搜索

[2107] 2020-08-01_入侵星巴克并访问近1亿客户记录

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2020-08-01_入侵星巴克并访问近1亿客户记录 入 侵 星 巴 克 并 访 问 近 1 亿 客 户 记 录 s a m w c y o   E D I 安 全   2 0 2 0 - 0 8 - 0 1 经 过 一 整 天 的 尝 试 并 未 能 在 V e r i z o n   M e d i a   B u g 赏 金 计 划 中 找 到 漏 洞 ， 我 决 定 退 出 并 做 一 些 琐 事 。 我 需 要 为 朋 友 的 生 日 买 礼 物 ， 然 后 上 网 订 购 星 巴 克 的 礼 物 卡 。 在 星 巴 克 网 站 上 尝 试 购 买 它 时 ， 我 禁 不 住 注 意 到 许 多 A P I 调 用 ， 这 些 调 用 立 即 引 起 了 人 们 的 怀 疑 。 在 以 “   / b f f / p r o x y / ” 为 前 缀 的 A P I 下 发 送 了 一 些 请 求 ， 这 些 请 求 返 回 的 数 据 似 乎 来 自 另 一 台 主 机 。 由 于 星 巴 克 有 一 个 漏 洞 赏 金 计 划 ， 并 且 那 天 那 天 我 的 进 度 为 零 ， 这 让 我 有 点 不 知 所 措 ， 因 此 我 决 定 进 一 步 研 究 它 们 。 以 下 是 返 回 我 的 用 户 信 息 的 那 些 A P I 调 用 之 一 的 示 例 ：
术 语 “   b f f ” 实 际 上 代 表 “ 后 端 的 后 端 ” ， 表 示 与 用 户 交 互 的 应 用 程 序 将 请 求 发 送 给 另 一 台 主 机 以 获 取 实 际 的 逻 辑 或 功 能 。 下 面 是 一 个 非 常 简 单 的 视 图 ： 在 上 面 的 示 例 中 ， “   a p p . s t a r b u c k s . c o m ” 主 机 将 无 法 访 问 通 过 特 定 终 结 点 正 在 访 问 的 逻 辑 或 数 据 ， 但 将 充 当 假 设 的 第 二 个 主 机 “ 内 部 ” 的 代 理 或 中 间 人 。   “ i n t e r n a l . s t a r b u c k s . c o m ” 。 这 里 要 考 虑 的 一 些 有 趣 的 事 情 是 … 我 们 如 何 测 试 应 用 程 序 的 路 由 ？ 如 果 应 用 程 序 将 请 求 路 由 到 内 部 主 机 ， 则 权 限 模 型 是 什 么 样 的 ？ 我 们 可 以 控 制 发 送 到 内 部 主 机 的 请 求 中 的 路 径 或 参 数 吗 ？ 内 部 主 机 上 是 否 有 开 放 重 定 向 ， 如 果 有 ， 应 用 程 序 将 遵 循 开 放 重 定 向 吗 ？ 返 回 的 内 容 是 否 必 须 匹 配 适 当 的 类 型 （ 是 否 解 析 J S O N ， X M L 或 任 何 其 他 数 据 ？ ） 我 做 的 第 一 件 事 是 尝 试 遍 历 A P I 调 用 ， 以 便 可 以 加 载 其 他 路 径 ， 而 执 行 此 操 作 的 方 式 是 发 送 以 下 负 载 ：
但 是 ， 这 些 都 不 起 作 用 。 他 们 都 返 回 了 我 通 常 会 看 到 的 相 同 的 4 0 4 页 面 ， 该 页 面 通 常 是 试 图 加 载 网 站 上 任 何 地 方 都 不 存 在 的 页 面 的 。 这 表 明 仅 仅 因 为 请 求 中 的 路 径 在 “   / b f f / p r o x y ” 下 ， 它 并 没 有 继 承 我 随 后 发 送 的 所 有 内 容 ， 它 可 能 更 加 明 确 。 在 这 种 情 况 下 ， 我 们 可 以 将 “ / b f f / p r o x y / o r c h e s t r a / g e t - u s e r ” 视 为 我 们 正 在 调 用 的 未 包 含 用 户 输 入 的 功 能 。 我 们 有 机 会 找 到 一 个 确 实 可 以 接 受 用 户 输 入 的 功 能 ， 例 如 “ / b f f /   p r o x y / u s e r s / : i d ” ， 我 们 可 以 在 其 中 进 行 测 试 并 测 试 将 接 受 的 数 据 。 如 果 我 们 发 现 这 样 的 A P I 调 用 ， 我 们 可 能 会 更 有 运 气 尝 试 遍 历 有 效 负 载 并 发 送 其 他 数 据 ， 因 为 它 实 际 上 是 在 用 户 输 入 中 获 取 的 。 我 看 了 应 用 程 序 一 段 时 间 ， 直 到 发 现 更 多 A P I 调 用 。 我 发 现 接 受 用 户 输 入 的 第 一 个 信 息 是 ： 该 端 点 不 同 于 “ 获 取 用 户 ” 端 点 ， 因 为 最 后 一 条 路 径 作 为 参 数 存 在 ， 我 们 在 其 中 提 供 了 任 意 输 入 。 如 果 此 输 入 被 视 为 内 部 系 统 上 的 路 径 ， 则 我 们 可 能 会 遍 历 它 并 访 问 其 他 内 部 端 点 。 幸 运 的 是 ， 我 尝 试 的 第 一 个 测 试 返 回 了 一 个 非 常 好 的 指 标 ， 表 明 我 们 可 以 遍 历 端 点 ：
此 J S O N 响 应 与 “ / b f f / p r o x y ” 下 所 有 其 他 常 规 A P I 调 用 的 J S O N 响 应 相 同 。 这 表 明 我 们 正 在 使 用 内 部 系 统 ， 并 且 已 经 成 功 地 修 改 了 我 们 正 在 与 之 交 谈 的 路 径 。 下 一 步 将 是 绘 制 内 部 系 统 ， 最 好 的 方 法 是 通 过 标 识 返 回 “   4 0 0 错 误 请 求 ” 的 第 一 条 路 径 遍 历 到 根 目 录 。 但 是 ， 有 一 个 W A F 不 会 让 我 深 入 两 个 目 录 ： 幸 运 的 是 ， 这 个 W A F 不 难 绕 过 ： 最 终 ， 在 返 回 7 条 路 径 后 ， 我 收 到 以 下 错 误 ： G E T   / b f f / p r o x y / s t r e a m / v 1 / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . . .   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m
这 意 味 着 内 部 A P I 的 根 是 6 个 返 回 路 径 ， 我 们 可 以 使 用 目 录 暴 力 破 解 工 具 或 B u r p   S u i t e 的 入 侵 者 和 单 词 列 表 将 其 映 射 出 来 。 此 时 ， 由 于 我 对 功 能 的 兴 趣 ， 我 与 J u s t i n   G a r d n e r 进 行 了 探 讨 。 他 几 乎 观 察 到 内 部 系 统 的 根 目 录 ， 立 即 发 现 了 许 多 路 径 ， 而 没 有 正 斜 杠 ， 随 后 便 使 用 B u r p 的 入 侵 者 返 回 了 重 定 向 代 码 ： J u s t i n 致 力 于 寻 找 所 有 端 点 时 ， 我 逐 一 研 究 了 每 个 目 录 。 运 行 完 自 己 的 扫 描 后 ， 我 发 现 “   v 1 ” 存 在 于 “ 搜 索 ” 下 ， 而 “   v 1 ” 之 下 是 “ 帐 户 ” 和 “ 地 址 ” 。 我 给 贾 斯 汀 发 了 一 条 消 息 ， 想 想 如 果 “ / s e a r c h / v 1 / a c c o u n t s ” 端 点 是 对 所 有 生 产 帐 户 的 搜 索 ， 那 将 是 多 么 有 趣 … … 就 是 这 样 。 “ / s e a r c h / v 1 / a c c o u n t s ” 是 可 以 访 问 所 有 星 巴 克 帐 户 的 M i c r o s o f t   G r a p h 实 例 。 G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . s e a r c h H o s t :   a p p . s t a r b u c k s . c o m G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . s e a r c h v 1 A c c o u n t s   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m
此 外 ， “ 地 址 ” 端 点 返 回 了 类 似 的 信 息 … 它 是 为 生 产 帐 户 和 地 址 提 供 的 服 务 。 我 们 开 始 进 一 步 探 索 该 服 务 ， 以 使 用 M i c r o s o f t   G r a p h 功 能 确 认 我 们 的 怀 疑 。 {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A c c o u n t s " ,     " v a l u e " :   [         {             " I d " :   1 ,             " E x t e r n a l I d " :   " 1 2 3 4 5 " ,             " U s e r N a m e " :   " U s e r N a m e " ,             " F i r s t N a m e " :   " F i r s t N a m e " ,             " L a s t N a m e " :   " L a s t N a m e " ,             " E m a i l A d d r e s s " :   " 0 6 4 0 D E @ e x a m p l e . c o m " ,             " S u b m a r k e t " :   " U S " ,             " P a r t n e r N u m b e r " :   n u l l ,             " R e g i s t r a t i o n D a t e " :   " 1 9 0 0 - 0 1 - 0 1 T 0 0 : 0 0 : 0 0 Z " ,             " R e g i s t r a t i o n S o u r c e " :   " i O S A p p " ,             " L a s t U p d a t e d " :   " 2 0 1 7 - 0 6 - 0 1 T 1 5 : 3 2 : 5 6 . 4 9 2 5 2 0 7 Z "         } , . . . l o t s   o f   p r o d u c t i o n   a c c o u n t s G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . s e a r c h v 1 A d d r e s s e s   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A d d r e s s e s " ,     " v a l u e " :   [         {             " I d " :   1 ,             " A c c o u n t I d " :   1 ,             " A d d r e s s T y p e " :   " 3 " ,             " A d d r e s s L i n e 1 " :   n u l l ,             " A d d r e s s L i n e 2 " :   n u l l ,             " A d d r e s s L i n e 3 " :   n u l l ,             " C i t y " :   n u l l ,             " P o s t a l C o d e " :   n u l l ,             " C o u n t r y " :   n u l l ,             " C o u n t r y S u b d i v i s i o n " :   n u l l ,             " F i r s t N a m e " :   n u l l ,             " L a s t N a m e " :   n u l l ,             " P h o n e N u m b e r " :   n u l l         } , . . . l o t s   o f   p r o d u c t i o n   a d d r e s s e s
通 过 从 M i c r o s o f t   G r a p h   U R L 添 加 “ $ c o u n t ” 参 数 ， 我 们 可 以 确 定 该 服 务 具 有 近 1 亿 条 记 录 。 攻 击 者 可 以 通 过 添 加 “ $ s k i p ” 和 “ $ c o u n t ” 之 类 的 参 数 枚 举 所 有 用 户 帐 户 来 窃 取 此 数 据 。 此 外 ， 要 查 明 特 定 的 用 户 帐 户 ， 攻 击 者 可 以 使 用 “ $ f i l t e r ” 参 数 ： 由 于 所 有 内 容 的 敏 感 性 ， 我 们 继 续 报 告 此 问 题 。 我 们 仍 然 没 有 时 间 去 测 试 许 多 可 以 访 问 的 A P I 。 我 们 发 现 的 其 他 一 些 端 点 是 ： G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . S e a r c h v 1 A c c o u n t s ? $ c o u n t = t r u e H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A c c o u n t s " ,     " @ o d a t a . c o u n t " : 9 9 3 5 6 0 5 9 } G E T   / b f f / p r o x y / s t r e a m / v 1 / u s e r s / m e / s t r e a m I t e m s / w e b . . . . . . . . . . . . . . . . . . S e a r c h v 1 A c c o u n t s ? $ f i l t e r = s t a r t s w i t h ( U s e r N a m e , ' r e d a c t e d ' )   H T T P / 1 . 1 H o s t :   a p p . s t a r b u c k s . c o m {     " @ o d a t a . c o n t e x t " :   " h t t p s : / / r e d a c t e d . s t a r b u c k s . c o m / S e a r c h / v 1 / $ m e t a d a t a # A c c o u n t s " ,     " v a l u e " :   [         {             " I d " :   8 1 7 6 3 0 2 2 ,             " E x t e r n a l I d " :   " 5 9 d 1 5 9 e 2 - r e d a c t e d - r e d a c t e d - b 0 3 7 - e 8 c e c e c d f 3 5 4 " ,             " U s e r N a m e " :   " r e d a c t e d @ g m a i l . c o m " ,             " F i r s t N a m e " :   " J u s t i n " ,             " L a s t N a m e " :   " G a r d n e r " ,             " E m a i l A d d r e s s " :   " r e d a c t e d @ g m a i l . c o m " ,             " S u b m a r k e t " :   " U S " ,             " P a r t n e r N u m b e r " :   n u l l ,             " R e g i s t r a t i o n D a t e " :   " 2 0 1 8 - 0 5 - 1 9 T 1 8 : 5 2 : 1 5 . 0 7 6 3 5 6 4 Z " ,             " R e g i s t r a t i o n S o u r c e " :   " A n d r o i d " ,             " L a s t U p d a t e d " :   " 2 0 2 0 - 0 5 - 1 6 T 2 3 : 2 8 : 3 9 . 3 4 2 6 0 6 9 Z "         }     ] }
这 些 其 他 内 部 端 点 可 能 （ 尽 管 尚 未 确 认 ） 使 我 们 能 够 访 问 和 修 改 账 单 地 址 ， 礼 品 卡 ， 奖 励 和 优 惠 等 内 容 。 我 们 当 前 的 概 念 证 明 表 明 ， 我 们 可 以 访 问 近 1 亿 星 巴 克 客 户 的 姓 名 ， 电 子 邮 件 ， 电 话 号 码 和 地 址 。 星 巴 克 团 队 非 常 迅 速 地 解 决 了 这 一 问 题 ， 并 在 一 天 内 解 决 了 该 问 题 。 摘 要 摘 要 “   a p p . s t a r b u c k s . c o m ” 上 “ / b f f / p r o x y / ” 下 的 端 点 在 内 部 路 由 请 求 以 检 索 和 存 储 数 据 。 可 以 遍 历 这 些 A P I 调 用 ， 以 访 问 不 应 在 内 部 主 机 上 访 问 的 命 中 U R L 。 内 部 A P I 有 一 个 公 开 的 M i c r o s o f t   G r a p h 实 例 ， 它 使 攻 击 者 能 够 窃 取 近 1 亿 条 用 户 记 录 ， 包 括 姓 名 ， 电 子 邮 件 ， 电 话 号 码 和 地 址 。 时 间 线 时 间 线 5 月 1 6 日 报 道 5 月 1 7 日 已 修 补 5 月 1 9 日 颁 发 的 赏 金 （ 4 , 0 0 0 美 元 ） 扫 码 关 注 我 们 扫 码 关 注 我 们                     长 按 二 维 码 关 注 E D I 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 b a r c o d e ,   l o y a l t y ,   a p p s e t t i n g s ,   c a r d ,   c h a l l e n g e ,   c o n t e n t ,   i d e n t i f i e r ,   i d e n t i t y ,   o n b o a r d i n g ,   o r d e r h i s t o r y ,   p e r m i s s i o n s ,   p r o d u c t ,   p r o m o t i o n ,   a c c o u n t ,   b i l l i n g a d d r e s s ,   e n r o l l m e n t ,   l o c a t i o n ,   m u s i c ,   o f f e r s ,   r e w a r d s ,   k e y s e r v e r
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理