搜索

[16580] 2021-03-21_泄露国际象棋对战网站Chess.com五千万用户信息的漏洞分析

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-03-21_泄露国际象棋对战网站Chess.com五千万用户信息的漏洞分析 泄 露 国 际 象 棋 对 战 网 站 C h e s s . c o m 五 千 万 用 户 信 息 的 漏 洞 分 析 c l o u d s   F r e e B u f   2 0 2 1 - 0 3 - 2 1 本 篇 本 篇 W r i t e u p 漏 洞 涉 及 知 名 国 际 象 棋 在 线 对 战 网 站 漏 洞 涉 及 知 名 国 际 象 棋 在 线 对 战 网 站 C h e s s . c o m ， 漏 洞 情 况 非 常 简 单 ， 可 以 通 过 消 息 交 互 机 制 获 取 其 他 用 户 的 ， 漏 洞 情 况 非 常 简 单 ， 可 以 通 过 消 息 交 互 机 制 获 取 其 他 用 户 的 s e s s i o n _ i d ， 实 现 对 其 他 用 户 的 账 户 劫 持 。 关 键 在 于 其 影 响 非 常 严 重 ， 通 ， 实 现 对 其 他 用 户 的 账 户 劫 持 。 关 键 在 于 其 影 响 非 常 严 重 ， 通 过 该 漏 洞 可 获 取 过 该 漏 洞 可 获 取 C h e s s . c o m 网 站 中 来 自 全 世 界 各 地 多 达 网 站 中 来 自 全 世 界 各 地 多 达 5 0 0 0 万 的 注 册 用 户 信 息 。 万 的 注 册 用 户 信 息 。 漏 洞 发 现 背 景 漏 洞 发 现 背 景 对 网 站 C h e s s . c o m 的 测 试 要 追 溯 到 2 0 1 9 年 底 了 ， 当 时 我 花 了 好 多 时 间 对 其 部 署 的 原 生 W E B 应 用 服 务 进 行 了 分 析 ， 最 后 只 发 现 了 一 个 没 啥 特 别 的 反 射 型 X S S ： 当 时 我 对 该 反 射 型 X S S 的 考 虑 是 这 样 的 ， 攻 击 者 可 以 通 过 ” C o n n e c t   t o   G o o g l e ” 的 U R L 链 接 ， 验 证 通 过 拥 有 的 账 户 后 ， 然 后 用 X S S 方 式 构 造 H T T P 回 调 请 求 ， 把 其 账 户 与 受 害 者 的 C h e s s . c o m 账 户 绑 定 ， 以 此 实 现 账 户 后 门 化 提 权 。 这 应 该 算 是 X S S 武 器 化 应 用 的 一 个 妙 招 了 ， 但 我 却 不 满 足 止 步 于 该 发 现 ， 我 努 力 尝 试 去 发 现 一 个 更 有 影 响 力 的 高 危 漏 洞 。 在 那 段 时 间 ， 我 时 不 时 都 会 对 C h e s s . c o m 做 一 些 测 试 ， 但 都 无 功 而 返 ， 没 什 么 进 展 。
账 户 劫 持 漏 洞 账 户 劫 持 漏 洞 而 在 我 用 手 机 和 B u r p S u i t e 完 成 了 对 另 外 一 家 公 司 的 安 全 测 试 后 ， 我 才 意 识 到 ， 我 竟 然 从 来 没 有 测 试 过 C h e s s . c o m 的 A P P 应 用 。 说 做 就 做 ， 经 过 对 C h e s s . c o m A P P 应 用 的 流 量 抓 包 ， 我 发 现 了 此 前 从 没 发 现 过 的 一 个 子 域 名 a p i . c h e s s . c o m ： “ a p i . c h e s s . c o m ” 用 来 执 行 验 证 过 的 A P I 通 信 交 互 ， 可 以 确 定 的 是 ， 从 该 子 域 名 的 请 求 来 看 ， 这 下 貌 似 就 有 得 搞 头 了 。 从 请 求 路 径 看 ， 每 个 请 求 都 具 备 标 准 的 形 式 化 请 求 头 ， 且 都 是 有 效 的 。 测 试 范 围 瞬 间 感 觉 豁 然 开 朗 。 刚 开 始 的 几 个 请 求 样 式 如 下 ： 我 试 图 对 其 请 求 进 行 篡 改 操 控 ， 但 却 发 现 ” s i g n e d ” 是 经 验 证 的 一 个 哈 希 ， 它 即 是 整 个 请 求 的 参 数 。 根 本 无 法 对 它 进 行 篡 改 ， 貌 似 服 务 端 以 这 种 散 列 哈 希 执 行 某 种 密 码 形 式 的 验 证 ， 来 实 现 请 求 通 信 交 互 。 所 以 ， 即 使 更 改 了 其 哈 希 值 ， 最 终 的 请 求 也 无 法 成 功 。 好 在 ， 我 们 手 机 中 的 请 求 是 经 过 验 证 的 ， 所 以 理 论 上 来 说 ， 是 可 以 从 这 些 请 求 中 继 续 深 挖 发 现 隐 藏 的 相 关 密 码 信 息 ， 或 是 进 而 编 写 脚 本 进 行 验 证 性 请 求 生 成 测 试 的 。 在 尝 试 对 请 求 篡 改 之 前 ， 我 又 仔 细 地 点 击 了 C h e s s . c o m   A P P 的 各 项 功 能 ， 希 望 能 有 新 的 功 能 发 现 。 果 不 其 然 ， 当 我 与 h i k a r u 发 消 息 后 ， 我 在 请 求 中 搜 索 用 户 名   “ h i k a r u ”   时 ， 发 现 了 一 个 非 常 有 意 思 的 H T T P 请 求 ， 它 看 似 是 负 责 与 其 它 用 户 的 消 息 发 送 ， 以 下 是 与 用 户 h i k a r u 相 关 的 详 细 请 求 和 响 应 信 息 ： 请 求 ： 响 应 ： 我 第 一 眼 查 看 响 应 内 容 时 ， 觉 得 太 好 了 ， 其 中 竟 然 包 含 了 该 用 户 的 注 册 邮 箱 名 ， 也 就 意 味 着 ， 用 这 种 方 式 可 以 获 取 任 意 用 户 的 绑 定 邮 箱 了 ， 而 且 这 至 少 是 一 个 中 危 漏 洞 。 所 以 ， 即 使 我 们 无 法 对 请 求 执 行 篡 改 ， 也 可 以 通 过 查 看 其 中 的 交 互 内 容 ， 发 现 一 些 有 用 的 东 西 。 G E T   / v 1 / u s e r s / v a l i d a t e - u s e r n a m e / t e s t ? s i g n e d = i O S 3 . 9 . 7 - 0 4 7 a 1 3 c 3 9 5 e e 9 c 0 5 9 f 9 8 f 1 a f 7 4 b b 1 1 c 8 0 2 0 4 7 d 4 7   H T T P / 1 . 1 H o s t :   a p i . c h e s s . c o m G E T   / v 1 / u s e r s ? l o g i n T o k e n = 9 8 a 1 6 1 2 7 f b 8 c b 4 d c 9 7 a 3 a 0 2 1 0 3 7 0 6 8 9 0 & u s e r n a m e = h i k a r u & s i g n e d = i O S 3 . 9 . 7 - 7 b 9 f 1 3 8 3 b 6 6 9 6 1 4 3 0 2 e 9 5 0 3 b a 7 d b 8 1 8 7 5 e 4 4 0 d 7 e   H T T P / 1 . 1 H o s t :   a p i . c h e s s . c o m { " s t a t u s " :   " s u c c e s s " , " d a t a " :   { " e m a i l " :   " R E D A C T E D @ R E D A C T E D . C O M " , " p r e m i u m _ s t a t u s " :   3 , " i d " :   1 5 4 4 8 4 2 2 , " u u i d " :   " R E D A C T E D " , " c o u n t r y _ i d " :   2 , " a v a t a r _ u r l " :   " h t t p s : / / i m a g e s . c h e s s c o m f i l e s . c o m / u p l o a d s / v 1 / u s e r / 1 5 4 4 8 4 2 2 . 9 0 5 0 3 d 6 6 . 2 0 0 x 2 0 0 o . f 3 2 3 e f a 5 7 f d 0 . j p e g " , " l a s t _ l o g i n _ d a t e " :   R E D A C T E D , " s e s s i o n _ i d " :   " R E D A C T E D " , " l o c a t i o n " :   " S u n r i s e ,   F l o r i d a " , " u s e r n a m e " :   " H i k a r u " , " p o i n t s " :   5 2 , " c h e s s _ t i t l e " :   " G M " , " f i r s t _ n a m e " :   " H i k a r u   N a k a m u r a " , " l a s t _ n a m e " :   n u l l , " c o u n t r y _ n a m e " :   " U n i t e d   S t a t e s " , " m e m b e r _ s i n c e " :   R E D A C T E D , " a b o u t " :   " " , " i s _ b l o c k e d " :   f a l s e , " i s _ t r a c k e d " :   f a l s e , " a r e _ f r i e n d s " :   f a l s e , " f r i e n d _ r e q u e s t _ e x i s t s " :   t r u e , " i s _ a b l e _ t o _ c h a n g e _ u s e r n a m e " :   n u l l , " f l a i r _ c o d e " :   " d i a m o n d _ t r a d i t i o n a l " , " s h o w _ a d s " :   t r u e , " i s _ f a i r _ p l a y _ a g r e e d " :   t r u e } }
在 我 打 算 编 写 漏 洞 报 告 之 前 ， 我 又 在 请 求 中 仔 细 地 筛 查 了 一 遍 ， 看 看 能 否 从 中 发 现 一 些 与 用 户 身 份 相 关 的 泄 露 信 息 。 最 后 ， 在 我 A P P 通 信 内 容 中 ， 我 又 发 现 了 以 下 信 息 ： 这 应 该 是 包 含 在 我 A P P 与 两 个 单 独 用 户 发 生 消 息 交 互 或 在 线 对 战 时 产 生 的 请 求 信 息 中 ， 另 外 ， 可 见 以 上 两 个   “ s e s s i o n _ i d ” 是 不 同 的 ， 而 且 它 们 都 返 回 了 不 同 的 用 户 对 象 ， 所 以 它 们 并 不 属 于 我 A P P 的 s e s s i o n _ i d 。 于 是 ， 我 马 上 到 浏 览 器 中 查 看 了 我 的 存 储 C o o k i e ， 在 ” P H P S E S S I D ” 中 ， 我 发 现 了 我 自 己 的 ” s e s s i o n _ i d ” ： 由 于 P H P S E S S I D 是 用 户 与 服 务 端 进 行 会 话 的 验 证 标 识 ， 存 在 于 C o o k i e 信 息 中 ， 因 此 ， 这 也 就 意 味 着 ， 只 要 通 过 消 息 或 在 线 对 战 的 方 式 ， 我 们 就 能 获 取 对 对 方 用 户 的 s e s s i o n _ i d 信 息 ， 且 可 以 劫 持 其 交 互 会 话 ！ J a c k p o t ！ 这 就 是 完 全 的 账 户 劫 持 啊 ！ 劫 持 劫 持 C h e s s . c o m 网 站 管 理 员 账 户 网 站 管 理 员 账 户 为 了 在 漏 洞 报 告 中 说 明 问 题 ， 我 利 用 该 漏 洞 方 式 获 得 了 C h e s s . c o m 网 站 管 理 员 之 一 D a n i e l   R e n s c h 的 P H P S E S S I D   c o o k i e 信 息 。 但 用 该 信 息 进 行 验 证 登 录 后 ， 刚 开 始 无 法 看 到 管 理 员 界 面 。 " s e s s i o n _ i d " : " 5 6 c 5 2 5 7 a 0 8 0 0 d . . . . . 8 6 d 2 8 9 3 4 8 6 8 a 8 8 " , " s e s s i o n _ i d " : " 1 f 3 d 1 1 2 b 9 a 3 f . . . . . d b b f 1 9 4 3 8 f c d 8 d " , H T T P / 1 . 1   2 0 0   O K D a t e :   S a t ,   9   D e c   2 0 2 0   0 5 : 5 2 : 4 7   G M T C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n . . . " s e s s i o n _ i d " : " 3 9 4 7 3 9 8 c 3 9 e f 1 5 a . . . . . 5 6 5 2 3 b 5 a 4 5 3 3 " . . .
反 复 分 析 后 ， 我 才 意 识 到 ， 此 前 测 试 过 程 中 曾 有 一 个 名 为   “ a d m i n . c h e s s . c o m ”   的 子 域 名 ， 于 是 ， 我 将 D a n i e l   R e n s c h 的 P H P S E S S I D   c o o k i e 信 息 进 行 了 范 围 限 定 ， 设 置 为 ” . c h e s s . c o m ”   ， 然 后 打 开 h t t p s : / / a d m i n . c h e s s . c o m 链 接 ， J a c k p o t ！ 我 直 接 进 行 了 其 管 理 页 面 ： 然 后 调 出 了 其 个 人 资 料 ： 对 于 恶 意 攻 击 者 来 说 ， 利 用 该 漏 洞 可 以 劫 持 C h e s s . c o m 网 站 的 任 意 用 户 ， 而 且 ， 还 能 利 用 该 漏 洞 修 改 个 人 信 息 和 象 棋 积 分 排 名 。 漏 洞 上 报 后 ， C h e s s . c o m 在 一 小 时 后 就 给 出 了 响 应 ， 两 小 时 后 就 修 复 了 漏 洞 。 另 外 ， 另 外 ， C h e s s . c o m 还 设 有 自 己 的 漏 洞 众 测 项 目 ， 大 家 可 以 点 此 查 看 。 还 设 有 自 己 的 漏 洞 众 测 项 目 ， 大 家 可 以 点 此 查 看 。 漏 洞 上 报 和 处 理 进 程 漏 洞 上 报 和 处 理 进 程 2 0 2 0 . 1 2 . 1 2     1 2 : 3 4   A M     漏 洞 上 报
2 0 2 0 . 1 2 . 1 2     0 3 : 1 7   A M     漏 洞 确 认 2 0 2 0 . 1 2 . 1 2     0 7 : 4 2   A M     漏 洞 修 复 2 0 2 0 . 1 2 . 1 6     0 2 : 4 0   P M     漏 洞 奖 励 精 精 彩 彩 推 推 荐 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理