Für sechs Charaktere gestohlen. Link Shortener erliegen roher Gewalt

Linkverkürzer wie bit.ly , goo.gl und andere generieren Links mit einem Token von 5, 6 oder 7 Zeichen. Wie sich herausstellte, ist dies zu wenig, sodass der gesamte Adressraum Brute Force sein kann. Professor Vitaliy Shmatikov von der Cornell University of Technology hat mit einem Kollegen, dem unabhängigen Forscher Martin Georgiev, den Adressraum verkürzter Links gescannt - und viele Dokumente zum Thema Cloud-Hosting gefunden .

Es scheint, dass dies? Es stellte sich jedoch heraus, dass die vorhersehbare Struktur einer langen URL manchmal einem Dokument den Zugriff auf andere Dokumente auf dem Hosting oder im Allgemeinen auf alle Dokumente ermöglicht !

Insbesondere bis März 2016 wurde eine so lange URL-Struktur von Microsoft OneDrive gehostet (wird unten beschrieben), aber ein ähnliches Prinzip kann für andere Dienste existieren.

In OneDrive und andere Cloud-Dienste ist ein Link-Shortener integriert, sodass jedem Dokument automatisch eine kurze Adresse zugewiesen wird, auch bei vertraulichen Informationen. Wenn jemand diese Adresse abruft, kann er auf das Konto zugreifen, Dokumente bearbeiten, den Trojaner-Downloader implementieren usw.

Die Ergebnisse der 18-monatigen Arbeit veröffentlichten die Forscher in einem Bericht .

Wie aus dem Bericht hervorgeht, konzentrierten sich die Autoren auf zwei Abkürzungen, die in OneDrive und Google Maps integriert sind.

Onedrive

Hier werden verschlüsselt die Adresse von Dokumenten und Ordnern in der Domain - Adresse 1drv.ms diente Bitly Operator und den gleichen Token zugeordnet, wie auf dem bit.ly . Mit anderen Worten, jeder bit.ly- Token-Scan findet automatisch auch 1drv.ms- Adressen . Während eines Testcrawls von 100.000.000 URLs in der bit.ly- Domain mit zufällig ausgewählten 6-stelligen Token waren 42% aktive URLs. Davon führten 19.524 zu Dokumenten und Ordnern auf OneDrive / SkyDrive-Hosting. Aber das ist noch nicht alles.

Wie sich herausstellte, haben OneDrive-Adressen eine vorhersehbare Struktur. Wenn Sie die vollständige URL eines Dokuments kennen, können Sie die Stamm-URL erstellen und automatisch zu Ihrem Konto wechseln und alle Dateien und Ordner öffnen.

Mit Brute Force haben Sie beispielsweise die URL http://1drv.ms/1xNOWV7 gefunden , die in https://onedrive.live.com/?cid=485bef1a80539148&id=485BEF1A80539148!115&ithint=folder,xlsx&authkey=!AT2 aufgelöst wird .

Wir extrahieren die cid- und authkey- Parameter aus der langen URL , unter der wir die Stamm-URL für das Konto erstellen : https://onedrive.live.com/?cid=485bef1a80539148&authkey=!AOOp2TqTTSMT5q4 .

Um auf ein bestimmtes Dokument zugreifen zu können, müssen Sie Elemente mit href- Attributen im Quellcode der Seite auf einem Cloud-Hosting finden, das & app = , & v = , /download.aspx? Enthält. oder / Umfrage?(Diese spezielle Methode scheint seit März 2016 nicht mehr zu funktionieren.)



Um nach anderen Ordnern zu suchen, müssen Sie nach Links suchen, die mit onedrive.live.com beginnen und ein CID- Konto enthalten.

Auf diese Weise enthüllten die Autoren der Studie weitere 227.276 Dokumente zum OneDrive-Hosting.

In der Regel waren etwa 7% der gefundenen Ordner für die Aufzeichnung geöffnet. Sie müssen nicht erklären, was dies bedeutet, da es einfach ist, das integrierte OneDrive-Antivirenprogramm zu umgehen.

Google Maps

Bis September 2015 hatten goo.gl/maps-Adressen Token mit 5 Zeichen. Das Scannen einer Zufallsstichprobe ergab 23.965.718 aktive Links, von denen sich 10% als Karten mit Wegbeschreibungen herausstellten, darunter Krankenhäuser für Patienten mit Krebs und psychischen Störungen, Zentren für Alkoholiker und Drogenabhängige, Abtreibungszentren und Gefängnisse. Im Allgemeinen sensible Informationen. Beispielsweise deutet der Weg vom Abtreibungszentrum zu einer bestimmten Adresse im Prinzip auf den Wohnort einer Person hin. Wenn dies das Haus ist, in dem eine Frau lebt, dann nehmen Sie eine Persönlichkeit an. Erstellen Sie dann eine Karte mit allen Adressen, an denen diese Adresse der Start- oder Endpunkt der Bewegung war. Hier ist eine Karte für eine Person.

Wie haben die Unternehmen reagiert?

Nach zwei Monaten Korrespondenz gaben Microsoft-Vertreter an, Bruteforce-Token nicht als Sicherheitslücke zu betrachten. Einige der oben beschriebenen Methoden funktionieren jedoch nicht mehr. Als Microsoft-Vertreter erneut kontaktiert wurden, bestritten sie, dass die vorgenommenen Änderungen für diesen Bericht relevant waren.

Google reagierte sofort, wechselte zu Token mit 11 bis 12 Zeichen und beschränkte die Möglichkeit, URLs zu crawlen.

Source: https://habr.com/ru/post/de393079/