搜索

[16412] 2021-02-07_MicrosoftForms未授权获取他人邮箱信息的漏洞分析

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-02-07_MicrosoftForms未授权获取他人邮箱信息的漏洞分析 M i c r o s o f t   F o r m s 未 授 权 获 取 他 人 邮 箱 信 息 的 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 1 - 0 2 - 0 7 本 文 讲 述 了 关 于 微 软 在 线 调 查 创 建 应 用 M i c r o s o f t   f o r m s 的 一 个 漏 洞 ， 通 过 其 中 的 数 据 分 享 机 制 ， 作 者 可 以 藉 机 获 取 到 参 与 调 查 用 户 的 邮 箱 信 息 ， 漏 洞 最 终 收 获 了 $ 2 k 的 奖 励 。 微 软 的 O f f i c e 3 6 5 有 很 多 服 务 ， 其 中 的 M i c r o s o f t   F o r m s 以 O D a t a 数 据 协 议 方 式 实 现 在 线 的 调 查 测 验 创 建 ， 并 能 把 相 关 调 查 结 果 数 据 分 享 给 其 他 用 户 。 O D a t a 协 议 介 绍 协 议 介 绍 开 放 数 据 协 议 （ O p e n   D a t a   P r o t o c o l ， 简 称 O D a t a ） 是 一 种 描 述 如 何 创 建 和 访 问 R e s t f u l 服 务 的 O A S I S 标 准 。 该 标 准 由 微 软 发 起   ， 前 三 个 版 本 1 . 0 、 2 . 0 、 3 . 0 都 是 微 软 开 放 标 准 ， 遵 循 微 软 开 放 规 范 承 诺 书 （ M i c r o s o f t   O p e n   S p e c i f i c a t i o n P r o m i s e ） 。 第 四 个 版 本 4 . 0 于 2 0 1 4 年 3 月 1 7 日 在 O A S I S 投 票 通 过 成 为 开 放 行 业 标 准 。 O D a t a 协 议 是 一 种 通 过 R e s t f u l 交 互 的 应 用 层 数 据 协 议 ， 它 支 持 数 据 模 型 的 描 述 、 编 辑 和 请 求 ， 其 基 于 S Q L 理 念 ， 不 管 客 户 端 和 数 据 源 的 具 体 类 型 ， 都 能 按 照 客 户 端 请 求 响 应 返 回 相 关 数 据 。 O D a t a 的 数 据 交 互 模 型 如 下 ：
简 单 来 说 ， O D a t a 元 数 据 是 系 统 （ 如 关 系 数 据 库 中 的 i n f o r m a t i o n _ s c h e m a ） 的 数 据 模 型 之 一 ， 对 每 一 个 元 数 据 来 说 都 具 备 相 关 的 实 体 （ 类 似 于 数 据 库 中 的 表 ） 和 属 性 （ 类 似 于 数 据 库 中 的 列 ） ， 以 及 不 同 实 体 类 型 之 间 的 关 系 。 每 种 实 体 类 型 都 有 一 个 实 体 键 ， 它 类 似 于 关 系 数 据 库 中 的 键 。 假 设 我 们 有 一 个 名 为 C u s t o m e r s （ 顾 客 ） 的 实 体 类 型 ， 它 包 括 三 个 属 性 。 此 实 体 类 型 有 以 下 记 录 ： 在 上 述 例 子 中 ， I D 是 其 中 一 个 实 体 键 。 以 下 请 求 会 返 回 I D 为 2 的 一 条 顾 客 记 录 ： c u s t o m e r A p i / C u s t o m e r s ( 2 ) 即 该 请 求 会 返 回 I D = 2 的 顾 客 信 息 。 O D a t a 和 S Q L 相 同 的 是 ， 我 们 能 以 请 求 方 式 来 获 取 其 中 的 相 关 数 据 。 O D a t a 支 持 好 几 种 数 据 请 求 方 式 ， 例 如 可 以 使 用 以 下 $ s e l e c t 语 法 去 请 求 受 限 的 实 体 属 性 ， 它 会 去 获 取 I D = 2 的 顾 客 e m a i l 信 息 ： c u s t o m e r A p i / C u s t o m e r s ( 2 ) ? $ s e l e c t = e m a i l 在 S Q L 语 法 中 ， 其 查 询 样 式 为 ： S E L E C T   e m a i l   F R O M   C u s t o m e r s   W H E R E   I D = 2 ; 以 上 只 是 为 了 方 便 大 家 了 解 O D a t a 协 议 举 的 例 子 。 当 然 除 了 $ s e l e c t 外 ， 还 可 以 使 用 其 它 的 查 询 语 法 ， 如 J S O N 或 X M L 格 式 的 数 据 导 出 $ f o r m a t 等 。 漏 洞 发 现 漏 洞 发 现 我 的 漏 洞 测 试 思 路 是 ： 首 先 需 要 对 目 标 系 统 有 一 个 整 体 的 了 解 认 识 ， 然 后 再 去 一 一 测 试 其 中 的 每 个 功 能 属 性 。 在 M i c r o s o f t   F o r m s 这 里 ， 我 首 先 测 试 的 是 其 中 的 O D a t a 元 数 据 ， 为 此 ， 我 必 须 对 其 元 数 据 格 式 进 行 一 个 深 入 的 了 解 。 这 里 ， 我 可 以 请 求 微 软 官 方 的 m e t a d a t a 接 口 来 看 看 ： h t t p : / / f o r m s . o f f i c e . c o m / f o r m a p i / a p i / $ m e t a d a t a
在 上 述 微 软 的 X M L 元 数 据 结 构 中 ， 并 没 有 多 少 有 意 义 的 线 索 。 接 着 ， 我 又 从 网 站 h t t p s : / / p r a g m a t i q a . c o m / x o d a t a / 的 O D a t a 结 构 描 述 中 来 了 解 不 同 O D a t a 实 体 类 型 的 关 系 ： 一 番 学 习 之 后 ， 我 尝 试 着 去 发 现 包 含 敏 感 信 息 的 实 体 类 型 。 正 巧 就 发 现 一 个 名 为 f o r m s 的 实 体 ， 其 中 包 含 了 e m a i l 在 内 的 用 户 生 成 相 关 数 据 ： 这 里 的 这 个 e m a i l 线
索 让 我 有 了 去 探 寻 其 他 人 邮 箱 的 思 路 。 这 里 ， 用 I D O R 和 C O R S 肯 定 是 行 不 通 的 。 几 经 测 试 ， 我 发 现 了 一 种 可 以 访 问 获 取 到 他 人 e m a i l 信 息 的 方 法 ， 但 前 提 是 ， 我 的 这 种 方 法 需 要 受 害 者 执 行 访 问 某 个 恶 意 网 站 的 交 互 动 作 。 这 种 受 害 者 交 互 的 限 制 条 件 大 大 降 低 了 漏 洞 危 害 性 ， 最 终 我 把 漏 洞 上 报 后 只 获 得 了 微 软 方 面 的 简 单 致 谢 。 深 入 构 造 深 入 构 造 - 未 授 权 的 未 授 权 的 O D a t a 实 体 访 问 实 体 访 问 为 了 去 除 受 害 者 交 互 这 个 前 提 动 作 ， 我 重 新 进 行 了 测 试 构 造 。 我 想 M i c r o s o f t   F o r m s 用 户 可 以 把 他 的 调 查 数 据 分 享 给 别 人 进 行 帮 忙 调 查 ， 那 么 我 是 否 可 以 从 这 个 方 面 来 考 虑 考 虑 呢 。 用 户 A 需 要 把 他 的 调 查 数 据 分 享 给 用 户 B ， 那 么 需 要 做 到 以 下 几 步 ： 1 、 用 户 A 选 择 需 要 分 享 的 表 单 f o r m ， 微 软 服 务 端 自 动 为 用 户 A 生 成 一 个 分 享 链 接 ； 2 、 用 户 A 把 该 分 享 链 接 发 送 给 用 户 B ； 3 、 用 户 B 打 开 该 链 接 ， 并 往 里 面 填 写 提 交 调 查 数 据 时 ， 就 会 向 微 软 服 务 端 有 一 个 请 求 动 作 ， 而 此 时 用 户 A 可 以 在 他 的 账 户 环 境 中 看 到 用 户 B 的 提 交 数 据 。 在 以 上 第 3 步 的 用 户 B 提 交 数 据 过 程 ， 会 有 以 下 提 交 请 求 ： 可 以 注 意 到 其 中 包 含 了 以 下 关 键 字 段 ： f o r m a p i / a p i / / u s e r s / / f o r m s ( ) / r e s p o n s e s 用 户 B 提 交 表 单 数 据 时 ， 这 里 请 求 内 容 中 的 o w n e r T e n a n t I D ,   o w n e r I D ,   f o r m I D 与 他 相 关 ， 因 此 ， 我 就 想 利 用 这 些 参 数 能 否 查 看 到 用 户 B 的 相 关 信 息 ， 比 如 邮 箱 e m a i l 呢 ？ 于 是 ， 我 就 用 $ s e l e c t 语 法 构 造 了 以 下 查 询 请 求 ： 但 请 求 发 出 后 ， 服 务 端 却 返 回 了 4 0 4 的 状 态 。 也 即 服 务 端 不 允 许 我 访 问 c r e a t e d B y 属 性 或 是 其 他 用 户 的 表 单 邮 箱 信 息 。 但 我 又 想 到 了 另 外 一 种 方 法 ： ” 是 否 有 另 一 个 实 体 有 c r e a t e d B y 属 性 ？ 并 且 还 具 有 与 f o r m s 表 单 实 体 相 同 的 实 体 键 ( f o r m I D ) ？ 这 又 引 发 了 我 的 想 像 ， 假 设 我 们 要 找 的 实 体 为 X ， 什 么 情 况 下 实 体 键 应 该 与 f o r m s 表 单 实 体 键 相 同 ？ 实 体 X 具 备 c r e a t e d B y 属 性 ， 而 我 们 的 点 在 于 需 要 通 过 该 属 性 访 问 到 其 中 的 用 户 邮 箱 e m a i l 。 另 外 ， 假 设 X 有 一 个 名 为 a c c o u n t I D 的 实 体 键 ， 为 了 访 问 其 中 的 e m a i l ， 我 们 需 要 向 其 发 送 以 下 请 求 ： f o r m a p i / a p i / / u s e r s / / X ( ) $ s e l e c t = c r e a t e d B y 这 里 的 关 键 是 a c c o u n t I D ， 因 为 我 们 并 不 知 晓 其 中 包 含 了 什 么 东 西 ， 但 从 前 面 的 步 骤 来 看 ， 我 们 可 以 通 过 用 户 B 提 交 的
表 单 看 到 其 中 的 f o r m I D 。 之 后 ， 经 过 几 种 实 体 类 型 的 比 对 ， 我 又 发 现 了 另 一 个 名 为 r u n t i m e F o r m s 并 包 含 c r e a t e d B y 属 性 的 实 体 ， 且 其 与 f o r m s 表 单 具 备 相 同 的 实 体 键 ！ 这 样 ， 就 完 全 满 足 了 我 前 述 想 像 的 漏 洞 利 用 条 件 了 ： 接 下 来 ， 我 把 请 求 中 的 f o r m s 用 r u n t i m e F o r m s 代 替 ， 并 用 $ s e l e c t 语 法 去 请 求 受 害 者 的 邮 箱 e m a i l 。 请 求 发 出 后 ， 终 于 成 功 获 取 到 了 受 害 者 的 邮 箱 信 息 ： 据 此 ， 我 就 能 无 交 互 地 实 现 受 害 者 邮 箱 信 息 获 取 了 ， 当 然 最 终 也 收 获 了 微 软 官 方 奖 励 的 $ 2 k 奖 励 。
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理