搜索

[29001] 2021-06-10_$500Slack聊天群组标头修改导致Slack基础设施元数据泄露给未授权方

文档创建者：s7ckTeam
浏览次数：58
最后更新：2025-01-19
2021-06-10_$500Slack聊天群组标头修改导致Slack基础设施元数据泄露给未授权方 $ 5 0 0   S l a c k   聊 天 群 组 标 头 修 改 导 致   S l a c k   基 础 设 施 元 数 据 泄 露 给 未 授 权 方 s h o w u o n   O t s 安 全   2 0 2 1 - 0 6 - 1 0 我 发 现 f i l e s . s l a c k . c o m 域 将 遵 循 X - F o r w a r d e d - H o s t 标 头 ， 而 不 是 主 机 标 头 。 尽 管   f i l e . s l a c k . c o m   具 有 主 机 验 证 以 在 主 机 不 是   f i l e s . s l a c k . c o m   时 返 回   5 0 0   内 部 服 务 器 错 误 ， 但 我 可 以 通 过 在 主 机 名 末 尾 附 加   @   来 绕 过 验 证 。 此 外 ， 服 务 器 将 向   X - F o r w a r d e d - H o s t   中 的 主 机 发 送 请 求 。 而 且 ， 我 们 可 以 看 到 服 务 器 发 送 的 请 求 不 是 前 端 服 务 器 （ 不 是 来 自   c l o u d f r o n t . n e t ） ， 而 是 来 自 后 端 服 务 器 （ 来 自   a m a z o n a w s . c o m ） 。 所 以 ， 利 用 盲 S S R F 漏 洞 ， 攻 击 者 可 以 向 内 网 发 送 任 意 请 求 ， 例 如 ： 通 过 识 别 响 应 延 迟 时 间 进 行 端 口 扫 描 ， 知 道 1 6 9 . 2 6 5 . 1 6 9 . 2 5 4 : 4 4 3 关 闭 ， 1 6 9 . 2 6 5 . 1 6 9 . 2 5 4 : 8 0 打 开 . . . . . . 和 很 快 。 重 现 步 骤 ： 重 现 步 骤 ： 1 .   上 传 文 件 到 s l a c k ， 通 过 O p e n   o r i g i n a l 找 到 原 图 路 径 。 在   b u r p   套 件 上 截 取 这 个 原 始 路 径 （ 即 h t t p s : / / f i l e s . s l a c k . c o m / f i l e s - p r i / T N X C 4 J D 7 0 - F P S L 3 0 7 R B / t e s t . p n g ） 2 .   发 送 到 中 继 器 ， 通 过 直 接 单 击 发 送 确 保 它 工 作 正 常 3 .   添 加 标 头   X - F o r w a r d e d - H o s t :   x x x . c o m ， 确 保 服 务 器 返 回   5 0 0   错 误 4 . 将 标 头 更 新 为   X - F o r w a r d e d - H o s t ： f i l e s . s l a c k . c o m   @ Y O U R _ D O M A I N ， 确 保 服 务 器 响 应 为   3 0 2 ， 位 置 为   Y O U R _ D O M A I N / f i l e s - p r i / . . . . 1 .   确 保 请 求 确 实 发 送 到 您 的 域 ， 并 且 服 务 器 来 自   x x x . a m a z o n a w s . c o m 2 .   把 Y O U R _ D O M A I N 改 成 内 网 i p ， 例 如 ： 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 :   P O R T ， 改 端 口 查 看 响 应 延 迟 时 间 。 这 是 演 示 视 频 ： h t t p s   :   / / y o u t u . b e / j 5 _ W i c L w w C 4 影 响 影 响 利 用 盲 S S R F 漏 洞 ， 攻 击 者 可 以 通 过 识 别 响 应 延 迟 时 间 向 内 网 发 送 任 意 请 求 ， 例 如 ： 端 口 扫 描 。 为 了 缓 解 它 ， 服 务 器 应 该 始 终 遵 循 H o s t 标
头 ， 而 不 是 其 他 标 头 。 谢 谢 你 。 厂 商 回 复 ： 厂 商 回 复 ： 感 谢 您 的 报 告 。 我 们 能 够 重 现 此 行 为 ， 但 我 们 希 望 了 解 有 关 此 处 安 全 影 响 的 更 多 详 细 信 息 。 在 我 们 的 测 试 中 ， 我 们 没 有 观 察 到 发 送 到 有 效 域 和 无 效 域 的 请 求 之 间 的 时 间 有 任 何 明 显 差 异 。 您 能 否 确 认 在 您 的 测 试 中 是 否 是 这 种 情 况 ？ 您 能 否 举 例 说 明 在 测 试 期 间 观 察 到 的 任 何 时 间 差 异 ？ 谢 谢 ， 祝 你 在 未 来 的   b u g   搜 寻 中 好 运 。 因 为 我 们 没 有 服 务 器 响 应 状 态 ( 2 0 0 , 5 0 0 . . . ) 的 帮 助 ， 所 以 只 能 通 过 响 应 时 间 来 判 断 端 口 状 态 。 从 这 个   b u g   的 响 应 时 间 来 看 ， 我 发 现 了 一 些 规 律 ： 1 .   响 应 时 间 超 过   5   秒   - >   此 端 口 已 关 闭 2 .   响 应 时 间 不 到 3 秒   - >   可 能 是 ： ( a )   端 口 打 开   ( b )   域 无 效 （ D N S   响 应 无 效 ）   ( c )   其 他 原 因 所 以 ， 我 应 该 说 ， 有 了 这 个 漏 洞 ， 攻 击 者 可 以 在 有 效 域 中 找 到 关 闭 的 关 闭 的 端 口 。 就 像 下 面 的 演 示 视 频 一 样 ， w w w . g o o g l e . c o m : 4 4 3 响 应 很 快 ， 无 效 域 w w w . g o o g l e 1 2 3 1 2 3 1 2 3 . c o m 也 响 应 很 快 。 但 是 关 闭 端 口 w w w . g o o g l e . c o m : 1 1 1 1 的 有 效 域 需 要 很 长 时 间 。 所 以 ， 我 可 以 扫 描 内 网 域 ， 比 如 1 7 2 . 1 6 . 0 . 1 : 4 4 3   关 闭 ， 1 9 2 . 1 6 8 . 0 . 1 : 4 4 3   关 闭 … … 帮 助 攻 击 者 收 集 更 多 的 内 网 信 息 。 演 示 视 频 ： h t t p s   :   / / y o u t u . b e / k 1 L N 7 j R G T U A 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理