कैसे मैंने एक बार फिर से जीथब को हैक कर लिया

यह कहानी है कि कैसे मैंने 5 कम-गंभीरता वाले कीड़े को एक बड़े बग में मिला दिया, जिसके साथ जीथब ( फिर से ) पर निजी शलजम को पढ़ना / लिखना संभव था।

कुछ दिनों पहले, एक गीथब ने एक इनाम कार्यक्रम शुरू किया। 4 घंटे के लिए मैंने दौरा करने के बाद ऐसा URL बनाया जिसमें मुझे आपके github खाते और रिपॉजिटरी तक पहुंच मिली। जानना चाहते हैं कैसे?

मैंने गितूब ओउथ की जाँच करके शुरुआत की।

बग 1. बाईपास पुनर्निर्देशन / के साथ सत्यापन /../

यह सरल है - आप पिछले पथ (पथ ट्रैवर्सल) को अधिलेखित करने के लिए /path1/../path2 भेज सकते हैं।

बग 2. एक टोकन प्राप्त करते समय कोई पुनर्निर्देशित नहीं है।

अपने आप में पहला बग कुछ भी नहीं है। OAuth2 ने अंतर्निहित सुरक्षा प्रदान की है कि प्रत्येक जारी किए गए कोड के लिए एक समान रीडायरेक्ट है, और जब एक टोकन के लिए कोड का आदान-प्रदान होता है, तो आपको उसी यूरी को देने की आवश्यकता है जो शुरुआत में उपयोग किया गया था। सीधे शब्दों में कहें, यदि साइट / कॉलबैक के लिए कोड वापस आ गया है, तो टोकन प्राप्त करने के लिए, आपको साइट / कॉलबैक भेजना होगा।

अजीब तरह से, जीथब ने चेक को गलत तरीके से लागू किया। आप /path1/../path2 के लिए कोड जारी कर सकते हैं और फिर / path1 पर इसका उपयोग कर सकते हैं। यही है, रेफरल के माध्यम से लीक किया गया कोड वास्तविक कॉलबैक के लिए भी वैध रहता है। इन दो बगों की मदद से, गीथब के माध्यम से लॉगिन फ़ंक्शन के साथ साइटों पर रेफरल के माध्यम से कोड को मर्ज करना संभव होगा। एक समान बग vk.com में था।

बग 3. हिस्ट पर चित्र।

मैंने आधिकारिक गितुब ग्राहकों को देखना शुरू किया - शिक्षा, पृष्ठ, स्पीकरडेक, जिस्ट। पहले दो ने वास्तव में OAuth का उपयोग नहीं किया, तीसरे ने बाउंटी कार्यक्रम में प्रवेश नहीं किया, लेकिन हिस्टोग्राम बहुत उपयुक्त था। वह एक "पूर्व-अनुमोदित" ग्राहक था, अर्थात, डिफ़ॉल्ट रूप से यह सभी उपयोगकर्ताओं के लिए स्थापित है।
लेकिन आप सिर्फ सम्मिलित नहीं कर सकते चूँकि गितुब का कैमो प्रॉक्सी इसे स्थानीय यूआरएल के साथ बदल देगा, और रेफ़रर आपके सर्वर पर लीक नहीं होगा। इस सुरक्षा को प्राप्त करने के लिए, मैंने एक नई चाल का उपयोग किया।

///host.com रूबी सहित सभी सर्वर पुस्तकालयों द्वारा पथ के रूप में तैयार किया गया है, लेकिन ब्राउज़रों ने इसे github.com///host.com के बजाय host.com और host.com लोड किया है।

हमारा url शोषण अब इस तरह दिखता है:

github.com/login/oauth/authorize?client_id=7e0a3cd836d3e544dbd9&redirect_uri= https%3A%2F%2Fgist.github.com%2Fauth%2Fgithub%2Fcallback/../../../homakov/8820324 &response_type=code



जैसे ही उपयोगकर्ता इस पते को लोड करता है, गिटहब अपने सर्वर पर एक चित्र के साथ मेरे जीस्ट पर स्वचालित रूप से रीडायरेक्ट करेगा:
स्थान: gist.github.com/auth/github/callback/../../../homakov/8820324?code=CODE

ब्राउज़र gist.github.com/homakov/8820324?code=CODE डाउनलोड करता है

और यहाँ, जब हमारी तस्वीर का अनुरोध किया गया है, तो वह रेफ़रर का विलय करता है।

एक बार जब हमें पीड़ित का CODE मिल जाता है, तो हम gist.github.com/auth/github/callback?code=CODE - voila खोल सकते हैं। हम हिस्टो पर एक पीड़ित के रूप में लॉग इन होते हैं और उसकी निजी हिस्टो तक पहुंच होती है।

बग 4. टोकन कुकीज़ में संग्रहित है।

यह OAuth एंटीपैटर्न है, यह अत्यधिक रूप से ब्राउज़र के टोकन को स्टोर / शो नहीं करने के लिए अनुशंसित है, लेकिन यह सत्र सत्र रेल में संग्रहीत करता है। जैसा कि हम जानते हैं कि बस बेस 64 एनकोडेड और हस्ताक्षरित कुकी है।

यहाँ यह है - github_token अब हम hist की साइट को दरकिनार करते हुए सीधे अनुरोध कर सकते हैं। लेकिन टोकन में स्कोप = gists है और gists के अलावा, मैं कुछ भी नहीं पढ़ सकता हूं। हालांकि ...

बग 5. आधिकारिक ग्राहकों के लिए किसी भी गुंजाइश का स्वत: अनुमोदन।

अंतिम स्पर्श। चूंकि जिस्ट गितूब का आधिकारिक ग्राहक है, इसलिए आप "इन स्कोपों ​​को स्वीकार करें" संवाद नहीं देखते हैं और गितुब आपके लिए स्वचालित रूप से अनुमोदन करता है। इसलिए मैं सिर्फ भेज सकता हूं

github.com/login/oauth/authorize?client_id=7e0a3cd836d3e544dbd9&
redirect_uri=https%3A%2F%2Fgist.github.com%2Fauth%2Fgithub%2Fcallback/../../../homakov/8820324&
response_type=code&
scope=repo,gists,user,delete_repo,notifications


फिर पीड़ित के खाते में लॉगिन करने के लिए मर्ज किए गए CODE का उपयोग करें, मैं कुकी पढ़ूंगा, वहां से github_token ले जाऊंगा और यहां मैं उपयोगकर्ता को पूरी तरह से अदृश्य रूप से एपीआई कॉल कर सकता हूं - आखिरकार, टोकन जिस्ट का है! एक ट्रेस के बिना चुपके आधुनिक अपराध।

इनाम $ 4,000 था।


सामान्य तौर पर, मैं काम के लिए उपलब्ध हूं, उदाहरण के लिए।