Razer의의 공식 웹 사이트 우회에 동적 확인 코드

 

 

 

안녕하십니까, 저는이 Hackerone Razer의 취약점 보상 프로그램에 참여의 부분 네팔에서, @dhakal_ananda입니다. 이 취약점 보상 프로그램의 시작은 내가 초대를 받아 참석하지 않았다, 비 공공 프로젝트, 나중에는 공공 프로젝트가되었다, 그러나 그것은 나에게 관심을하기 시작했다. 구멍을 파고 때, 나는 (예 : 차 검증 등) 바이 패스 보안 기능을 선호하는 것이 아니라 내가 곧 동적 암호를 우회하려고하기 시작했다, 그래서 당신이 실행할 때마다 민감하기 때문에, 일반적인 XSS 취약점 및 SQL을 파고 이상 그것은 작동 중에 나타납니다.   몇 가지 테스트를 실시 후, 나는 대상 응용 프로그램이 동적 암호를 입력 여부를 표시하는 긴 토큰을 사용할 수 있음을 발견했다. 만 토큰을 제공하기 전에 유효한 동적 암호를 입력합니다. 그래서 우리는 제한 동적 암호 또는 그것의 토큰 바이 패스 무엇을 할 수 있습니까? 다른 사용자의 공통의 토큰인지 나는 빨리 생각? 그래서 간단하게 정말 효과적인 찾기 위해 노력했다. 재현하는 방법 공격자의 계정 로그인 , https://razerid.razer.com/account 이동 전자 메일 주소를 수정 당신은 프롬프트 동적 암호를 입력하는 팝업 대화 상자가 표시됩니다 절편 전자 메일 메시지 마지막 변경 요청에 다음 BurpSuite을 유효한 동적 암호를 입력하고 BurpSuite에 리피터에 요청을 보냅니다 로그인 피해자 계정이 시점에서 (당신이 피해자의 계정 암호를 가지고 가정) 절편 관련 요청으로 이름 변경 파일에 저장 요청 USER_ID 및 user_token를 복사 요청의 이메일 계정을 변경 BurpSuite 차단 공격로 이동, 요청 USER_ID USER_ID와 user_token 교체 user_token 피해자 (토큰 user_token 생성 된 동적 암호가 동일하지 않습니다) 계정 피해자의 이메일 주소가 이메일 주소가 공격자에 의해 제어되는 것을 마지막으로 수정 요청을 제출 한 후, 계정을 볼 수 있습니다. POST / API / 에밀리 / 7 / 사용자 보안 / 포스트 HTTP / 1.1 호스트 : razerid.razer.com의 연결 닫기 콘텐츠 길이 : 260 수락 : 응용 프로그램 / JSON, 텍스트 / 일반, * / * 출처 : https : //로 razerid.razer.com 사용자 에이전트 : 모질라 / 5.0 (윈도우 NT 10.0; Win64를; 64) AppleWebKit / 537.36 (게코 같은 KHTML) 크롬 / 77.0.3865.120 사파리 / 537.36 DNT : 1 초 - 가져 오기 모드 : 고르 콘텐츠 - 입력 : 응용 프로그램 / JSON; 문자셋 = UTF-8 초-가져 오기 사이트 : 동일 출처 리퍼러 : https://razerid.razer.com/account/email 수락 - 인코딩 : gzip을, 폐의 수락 - 언어 : EN-GB를, EN-US; Q = 0.9, 욕실, Q = 0.8 쿠키 ... { "데이터": "user_iduser_tokenotp_token_value_hereattacker-email@example.comadd10060"} 需要说明的是，在和雷蛇官网交互的过程中，和身份验证有关的有三个字段，它分别为user_id、user_token和OTP_token。其中OTP_token只有在输入动态密码的情况下才能获得。而雷蛇网站缺乏对令牌OTP_token的身份控制，只是验证了其有效性，导致所有的帐户都能利用同一个帐户的OTP_token绕过动态密码验证。 我把报告写的很详细，提交给雷蛇，但雷蛇的审核人员居然认为这个漏洞需要物理接触受害者的机器才能进行？       在经过长时间的扯皮后，雷蛇表示，他们提供一个测试帐号，如果我能更改帐号绑定的电子邮件地址，就认同我的漏洞。 很快，我就把这个帐号和我的电子邮件地址绑定在一起。雷蛇最后也给了我1000美元的漏洞奖励。 在这次经历后，我又找到了另一个动态密码绕过漏洞，在雷蛇修复后将会对外公开。 本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场 来源：https://nosec.org/home/detail/3056.html 原文：https://medium.com/@anandadhakal13/how-i-was-able-to-bypass-otp-token-requirement-in-razer-the-story-of-a-critical-bug-fc63a94ad572