搜索

[16025] 2020-10-29_安全研究实现账户劫持的越权漏洞（IDOR）分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2020-10-29_安全研究实现账户劫持的越权漏洞（IDOR）分析 安 全 研 究   |   实 现 账 户 劫 持 的 越 权 漏 洞 （ I D O R ） 分 析 c l o u d s   F r e e B u f   2 0 2 0 - 1 0 - 2 9 不 安 全 的 直 接 对 象 引 用 （ 不 安 全 的 直 接 对 象 引 用 （ I D O R 也 称 越 权 ） 是 一 种 非 常 常 见 的 也 称 越 权 ） 是 一 种 非 常 常 见 的 W e b 授 权 逻 辑 型 漏 洞 ， 其 漏 洞 利 用 危 害 有 时 很 授 权 逻 辑 型 漏 洞 ， 其 漏 洞 利 用 危 害 有 时 很 小 ， 有 时 也 非 常 严 重 ， 今 天 我 们 就 来 讨 论 一 种 严 重 型 的 小 ， 有 时 也 非 常 严 重 ， 今 天 我 们 就 来 讨 论 一 种 严 重 型 的 I D O R 漏 洞 利 用 方 式 漏 洞 利 用 方 式 - 即 利 用 即 利 用 I D O R 实 现 账 户 或 项 目 的 劫 实 现 账 户 或 项 目 的 劫 持 。 作 者 以 该 漏 洞 利 用 方 式 在 多 个 众 测 项 目 中 获 得 了 多 达 持 。 作 者 以 该 漏 洞 利 用 方 式 在 多 个 众 测 项 目 中 获 得 了 多 达 $ 2 5 , 0 0 0 的 奖 励 赏 金 。 的 奖 励 赏 金 。 攻 击 者 若 劫 持 了 受 害 者 账 户 就 能 以 受 害 者 身 份 执 行 所 有 账 户 环 境 操 作 了 。 攻 击 者 若 劫 持 了 项 目 ， 即 可 获 得 相 应 的 项 目 管 理 权 限 。 有 时 ， I D O R 攻 击 不 能 实 现 对 目 标 账 户 的 完 全 劫 持 ， 但 却 可 以 获 得 受 害 者 或 管 理 员 账 户 环 境 中 的 一 些 资 源 访 问 管 理 权 ， 我 在 多 个 众 测 项 目 中 就 遇 到 了 这 种 情 况 。 I D O R 漏 洞 介 绍 漏 洞 介 绍 不 安 全 的 直 接 对 象 引 用 （ I n s e c u r e   D i r e c t   O b j e c t   R e f e r e n c e ） ， 该 漏 洞 多 出 现 在 一 些 公 司 的 服 务 台 （ h e l p d e s k ） 接 口 系 统 上 ， 通 过 更 改 变 化 其 中 的 票 据 或 用 户 I D ， 从 而 可 以 读 取 到 其 它 用 户 相 关 的 票 据 或 账 户 信 息 。 但 实 现 上 ， I D O R 漏 洞 不 仅 仅 限 于 变 化 I D 数 值 读 取 他 人 资 源 ， 它 还 可 造 成 某 些 数 据 的 篡 改 。 另 外 ， 如 果 有 时 相 关 I D 很 难 猜 测 ， 或 用 U U I D 或 H A S H 串 代 替 ， 这 种 情 况 下 的 I D O R 漏 洞 可 能 性 就 很 小 。 但 依 我 的 经 验 来 看 ， 只 要 认 真 测 试 ， 还 是 能 发 现 一 些 有 用 I D 来 的 。 以 导 致 的 后 果 来 分 类 ， I D O R 可 分 为 以 下 四 类 ： 数 据 读 取 数 据 篡 改 权 限 提 升 （ 这 是 一 种 非 常 特 别 的 数 据 更 改 方 式 ） 账 户 劫 持 （ 真 正 意 义 上 的 提 权 ） 下 面 我 们 就 来 讨 论 利 用 I D O R 漏 洞 实 现 账 户 或 项 目 劫 持 。 利 用 利 用 I D O R 实 现 账 户 劫 持 实 现 账 户 劫 持 如 果 利 用 I D O R 来 实 现 对 目 标 账 户 或 实 体 项 目 的 劫 持 呢 ？ 比 如 ， 这 里 有 个 主 账 户 ， 它 在 其 账 户 环 境 下 创 建 了 名 为 m a n a g e r 的 子 账 户 或 一 些 运 营 项 目 ， 我 们 的 目 的 就 是 劫 持 这 个 m a n a g e r 子 账 户 和 运 营 项 目 。
对 主 账 户 或 用 户 会 话 的 劫 持 相 对 较 难 ， 因 为 有 时 攻 击 者 的 账 户 环 境 不 能 直 接 访 问 到 主 账 户 ， 但 我 们 可 以 通 过 劫 持 低 权 限 子 账 户 ， 或 其 关 联 项 目 的 方 式 来 实 现 对 主 账 户 的 劫 持 。 以 下 是 我 在 一 些 众 测 项 目 中 遇 到 的 情 况 。 在 创 建 或 删 除 项 目 时 出 现 的 在 创 建 或 删 除 项 目 时 出 现 的 I D O R 漏 洞 漏 洞 如 某 网 站 针 对 普 通 用 户 ， 有 不 同 订 阅 计 划 对 应 了 不 同 价 格 ， 另 外 针 对 企 业 客 户 又 会 依 据 需 求 设 置 企 业 计 划 。 我 的 测 试 账 户 身 处 企 业 计 划 范 围 中 ， 可 以 访 问 到 企 业 计 划 项 目 ， 并 且 可 向 其 中 添 加 常 规 项 目 ， 且 可 查 看 相 应 状 态 。 我 发 现 在 两 个 地 方 同 时 存 在 I D O R 漏 洞 ： 即 向 企 业 计 划 中 添 加 项 目 和 删 除 项 目 时 。 当 添 加 项 目 时 ， 操 作 非 常 简 单 ： 提 交 一 个 携 带 J S O N 格 式 内 容 的 P O S T 请 求 ， 其 中 包 含 了 项 目 名 称 ， 由 于 该 项 目 名 称 任 何 人 可 查 看 到 ， 因 此 这 里 的 I D O R 在 于 ， 可 以 把 他 人 的 项 目 名 称 包 含 在 请 求 内 提 交 ， 从 而 获 得 对 他 人 项 目 的 控 制 管 理 ： 另 外 的 删 除 处 的 I D O R 有 些 复 杂 ， 该 网 站 从 逻 辑 上 来 说 ， 删 除 项 目 的 机 制 是 不 正 确 的 。 比 如 当 删 除 某 个 项 目 时 ， 其 P O S T 删 除 请 求 中 仅 只 包 含 了 一 些 序 列 化 的 项 目 描 述 属 性 ， 但 却 没 有 和 具 体 项 目 相 关 的 I D 号 。 因 此 ， 这 里 的 I D O R 漏 洞 在 于 ， 可 以 往 这 个 P O S T 请 求 中 添 加 项 目 号 ， 更 改 为 他 人 的 项 目 I D ， 从 而 删 除 他 人 项 目 。 这 里 的 复 杂 性 在 于 ， 项 目 I D 号 是 随 机 的 ， 因 此 他 人 的 项 目 I D 是 不 可 猜 测 的 ， 但 可 以 通 过 一 种 方 式 来 发 现 ： 到 项 目 的 公 共 主 页 中 的 H T M L 页 面 中 寻 找 ， 如 下 ： 因 此 ， 最 终 删 除 他 人 项 目 的 P O S G 请 求 可 以 这 样 构 造 ： 用 户 资 料 更 新 时 的 用 户 资 料 更 新 时 的 I D O R 漏 洞 漏 洞 这 种 方 式 的 漏 洞 综 合 利 用 了 另 外 一 种 不 恰 当 的 访 问 控 制 漏 洞 ， 最 终 实 现 了 非 常 高 危 的 影 响 。 由 于 针 对 访 问 控 制 的 不 当 配 置 ， 我 可 以 查 看 到 他 人 的 项 目 详 情 和 相 关 联 的 子 账 户 ， 利 用 该 漏 洞 还 可 获 取 一 些 敏 感 数 据 。 但 在 进 一 步 的 研 究 中 我 又 发 现 另 外 一 个 问 题 ： 即 可 以 在 更 改 个 人 资 料 的 过 程 中 ， 把 他 人 的 子 账 户 以 I D 形 式 关 联 进 入 ， 从 而 可 控 制 该 子 账 户 ， 控 制 其 创 建 项 目 ， 查 看 并 编 辑 相 关 数 据 ， 实 现 账 户 劫 持 I D O R 。 总 结 总 结 经 过 测 试 ， 我 在 c i t y - m o b i l . r u 中 的 跨 平 台 系 统 中 发 现 了 这 样 I D O R 导 致 的 账 户 劫 持 漏 洞 ， 利 用 该 漏 洞 可 以 获 取 到 1 0 0 多 万 名 司 机 的 数 据 ： 护   照 和 驾   照 信 息 ， 另 外 还 能 更 改 司 机 的 资 料 数 据 。 我 前 后 利 用 该 类 型 漏 洞 在 多 个 众 测 项 目 中 收 获 了 $ 2 5 , 0 0 0 的 奖 励 ， 但 如 果 该 类 型 落 到 了 网 络 犯 罪 份 子 手 中 ， 其 价 值 远 远 P O S T   / a p i / p r o j e c t s / v i c t i m / c h i l d r e n   H T T P / 1 . 1 H o s t :   v i c t i m . c o m { " s u b d o m a i n " : " v i c t i m 1 " } H o s t :   v i c t i m . c o m C o o k i e :   . . . { " c h i l d r e n P r o j e c t s " : & # 9 1 ; " i d _ p r o j e c t 1 " , " i d _ p r o j e c t 2 " , " i d _ p r o j e c t _ v i c t i m " ] }
超 过 这 个 金 额 。 参 考 来 源 ： 参 考 来 源 ： d e t e a c t 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理