程 之 前 我 一 直 在 学 校 学 习 我 比 较 讨 厌 的 科 目 知 识 ， 所 以 最 近 我 决 定 放 松 休 息 一 下 ， 我 告 诉 自 己 必 须 要 在 H a c k e r O n e 平 台 中 的 V i m e o 漏 洞 众 测 中 有 所 发 现 。 于 是 ， 我 就 直 接 想 测 试 一 下 V i m e o 平 台 的 上 传 功 能 ， 尤 其 是 通 过 G o o g l e 云 端 硬 盘 ( G o o g l e   D r i v e ) 上 传 到 V i m e o 的 一 些 功 能 特 性 ， 所 以 ， 在 我 的 G o o g l e 云 端 硬 盘 中 我 选 择 了 一 个 特 定 视 频 文 件 ， 把 它 执 行 到 V i m e o 的 上 传 操 作 ， 然 后 用 B u r p S u i t e 查 看 它 的 具 体 上 传 请 求 信 息 。 从 上 图 可 见 ， 上 传 视 频 文 件 的 具 体 U R L 链 接 中 包 含 了 G o o g l e 云 盘 中 的 相 关 身 份 验 证 信 息 ， 以 便 让 V i m e o 后 端 服 务 器 能 有 权 限 从 G o o g l e 云 盘 中 获 取 到 相 应 文 件 ， 具 体 的 验 证 信 息 存 在 于 请 求 头 的 h e a d e r 参 数 中 。 所 以 ， 看 到 这 里 我 就 想 在 自 己 的 V P S 中 架 设 一 个 环 境 ， 发 起 上 传 视 频 文 件 到 V i m e o 平 台 的 操 作 ， 看 看 上 传 请 求 发 起 后 ， 在 V i m e o 后 端 服 务 器 和 我 的 V P S 服 务 器 之 间 会 发 生 什 么 情 况 。 经 测 试 ， 从 我 V P S 端 上 传 到 V i m e o 后 ， 我 V P S 中 的
具 体 网 络 情 况 如 下 ， V i m e o 后 端 响 应 回 来 的 消 息 有 些 奇 怪 ， 尤 其 是 其 黄 色 部 分 。 其 黄 色 部 分 的 R a n g e , 和 C o n t e n t - R a n g e 等 引 起 了 我 的 注 意 ， 但 从 其 名 字 中 我 也 大 概 能 猜 测 到 其 大 致 用 途 。 可 以 这 样 假 设 ， 大 多 数 时 候 ， 因 为 用 户 上 传 的 视 频 文 件 都 是 比 较 大 的 ， 所 以 V i m e o 不 会 用 一 个 上 传 请 求 来 实 现 对 整 个 文 件 的 上 传 。 但 如 果 用 户 需 要 上 传 的 视 频 文 件 较 小 ， 那 么 V i m e o 就 会 实 现 一 次 请 求 上 传 了 。 所 以 这 样 来 看 ， V i m e o 对 用 户 需 要 上 传 的 大 视 频 文 件 都 是 采 取 每 次 请 求 部 分 文 件 ， 然 后 多 次 请 求 ， 再 实 现 最 终 整 个 文 件 的 组 装 完 成 。 整 个 上 传 流 程 大 概 的 逻 辑 如 下 ：
也 就 是 说 ， V i m e o 服 务 器 请 求 用 户 需 要 上 传 的 视 频 文 件 时 ， 它 会 判 断 如 果 文 件 足 够 小 ， 那 么 建 立 一 次 连 接 就 可 以 上 传 完 成 ， 就 不 需 要 后 续 再 建 立 连 接 了 。 基 于 此 ， 我 突 然 想 到 ， 如 果 我 不 向 V i m e o 服 务 端 发 送 整 个 上 传 文 件 会 如 何 呢 ？ 比 如 ， 按 以 上 原 理 ， 如 果 我 的 V P S 告 诉 V i m e o 后 端 服 务 器 ， 我 需 要 上 传 的 文 件 有 5 0 0 B ， 那 么 V i m e o 后 端 服 务 器 就 会 来 取 走 这 5 0 0 B ， 但 是 ， 如 果 现 在 我 的 V P S 告 诉 V i m e o 后 端 服 务 器 我 的 文 件 只 有 2 0 0 B ， 那 么 之 后 会 发 生 什 么 呢 ？ 说 白 了 ， 也 就 是 看 看 V i m e o 后 端 对 大 文 件 上 传 的 具 体 操 作 行 为 ， 来 试 试 看 。 在 此 ， 我 用 P y t h o n 编 写 了 一 个 脚 本 来 监 测 V i m e o 的 这 种 取 大 文 件 的 操 作 ， 我 需 要 上 传 的 视 频 文 件 长 度 共 5 5 4 2 3 1 B 。 测 试 发 现 ， 当 V i m e o 后 端 服 务 器 来 取 我 的 这 个 5 5 4 2 3 1 B 大 文 件 时 ， 监 测 脚 本 显 示 ， 第 一 次 V i m e o 后 端 只 会 读 取 8 2 2 8 B 长 度 的 部 分 文 件 内 容 ！
C o o l ， V i m e o 后 端 在 取 完 8 2 2 8 B 长 度 的 部 分 文 件 后 ， 会 再 接 着 往 下 取 文 件 的 其 余 部 份 ， 由 此 ， 一 个 S S R F 场 景 在 我 脑 海 中 油 然 而 生 。 如 果 我 的 V P S 告 诉 V i m e o 后 端 服 务 器 一 个 重 定 向 响 应 ， 那 V i m e o 后 端 服 务 器 会 跟 着 跳 转 吗 ？ 还 是 会 存 储 这 个 重 定 向 响 应 ？ 还 是 继 续 接 着 往 下 读 取 文 件 其 余 部 分 ？ 我 的 构 思 场 景 逻 辑 如 下 ， V i m e o 后 端 在 取 完 第 一 次 的 8 2 2 8 B 长 度 的 部 分 文 件 内 容 后 ， 会 继 续 发 起 对 后 续 文 件 的 读 取 ， 这 个 时 候 ， 我 在 后 续 文 件 内 容 中 插 入 一 个 恶 意 文 件 内 容 - h t t p : / / e v i l . c o m / H e l l o . t x t ， 其 文 件 内 容 为 H e l l o W o r l d ! z z z ， 共 1 5 个 字 节 。 那 么 V i m e o 后 端 在 读 取 余 下 的 5 4 6 0 9 4 字 节 文 件 时 ， 会 一 并 请 求 我 们 恶 意 插 入 的 链 接 h t t p : / / e v i l . c o m / H e l l o . t x t ， 把 H e l l o W o r l d ! z z z 也 顺 利 读 取 到 。 由 于 一 些 W e b 托 管 服 务 端 对 上 述 攻 击 场 景 作 了 安 全 限 制 ， 所 以 我 自 己 动 手 搭 建 了 一 个 主 机 网 站 进 行 测 试 实 现 ， 很 幸 运 ， 我 的 猜 想 是 对 的 ！ 按 照 以 上 思 路 在 对 V i m e o 后 端 的 视 频 文 件 上 传 中 ， 可 以 成 功 实 现 上 述 预 计 的 攻 击 测 试 场 景 。 N o t i c e :   在 V i m e o 服 务 中 ， 我 们 可 以 下 载 原 始 的 上 传 文 件 ， 所 以 根 据 这 种 下 载 路 径 ， 我 们 也 能 轻 松 构 造 对 响 应 的 一 些 假 冒 伪 造 操 作 。
漏 洞 利 用 漏 洞 利 用 经 过 测 试 ， 我 发 现 V i m e o 后 端 服 务 相 关 操 作 是 建 立 在 G o o g l e 云 上 的 ， 它 后 端 部 署 了 一 个 谷 歌 云 实 例 ， 而 且 请 求 这 个 实 例 h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 / i n s t a n c e / s e r v i c e - a c c o u n t s / d e f a u l t / t o k e n ， 可 以 发 现 其 默 认 的 A P I 访 问 t o k e n ！ 那 么 有 了 这 个 t o k e n 之 后 ， 我 就 能 把 我 的 公 共 S S H 密 钥 添 加 到 实 例 中 ， 然 后 再 通 过 我 的 私 钥 去 连 接 它 ， 就 能 连 接 到 V i m e o 在 G o o g l e 云 上 的 实 例 ， 按 照 上 述 我 们 预 设 的 步 骤 成 功 实 现 S S R F 。 （ 此 处 可 参 考 另 一 V i m e o S S R F 漏 洞 ） 漏 洞 上 报 及 处 理 进 程 漏 洞 上 报 及 处 理 进 程 2 0 1 9 . 4 . 2 9   漏 洞 初 报 2 0 1 9 . 4 . 2 9   V i m e o 给 予 前 期 $ 1 0 0 奖 励 2 0 1 9 . 5 . 1   V i m e o 确 认 并 修 复 漏 洞 2 0 1 9 . 5 . 1   V i m e o 给 予   $ 4 9 0 0   奖 励 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理