搜索

[15190] 2020-03-29_挖洞经验从负载均衡或CDN应用中发现的配置类漏洞

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2020-03-29_挖洞经验从负载均衡或CDN应用中发现的配置类漏洞 挖 洞 经 验   |   从 负 载 均 衡 或 C D N 应 用 中 发 现 的 配 置 类 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 3 - 2 9 本 文 分 享 的 本 文 分 享 的 W r i t e u p 是 作 者 在 测 试 一 些 目 标 服 务 相 关 的 负 载 均 衡 或 是 作 者 在 测 试 一 些 目 标 服 务 相 关 的 负 载 均 衡 或 C D N 应 用 时 发 现 的 错 误 配 置 型 漏 洞 ， 这 些 漏 应 用 时 发 现 的 错 误 配 置 型 漏 洞 ， 这 些 漏 洞 有 些 发 生 服 务 端 犄 角 旮 旯 的 响 应 消 息 中 ， 可 能 很 少 会 引 人 注 意 ， 我 们 一 起 来 看 看 。 洞 有 些 发 生 服 务 端 犄 角 旮 旯 的 响 应 消 息 中 ， 可 能 很 少 会 引 人 注 意 ， 我 们 一 起 来 看 看 。 前 言 前 言 当 针 对 一 个 W e b 应 用 测 试 目 标 进 行 漏 洞 分 析 时 ， 我 通 常 最 后 都 会 检 查 两 件 事 ： 1 、 在 H T T P 响 应 的 B u r p 历 史 记 录 中 查 找 一 些 涉 及 到 的 用 户 账 户 相 关 信 息 ， 如 用 户 名 、 邮 箱 地 址 、 手 机 号 码 等 等 ； 2 、 通 过 B u r p 被 动 扫 描 收 集 分 析 H T T P 响 应 中 所 有 邮 箱 地 址 。 这 样 做 的 目 的 是 为 了 寻 找 更 多 的 攻 击 面 ， 特 别 是 针 对 I D O R 或 访 问 控 制 类 型 漏 洞 时 尤 为 有 用 。 然 而 这 种 习 惯 却 逐 渐 成 了 我 挖 掘 奇 怪 漏 洞 过 程 中 必 不 可 少 的 操 作 ， 此 处 我 就 分 享 一 些 类 似 漏 洞 安 全 ， 希 望 能 对 大 家 起 到 借 鉴 作 用 。 漏 洞 漏 洞 1 ： 奇 怪 的 负 载 均 衡 错 误 配 置 漏 洞 （ ： 奇 怪 的 负 载 均 衡 错 误 配 置 漏 洞 （ $ 4 0 0 ） ） 这 个 漏 洞 以 前 我 从 没 见 过 ， 当 我 在 分 析 B u r p 被 动 扫 描 收 集 的 H T T P 响 应 消 息 邮 箱 地 址 时 ， 我 发 现 其 中 一 个 并 不 属 于 我 的 G m a i l 邮 箱 地 址 ， 于 是 ， 我 就 查 找 这 个 邮 箱 的 具 体 归 属 ， 之 后 我 在 其 H T T P 响 应 消 息 中 的 的 某 个 服 务 端 H T M L 脚 本 源 码 中 发 现 了 它 的 身 影 ， 可 见 这 是 一 个 包 含 了 用 户 I D 和 邮 箱 的 响 应 ：
它 看 上 去 非 常 奇 怪 ， 原 因 在 于 ， 当 我 把 这 个 H T T P 响 应 的 主 请 求 重 新 切 换 到 R e p e a t e r 中 进 行 请 求 重 发 时 ， 响 应 回 来 的 却 又 是 我 自 己 相 关 的 邮 箱 地 址 、 用 户 I D 和 其 他 账 户 设 置 ， 刚 刚 那 个 G m a i l 邮 箱 地 址 又 神 奇 的 不 见 了 ！ 这 是 怎 么 回 事 ， 难 道 是 我 收 集 到 了 其 他 用 户 的 邮 箱 地 址 了 ？ 经 过 一 番 分 析 验 证 ， 原 来 是 这 样 的 ， 如 果 当 前 用 户 在 没 有 特 定 的 用 户 “ C o o k i e ” 信 息 时 ， 若 他 对 目 标 服 务 端 发 起 了 请 求 ， 那 么 就 会 导 致 前 端 的 负 载 均 衡 应 用 出 现 响 应 错 乱 ， 错 把 其 他 用 户 的 用 户 个 人 响 应 到 了 那 个 J S 脚 本 中 ， 显 示 到 了 当 前 用 户 的 响 应 消 息 中 。 所 以 ， 如 果 当 前 用 户 把 自 己 的 所 有 C o o k i e 信 息 删 除 后 ， 对 目 标 服 务 端 发 起 请 求 ， 就 会 在 H T T P 响 应 中 获 取 到 其 他 用 户 包 括 个 人 邮 箱 在 内 的 用 户 信 息 。 而 且 ， 每 次 执 行 不 同 的 请 求 ， 负 载 均 衡 应 用 就 会 响 应 给 客 户 端 不 同 的 其 他 用 户 信 息 。 因 此 ， 如 果 不 停 的 R e p e a t 重 放 请 求 ， 那 么 将 会 以 此 方 式 获 取 到 目 标 网 站 中 的 大 量 注 册 用 户 敏 感 信 息 。 如 下 变 换 请 求 获 得 其 他 用 户 的 个 人 注 册 信 息 ： 漏 洞 漏 洞 2 ： 白 名 单 用 户 信 息 泄 露 漏 洞 （ ： 白 名 单 用 户 信 息 泄 露 漏 洞 （ $ 8 0 0 ） ） 有 了 上 个 漏 洞 的 基 础 ， 在 后 续 的 测 试 中 我 就 多 了 一 些 心 眼 。 这 不 ， 几 天 之 后 ， 我 又 在 一 次 网 站 测 试 中 发 现 了 类 似 漏 洞 ， 在 某 个 请 求 涉 及 的 w h i t e l i s t E x t e r n a l U s e r E m a i l s 参 数 中 ， 服 务 端 响 应 回 来 了 一 个 脚 本 文 件 ， 其 中 包 含 了 1 7 个 奇 怪 的 邮 箱 地 址 ， 如 下 ：
于 是 乎 ， 我 在 目 标 网 站 上 对 这 些 邮 箱 进 行 了 分 析 ， 之 后 发 现 这 些 邮 箱 对 应 的 账 户 都 是 一 些 已 经 存 在 的 有 效 账 户 。 后 续 我 搞 明 白 了 ， 原 来 这 是 一 些 目 标 网 站 应 用 的 白 名 单 用 户 ， 用 以 排 除 在 某 种 安 全 限 制 之 外 之 用 （ 有 可 能 是 W A F ） ， 但 是 却 错 误 地 配 置 到 了 响 应 的 脚 本 页 面 中 了 。 漏 洞 漏 洞 3 ： 负 载 均 衡 的 浅 拷 贝 缓 存 漏 洞 ： 负 载 均 衡 的 浅 拷 贝 缓 存 漏 洞 在 某 次 渗 透 测 试 中 ， 我 发 现 与 第 一 个 漏 洞 类 似 的 信 息 泄 露 问 题 ， 同 样 是 我 在 查 找 B u r p 被 动 扫 描 记 录 时 发 现 的 ： 这 个 漏 洞 与 第 一 个 漏 洞 的 不 同 之 处 在 于 ， 我 无 法 通 过 它 来 收 集 获 取 其 他 用 户 的 相 关 个 人 信 息 ， 但 由 于 这 是 一 个 渗 透 测 试 项 目 ， 我 就 直 接 和 客 户 方 进 行 了 交 流 沟 通 ， 之 后 ， 客 户 方 经 过 调 查 给 我 的 解 释 为 ： 由 于 服 务 后 端 存 在 某 个 对 象 实 体 的 浅 拷 贝 （ S h a l l o w   C o p y ） ， 当 对 象 实 体 引 用 了 其 他 用 户 数 据 时 就 会 发 生 暂 时 的 缓 存 ， 当 该 对 象 实 体 返 回 后 ， 存 在 该 漏 洞 问 题 的 页 面 将 会 在 其 中 渲 染 加 载 * * 实 例 信 息 。 之 后 验 证 发 现 ， 这 种 情 况 在 目 标 服 务 端 每 小 时 都 会 发 生 一 次 的 事 ， 非 常 难 以 定 位 复 现 ， 但 在 我 多 了 个 心 眼 的 情 况 下 ， 好 在 帮 助 客 户 发 现 了 这 个 问 题 。 漏 洞 漏 洞 4 ： 用 户 授 权 ： 用 户 授 权 A u t h o r i z a t i o n   H e a d e r 头 信 息 泄 露 漏 洞 头 信 息 泄 露 漏 洞
同 样 的 ， 在 测 试 某 个 目 标 A P I 应 用 时 ， 当 我 在 检 查 H T T P 响 应 中 我 自 己 的 注 册 用 户 名 时 ， 我 发 现 它 竟 然 包 含 在 了 其 中 一 个 J S 脚 本 中 ， 该 脚 本 中 还 包 含 了 我 对 访 问 该 A P I 的 授 权 A u t h o r i z a t i o n   H e a d e r 头 信 息 ， 这 是 不 是 一 个 跨 站 脚 本 包 含 ( X S S I ) 漏 洞 呢 ？ 之 后 ， 我 发 现 即 使 把 我 账 户 相 关 的 会 话 C o o k i e 删 除 之 后 ， 发 起 该 请 求 ， 一 样 还 会 返 回 我 的 用 户 名 和 授 权 A u t h o r i z a t i o n H e a d e r 头 信 息 ： 我 根 本 想 不 到 会 如 此 ， 所 以 我 又 接 着 进 行 了 以 下 测 试 ： 1 、 如 果 更 改 其 中 的 l o c 参 数 ， J S 脚 本 响 应 的 消 息 就 会 会 包 括 上 述 用 户 相 关 泄 露 信 息 ； 2 、 如 果 以 第 二 个 用 户 身 份 访 问 目 标 A P I 应 用 ， J S 脚 本 中 响 应 的 就 会 是 该 用 户 相 关 的 个 人 信 息 ； 3 、 同 样 ， 在 第 二 个 用 户 会 话 环 境 下 ， 即 使 删 除 所 有 会 话 C o o k i e ， J S 脚 本 返 回 的 信 息 依 然 是 第 二 个 用 户 的 个 人 信 息 。 现 在 来 看 ， 由 于 这 是 一 个 J S 脚 本 文 件 ， 它 由 目 标 A P I 服 务 的 前 端 C D N 执 行 了 缓 存 ， 其 中 包 含 了 l o c 参 数 上 。 有 两 种 利 用 方 式 ， 一 是 即 使 l o c 参 数 无 效 ， 那 么 目 标 A P I 服 务 端 将 会 返 回 响 应 用 户 的 授 权 头 信 息 ， 利 用 这 个 点 可 以 构 造 钓 鱼 链 接 ， 以 无 效 的 l o c 为 参 数 ， 发 送 给 受 害 者 ， 诱 惑 其 点 击 ， 那 么 就 会 把 其 授 权 A u t h o r i z a t i o n   H e a d e r 头 信 息 缓 存 在 J S 脚 本 中 。 另 一 种 为 有 效 的 l o c 参 数 环 境 下 ， 可 以 通 过 l o c 参 数 样 式 构 造 字 典 ， 对 A P I 服 务 端 进 行 枚 举 请 求 ， 那 么 ， 将 会 获 取 到 一 些 有 效 l o c 参 数 相 关 的 注 册 用 户 个 人 信 息 。 该 漏 洞 上 报 后 只 收 获 了 $ 3 0 0 的 奖 金 ， 原 因 在 于 厂 商 认 为 用 户 授 权 头 信 息 不 怎 么 敏 感 ， 但 我 认 为 漏 洞 还 是 被 低 估 了 。 但 不 管 怎 么 说 ， 总 比 三 年 前 发 现 这 种 漏 洞 时 要 好 得 多 。 总 结 总 结 漏 洞 众 测 是 个 特 别 的 行 业 ， 除 了 X S S 、 C S R F 、 S Q L i 等 其 它 通 用 漏 洞 的 分 析 外 ， 尝 试 进 行 上 述 逻 辑 错 误 配 置 漏 洞 的 测 试 ， 说 不 定 会 发 现 一 些 独 特 的 攻 击 面 。 有 些 测 试 起 初 看 似 没 有 意 义 ， 但 仔 细 深 入 就 会 发 现 更 多 隐 藏 的 线 索 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理