搜索

[16489] 2021-02-26_通过邀请消息劫持Github组织账号分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-26_通过邀请消息劫持Github组织账号分析 通 过 邀 请 消 息 劫 持 G i t h u b 组 织 账 号 分 析 c l o u d s   F r e e B u f   2 0 2 1 - 0 2 - 2 6 由 于 由 于 G i t h u b 组 织 账 组 织 账 号 的 邀 请 消 息 无 需 任 何 确 认 机 制 ， 在 接 收 邀 请 消 息 前 无 需 任 何 关 于 身 份 的 邮 件 确 认 ， 因 此 ， 攻 击 者 在 一 定 条 件 号 的 邀 请 消 息 无 需 任 何 确 认 机 制 ， 在 接 收 邀 请 消 息 前 无 需 任 何 关 于 身 份 的 邮 件 确 认 ， 因 此 ， 攻 击 者 在 一 定 条 件 下 ， 可 以 利 用 该 身 份 绕 过 问 题 ， 劫 持 下 ， 可 以 利 用 该 身 份 绕 过 问 题 ， 劫 持 G i t h u b 组 织 账 号 （ 组 织 账 号 （ G i t h u b   O r g a n i z a t i o n ） 。 ） 。 G i t h u b 的 邀 请 消 息 机 制 （ 的 邀 请 消 息 机 制 （ I n v i t a t i o n ） ） 用 户 可 以 通 过 g i t h u b . c o m 网 站 ， 用 个 人 认 证 信 息 创 建 一 个 G i t h u b 组 织 账 号 （ G i t h u b   O r g a n i z a t i o n ） ， 并 通 过 邀 请 他 人 加 入 形 成 团 队 。 在 此 处 ， 我 花 了 很 长 时 间 进 行 一 些 权 限 方 面 的 安 全 测 试 。 因 此 当 时 ， 我 通 过 g i t h u b . c o m 创 建 了 一 个 G i t h u b 组 织 账 号 （ G i t h u b   O r g a n i z a t i o n ） 进 行 了 测 试 ， 我 注 意 到 ， 只 有 G i t h u b 组 织 账 号 的 管 理 员 （ O w n e r   ） 才 有 权 限 对 他 人 发 出 加 入 邀 请 ， 被 邀 请 人 可 以 是 g i t h u b 用 户 或 非 g i t h u b 用 户 。 如 果 被 邀 请 人 是 非 g i t h u b 用 户 ， 则 必 须 向 被 邀 请 人 邮 箱 发 送 邀 请 ； 若 被 邀 请 人 是 g i t h u b 用 户 ， 则 我 们 可 以 选 择 向 g i t h u b 用 户 的 用 户 名 直 接 发 出 邀 请 。 如 下 我 用 自 己 邮 箱 b 4 9 3 6 0 0 4 l z @ s a f e m a i l . i c u 接 收 邀 请 ：
在 发 出 邀 请 的 同 时 ， 作 为 G i t h u b 组 织 账 号 的 管 理 员 ， 可 直 接 向 被 邀 请 人 赋 予 一 定 权 限 ， 有 “ M e m b e r ” （ 普 通 成 员 ） 和 “ O w n e r ” （ 管 理 员 ） 两 种 用 户 权 限 选 择 ， 这 里 ， 我 向 被 邀 请 人 赋 予 “ O w n e r ” （ 管 理 员 ） 权 限 ， 如 下 所 示 ： 在 向 上 述 非 g i t h u b 用 户 的 邮 箱 b 4 9 3 6 0 0 4 l z @ s a f e m a i l . i c u 发 出 具 备 “ O w n e r ” （ 管 理 员 ） 权 限 的 邀 请 消 息 后 ， 常 规 做 法 是 ， 被 邀 请 人 应 该 通 过 邮 件 确 认 - > g i t h u b 账 户 创 建 - > 接 收 邀 请 来 实 现 邀 请 接 受 （ b a s i c   e m a i l   i n v i t a t i o n   >   a c c o u n t   c r e a t i o n   +   a c c e p t i n g i n v i t a t i o n ） ， 但 我 没 有 这 样 ， 我 直 接 用 该 邮 箱 在 g i t h u b . c o m 上 注 册 了 一 个 g i t h u b 用 户 。 进 入 该 g i t h u b 用 户 中 ， 我 打 开 了 之 前 向 我 发 送 邀 请 的 G i t h u b 组 织 页 面 g i t h u b . c o m / o r g _ n a m e ， 此 时 ， 我 的 邀 请 信 息 直 接 显 示 在 了 其 主 页 上 ， 如 下 ：
乍 一 看 ， 这 好 像 没 有 什 么 ， 因 为 g i t h u b 的 消 息 显 示 就 是 如 此 的 。 但 是 ， 这 里 我 奇 怪 的 是 ， 在 创 建 g i t h u b 账 户 的 时 候 我 根 本 没 有 进 行 过 邮 件 确 认 ， 要 是 我 是 假 冒 用 户 就 糟 糕 了 ， 也 即 该 邀 请 消 息 并 不 应 该 直 接 就 显 示 在 这 里 的 客 户 端 页 面 上 ， 至 少 怎 么 也 得 加 上 个 t o k e n 方 式 的 身 份 认 证 机 制 吧 。 通 过 这 里 的 邀 请 信 息 ， 我 直 接 就 绕 过 了 邮 件 确 认 等 身 份 认 证 机 制 ， 成 为 了 G i t h u b 组 织 账 号 的 管 理 员 。 漏 洞 利 用 场 景 漏 洞 利 用 场 景 该 漏 洞 更 多 要 阐 述 的 是 漏 洞 利 用 场 景 。
1 、 假 设 一 个 G i t h u b 组 织 账 号 管 理 员 通 过 邮 件 方 式 向 某 被 邀 请 人 发 出 邀 请 信 息 ， 并 向 其 赋 予 “ O w n e r ” （ 管 理 员 ） 权 限 ， 也 就 说 明 该 被 邀 请 人 是 非 g i t h u b 用 户 ， 他 在 接 收 到 邀 请 的 同 时 应 该 会 创 建 一 个 g i t h u b 账 户 ； 2 、 基 于 G i t h u b 账 号 的 注 册 机 制 ， 可 把 邮 箱 当 用 户 名 进 行 注 册 ， 因 此 攻 击 者 可 以 用 被 邀 请 人 的 邮 箱 进 行 假 冒 g i t h u b 账 户 注 册 ； 3 、 由 于 上 述 邀 请 机 制 缺 乏 邮 件 确 认 步 骤 ， 并 且 直 接 显 示 在 了 G i t h u b 组 织 账 号 主 页 ， 因 此 攻 击 者 可 以 用 其 假 冒 g i t h u b 账 户 登 录 查 看 ； 4 、 攻 击 者 利 用 上 述 步 骤 ， 假 冒 被 邀 请 人 实 现 邀 请 接 收 并 管 理 G i t h u b 组 织 账 号 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 1 7 . 1 1 . 8   漏 洞 上 报 2 0 1 7 . 1 1 . 1 6   G i t h u b 奖 励 了 $ 5 0 0 0 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理