搜索

[28477] 2020-08-04_密码找回中的套路

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2020-08-04_密码找回中的套路 密 码 找 回 中 的 套 路 爱 吃 猫 的 闲 鱼   O t s 安 全   2 0 2 0 - 0 8 - 0 4 前 言 前 言 首 先 这 不 是 一 篇 总 结 性 的 帖 子 ， 毕 竟 对 于 密 码 找 回 的 测 试 方 法 网 络 上 有 比 较 全 面 的 总 结 ， 比 如 用 户 凭 证 暴 力 破 解 ， 系 统 返 回 了 重 要 的 凭 证 ， 邮 箱 手 机 弱 t o k e n , t o k e n 通 用 ， s e s s i o n 覆 盖 ， 用 户 凭 证 有 效 期 问 题 ， 凭 证 算 法 被 破 解 ， 前 端 校 验 等 等 一 系 列 漏 洞 。 在 这 里 附 上 前 辈 总 结 的 脑 图 ， 总 结 的 也 是 比 较 详 细 了 。 在 日 常 的 授 权 测 试 以 及 论 坛 瞎 逛 中 ， 发 现 了 一 些 对 于 个 人 而 言 比 较 有 意 思 的 找 回 密 码 的 操 作 ， 独 乐 乐 不 如 众 乐 乐 ， 分 享 出 来 希 望 能 帮 到 各 位 师 傅 。
H o s t   H e a d e r 欺 骗 欺 骗 有 些 人 认 为 H T T P 的 联 机 就 是 靠 包 里 的 H O S T   h e a d e r 来 连 接 的 , 所 以 会 认 为 如 果 修 改 掉 包 里 的 H O S T ,   那 么 就 连 接 不 到 目 标 服 务 器 , 所 以 是 不 可 控 的 。 其 实 H T T P 的 联 机 与 包 里 的 H O S T 并 没 有 啥 关 系 ,   H T T P 的 联 机 是 T C P / I P 建 立 的 ,   所 以 修 改 掉 H O S T   H E A D E R 并 不 会 把 包 丢 到 另 外 一 个 服 务 器 上 。 所 以 当 应 用 使 用 $ _ S E R V E R [ ' H T T P _ H O S T ' ] 获 取 网 站 U R L 并 拼 接 到 找 回 密 码 的 链 接 当 中 就 会 产 生 漏 洞 。 当 你 使 用 网 站 密 码 重 置 功 能 时 ， 网 站 U R L 可 能 在 将 来 会 改 变 ， 所 以 要 动 态 地 生 成 一 个 邮 箱 找 回 密 码 的 链 接 来 匹 配 服 务 器 的 U R L 。 这 个 时 候 可 能 就 会 使 用 $ _ S E R V E R [ ' H T T P _ H O S T ' ] , H o s t   h e a d e r   是 客 户 端 提 供 的 ， 意 味 着 攻 击 者 可 以 将 他 们 自 己 的 网 址 写 到 重 置 密 码 的 邮 件 当 中 ， 威 胁 任 意 用 户 的 账 户 安 全 。 通 过   X - F o r w a r d e d - H o s t   来 拼 接 找 回 密 码 链 接 中 的 域 名 ， 这 样 可 以 通 过 写 入 自 己 控 制 的 域 名 ， 然 后 通 过 访 问 记 录 发 现 找 回 密 码 链 接 ， 在 拼 接 回 正 确 域 名 重 置 任 意 用 户 密 码 。 利 用 条 件 是 受 害 者 必 须 要 点 击 重 置 链 接 ， 你 才 能 从 你 控 制 的 网 站 中 通 过 访 问 记 录 查 看 到 重 置 链 接 。 举 个 k a c k e r o n e 的 例 子 : M a v e n l i n k 允 许 用 户 注 册 一 个 m a v e n l i n k . c o m 的 子 域 名 去 展 示 他 们 的 内 容 ， 所 以 他 们 需 要 一 个 方 法 去 动 态 地 决 定 公 司 的 子 域 名 。 h o s t   h e a d e r   可 以 设 置 为 m a v e n l i n k . c o m 的 任 意 子 域 名 ， 但 是 从 m a v e n l i n k . c o m 更 改 域 名 将 会 返 回 一 个 错 误 ， 而 不 是 发 送 一 个 邮 件 。 添 加 一 个 随 机 的 m a v e n l i n k . c o m 的 子 域 名 ， 但 是 这 会 被 定 向 到 正 确 的 页 面 ， 没 办 法 插 入 自 己 的 域 名 。 测 试 特 殊 字 符 。 服 务 器 接 受 h o s t   h e a d e r 中 的 一 个 问 号 ， 生 成 下 面 的 链 接 H o s t :   e x a m p l e . c o m ? . m a v e n l i n k . c o m 这 样 就 可 以 从 用 户 邮 件 中 盗 取 密 码 重 置 t o k e n 当 然 这 里 还 涉 及 到 了 域 名 检 测 的 绕 过 问 题 ， 一 旦 用 户 点 击 该 链 接 ， 我 们 在 e x a m p l e . c o m 即 可 获 取 到 重 置 链 接 信 息 验 证 链 接 批 量 发 送 验 证 链 接 批 量 发 送 在 给 后 端 传 递 要 发 送 验 证 链 接 的 邮 箱 或 者 手 机 号 时 ， 可 以 传 递 一 个 邮 箱 或 者 手 机 的 集 合 ， 然 后 只 要 第 一 个 邮 箱 或 者 手 机 号 是 数 据 库 里 存 在 的 邮 箱 或 者 手 机 号 ， 那 么   将 会 向 这 批 手 机 号 或 者 邮 箱 发 送 一 样 的 链 接 信 息 团 队 测 试 中 遇 到 的 例 子 :
在 h a c k e r o n e 披 露 的 漏 洞 中 同 样 存 在 这 样 的 例 子 ， 通 过 发 送 两 个 邮 箱 ， 一 个 为 受 害 者 的 邮 箱 ， 一 个 为 自 己 控 制 的 邮 箱 ， 这 样 就 可 以 窃 取 到 受 害 者 邮 箱 中 的 重 置 密 码 的 链 接 ， 达 到 任 意 用 户 密 码 重 置 的 目 的 。 由 于 没 有 看 到 过 这 种 触 发 该 漏 洞 的 源 码 ， 猜 测 验 证 环 节 是 允 许 获 取 一 个 类 似 于 集 合 的 东 西 ， 遍 历 其 中 的 值 是 否 有 存 在 于 数 据 库 中 的 值 ， 如 果 存 在 则 对 该 集 合 放 行 ， 然 后 发 送 验 证 信 息 的 逻 辑 同 样 允 许 传 入 一 个 集 合 再 去 遍 历 集 合 中 的 每 一 个 值 ， 对 每 一 个 值 发 送 一 样 的 验 证 链 接
手 机 号 码 中 的 手 机 号 码 中 的 s q l 注 入 注 入 由 于 s q l 语 句 的 拼 接 问 题 导 致 在 手 机 号 处 存 在 s q l 注 入 问 题 ， 其 实 这 也 告 诉 我 们 在 s q l 语 句 的 执 行 中 只 要 涉 及 到 了 拼 接 问 题 就 有 可 能 存 在 漏 洞 ， 在 团 队 授 权 的 测 试 中 也 遇 到 过 更 改 日 期 处 存 在 s q l 注 入 的 例 子 ， 反 正 都 挺 好 玩 的 。 这 里 用 了 一 个 s q r t 函 数 , s q r t 为 一 个 平 方 根 计 算 函 数 ， 当 经 过 平 方 根 计 算 之 后 和 前 面 的 数 字 拼 接 ， 手 机 号 存 在 于 数 据 库 中 则 发 送 验 证 码 如 果 经 过 计 算 和 前 面 的 数 字 拼 接 手 机 号 不 存 在 于 数 据 库 中 则 显 示 验 证 码 发 送 失 败
通 过 这 种 方 式 来 进 行 数 据 库 相 关 信 息 的 猜 测 总 结 总 结 这 种 逻 辑 漏 洞 总 是 在 攻 与 防 的 斗 争 中 不 断 前 进 ， 肯 定 会 有 脑 洞 大 开 的 人 发 现 更 多 的 骚 套 路 ， 这 是 目 前 在 测 试 中 遇 到 过 的 几 种 比 较 有 意 思 的 任 意 用 户 密 码 重 置 漏 洞 的 操 作 ， 在 互 联 网 上 能 找 到 例 子 的 尽 量 采 用 了 互 联 网 例 子 ， 如 有 侵 权 地 方 还 望 告 知
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理