搜索

[29091] 2021-07-27_【赏金猎人】绕过GitHub的OAuth流程漏洞利用

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-07-27_【赏金猎人】绕过GitHub的OAuth流程漏洞利用 【 赏 金 猎 人 】 绕 过   G i t H u b   的   O A u t h   流 程 漏 洞 利 用 O t s 安 全   2 0 2 1 - 0 7 - 2 7 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 在 过 去 的 几 年 里 ， 安 全 研 究 一 直 是 我 在 业 余 时 间 做 的 事 情 。 我 知 道 有 些 人 靠 漏 洞 赏 金 计 划 谋 生 ， 但 我 个 人 只 是 在 有 需 要 的 时 候 在 这 里 和 那 里 度 过 几 个 小 时 。 也 就 是 说 ， 我 一 直 想 弄 清 楚 如 果 我 选 择 全 职 工 作 ， 我 是 否 能 够 靠 漏 洞 赏 金 谋 生 。 所 以 我 在 今 年 夏 天 尝 试 这 样 做 了 几 个 月 ， 每 天 花 几 个 小 时 在 G i t H u b   中 寻 找 安 全 漏 洞 。 我 的 主 要 工 作 流 程 是 下 载 G i t H u b   E n t e r p r i s e 的 试 用 版 ， 使 用 此 脚 本 的 修 改 版 本 对 其 进 行 反 混 淆 ， 然 后 盯 着   G i t H u b   的   R a i l s   代 码 一 段 时 间 ， 尝 试 发 现 任 何 奇 怪 或 可 利 用 的 东 西 。 总 的 来 说 ， 从 安 全 的 角 度 来 看 ， G i t H u b   的 代 码 似 乎 是 非 常 好 的 架 构 。 我 偶 尔 会 发 现 由 某 些 应 用 程 序 逻 辑 中 未 处 理 的 情 况 引 起 的 错 误 ， 只 是 意 识 到 该 错 误 并 没 有 造 成 安 全 问 题 ， 因 为 （ 例 如 ） 代 码 无 论 如 何 都 在 以 降 低 的 权 限 运 行 查 询 。 几 乎 每 个 应 用 程 序 都 有 漏 洞 ， 但 安 全 工 程 的 一 大 挑 战 是 在 不 知 道 漏 洞 的 情 况 下 使 漏 洞 无 法 利 用 ， G i t H u b   似 乎 在 这 方 面 做 得 很 好 。 即 便 如 此 ， 我 还 是 在 夏 天 找 到 了 一 些 有 趣 的 问 题 ， 包 括 完 整 的   O A u t h   授 权 绕 过 。 G i t H u b   的 的   O A u t h   流 程 流 程 六 月 的 某 个 时 候 ， 我 在 查 看 实 现   G i t H u b   的 O A u t h   流 程 的 代 码 。 简 而 言 之 ， O A u t h   流 程 应 该 是 这 样 工 作 的 ： 1 .   某 些 第 三 方 应 用 程 序 （ “ F o o   A p p ” ） 想 要 访 问 用 户 的   G i t H u b   数 据 。 它 将 用 户 发 送 到 h t t p s : / / g i t h u b . c o m / l o g i n / o a u t h / a u t h o r i z e 查 询 字 符 串 中 的 一 堆 信 息 。 2 .   G i t H u b   向 用 户 显 示 授 权 页 面 ， 如 下 所 示 。
3 .   如 果 用 户 选 择 授 予 对 应 用 程 序 的 访 问 权 限 ， 他 们 会 单 击 页 面 上 的 “ 授 权 ” 按 钮 ， 并 使 用 查 询 字 符 串 中 的 授 权 代 码 重 定 向 到   F o o   应 用 程 序 。 然 后 可 以 使 用 此 代 码 访 问 请 求 的 数 据 。 （ 用 户 也 可 以 拒 绝 将 他 们 的 数 据 提 供 给 应 用 程 序 。 ） 在 查 看 此 内 容 时 ， 我 查 看 了 “ 授 权 ” 按 钮 的 实 现 方 式 。 事 实 证 明 ， 按 钮 实 际 上 是 一 个 自 包 含 的   H T M L   表 单 ， 它 发 送 带 有 一 些 隐 藏 表 单 字 段 的 P O S T   请 求 ， 包 括   C S R F   令 牌 。 当 该   P O S T   请 求 被 发 送 （ 并 且   C S R F   令 牌 被 验 证 ） 时 ， 用 户 被 认 为 已 授 予 应 用 程 序 的 权 限 。 目 前 看 来 还 算 合 理 。 有 趣 的 是 ， “ 授 权 ” 按 钮 的 端 点   U R L   是 / l o g i n / o a u t h / a u t h o r i z e ， 恰 好 与 授 权 页 面 本 身 的   U R L   相 同 。 G i t H u b   根 据   H T T P   请 求 方 法 （ G E T 请 求 返 回 H T M L   授 权 页 面 ， P O S T 请 求 授 予 应 用 程 序 权 限 ） 确 定 要 发 送 的 响 应 。
这 种 行 为 切 换 实 际 上 发 生 在 应 用 程 序 代 码 中 。 路 由 器 将 两 者 G E T 和 P O S T 请 求 转 发 到 同 一 个 控 制 器 ： 所 以 路 由 器 接 受 一 个 G E T 或 一 个 P O S T 请 求 ， 控 制 器 检 查 发 送 了 哪 种 类 型 的 请 求 并 做 出 相 应 的 动 作 。 乍 一 看 ， 这 似 乎 不 是 问 题 — — 也 不 会 是 问 题 ， 除 非 路 由 器 没 有 说 实 话 。 H T T P   H E A D   请 求 ， 以 及 为 什 么 请 求 ， 以 及 为 什 么   R a i l s   路 由 器 有 时 会 撒 谎 路 由 器 有 时 会 撒 谎 让 我 们 来 谈 谈   H T T P   方 法 。 自   H T T P   最 初 创 建 以 来 ， H T T P H E A D 方 法 一 直 存 在 ， 但 它 并 没 有 得 到 很 多 使 用 。 当 服 务 器 收 到 一 个   H E A D   请 求 时 ， 预 期 的 语 义 是 ， “ 假 装 这 是 一 个   G E T   请 求 ， 但 只 发 回 没 有 响 应 正 文 的 响 应 头 ” 。 这 有 一 些 利 基 用 途 。 例 如 ， 客 户 端 可 以 在 决 定 是 否 要 开 始 下 载 文 件 之 前 发 送 H E A D 请 求 以 检 查 大 文 件 的 大 小 （ 通 过 C o n t e n t - L e n g t h 响 应 头 ） 。 自 然 地 ， 编 写   W e b   应 用 程 序 的 人 通 常 不 想 花 时 间 为   H E A D   请 求 实 现 行 为 。 可 以 理 解 ， 获 得 一 个 有 效 的 产 品 比 遵 守   H T T P   规 范 的 小 众 部 分 更 重 要 。 但 总 的 来 说 ， 如 果   H E A D   请 求 能 够 被 正 确 处 理 就 好 了 ， 前 提 是 应 用 程 序 开 发 人 员 不 必 手 动 处 理 它 们 。 因 此 ， 滑 轨 （ 与 其 他 一 些 W e b 框 架 一 起 ） 实 现 了 一 个 聪 明 的 黑 客 ： 它 试 图 路 线 H E A D ， 因 为 它 会 请 求 路 由 到 同 一 个 地 方 G E T 的 请 求 然 后 它 运 行 控 制 器 代 码 ， 只 是 省 略 响 应 主 体 。 参 考 ： （ h t t p s : / / g i t h u b . c o m / r a i l s / r a i l s / b l o b / b c 5 d 9 5 6 7 b e 4 4 e 6 2 4 1 a 0 4 9 c 0 1 6 0 5 a d 6 c f e f e 4 2 e 1 0 / a c t i o n p a c k / l i b / a c t i o n _ d i s p a t c h / j o u r n e y / r o u t e r . r b # L 1 3 3 - L 1 4 7 ） 。 这 很 好 ， 但 这 是 一 个 有 漏 洞 的 抽 象 。 如 果 控 制 器 调 用 r e q u e s t . g e t ? 这 样 的 请 求 ， 它 将 返 回   f a l s e ， 因 为 它 仍 然 是 一 个 H E A D 请 求 ， 而 不 是 一 个 G E T 请 求 。 滥 用 滥 用   H E A D   请 求 请 求 如 果 我 们 向   发 送 经 过 身 份 验 证 的 H E A D 请 求 会 发 生 什 么 h t t p s : / / g i t h u b . c o m / l o g i n / o a u t h / a u t h o r i z e ？ 我 们 已 经 得 出 结 论 ， 路 由 器 会 将 其 视 为 G E T 请 求 ， 因 此 它 将 被 发 送 到 控 制 器 。 但 是 一 旦 它 在 那 里 ， 控 制 器 就 会 意 识 到 它 不 是 一 个 G E T 请 求 ， 因 此 该 请 求 将 由 控 制 器 处 理 ， 就 好 像 它 是 一 个 经 过 身 份 验 证 的 P O S T 请 求 一 样 。 因 此 ， G i t H u b   将 找 到 请 求 中 指 定 的   O A u t h   应 用 程 序 ， 并 授 予 它 访 问 经 过 身 份 验 证 的 用 户 数 据 的 权 限 。 为 什 么 这 很 有 用 ？ 好 吧 ， G i t H u b   的   C S R F   保 护 要 求 所 有 经 过 身 份 验 证 的 P O S T 请 求 都 包 含   C S R F   令 牌 。 但 是 H E A D 请 求 不 需 要   C S R F   令 牌 ， 因 为 它 们 不 应 该 有 副 作 用 。 因 此 ， 我 们 可 以 发 送 一 个 跨 站 点 认 证 H E A D 请 求 ， 该 请 求 将 授 予 任 意   O A u t h   权 限 ， 而 根 本 不 向 用 户 显 示 确 认 页 面 。 #   I n   t h e   r o u t e r m a t c h   " / l o g i n / o a u t h / a u t h o r i z e " ,   #   F o r   e v e r y   r e q u e s t   w i t h   t h i s   p a t h . . .     : t o   = >   " [ t h e   c o n t r o l l e r ] " ,   #   . . . s e n d   i t   t o   t h e   c o n t r o l l e r . . .     : v i a   = >   [ : g e t ,   : p o s t ]   #   . . .   a s   l o n g   a s   i t ' s   a   G E T   o r   a   P O S T   r e q u e s t . #   I n   t h e   c o n t r o l l e r i f   r e q u e s t . g e t ?     #   s e r v e   a u t h o r i z a t i o n   p a g e   H T M L e l s e     #   g r a n t   p e r m i s s i o n s   t o   a p p e n d
因 此 ， 如 果 用 户 访 问 了 攻 击 者 的 网 站 ， 攻 击 者 就 可 以 任 意 读 取 或 修 改 用 户   G i t H u b   帐 户 中 的 私 人 数 据 。 这 是 一 个 概 念 验 证 （ 它 不 再 有 效 ， 因 为 该 问 题 已 被 修 补 ） 。 我 向   G i t H u b   的   b u g   赏 金 计 划 报 告 了 这 个 问 题 ， 他 们 在 大 约 三 个 小 时 内 将 修 复 程 序 发 送 到 生 产 环 境 。 我 还 获 得 了   2 5 0 0 0   美 元 的 赏 金 （ ！ ） ， 这 在 当 时 是   G i t H u b   计 划 中 最 高 的 赏 金 。 时 间 线 时 间 线 2 0 1 9 - 0 6 - 1 9   2 3 : 2 8 : 5 6   U T C 问 题 在   H a c k e r O n e   上 报 告 给   G i t H u b 2 0 1 9 - 0 6 - 1 9   2 3 : 3 6 : 5 0   U T C 问 题 由   G i t H u b   安 全 团 队 确 认 2 0 1 9 - 0 6 - 2 0   0 2 : 4 4 : 2 9   U T C 问 题 已 在   g i t h u b . c o m   上 打 补 丁 ， G i t H u b   在   H a c k e r O n e   上 回 复 以 仔 细 检 查 补 丁 是 否 完 全 解 决 了 问 题 2 0 1 9 - 0 6 - 2 6   1 6 : 1 9 : 2 0   U T C   G i t H u b   E n t e r p r i s e   2 . 1 7 . 3 、 2 . 1 6 . 1 2 、 2 . 1 5 . 1 7   和   2 . 1 4 . 2 4   随 补 丁 一 起 发 布 （ 参 见 G i t H u b   的 公 告 ） 。 2 0 1 9 - 0 6 - 2 6   2 2 : 3 0 : 4 5   U T C   G i t H u b   奖 金   2 5 0 0 0   美 元 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理