जब हमने प्रदर्शन को क्रैक किया तो क्या हुआ?

सूचना सुरक्षा परियोजनाओं के प्रदर्शकों के बैज को स्कैन करने के लिए मोबाइल एप्लिकेशन के माध्यम से Q RC OD E।

पिछले साल, हमने लंदन में सूचना सुरक्षा परियोजनाओं की एक बड़ी प्रदर्शनी का दौरा किया। तैयारी में, हमें अपने पास "इसे स्वयं प्रिंट करें" पीडीएफ के रूप में भेजा गया था।


हमने तुरंत दो प्रकार के बारकोड पर ध्यान दिया। दिलचस्प बात यह है कि क्यूआर कोड बहुत अधिक सघन दिखता है, यह देखते हुए कि यह केवल प्रतिभागी आईडी को संग्रहीत करने के लिए पर्याप्त है। स्वभाव से उत्सुक होने के कारण, हमने एक QR स्कैनर लॉन्च किया और कोड की सामग्री प्राप्त की:

{"CJe";"BHEEZST","DO";"Cvmmfuqsppg","G";"upn","KU";"Qfofusbujpo uftufs","T";"xzbuu"} 

यह लगभग-लेकिन-नहीं-काफी JSON निकला। इस तरह के एक संक्षिप्त नाम के फायदे के रूप में मेरा यह है कि यह आपकी आंखों को ऐसी स्थितियों में पकड़ता है। इसलिए, मैंने तुरंत ध्यान दिया कि मेरा नाम ROT-25 ("टॉम" "अपन्न" में बदल गया) था। इसे सीज़र के सिफर के रूप में भी जाना जाता है, जहां प्रत्येक अक्षर को एक निश्चित ऑफसेट के साथ बदल दिया जाता है (इस मामले में, प्रत्येक अक्षर के बजाय वर्णमाला में अक्षर का उपयोग किया गया था)। डिकोडर (JSON मार्कअप को ध्यान में रखते हुए) के माध्यम से लाइन चलाने के बाद, हमें मिला:

 {"BId";"AGDDYRS","CN";"Bulletproof","F";"tom","JT";"Penetration tester","S";"wyatt"} 

यह अधिक पठनीय है।

इसे तोड़ो?

उत्सुकता से, QR कोड उन सूचनाओं को संग्रहीत करता है जो डेटाबेस में BId फ़ील्ड से संबंधित प्रतीत होती हैं। क्या से? खैर, यह बहुत आसान है। आयोजकों ने विक्रेताओं के लिए एक मोबाइल एप्लिकेशन बनाया है जो प्रदर्शनी के दौरान प्रतिभागियों के संपर्कों को इकट्ठा करने में उनकी मदद करता है। हमने यह मान लिया कि डेटा को उस घटना में क्यूआर कोड में एन्क्रिप्ट किया गया है जो वाई-फाई या सेलुलर सिग्नल अस्थिर है।

अब तक, हम इस जानकारी के साथ बहुत कम कर सकते हैं, सिवाय हमारे डेटा को बदलने के लिए ताकि घटना से विक्रेताओं से स्पैम से बचा जा सके। यह मज़ेदार होगा, लेकिन सिस्टम डेवलपर को ईमेल के लायक शायद ही। इसलिए, हम प्ले मार्केट में गए और यह देखने के लिए उपयुक्त एप्लिकेशन इंस्टॉल किया कि यह क्या करता है।


और यहां हमें एक समस्या का सामना करना पड़ा: हमारे पास कार्यक्रम के आयोजकों से आवश्यक डेटा नहीं था। हमने सोचा था कि हम MiTM प्रॉक्सी का उपयोग करके सर्वर प्रतिक्रिया को नकली कर सकते हैं, और एप्लिकेशन हमें जाने देगा। हमने Burpsuite की स्थापना की और कुछ असफल लॉगिन प्रयासों को दर्ज किया, जिससे यातायात को बाधित करने और इसके साथ खेलने की उम्मीद थी।

काश, हम सफल नहीं होते। एप्लिकेशन ने SOAP का उपयोग करके सभी अनुरोधों को निर्देशित किया, और प्रतिक्रियाएं स्पष्ट नहीं थीं। हालाँकि, सर्वर अनुप्रयोग के लिए WSDL दस्तावेज़ प्रकाशित करता है।

यह अंत नहीं है

एक नकली वेब सेवा क्यों न लिखें ताकि आप वास्तविक एप्लिकेशन सर्वर तक नहीं पहुंच सकें? कुछ घंटों बाद हमारी ऐसी सेवा थी, और सारा ट्रैफ़िक उस पर चालू हो गया था। यह काम करता है! आवेदन किसी भी डेटा के साथ प्रमाणित और एक नकली घटना से जुड़ा हुआ है।


हमने कुछ बैज स्कैन किए, और सब कुछ सही ढंग से काम करने लगा। प्रगति! कुछ समय के लिए आवेदन के इधर-उधर भटकने के बाद, यह स्पष्ट हो गया कि यह किसी प्रकार के वेब-व्यू-आधारित ढांचे का उपयोग कर रहा है। एपीके में थोड़ा सा खोदने पर, हमें सांचा और एक्सटीज के कई उल्लेख मिले, जिसने हमारी धारणा की पुष्टि की।

और अब - सबसे दिलचस्प। यदि किसी एप्लिकेशन में HTML और जावास्क्रिप्ट का नियमित मिश्रण होता है, तो क्या यह मानक वेब हमलों के लिए असुरक्षित हो सकता है? हम कुछ XSS'es को "नहीं-काफी-JSON" में लपेटते हैं कि आवेदन की उम्मीद है, उन्हें स्कैन किया, और ...

हमने इसे तोड़ दिया

बहुत बढ़िया! "JT" फ़ील्ड में HTML इंजेक्शन ने छवि दिखाई। हम स्क्रिप्ट के निष्पादन को प्राप्त करने के लिए इस टैग में "ऑनरोर" विशेषता जोड़ सकते हैं, लेकिन हम क्यूआर कोड की अधिकतम लंबाई पर प्रतिबंध द्वारा सीमित हैं। नतीजतन, हमने एक पेलोड बनाया जो सर्वर से जेएस फ़ाइल डाउनलोड करता है और इसे डिवाइस पर चलाता है। उदाहरण के लिए, मानक चेतावनी () परीक्षण है:


एक बारकोड को स्कैन करना XSS को ट्रिगर करता है और कोड निष्पादित करता है:


हमने इसे डंक मार दिया ताकि यह बड़े करीने से पढ़ने योग्य क्यूआर कोड के अधिकतम आकार में फिट हो जाए, एक पास पर छपाई के लिए बहुत घना नहीं। Ext.js API के लिए दस्तावेज़ीकरण पढ़ने के बाद और इसे डीकोड किए गए एपीके कोड के साथ तुलना करने के बाद, हम बारकोड बनाने में सक्षम थे:

1. एक दूरस्थ सर्वर से एक जेएस फ़ाइल डाउनलोड करें
2. एक स्मार्टफोन से सत्र कुंजी पढ़ता है और उन्हें हमारे सर्वर पर भेजता है
3. एप्लिकेशन से कैश्ड कॉन्टैक्ट डेटाबेस की सामग्री को पढ़ता है, जिसमें उन सभी के नाम और ईमेल पते शामिल हैं जिनके पास इस उपकरण द्वारा स्कैन किए गए थे
4. स्मार्टफोन से अपनी रिकॉर्डिंग डिलीट करता है

फिर हमला निम्नलिखित पर आता है: विक्रेता एक मुफ्त पेन के बदले मेरा क्यूआर कोड स्कैन करता है, और मुझे इस डिवाइस द्वारा स्कैन किए गए सभी संपर्कों की पूरी सूची मिलती है।

पेलोड:



वेब सर्वर के लिए अनुरोध:

सब ठीक है जो अच्छी तरह से समाप्त होता है

हमने प्रदर्शनी में विक्रेताओं का ध्यान आकर्षित किया, और कुछ चर्चा के बाद, उन्होंने इस वर्ष आवेदन का उपयोग नहीं करने का फैसला किया। इवेंट में केवल कुछ लोगों ने आवेदन का लाभ उठाया, जबकि अधिकांश ने साधारण छोटे बारकोड स्कैनर को पसंद किया। बाजार से आवेदन केवल 500 बार डाउनलोड किया गया था। हालांकि, यह XSS के लिए एक दिलचस्प वेक्टर है, जो दर्शाता है कि आपको वास्तव में उपयोग करने से पहले डेटा को फ़िल्टर करने की आवश्यकता है, चाहे इसका स्रोत कुछ भी हो।

यद्यपि इस विशेष अनुप्रयोग का व्यापक रूप से उपयोग नहीं किया गया है, कल्पना करें कि क्या भेद्यता हजारों द्वारा उपयोग किए गए एप्लिकेशन में थी या लाखों द्वारा डाउनलोड की गई थी? यह सारा डेटा उन हमलावरों के लिए होगा जिन्होंने अपने विवेक से इसका निपटान किया होगा: फ़िशिंग अभियानों से लेकर क्रूर बल के हमलों तक।