搜索

[15434] 2020-05-30_Townscript票务平台的任意账户劫持

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2020-05-30_Townscript票务平台的任意账户劫持 T o w n s c r i p t 票 务 平 台 的 任 意 账 户 劫 持 c l o u d s   F r e e B u f   2 0 2 0 - 0 5 - 3 0 本 文 讲 述 了 印 度 票 务 平 台 本 文 讲 述 了 印 度 票 务 平 台 T o w n s c r i p t 缺 乏 速 率 限 制 ， 以 及 密 码 重 置 缺 陷 导 致 的 任 意 账 户 劫 持 漏 洞 。 速 率 限 制 缺 乏 速 率 限 制 ， 以 及 密 码 重 置 缺 陷 导 致 的 任 意 账 户 劫 持 漏 洞 。 速 率 限 制 （ （ R a t e   L i m i t i n g ） 仍 是 大 多 数 ） 仍 是 大 多 数 W e b 应 用 不 太 重 视 的 问 题 ， 但 一 旦 与 其 它 功 能 形 成 漏 洞 利 用 ， 也 将 会 导 致 严 重 的 应 用 不 太 重 视 的 问 题 ， 但 一 旦 与 其 它 功 能 形 成 漏 洞 利 用 ， 也 将 会 导 致 严 重 的 危 害 影 响 。 危 害 影 响 。 漏 洞 发 现 漏 洞 发 现 T o w n s c r i p t 是 一 家 印 度 在 线 活 动 票 务 公 司 ， 主 要 提 供 研 讨 会 、 展 览 、 马 拉 松 和 冒 险 活 动 等 项 目 的 登 记 、 注 册 和 售 票 服 务 ， 只 要 用 户 发 布 活 动 项 目 ， 注 册 和 购 票 页 面 就 会 自 动 生 成 ， 其 于 2 0 1 7 年 被 印 度 另 一 家 在 线 票 务 平 台 B o o k M y S h o w 收 购 。 近 期 ， 我 们 打 算 在 印 度 国 内 举 办 名 为 “ L e t s h a c k ” 的 安 全 训 练 营 活 动 ， 作 为 活 动 发 起 方 ， 我 们 把 该 项 活 动 的 售 票 放 到 了 T o w n s c r i p t 平 台 。 不 巧 的 是 ， 注 册 进 行 了 一 段 时 间 之 后 ， 我 就 把 绑 定 T o w n s c r i p t 平 台 的 邮 箱 密 码 和 登 录 T o w n s c r i p t 平 台 进 行 注 册 人 员 管 理 的 密 码 都 忘 记 了 ， 糟 糕 ！ 已 经 注 册 了 5 0 0 多 人 ， 而 且 活 动 将 在 数 周 后 开 始 ， 这 该 如 何 是 好 ！ 思 来 想 去 ， 我 注 册 了 一 个 新 的 T o w n s c r i p t 账 户 打 算 向 T o w n s c r i p t 官 方 发 邮 件 看 看 有 何 解 决 办 法 。 但 之 后 ， 我 想 就 着 测 试 一 下 T o w n s c r i p t 应 用 吧 ， 看 看 是 否 存 在 漏 洞 可 利 用 以 找 回 我 的 先 前 账 户 … 。 说 整 就 整 ， 起 初 我 想 到 的 就 是 S Q L 注 入 ， 虽 然 S Q L 注 入 漏 洞 影 响 较 大 ， 但 发 现 过 程 稍 显 复 杂 ， 我 就 把 测 试 重 点 放 到 了 相 对 简 单 的 登 录 和 注 册 页 面 上 。
接 下 来 ， 我 就 测 试 了 登 录 页 面 上 的 “ 忘 记 密 码 ” 功 能 ， 经 过 一 番 分 析 之 后 ， 我 发 现 该 “ 忘 记 密 码 ” 并 没 有 部 署 速 率 限 制 措 施 （ r a t e   l i m i t ） ， 那 是 不 是 可 以 据 此 对 其 它 人 的 账 户 密 码 来 个 暴 力 枚 举 呢 ？ 我 以 我 当 前 新 注 册 的 T o w n s c r i p t 账 户 为 例 ， 在 忘 记 密 码 功 能 区 域 输 入 了 与 该 账 户 绑 定 的 邮 箱 地 址 ， 然 后 点 击 “ 找 回 密 码 ” ， 然 后 ， 我 在 该 账 户 绑 定 的 邮 箱 中 收 到 了 以 下 找 回 密 码 的 链 接 ： 可 见 ， 上 述 找 回 密 码 链 接 非 常 简 单 ， 其 中 包 括 了 绑 定 账 户 的 邮 箱 地 址 和 一 个 c o d e ， 该 c o d e 是 一 个 6 位 数 的 数 字 。 那 就 用 我 之 前 账 户 的 邮 箱 地 址 来 试 试 吧 ， 随 便 输 入 一 个 c o d e 值 ， 用 B u r p 来 暴 力 枚 举 试 试 ： 把 6 位 数 的 构 造 字 典 拉 进 去 就 是 一 番 枚 举 ， 但 大 部 份 响 应 看 似 都 是 一 些 4 0 4 页 面 未 找 到 的 3 0 2 响 应 ， 在 我 快 要 放 弃 的 时 候 ， 我 又 检 查 了 一 下 响 应 长 度 ， 一 看 ， 其 中 存 在 长 度 为 3 9 1 的 响 应 ：
尝 试 着 把 该 响 应 进 行 转 发 ， 哇 ， 竟 然 可 以 成 功 跳 转 到 以 下 密 码 重 置 界 面 ！ 就 这 样 ， 在 密 码 重 置 功 能 缺 乏 速 率 限 制 （ R a t e   L i m i t ） 的 情 况 下 ， 我 通 过 暴 力 枚 举 重 置 了 我 之 前 忘 记 了 T o w n s c r i p t 登 录 密 码 和 绑 定 邮 箱 密 码 的 T o w n s c r i p t 账 户 ， 成 功 找 回 了 丢 失 的 T o w n s c r i p t 账 户 权 限 ， 以 及 其 中 注 册 的 数 百 个 参 与 人 员 信 息 。 但 是 ， T o w n s c r i p t 应 用 在 账 户 设 置 中 严 禁 更 改 用 户 的 绑 定 邮 箱 ， 所 以 ， 即 使 根 据 上 述 密 码 重 置 漏 洞 劫 持 了 受 害 者 账 户 ， 但 受 害 者 一 样 还 可 以 通 过 自 己 的 绑 定 邮 箱 再 次 发 起 密 码 重 置 请 求 ， 找 回 账 户 ， 那 对 攻 击 者 来 说 ， 这 就 不 算 真 正 意 义 上 的 账 户 劫 持 。
接 下 来 ， 我 对 T o w n s c r i p t 应 用 中 的 用 户 设 置 （ e d i t ） 操 作 请 求 进 行 了 抓 包 ， 从 中 发 现 了 包 含 的 用 户 绑 定 邮 箱 地 址 ， 然 后 我 尝 试 对 其 进 行 了 替 换 ： 之 后 ， 竟 然 可 以 成 功 实 现 邮 箱 修 改 ：
这 样 一 来 ， 也 就 是 说 ， 我 可 以 利 用 密 码 重 置 缺 乏 速 率 限 制 + C o d e 暴 力 枚 举 + 更 改 用 户 绑 定 邮 箱 ， 实 现 真 正 意 义 上 的 账 户 劫 持 ， 只 要 知 道 对 方 用 户 的 T o w n s c r i p t 绑 定 邮 箱 ， 就 能 对 其 实 施 账 户 劫 持 。 经 验 总 结 经 验 总 结 针 对 登 录 页 面 或 密 码 重 置 功 能 可 以 多 花 点 心 思 进 行 研 究 ， 尤 其 是 对 其 中 的 参 数 、 编 码 或 用 户 属 性 进 行 测 试 ， 另 外 ， 缺 乏 速 率 限 制 也 是 当 前 大 多 数 W e b 应 用 存 在 的 问 题 ， 可 以 考 虑 用 它 来 与 其 它 功 能 进 行 组 合 利 用 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， c l o u d s   编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理