搜索

[9271] 2015-08-24_如何日穿Pocket内网

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2015-08-24_如何日穿Pocket内网 如 何 日 穿 P o c k e t 内 网 F r e e B u f   2 0 1 5 - 0 8 - 2 4 F r e e B u f 不 久 前 刚 刚 报 道 过 ， 不 久 前 刚 刚 报 道 过 ， P o c k e t 应 用 的 开 发 人 员 最 近 修 复 了 几 个 泄 露 数 据 的 漏 洞 ， 黑 客 可 从 服 务 器 上 获 取 敏 感 信 应 用 的 开 发 人 员 最 近 修 复 了 几 个 泄 露 数 据 的 漏 洞 ， 黑 客 可 从 服 务 器 上 获 取 敏 感 信 息 。 这 里 献 上 教 程 ， 供 大 家 学 习 交 流 。 息 。 这 里 献 上 教 程 ， 供 大 家 学 习 交 流 。 P o c k e t 是 什 么 是 什 么 我 已 经 很 多 年 没 把 F i r e f o x 当 作 我 的 主 力 浏 览 器 了 ， 所 以 其 实 之 前 我 都 没 有 听 说 过 P o c k e t ， 直 到 我 在 B u g z i l l a 看 到 这 么 篇 帖 子 ， 讲 的 就 是 M o z i l l a 基 金 会 在 所 有 版 本 的 F i r e f o x 中 预 装 了 P o c k e t 插 件 ， 并 且 这 个 插 件 无 法 卸 载 。 尽 管 这 引 起 了 用 户 们 的 强 烈 抗 议 ， 基 金 会 还 是 固 执 地 绑 定 P o c k e t 。 P o c k e t 的 功 能 就 是 让 用 户 保 存 网 页 “ 稍 后 阅 读 ” 。 P o c k e t 可 以 将 你 要 阅 读 或 者 一 时 没 有 读 完 的 网 页 标 记 下 来 ， 接 着 同 步 到 服 务 器 端 ， 然 后 你 就 可 以 在 不 同 的 设 备 上 阅 读 。 作 为 信 息 安 全 从 业 者 ， 我 发 现 这 种 功 能 通 常 都 会 导 致 安 全 问 题 ， 所 以 我 就 打 算 检 查 一 下 P o c k e t 有 没 有 问 题 。 事 实 上 ， 事 实 上 ， 这 些 漏 洞 中 ， 大 部 分 就 可 以 被 攻 击 者 利 用 了 。 攻 击 者 想 要 利 用 这 些 漏 洞 都 不 需 要 什 么 复 杂 的 工 具 ， 甚 至 连 这 些 漏 洞 中 ， 大 部 分 就 可 以 被 攻 击 者 利 用 了 。 攻 击 者 想 要 利 用 这 些 漏 洞 都 不 需 要 什 么 复 杂 的 工 具 ， 甚 至 连 脚 本 的 知 识 都 脚 本 的 知 识 都 不 需 要 。 不 需 要 。 尝 试 尝 试 1 ： 协 议 处 理 程 序 ： 协 议 处 理 程 序 用 户 可 以 通 过 P o c k e t 网 站 上 的 队 列 管 理 功 能 添 加 U R L 到 队 列 中 。 由 于 应 用 的 用 途 主 要 是 浏 览 网 上 的 网 页 ， 所 以 这 些 U R L 理 应 被 限 制 ， 应 该 只 允 许 h t t p 和 h t t p s 链 接 。 所 以 首 先 我 尝 试 在 队 列 中 添 加 以 下 链 接 ： f i l e : / / / e t c / p a s s w d s s h : / / l o c a l h o s t t e l n e t : / / l o c a l h o s t : 2 5 很 遗 憾 ， 经 过 测 试 ， 这 些 都 没 成 功 尝 试 尝 试 2 ： 利 用 ： 利 用 P o c k e t 功 能 作 为 内 网 代 理 功 能 作 为 内 网 代 理 我 之 前 在 A p a c h e 服 务 器 的 状 态 页 面 看 到 过 一 条 A p a c h e 错 误 信 息 。 这 种 错 误 信 息 通 常 是 . h t a c c e s s 或 者 A p a c h e 配 置 文 件 限 制 了 l o c a l h o s t 或 一 些 信 任 的 网 段 访 问 s e r v e r - s t a t u s 的 时 候 才 会 出 现 的 ： F o r b i d d e n Y o u   d o n ' t   h a v e   p e r m i s s i o n   t o   a c c e s s   / s e r v e r - s t a t u s   o n   t h i s   s e r v e r .
我 在 我 的 P o c k e t 队 列 中 加 了 一 条 新 链 接 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / s e r v e r - s t a t u s 。 加 入 后 ， 后 端 服 务 器 就 会 发 送 H T T P 请 求 获 取 内 容 。 A p a c h e 会 信 任 来 自 l o c a l h o s t 的 请 求 吗 ？ 事 实 证 明 ， 这 一 招 很 管 用 ， 之 后 我 就 在 P o c k e t 队 列 中 看 到 了 如 下 信 息 ： A p a c h e   S e r v e r   S t a t u s   f o r   1 2 7 . 0 . 0 . 1 S e r v e r   V e r s i o n :   A p a c h e / 2 . 2 . 2 9   ( U n i x )   D A V / 2 S e r v e r   B u i l t :   M a r   1 2   2 0 1 5   0 3 : 5 0 : 1 7 C u r r e n t   T i m e :   T u e s d a y ,   2 8 - J u l - 2 0 1 5   1 0 : 0 7 : 4 5   C D T R e s t a r t   T i m e :   T u e s d a y ,   2 8 - J u l - 2 0 1 5   0 3 : 2 0 : 1 2   C D T P a r e n t   S e r v e r   G e n e r a t i o n :   1 2 S e r v e r   u p t i m e :   6   h o u r s   4 7   m i n u t e s   3 2   s e c o n d s T o t a l   a c c e s s e s :   2 4 1 9 1 3   -   T o t a l   T r a f f i c :   4 . 1   G B C P U   U s a g e :   u 1 2 0 9 . 2 4   s 1 1 0 . 0 6   c u 0   c s 0   -   5 . 4 %   C P U   l o a d 9 . 8 9   r e q u e s t s / s e c   -   1 7 7 . 5   k B / s e c o n d   -   1 7 . 9   k B / r e q u e s t 4 0   r e q u e s t s   c u r r e n t l y   b e i n g   p r o c e s s e d ,   1 4   i d l e   w o r k e r s . . . 服 务 器 状 态 情 况 的 全 部 输 出 被 同 步 到 了 我 的 A n d r o i d 上 。 A p a c h e 的 m o d _ s t a t u s 可 以 显 示 出 大 量 有 用 的 信 息 ， 包 括 内 部 来 源 和 目 标 I P 地 址 ， 发 送 的 请 求 中 的 U R L 的 参 数 ， 还 有 查 询 参 数 。 对 于 P o c k e t 应 用 ， 请 求 的 U R L 包 括 P o c k e t 用 户 们 正 在 浏 览 的 U R L ， 因 为 这 些 请 求 是 通 过 H T T P   G E T 方 式 进 行 的 。 要 隐 藏 上 述 的 这 些 服 务 器 信 息 ， 我 们 可 以 关 闭 A p a c h e 中 的 E x t e n d e d S t a t u s 。 大 部 分 P o c k e t 的 后 端 服 务 器 都 关 闭 了 E x t e n d e d S t a t u s ， 但 是 很 小 一 部 分 的 服 务 器 还 是 开 着 ， 所 以 就 导 致 攻 击 者 可 以 获 取 到 这 些 有 用 的 信 息 。 另 外 ， 通 过 修 改 s e r v e r - s t a t u s   的 G E T 参 数 ， 攻 击 者 可 以 强 制 然 P o c k e t 重 新 下 载 页 面 ， 这 样 黑 客 就 有 可 能 获 取 到 不 同 服 务 器 的 信 息 。 P o c k e t 搭 建 在 亚 马 逊 搭 建 在 亚 马 逊 E C 2 上 上 既 然 P o c k e t 存 在 漏 洞 可 以 让 用 户 获 取 到 P o c k e t 后 端 服 务 器 的 相 关 信 息 ， 我 们 就 看 看 利 用 这 个 漏 洞 我 们 还 能 获 取 到 哪 些 信 息 。 简 单 使 用 d i g 命 令 ， 我 们 就 可 以 知 道 P o c k e t 用 的 是 亚 马 逊 的 E C 2 服 务 器 。 亚 马 逊 的 E C 2 有 个 实 例 元 数 据 服 务 。 这 个 服 务 只 能 从 内 部 访 问 ， 无 需 验 证 ， 在 所 有 的 E C 2 实 例 上 都 有 。 我 们 可 以 尝 试 使 用 这 个 服 务 获 取 更 多 的 信 息 ： h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / h o s t n a m e h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / a m i - i d 在 P o c k e t 队 列 中 添 加 了 上 面 的 这 些 链 接 后 ， 我 就 能 看 到 完 整 的 服 务 器 回 应 了 。 E C 2 的 元 数 据 包 括 很 多 对 攻 击 者 有 用 的 信 息 ， 包 括 I A M 登 录 信 息 ， 还 有 关 于 这 个 i n s t a n c e 的 细 节 信 息 ， 包 括 可 用 区 、 i n s t a n c e 类 型 、 网 络 类 型 、 M A C 地 址 ， 块 存 储 器 的 信 息 等 。 攻 击 者 还 可 以 干 什 么 呢 ? 对 l o c a l h o s t 的 H T T P 服 务 进 行 端 口 扫 描 ， 这 可 以 绕 过 E C 2 的 防 火 墙 规 则 对 端 口 扫 描 的 结 果 进 行 分 析 ， 识 别 开 启 的 w e b 应 用 在 P o c k e t 内 部 环 境 下 进 行 漏 洞 利 用
很 多 大 企 业 或 者 小 公 司 都 会 有 只 能 通 过 内 部 访 问 的 w e b 应 用 ， 这 些 应 用 通 常 无 需 验 证 ， 因 此 很 容 易 会 被 攻 击 者 利 用 。 s e r v e r - s t a t u s 中 的 这 些 内 部 中 的 这 些 内 部 I P 地 址 能 用 来 干 什 么 呢 地 址 能 用 来 干 什 么 呢 从 亚 马 逊 E C 2 元 数 据 上 可 以 看 出 ， P o c k e t 使 用 的 E C 2 服 务 器 是 在 u s - e a s t - 1 ( 美 东 1 区 ) 区 域 ， 网 络 类 型 是 c l a s s i c ( E C 2 有 两 种 网 络 类 型 可 选 ： E C 2 - C l a s s i c   和 V P C 。 V P C 更 好 一 些 ， 有 些 实 例 类 型 也 只 有 V P C 上 才 有 。 V P C 在 创 建 子 网 络 和 访 问 控 制 列 表 ( A C L ) 的 时 候 更 加 灵 活 ) 。 由 于 P o c k e t 用 的 是 E C 2 - C l a s s i c ， 要 访 问 s e r v e r - s t a t u s 中 的 内 部 I P 地 址 ， 只 需 要 在 u s - e a s t - 1 区 域 租 个 2 美 分 / 小 时 的 t 1 . m i c r o 实 例 。 这 样 攻 击 者 就 可 以 使 用 R F C - 1 9 1 8 地 址 访 问 这 些 实 例 上 运 行 的 服 务 了 ， 例 如 s s h 和 h t t p ， 甚 至 还 可 以 进 行 端 口 扫 描 。 使 用 这 些 内 部 使 用 这 些 内 部 I P 地 址 访 问 后 端 服 务 器 有 几 个 优 点 ： 地 址 访 问 后 端 服 务 器 有 几 个 优 点 ： 可 以 绕 过 前 端 负 载 平 衡 器 和 前 端 的 W A F 防 火 墙 之 类 的 东 西 ， 在 有 前 端 负 载 平 衡 器 的 情 况 下 ， 攻 击 者 可 以 通 过 设 置 X - F o r w a r d e d - F o r 修 改 源 I P 地 址 ， 黑 客 可 以 通 过 这 种 方 法 避 开 A C L 或 者 伪 造 l o g 。 输 入 重 定 向 输 入 重 定 向 像 P o c k e t 这 一 类 的 应 用 在 处 理 H T T P 重 定 向 链 接 的 时 候 很 有 可 能 会 忽 视 某 些 问 题 ， 造 成 安 全 隐 患 。 那 在 U R L 队 列 中 加 入 重 定 向 链 接 会 发 生 什 么 呢 ？ 我 输 入 了 f i l e : / / / e t c / p a s s w d ， 后 果 很 严 重 ： 应 P o c k e t 的 要 求 ， / e t c / p a s s w d 内 容 已 删 除 漏 洞 能 够 造 成 什 么 影 响 可 以 留 给 读 者 考 虑 。 有 了 有 了 / e t c / p a s s w d 之 后 能 干 什 么 之 后 能 干 什 么 在 测 试 P o c k e t 的 时 候 ， 我 用 这 个 重 定 向 漏 洞 请 求 了 f i l e : / / / p r o c / s e l f / s t a t u s 文 件 ， 这 个 文 件 可 以 用 来 获 取 正 在 运 行 的 进 程 的 更 多 信 息 。 下 面 就 是 部 分 进 程 状 态 信 息 ： U i d :                     0                             0                               0                             0 G i d :                 0                             0                               0                             0 以 r o o t 身 份 运 行 这 个 进 程 能 够 造 成 什 么 后 果 也 留 给 读 者 考 虑 。 把 漏 洞 结 合 起 来 把 漏 洞 结 合 起 来 P o c k e t 针 对 我 的 报 告 快 速 做 出 了 回 应 ， 所 以 我 没 能 够 把 这 些 漏 洞 结 合 起 来 。 但 是 设 想 如 果 真 的 有 个 心 怀 不 轨 的 攻 击 者 发 现 了 这 些 漏 洞 ， 他 能 做 些 什 么 呢 ？ 1 .   通 过 3 0 1 重 定 向 获 取 f i l e : / / / e t c / p a s s w d 文 件 ， 然 后 获 取 E C 2 用 户 的 h o m e 目 录 2 .   从 用 户 h o m e 目 录 获 取 s s h 私 钥 3 .   使 用 / s e r v e r - s t a t u s 获 取 内 部 I P 地 址 4 .   租 一 个 E C 2 实 例 ， 地 区 设 置 在 U S - E A S T - 1 地 区 5 .   用 获 取 的 到 的 s s h 私 钥 连 接 P o c k e t 后 端 服 务 器 的 I P 地 址 接 下 来 能 做 什 么 ， 你 懂 的 ^ _ ^ P o c k e t 的 漏 洞 披 露 政 策 还 是 很 负 责 的 ， 我 把 所 有 的 漏 洞 细 节 第 一 时 间 提 交 给 了 P o c k e t 官 方 ， 而 漏 洞 披 露 时 间 是 由 提 交 者 自 行 决 定 的 ， 不 过 要 在 漏 洞 提 交 后 的 2 1 天 后 ， 好 让 P o c k e t 有 时 间 处 理 漏 洞 。 现 在 漏 洞 都 已 经 修 复 。 * 参 考 来 源 ： g n u . g l ， 译 / S p h i n x ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理