搜索

[15547] 2020-06-29_挖洞经验篡改密码重置的加密参数实现账号劫持研究

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2020-06-29_挖洞经验篡改密码重置的加密参数实现账号劫持研究 挖 洞 经 验   |   篡 改 密 码 重 置 的 加 密 参 数 实 现 账 号 劫 持 研 究 c l o u d s   F r e e B u f   2 0 2 0 - 0 6 - 2 9 想 必 大 家 都 对 参 数 篡 改 攻 击 有 所 了 解 ， 今 天 作 者 分 享 的 是 对 想 必 大 家 都 对 参 数 篡 改 攻 击 有 所 了 解 ， 今 天 作 者 分 享 的 是 对 R S A 加 密 参 数 的 篡 改 从 而 实 现 账 号 劫 持 的 简 单 测 试 ， 漏 洞 原 因 在 于 加 密 参 数 的 篡 改 从 而 实 现 账 号 劫 持 的 简 单 测 试 ， 漏 洞 原 因 在 于 W e b 应 用 在 客 户 端 缺 乏 安 全 的 防 护 机 制 。 一 起 来 看 看 。 应 用 在 客 户 端 缺 乏 安 全 的 防 护 机 制 。 一 起 来 看 看 。 出 于 保 密 ， 目 标 W e b 应 用 暂 且 叫 它 为 t a r g e t . c o m ， 在 接 触 该 目 标 时 ， 经 测 试 发 现 ， 其 上 所 有 的 参 数 操 作 都 是 加 密 传 输 的 ， 在 B u r p 的 抓 包 配 合 下 ， 可 见 其 大 概 的 加 密 形 式 如 下 ： u s e r N a m e = 8 c f e 3 9 9 4 3 d 6 e 0 8 e 5 0 5 5 3 1 d d f d 9 0 c 6 6 f 4 7 c 2 f 5 5 c e 1 4 0 e 5 7 7 0 f e f 5 8 d 3 b e c 8 2 6 f 5 2 4 9 0 a 0 8 9 d 1 9 4 2 a a e d 7 4 a 9 f 6 e d 0 f d 8 8 9 0 c e f 6 c 3 6 e 3 1 2 2 0 c 9 8 5 9 a 3 a b 4 2 3 0 6 2 w x b e e a 4 8 0 d 9 4 8 5 0 d 9 5 3 7 4 a b 3 a 7 a 4 7 d e 3 e 9 f 8 9 b 3 2 5 0 a 5 8 3 9 7 0 4 4 8 1 7 0 6 9 c 6 a 1 7 1 0 9 c c 2 7 4 0 8 b 0 c 5 3 f 9 4 q 3 4 a 5 8 7 8 2 7 0 f f 6 r a n d o m 8 c 9 6 b 9 1 6 b b 9 5 9 4 a f 6 4 8 e 6 d c 6 8 5 1 6 8 5 a 9 d 4 1 c d b 8 6 8 7 6 1 c 4 d 3 6 d 4 9 3 8 9 1 5 0 8 4 0 a f 0 5 a 2 7 7 5 3 0 d d 1 9 1 4 6 4 b e f c 7 9 a 4 6 d 4 1 8 a 4 e 4 f 1 2 b 2 d e c 0 c 5 c c 0 1 0 9 7 e f e d 4 b 2 a 6 6 0 8 c 2 c 2 f 0 7 6 a 2 7 f e 0 c e 6 2 a 7 0 a 4 f e 2 f 0 2 b 5 5 8 a b a e 6 f 4 a 4 7 5 7 f b 3 4 a 5 9 3 c c d 0 4 f 2 3 5 6 c 2 c 5 2 1 7 5 8 b 0 e 5 9 c 0 1 7 0 8 7 1 2 1 d 6 3 c 1 b 0 0 2 f c 7 9 4 9 5 3 e 6 9 0 2 9 0 4 8 9 f 8 a f 8 7 d 1 7 3 5 9 b a 0 f c 5 9 b 8 3 2 f 9 7 2 d 8 0 2 9 3 f e 8 d 2 a a f c b 4 f a c a 接 下 来 ， 我 把 关 注 点 放 到 了 其 “ 忘 记 密 码 ” 功 能 上 ， 其 大 概 流 程 如 下 ： 1 、 访 问 t a r g e t . c o m / s i g n i n 页 面 ， 输 入 需 要 重 置 密 码 的 邮 箱 号 ； 2 、 W e b 服 务 端 会 向 邮 箱 发 送 一 个 6 位 数 授 权 码 ； 3 、 访 问 t a r g e t . c o m / f o r g o t P a s s w d ， 输 入 需 要 重 置 密 码 的 邮 箱 号 、 授 权 码 和 重 置 后 的 密 码 ， 提 交 即 可 完 成 密 码 重 置 操 作 。 现 在 ， 我 以 邮 箱 “ a t t a c k e r @ e m a i l . c o m ” 向 W e b 服 务 端 发 起 密 码 重 置 请 求 ， 在 收 到 授 权 码 之 后 ， 访 问 t a r g e t . c o m / f o r g o t P a s s w d ， 重 复 上 述 密 码 重 置 操 作 ， 该 过 程 用 B u r p 抓 包 的 数 据 如 下 ： 从 上 图 中 可 以 看 到 ， 其 中 包 含 4 个 参 数 ： E m a i l ,   U s e r n a m e ,   E n c r y p t e d   P a s s w o r d   和   C o d e ， 但 是 所 有 这 些 参 数 都 是 加 密 的 。 我 尝 试 着 把 参 数 数 值 替 换 成 明 文 数 值 ： 用 “ a t t a c k e r @ e m a i l . c o m ”   或 “ v i c t i m @ e m a i l . c o m ” 替 换 掉 其 中 的 邮 箱 ， 但 提 交 的 请 求 却 不 成 功 。 接 着 ， 我 用 另 外 的 浏 览 器 访 问 t a r g e t . c o m / f o r g o t p a s s w d ， 以 “ v i c t i m @ e m a i l . c o m ” 身 份 发 起 密 码 重 置 请 求 ， 抓 包 ， 复 制 其 中 的 e m a i l   和   u s e r n a m e 加 密 数 值 ， 到 之 前 的 浏 览 器 请 求 包 中 ， 提 交 ， 但 请 求 还 是 无 效 。 因 此 ， 总 结 来 看 ， 忘 记 密 码 的 请 求 格 式 如 下 ： e m a i l = e n c r y p t e d a t t a c k e r e m a i l & u s e r N a m e = e n c r y p t e d a t t a c k e r u s e r n a m e & p a s s w d = e n c r y p t e d a t t a c k e r p a s s w d & c o d e = e n c r y p t e d c o d e 我 度 过 把 其 中 的 e n c r y p t e d a t t a c k e r e m a i l 替 换 为 e n c r y p t e d v i c t i m e m a i l ， e n c r y p t e d a t t a c k e r u s e r n a m e 替 换 为 e n c r y p t e d v i c t i m u s e r n a m e ， 但 都 不 可 行 。 我 依 然 没 有 气 馁 。 经 过 一 番 分 析 ， 根 据 加 密 长 度 ， 我 发 现 其 加 密 方 式 为 R S A 。 同 时 ， 我 对 目 标 W e b 应 用 的 源 代 码 分 析 后 发 现 ， 其 中 多 个 j s 脚 本 中 包 含 了 r s a 方 法 名 称 ， 因 此 ， 我 确 信 其 为 R S A 加 密 无 疑 了 。 后 来 我 意 识 到 B u r p 抓 包 时 参 数 值 已 经 被 加 密 了 ， 这 是 一 种 客 户 端 加 密 ， 所 以 我 尝 试 把 浏 览 器 中 调 用 的 j s 脚 本 执 行 关 闭 ， 看 看 加 密 功 能 是 否 还 可 行 ， 但 之 后 ， 密 码 重 置 请 求 就 完 全 不 起 效 。 我 又 考 虑 到 ， 由 于 这 是 客 户 端 加 密 ， R S A 函 数 肯 定 是 在 某 个 j s 脚 本 中 被 定 义 ， 且 被 浏 览 器 调 用 的 ， 于 是 我 点 击 C h r o m e 浏 览 器 的 I n s p e c t   E l e m e n t 按 钮 ， 来 到 了 其 C o n s o l e 一 栏 下 ， 输 入 “ r s a ”   ， 让 我 吃 惊 的 是 其 中 匹 配 出 了 “ r s a E n c r y p t ” 方 法 函 数 名 。 经 过 测 试 发 现 ， 只 要 为 该 方 法 函 数 提 供 一 个 参 数 名 ， 其 就 能 生 成 相 应 的 加 密 数 值 ， 因 此 ， 我 以 参 数 s 定 义 了 数 值 “ v i c t i m @ e m a i l . c o m ” ， 即 s = “ v i c t i m @ e m a i l . c o m “ ， 执 行 r s a E n c r y p t ， 它 即 生 成 了 如 下 相 应 的 加 密 串 ： 需 要 注 意 的 是 ， 可 能 是 其 与 会 话 参 数 相 关 ， 所 以 在 端 点 / f o r g o t p a s s w d 上 每 次 刷 新 页 面 ， 上 述 的 加 密 串 都 会 发 生 变 化 。 按 照 前 述 的 密 码 重 置 操 作 ， 我 以 “ a t t a c k e r @ e m a i l . c o m ” 身 份 发 起 密 码 重 置 请 求 ， 提 交 授 权 码 和 新 密 码 ， 并 进 行 B u r p 抓 包 ， 其 相 应 界 面 如 下 ：
在 B u r p 的 请 求 包 中 ， 除 了   把 其 中 的 “ u s e r n a m e ” 替 换 成 浏 览 器 端 r s a E n c r y p t 方 法 生 成 的 “ r s a e n c r y p t e d v i c t i m e m a i l ” 加 密 串 之 外 ， 其 它 的 都 无 需 更 改 ， 也 即 ： e m a i l = e n c r y p t e d a t t a c k e r e m a i l & u s e r n a m e = r s a e n c r y p t e d v i c t i m e m a i l & p a s s w d = e n c r y p t e d a t t a c k e r p a s s w d & c o d e = e n c r y p t e d c o d e 请 求 提 交 后 ， 奇 迹 发 生 了 ， v i c t i m @ e m a i l . c o m 对 应 的 账 号 密 码 被 成 功 更 改 ， 实 现 了 账 户 劫 持 ！ 参 考 来 源 考 来 源 m e d i u m * 本 文 作 者 ： 本 文 作 者 ： c l o u d s   ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理