搜索

[16301] 2021-01-09_通过一次性登录漏洞获取Workplace用户绑定邮箱

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2021-01-09_通过一次性登录漏洞获取Workplace用户绑定邮箱 通 过 一 次 性 登 录 漏 洞 获 取 W o r k p l a c e 用 户 绑 定 邮 箱 c l o u d s   F r e e B u f   2 0 2 1 - 0 1 - 0 9 本 文 讲 述 的 漏 洞 涉 及 本 文 讲 述 的 漏 洞 涉 及 F a c e b o o k 的 办 公 通 讯 应 用 的 办 公 通 讯 应 用 W o r k p l a c e ， 攻 击 者 只 需 知 晓 用 户 ， 攻 击 者 只 需 知 晓 用 户 I D 即 能 通 过 存 在 漏 洞 的 服 务 端 即 能 通 过 存 在 漏 洞 的 服 务 端 获 取 到 其 绑 定 的 注 册 邮 箱 。 漏 洞 在 于 获 取 到 其 绑 定 的 注 册 邮 箱 。 漏 洞 在 于 W o r k p l a c e 某 个 使 用 一 次 性 密 码 （ 某 个 使 用 一 次 性 密 码 （ o n e - t i m e   n o n c e   ） 执 行 用 户 登 录 的 服 务 ） 执 行 用 户 登 录 的 服 务 端 ， 其 在 登 录 流 程 中 对 过 期 的 一 次 性 密 码 处 理 不 当 ， 导 致 后 续 跳 转 的 端 ， 其 在 登 录 流 程 中 对 过 期 的 一 次 性 密 码 处 理 不 当 ， 导 致 后 续 跳 转 的 U R L 路 径 中 会 包 含 用 户 的 注 册 邮 箱 。 以 下 路 径 中 会 包 含 用 户 的 注 册 邮 箱 。 以 下 是 作 者 的 发 现 过 程 ， 一 起 来 看 看 。 是 作 者 的 发 现 过 程 ， 一 起 来 看 看 。 漏 洞 情 况 漏 洞 情 况 近 期 ， F a c e b o o k 的 办 公 通 讯 应 用 W o r k p l a c e 引 入 了 一 项 新 的 用 户 登 录 机 制 ， 用 户 只 需 输 入 绑 定 的 注 册 邮 箱 ， 即 会 在 邮 箱 中 收 到 W o r k p l a c e 发 来 的 一 次 性 登 录 链 接 。 用 户 点 击 该 链 接 后 ， 会 携 带 用 户 I D 和 随 机 生 成 的 一 次 性 密 码 （ o n e - t i m e n o n c e   ） 跳 转 到 一 个 登 录 服 务 端 。 然 而 ， 经 我 测 试 发 现 ， 在 该 登 录 服 务 端 中 ， 若 一 次 性 登 录 链 接 中 随 机 生 成 的 一 次 性 密 码 （ o n e - t i m e   n o n c e   ） 是 过 期 状 态 ， 则 点 击 该 一 次 性 登 录 链 接 后 会 ， 其 后 续 跳 转 的 U R L 路 径 中 会 返 回 用 户 的 绑 定 注 册 邮 箱 。 （ W o r k p l a c e 生 成 的 一 次 性 登 录 链 接 中 包 含 了 用 户 I D ） 分 析 来 看 ， 该 登 录 流 程 中 可 能 存 在 不 安 全 的 直 接 对 象 引 用 （ I D O R ） 漏 洞 ， 即 攻 击 者 可 以 更 改 其 中 的 用 户 I D 就 能 轻 松 地 获 取 到 对 应 用 户 的 绑 定 注 册 邮 箱 。 问 题 原 因 主 要 是 缺 乏 必 要 的 权 限 限 制 ， 可 从 以 下 两 方 面 作 出 改 进 ： 1 、 需 要 对 一 次 性 密 码 （ o n e - t i m e   n o n c e   ） 的 状 态 做 出 明 确 的 提 示 。 这 里 当 一 次 性 密 码 是 过 期 状 态 时 ， 服 务 端 的 登 录 逻 辑 是 在 跳 转 U R L 中 返 回 对 应 用 户 I D 的 用 户 邮 箱 ， 以 便 向 用 户 邮 箱 重 新 发 送 另 一 个 一 次 性 登 录 链 接 。 而 整 个 流 程 中 却 缺 乏 对 一 次 性 密 码 状 态 的 检 查 机 制 ； 2 、 可 以 在 该 登 录 流 程 中 添 加 一 个 参 数 来 完 善 ， 可 在 该 参 数 中 以 H A S H 形 式 请 求 后 端 ， 形 成 对 参 数 名 值 的 安 全 校 验 ， 同 时 这 样 也 可 避 免 同 一 个 用 户 生 成 多 个 登 录 n o n c e ， 造 成 混 淆 。 漏 洞 复 现 漏 洞 复 现 1 、 访 问 h t t p s : / / T A R G E T . w o r k p l a c e . c o m / ； 2 、 在 其 中 的 邮 箱 登 录 区 域 输 入 任 意 邮 箱 地 址 ； 3 、 用 B u r p 对 上 述 过 程 抓 包 ， 发 现 其 对 应 的 P O S T 请 求 路 径 为 / w o r k / l a n d i n g / d o / n e w / ； 4 、 更 改 P O S T 请 求 路 径 为 / w o r k / s i g n i n / m a g i c _ l i n k / l o g i n / ， 并 在 其 请 求 内 容 中 添 加 字 段 ： b o d y   n o n c e = R A N D O M & u i d = T A R G E T _ I D & r e q u e s t _ i d = R A N D O M ， 其 中 T A R G E T _ I D 为 W o r k p l a c e 用 户 的 用 户 I D ， R A N D O M 为 任 意 字 符 ； 5 、 P O S T 请 求 发 出 后 ， 服 务 端 在 返 回 的 响 应 内 容 中 就 包 含 了 对 应 用 户 I D 的 绑 定 邮 箱 。 漏 洞 危 害 漏 洞 危 害
该 漏 洞 可 造 成 的 危 害 是 ， 如 果 攻 击 者 知 晓 W o r k p l a c e 受 害 者 用 户 的 用 户 I D ， 就 可 利 用 该 方 法 获 取 到 其 注 册 的 绑 定 邮 箱 。 整 个 漏 洞 利 用 过 程 非 常 简 单 ， 攻 击 者 可 对 特 定 用 户 形 成 信 息 获 取 ， 且 若 对 用 户 I D 形 成 字 典 式 的 积 累 ， 也 能 利 用 该 漏 洞 批 量 式 地 枚 举 获 取 大 量 用 户 注 册 邮 箱 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 1 1 . 2 6   漏 洞 上 报 2 0 2 0 . 1 1 . 2 7   F a c e b o o k 确 认 漏 洞 有 效 性 2 0 2 0 . 1 2 . 9   F a c e b o o k 修 复 漏 洞 2 0 2 0 . 1 2 . 1 4   F a c e b o o k 给 出 了 $ 5 K 的 奖 励 参 考 来 源 ： 参 考 来 源 ： y s a m m ， 编 译 整 理 ： ， 编 译 整 理 ： c l o u d s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e b u f . c o m 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理