हबराबर के एक उदाहरण पर सीएसआरएफ की कमजोरियां

अब कोई भेद्यता नहीं है - यह इस विषय की उपस्थिति से बहुत पहले तय किया गया था।

बहुत बार, कई वेब डेवलपर्स इस हैकिंग पद्धति के अस्तित्व के बारे में भूल जाते हैं, और कुछ को इसके बारे में भी नहीं पता है।

दुर्भाग्य से, इस तरह के कमजोरियों को यहां तक ​​कि हब्राहर जैसे बड़े सिस्टम में भी पाया जाता है।

यह सब कैसे शुरू हुआ

यह सब इस तथ्य से शुरू हुआ कि मेरे विचार, टिप्पणी में पूरी तरह से सामान्य होने के कारण -16 इकाइयों को जल्दी-जल्दी लीक कर दिया गया। मुझे बुरा लगा, क्योंकि मैंने इस संसाधन पर सभी के लिए दिलचस्प विषय लिखने के लिए पंजीकरण किया था, और अब मैं ऐसा नहीं कर सकता।



मैंने टेप के माध्यम से, विषयों को देखते हुए, और सोचा कि यह उनके लेखकों के लिए कितना अच्छा था, जो जल्दी से रेटिंग हासिल करते हैं और महिमा की किरणों में चमकते हैं। किसी भी उम्मीद के बिना, मैंने विषय पर एक प्लस साइन लगाने के लिए तीर पर पॉक किया। जैसा कि अनुमान लगाना कठिन नहीं है, मुझे एक त्रुटि मिली, जैसे "आपका कर्म वोट देने के लिए पर्याप्त नहीं है।"

कमजोरियों की तलाश

मैंने तुरंत देखा कि पृष्ठ अपडेट नहीं हो रहा है, जिसका अर्थ है कि AJAX का उपयोग किया जाता है।

मुझे तुरंत अल्पज्ञात सीएसआरएफ याद आया, या जैसा कि उन्हें एक्सएसआरएफ भेद्यता भी कहा जाता है।

मैंने फायरबग को देखना शुरू कर दिया जहां अनुरोध कैसे और कैसे भेजे जाते हैं। सबसे पहले, यह शर्मनाक था कि केवल ग्रेड (के लिए या खिलाफ), रिकॉर्ड के प्रकार (विषय) और आईडी प्रेषित किए गए थे। हैश या टोकन जैसे कोई अतिरिक्त फ़ील्ड पारित नहीं किए गए थे।

इतना सरल नहीं है

शायद अधीर पाठक ने पहले ही तय कर लिया है कि मुझे एक प्राथमिक, हर छेद के लिए स्पष्ट है? कोई फर्क नहीं पड़ता कि कैसे! मेरे अनुरोध को नकली करने के सभी प्रयास एक ही चीज़ के कारण हुए:



सबसे पहले, मैंने फैसला किया कि मुझे कहीं गलत किया गया था। लेकिन नहीं, मैंने सही पते पर एक अनुरोध भेजा और सभी मापदंडों को सही तरीके से पारित किया। लेकिन जब हैबरहॉब स्क्रिप्ट ने ऐसा किया, तो उसे 200 का प्रतिसाद मिला, और मैं 404 था।

मैंने HTTP हेडर को ध्यान से जांचना शुरू किया, और यहाँ इसने मेरी आँख पकड़ ली:



यह अजीब शीर्षक क्या है जो मेरे अनुरोध में नहीं था?

थोड़ा गुगली करते हुए, मुझे पता चला कि यह हेडर AJAX के समय डिफ़ॉल्ट रूप से पारित हो जाता है, और जब एक फॉर्म से अनुरोध किया जाता है, तो यह पास नहीं होता है।

मैं AJAX अनुरोध नहीं कर सका, क्योंकि हैबर अन्य डोमेन पर है और ब्राउज़र मुझे वहां नहीं जाने देगा। और फिर मुझे फ्लैशप्लेर के बारे में याद आया जिसे मैंने बहुत पहले छोड़ दिया था। झट से गुगली करते हुए, मैं चिल्लाई!

हाँ, कामरेड, यह ब्राउज़र बहुत से प्यारे-प्यारे लोगों को किसी भी डोमेन पर कोई भी अनुरोध भेज सकता है अगर ... यदि इस डोमेन के मूल में कोई मान्य crossdomain.xml फ़ाइल है।

क्या आप भाग्य में विश्वास करते हैं? मैं नहीं करता। लेकिन मैं तब हैरान रह गया जब मुझे यह क़ीमती फ़ाइल हब्रहबर की जड़ में मिली, जिसने मुझे किसी भी डोमेन से 80 वें पोर्ट पर अनुरोध भेजने की अनुमति दी!

हम एक शोषण लिखते हैं

मैंने ActionScript संस्करण 2 को चुना, सबसे पहले, क्योंकि मैं इसे बेहतर जानता था, और दूसरी बात, क्योंकि आप अपने साथ पुराने FlashPlayer के उपयोगकर्ताओं को भी जहाज पर ला सकते हैं (संस्करण 7 से शुरू)।

var req:LoadVars = new LoadVars(); req.addRequestHeader("X-Requested-With","XMLHttpRequest"); req.addRequestHeader("Referer","http://habrahabr.ru/"); //    req.decode("ti=666&tt=2&v=1"); //  666 id   req.send("http://habrahabr.ru/json/vote/", "_blank", "POST"); 

एक शोषण के साथ क्या करना है?

सब कुछ, अब यह छोटे पर निर्भर है। यदि आपके पास अपनी वेबसाइट है, तो बिना किसी हिचकिचाहट के हम कोड को वहां अपलोड करते हैं और एक iframe में डालते हैं।

यदि आपके पास कोई वेबसाइट नहीं है, तो लाभ के साथ एक समझौते के बारे में सोचते हुए, हम एक बड़े VK एप्लिकेशन के मालिक से सहमत होते हैं और उसके लिए कोड भरते हैं। 50% उपयोगकर्ताओं के कवरेज की गारंटी है।

यही है, अब कोई भी उपयोगकर्ता, यदि वह पहले आपके विषय के लिए वोट नहीं करता है, तो आपको बिना जाने समझे डाल देता है।

इसके अलावा, आप न केवल विषयों के लिए, बल्कि टिप्पणियों, प्रश्नों और कर्म के लिए भी वोट कर सकते हैं!

एक रखवाले के रूप में

साइटों को तोड़ना बहुत अच्छा नहीं है। इसके लिए वे बैक सीट पर अटा-टा-टा कर सकते हैं।

इस भेद्यता के मामले में, मैंने जल्दी से समर्थन सेवा को एक पत्र लिखा और भेद्यता को बंद कर दिया गया (क्रॉसडोमेन को ठीक करना)।