搜索

[15686] 2020-08-03_安全研究从MicroStrategy入手发现Facebook的XSS漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-08-03_安全研究从MicroStrategy入手发现Facebook的XSS漏洞 安 全 研 究   |   从 M i c r o S t r a t e g y 入 手 发 现 F a c e b o o k 的 X S S 漏 洞 c l o u d s   F r e e B u f   2 0 2 0 - 0 8 - 0 3 该 篇 文 章 讲 述 了 作 者 围 绕 该 篇 文 章 讲 述 了 作 者 围 绕 F a c e b o o k 采 用 的 第 三 方 应 用 采 用 的 第 三 方 应 用 M i c r o S t r a t e g y   W e b   S D K ， 经 源 码 分 析 发 现 存 在 于 ， 经 源 码 分 析 发 现 存 在 于 F a c e b o o k 网 站 中 的 两 个 反 射 型 漏 洞 （ 网 站 中 的 两 个 反 射 型 漏 洞 （ r X S S ） ） , 在 前 一 篇 文 章 中 ， 作 者 就 已 经 在 在 前 一 篇 文 章 中 ， 作 者 就 已 经 在 M i c r o S t r a t e g y 身 上 发 现 了 身 上 发 现 了 S S R F 漏 洞 收 获 了 漏 洞 收 获 了 $ 3 0 0 0 0 的 奖 励 。 这 里 我 们 继 续 来 看 看 他 发 现 的 奖 励 。 这 里 我 们 继 续 来 看 看 他 发 现 r X S S 漏 洞 的 过 程 。 漏 洞 的 过 程 。 第 一 个 第 一 个 X S S 漏 洞 发 现 过 程 漏 洞 发 现 过 程 由 于 F a c e b o o k 生 产 环 境 网 站 中 采 用 了 M i c r o S t r a t e g y   W e b   S D K ， 因 此 ， 有 了 上 一 次 漏 洞 发 现 ， 这 里 我 着 重 把 关 注 点 放 到 M i c r o S t r a t e g y 的 文 件 上 传 功 能 上 ， 寄 希 望 能 实 现 w e b s h e l l 上 传 。 针 对 h t t p s : / / m - n e x u s . t h e f a c e b o o k . c o m 预 建 任 务 端 点 t a s k P r o c 的 枚 举 后 ， 我 发 现 其 存 在 的 一 个 注 册 且 可 访 问 的 文 件 上 传 功 能 - u p l o a d F i l e ： M i c r o S t r a t e g y 说 明 书 中 没 有 太 多 关 于 该 功 能 的 解 释 ， 我 只 好 手 动 对 它 进 行 了 一 些 分 析 。 我 把 完 整 的 M i c r o S t r a t e g y   W e b   S D K 部 署 在 了 我 的 本 地 系 统 中 ， 开 始 查 找 这 个 u p l o a d F i l e 功 能 相 关 的 J a v a 类 ， 有 了 线 索 - c o m . m i c r o s t r a t e g y . w e b . t a s k s . U p l o a d F i l e T a s k ” ： 在 j d - g u i 帮 助 下 ， 我 把 S D K 中 的 每 个 j a r 文 件 进 行 了 反 编 译 ， 然 后 在 W e b T a s k s . j a r 文 件 中 发 现 了 “ c o m . m i c r o s t r a t e g y . w e b . t a s k s . U p l o a d F i l e T a s k ”   的 身 影 ： 可 以 观 察 到 ， 它 确 实 支 持 文 件 上 传 和 相 关 的 处 理 功 能 。 首 先 ， 它 会 检 查 与 上 传 文 件 名 匹 配 的 U R L 参 数 f i l e F i e l d N a m e ， 然 后 检 查 文 件 扩 展 名 格 式 ， 如 果 是 e x c e l 类 型 文 件 （ x l s x 、 x l s ） ， 它 会 调 用 方 法 p a r s e U p l o a d e d E x c e l F i l e ， 如 果 是 其 它 文 件 则 调 用 p a r s e U p l o a d e d F i l e ：
M i c r o S t r a t e g y   W e b   S D K 对 p a r s e U p l o a d e d E x c e l F i l e 的 调 用 过 程 会 执 行 一 个 有 效 身 份 会 话 的 校 验 ， 所 以 ， 从 这 点 来 看 ， 至 少 是 不 可 利 用 的 。 但 是 ， 在 p a r s e U p l o a d e d F i l e 的 调 用 过 程 中 ， 却 完 全 不 需 要 校 验 身 份 会 话 。 从 代 码 分 析 来 看 ， 这 里 的 文 件 上 传 功 能 仅 只 是 从 H T M L 上 传 页 面 中 处 理 上 传 文 件 ， 然 后 把 其 文 件 内 容 显 示 给 客 户 端 ， 并 不 会 把 上 传 文 件 存 储 到 服 务 端 中 。 因 此 ， 前 面 我 想 上 传 w e b s h e l l 的 想 法 就 基 本 无 望 了 。 但 是 我 注 意 到 ， 这 里 的 U p l o a d F i l e T a s k 类 在 处 理 上 传 文 件 后 的 加 载 显 示 过 程 中 ， 没 有 采 取 任 何 输 出 格 式 编 码 ， 这 可 能 会 导 致 主 网 站 m - n e x u s . t h e f a c e b o o k . c o m 中 的 任 意 J S 代 码 执 行 。 从 上 可 以 看 出 ， 至 少 反 射 型 X S S 漏 洞 是 存 在 的 ， 那 如 何 利 用 呢 ？ 接 下 来 ， 我 创 建 了 一 个 网 页 式 的 P a y l o a d ： 不 幸 的 是 ， 由 于 无 法 控 制 上 传 文 件 的 内 容 ， 所 以 X S S 的 漏 洞 利 用 也 是 无 效 的 。 原 因 在 于 ， 表 格 或 弹 窗 形 式 的 文 件 上 传 操 作 中 ， 不 允 许 用 户 指 定 内 容 。
咋 办 呢 ？ 经 过 反 复 试 验 ， 我 创 建 了 一 个 很 小 的 H T M L + J a v a S c r i p t 代 码 文 件 ， 在 其 中 嵌 入 了 一 个 针 对 h t t p s : / / m - n e x u s . t h e f a c e b o o k . c o m / * 的 典 型 P O S T 操 作 ， 去 触 发 一 个 a l e r t ( d o c u m e n t . d o m a i n ) 的 X S S 执 行 。 我 只 需 把 上 述 文 件 托 管 在 我 的 网 站 中 ， 然 后 把 其 文 件 链 接 发 送 给 受 害 者 ， 只 要 他 点 击 访 问 ， 即 会 触 发 h t t p s : / / m - n e x u s . t h e f a c e b o o k . c o m / 的 X S S 执 行 ： 从 B u r p 中 的 响 应 内 容 可 以 看 到 ， m - n e x u s . t h e f a c e b o o k . c o m 响 应 回 来 的 H T M L / J S 代 码 确 实 没 有 输 出 格 式 编 码 ： 利 用 该 X S S 漏 洞 ， 攻 击 者 可 以 在 受 害 者 客 户 端 中 实 现 信 息 收 集 窃 取 、 结 合 D O M 进 行 迷 惑 点 击 等 危 险 操 作 。 漏 洞 上 报 后 ， F a c e b o o k 给 了 我 一 个 相 对 较 高 的 赏 金 奖 励 。 第 二 个 第 二 个 X S S 漏 洞 发 现 过 程 漏 洞 发 现 过 程 没 过 几 天 ， 我 又 在 M i c r o S t r a t e g y   W e b   S D K 的 预 建 任 务 中 枚 举 发 现 了 用 于 抓 取 w i k i - p e d i a 内 容 的 w i k i S c r a p p e r 任 务 - w i k i S c r a p p e r T a s k ， 它 用 参 数 s e a r c h S t r i n g 来 匹 配 获 取 w i k i - p e d i a 中 的 相 关 数 据 内 容 。
然 后 我 发 现 ， 如 果 我 在 其 中 给 定 形 如 h t t p : / /   或   h t t p s : / / 的 网 站 U R L 字 符 串 ， 它 就 会 执 行 针 对 相 应 h t t p : / /   或   h t t p s : / / 网 站 的 内 容 抓 取 操 作 ， 且 是 任 意 网 站 都 行 。 而 且 同 样 的 是 ， 它 在 加 载 给 定 网 站 的 W e b 内 容 时 ， 也 没 采 用 任 何 输 出 格 式 编 码 ， 所 以 基 于 上 述 第 一 个 X S S 漏 洞 分 析 来 看 ， 这 里 应 该 同 样 会 存 在 X S S 漏 洞 。 要 执 行 针 对 任 意 网 站 任 意 w e b 页 面 的 抓 取 ， 需 要 满 足 两 个 条 件 。 一 个 是 网 站 页 面 须 是 带 标 签 的 H T M L 页 面 ， 另 一 个 就 是 其 中 须 包 含 一 个 表 格 格 式 ， 且 其 表 格 标 签 必 须 包 含 一 个 w i k i t a b l e 的 维 基 表 格 类 。 为 了 实 现 漏 洞 利 用 ， 我 在 匿 名 W e b 页 面 托 管 服 务 H T M L   P a s t a 中 创 建 了 满 足 上 述 两 个 条 件 的 页 面 ， 生 成 了 相 应 的 文 件 链 接 - c r a f t i e r d u s k y d o l p h i n . h t m l p a s t a . c o m : 然 后 ， 在 m - n e x u s . t h e f a c e b o o k . c o m 的 w i k i S c r a p p e r 任 务 参 数 s e a r c h S t r i n g 中 传 入 上 述 文 件 链 接 ， 形 成 以 下 U R L ， 直 接 在 浏 览 器 中 打 开 ， 即 成 功 触 发 了 X S S ： h t t p s : / / m - n e x u s . t h e f a c e b o o k . c o m / s e r v l e t / t a s k P r o c ? t a s k I d = w i k i S c r a p p e r & t a s k E n v = h t m l & t a s k C o n t e n t T y p e = j s o n & s e a r c h S t r i n g = h t t p s : / / { P A S T E _ L I N K _ H E R E } & s h o u l d S u g g e s t = f a l s e & p u b l i c D a t a S u g g e s t i o n U R L = & p u b l i c D a t a S e a r c h U R L = & p u b l i c D a t a P a g e U R L = 同 样 的 ， 从 B u r p 中 的 响 应 内 容 可 以 看 出 ， F a c e b o o k 服 务 端 对 H T M L / J S 代 码 的 输 出 未 采 取 输 出 格 式 编 码 ：
该 漏 洞 上 报 后 ， F a c e b o o k 同 样 给 了 我 一 个 较 高 的 赏 金 奖 励 。 总 结 总 结 我 用 上 述 源 码 分 析 方 式 前 后 发 现 了 m - n e x u s . t h e f a c e b o o k . c o m 上 的 3 个 X S S 漏 洞 ， 收 到 了 将 近 了 一 万 美 金 的 奖 励 。 m - n e x u s . t h e f a c e b o o k . c o m 现 已 不 能 再 公 开 访 问 了 。 经 验 就 是 ， 当 我 们 针 对 目 标 站 点 找 不 到 线 索 时 ， 可 以 深 入 看 看 其 中 部 署 的 第 三 方 应 用 。 参 考 来 源 参 考 来 源 m e d i u m 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理