搜索

[14964] 2020-02-02_PayPal验证码质询功能（reCAPTCHAChallenge）存在的用户密码泄露漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-02-02_PayPal验证码质询功能（reCAPTCHAChallenge）存在的用户密码泄露漏洞 P a y P a l 验 证 码 质 询 功 能 （ r e C A P T C H A   C h a l l e n g e ） 存 在 的 用 户 密 码 泄 露 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 2 - 0 2 近 期 ， 安 全 研 究 者 近 期 ， 安 全 研 究 者 A l e x   B i r s a n l 对 对 P a y P a l 登 录 界 面 的 身 份 验 证 机 制 进 行 分 析 ， 发 现 了 其 中 一 个 隐 藏 的 高 危 漏 登 录 界 面 的 身 份 验 证 机 制 进 行 分 析 ， 发 现 了 其 中 一 个 隐 藏 的 高 危 漏 洞 ， 可 以 通 过 请 求 其 验 证 码 质 询 服 务 端 （ 洞 ， 可 以 通 过 请 求 其 验 证 码 质 询 服 务 端 （ r e C A P T C H A   c h a l l e n g e ） ， 在 质 询 响 应 消 息 中 获 取 ） ， 在 质 询 响 应 消 息 中 获 取 P a y P a l 受 害 者 的 受 害 者 的 注 册 邮 箱 和 明 文 密 码 ， 危 害 严 重 ， 漏 洞 最 终 获 得 了 注 册 邮 箱 和 明 文 密 码 ， 危 害 严 重 ， 漏 洞 最 终 获 得 了 P a y P a l 官 方 官 方 $ 1 5 , 3 0 0 的 奖 励 。 的 奖 励 。 漏 洞 前 言 漏 洞 前 言 当 我 们 在 做 漏 洞 测 试 时 ， 相 对 于 那 些 显 而 易 见 的 功 能 应 用 来 说 ， 我 们 还 会 去 关 注 那 些 未 知 资 产 或 模 糊 端 点 的 服 务 ， 有 时 候 这 种 犄 角 旮 旯 服 务 产 生 的 漏 洞 同 样 至 关 重 要 ， 影 响 关 键 。 在 面 对 测 试 目 标 时 ， 如 果 你 是 第 一 个 关 注 它 并 对 它 开 展 测 试 评 估 的 人 ， 那 么 细 致 全 面 的 检 查 无 疑 会 发 现 一 些 安 全 问 题 ， 尤 其 是 一 些 代 码 已 经 成 型 且 处 于 持 续 运 转 的 应 用 ， 若 能 在 这 种 应 用 功 能 中 发 现 安 全 漏 洞 ， 将 会 是 非 常 重 要 非 常 危 急 ， 且 收 获 颇 丰 的 。 本 文 中 ， 作 者 就 在 P a y P a l 用 户 经 常 用 到 的 功 能 点   -   登 录 框 架 中 发 现 了 一 个 高 危 漏 洞 ， 我 们 一 起 来 看 看 。 最 初 研 究 最 初 研 究 我 在 研 究 P a y P a l 的 验 证 机 制 时 ， 发 现 其 a u t h 验 证 页 面 的 一 个 j a v a s c r i p t 脚 本 文 件 （ r e c a p t c h a v 3 . j s ） 中 ， 包 含 了 一 个 C S R F   t o k e n 和 一 个 会 话 I D （ S e s s i o n   I D ） ， 如 下 ：
这 马 上 引 起 了 我 的 注 意 ， 因 为 在 有 效 j a v a s c r i p t 文 件 中 存 在 的 任 何 类 型 的 会 话 数 据 ， 都 有 可 能 被 攻 击 者 以 各 种 方 式 检 索 获 取 到 。 如 用 跨 站 脚 本 包 含 （ c r o s s - s i t e   s c r i p t   i n c l u s i o n ， X S S I ) ， 攻 击 者 可 以 用 一 个 嵌 入 了 H T M L < s c r i p t > 的 W e b 页 面 包 含 进 恶 意 跨 域 脚 本 ， 然 后 通 过 该 恶 意 跨 域 脚 本 绕 过 边 界 窃 取 用 户 存 储 在 网 站 中 的 敏 感 信 息 。 由 此 ， 我 进 行 了 一 个 简 单 测 试 ， 测 试 发 现 我 猜 测 的 跨 站 脚 本 包 含 漏 洞 （ X S S I ） 是 确 定 存 在 的 。 尽 管 每 个 R e q u e s t 请 求 中 都 会 有 一 个 j a v a s c r i p t 混 淆 方 法 去 随 机 化 变 量 名 ， 但 其 中 敏 感 的 用 户 t o k e n 还 是 一 样 会 响 应 出 现 在 了 之 前 我 们 预 计 的 位 置 ， 如 果 额 外 加 点 料 ， 完 全 能 实 现 对 其 中 敏 感 信 息 的 检 索 提 取 。 然 而 ， 一 个 安 全 问 题 的 好 坏 在 于 你 能 用 它 来 实 现 怎 样 的 安 全 威 胁 。 因 此 ， 有 了 以 上   _ c s r f   和   _ s e s s i o n I D 的 发 现 ， 我 立 即 着 手 对 它 们 进 行 分 析 ， 想 搞 清 楚 它 们 的 具 体 用 途 和 可 利 用 之 处 。 深 入 分 析 深 入 分 析 经 过 无 数 次 对 上 述 P a y P a l 身 份 验 证 请 求 中 的 C S R F   t o k e n 值 （ _ c s r f   ） 的 替 换 ， 之 后 ， 我 认 为 用 这 个 C S R F   t o k e n 不 可 能 实 现 经 典 的 跨 站 请 求 伪 造 攻 击 （ C S R F ） ， 同 样 ， 替 换 _ s e s s i o n I D 值 也 不 能 实 现 对 受 害 者 的 冒 充 。 接 下 来 ， 我 回 到 了 之 前 的 r e c a p t c h a v 3 . j s 中 继 续 分 析   _ c s r f   和   _ s e s s i o n I D 的 具 体 用 途 ， 之 后 ， 我 顺 藤 摸 瓜 来 到 了 P a y P a l 主 要 安 全 机 制 之 一 的 安 全 质 询 发 起 功 能 点 的 防 暴 力 枚 举 处 ， 虽 然 该 功 能 用 于 大 多 数 P a y P a l 服 务 中 ， 但 我 还 是 把 关 注 点 聚 集 到 了 P a y P a l 的 主 登 录 框 架 中 。 因 为 ： 如 果 经 过 数 次 的 登 录 失 败 尝 试 ， 之 后 ， 在 继 续 登 录 之 前 ， P a y P a l 会 向 用 户 发 起 一 个 验 证 码 质 询 （ r e C A P T C H A c h a l l e n g e ） ， 以 验 证 当 前 尝 试 登 录 的 主 体 是 否 是 人 还 是 暴 力 枚 举 的 R o b o t 。 然 而 ， 就 是 这 样 一 个 功 能 实 现 ， 却 让 我 发 现 了 其 中 隐 藏 的 信 息 ， 让 我 有 点 吃 惊 。 如 果 P a y P a l 一 旦 检 测 到 可 能 的 暴 力 登 录 尝 试 ， 那 么 ， 在 下 次 登 录 尝 试 之 前 ， P a y P a l 登 录 界 面 会 弹 出 一 个 G o o g l e 验 证 码 （ G o o g l e   C a p t c h a ） 输 入 提 示 ， 如 果 最 终 该 验 证 码 由 用 户 输 入 完 成 ， 那 么 就 会 向 P a y P a l 服 务 端 / a u t h / v a l i d a t e c a p t c h a 发 起 一 下 如 下 的 H T T P   P O S T 请 求 ：
可 见 ， 其 请 求 体 中 包 含 了 我 们 熟 悉 的 _ c s r f   和   _ s e s s i o n I D ，   除 此 之 外 ， 还 有 j s e 和 c a p t c h a 两 个 数 值 比 较 大 的 参 数 。 发 起 上 述 验 证 码 质 询 （ r e C A P T C H A   c h a l l e n g e ） 请 求 后 ， 其 后 续 的 响 应 旨 在 将 用 户 重 新 引 入 身 份 验 证 流 程 ， 为 此 ， 响 应 消 息 中 包 含 了 一 个 自 动 提 交 表 单 ， 其 中 存 有 用 户 最 新 登 录 请 求 中 输 入 的 所 有 数 据 ， 包 括 相 关 的 电 子 邮 件 和 纯 文 本 密 码 （ P l a i n   T e x t   P a s s w o r d ） ！ ！ 经 解 析 后 的 H T M L 如 下 ： 有 了 这 些 ， 攻 击 者 可 以 通 过 社 工 或 钓 鱼 方 式 ， 在 正 确 时 机 范 围 内 对 受 害 者 形 成 一 些 交 互 ， 就 能 获 取 上 述 的 _ c s r f   和 _ s e s s i o n I D 等 t o k e n 信 息 ， 有 了 这 些 t o k e n 信 息 ， 再 向 / a u t h / v a l i d a t e c a p t c h a 发 起 验 证 码 安 全 质 询 ， 如 果 受 害 者 登 录 成 功 ， 最 终 质 询 响 应 回 来 的 信 息 中 就 会 包 含 受 害 者 的 注 册 邮 箱 和 明 文 密 码 信 息 。 在 真 实 攻 击 场 景 中 ， 攻 击 者 只 需 制 作 一 个 恶 意 页 面 （ 类 似 钓 鱼 页 面 ） ， 迷 惑 受 害 者 点 击 访 问 ， 以 模 拟 P a y P a l 身 份 验 证 的 反 复 尝 试 ， 去 调 用 P a y P a l 的 验 证 码 质 询 （ G o o g l e   C a p t c h a ） ， 然 后 在 其 质 询 响 应 消 息 中 即 可 实 现 对 受 害 者 P a y P a l 登 录 密 码 的 获 取 。 最 后 ， 我 又 回 到 对 / a u t h / v a l i d a t e c a p t c h a 的 H T T P   P O S T 请 求 中 ， 想 看 看 j s e 和 c a p t c h a 两 个 参 数 的 实 际 作 用 ， 分 析 发 现 ： j s e 根 本 没 起 到 验 证 作 用 ； r e c a p t c h a 是 G o o g l e 提 供 过 来 的 验 证 码 质 询 （ r e C A P T C H A   c h a l l e n g e ） t o k e n ， 它 与 特 定 的 用 户 会 话 无 关 ， 无 论 人 机 验 证 ， 只 要 与 其 匹 配 的 任 何 有 效 输 入 t o k e n ， 它 都 会 接 受 。 漏 洞 利 用 漏 洞 利 用 综 上 所 述 ， 除 去 G o o g l e 的 验 证 码 质 询 解 决 方 案 以 外 ， 为 了 对 以 上 漏 洞 进 行 成 功 利 用 ， 我 把 所 有 东 西 组 合 起 来 ， 制 作 了 一 个 P o C 验 证 。 整 个 P o C 验 证 包 含 两 个 步 骤 ： 1 、 用 跨 站 包 含 漏 洞 （ X S S I ） 获 取 受 害 者 会 话 中 的 _ c s r f   和   _ s e s s i o n I D 等 t o k e n 信 息 ， 之 后 ， 利 用 这 些 t o k e n 信 息 在 受 害 者 浏 览 器 端 发 起 针 对 P a y P a l 身 份 验 证 服 务 端 / a u t h / v a l i d a t e c a p t c h a 的 P O S T 请 求 ， 形 成 暴 力 猜 解 登 录 尝 试 的 模 拟 ， 以 触 发 P a y P a l 的 验 证 码 安 全 质 询 机 制 ； 2 、 一 旦 受 害 者 成 功 登 录 到 P a y P a l 之 后 ， 之 前 对 / a u t h / v a l i d a t e c a p t c h a 的 请 求 响 应 消 息 中 ， 将 会 包 含 受 害 者 的 注 册 邮 箱 和 登 录 P a y P a l 的 明 文 密 码 。 在 我 设 计 的 P o C 中 ， 这 些 敏 感 信 息 会 显 示 在 页 面 中 。 整 个 P o C 的 最 后 步 骤 是 去 请 求 G o o g l e 获 取 一 个 最 新 的 r e C A P T C H A   t o k e n 。
利 用 此 方 法 ， 我 又 发 现 ， 在 P a y P a l 的 一 些 未 经 用 户 授 权 的 支 付 页 面 中 ， 同 样 存 在 该 漏 洞 ， 可 以 用 上 述 方 法 获 取 到 用 户 的 明 文 * 数 据 信 息 。 漏 洞 上 报 及 处 理 进 程 漏 洞 上 报 及 处 理 进 程 2 0 1 9 . 1 1 . 1 8   我 将 P o C 验 证 资 料 连 同 其 它 敏 感 信 息 一 并 提 交 给 了 P a y P a l 在 H a c k e r O n e 上 的 众 测 项 目 ； 2 0 1 9 . 1 2   P a y P a l 确 认 了 漏 洞 的 有 效 性 ； 2 0 1 9 . 1 2 . 1 0   P a y P a l 官 方 奖 励 了 我 $ 1 5 , 3 0 0 ， 同 时 漏 洞 被 P a y P a l 评 定 为 C V S S   8 . 0   ( 高 危 )   ； 2 0 1 9 . 1 2 . 1 1   P a y P a l 及 时 修 复 了 漏 洞 漏 洞 修 复 及 建 议 漏 洞 修 复 及 建 议 现 在 ， P a y P a l 的 验 证 码 质 询 功 能 点 / a u t h / v a l i d a t e c a p t c h 加 入 了 C S R F   t o k e n ， 已 经 不 能 实 现 之 前 的 跨 站 脚 本 包 含 攻 击 。 虽 然 漏 洞 是 可 以 修 复 的 ， 但 如 果 遵 循 信 息 安 全 最 古 老 的 建 议 ： 永 远 不 要 以 纯 文 本 方 式 存 储 密 码 ， 那 么 这 一 切 原 本 都 是 可 以 避 免 的 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理