कैसे मैंने टेलीग्राम को तोड़ा

एक बार मैंने एक टेलीग्राम सर्वर में हैक कर लिया। ऐसा नहीं है कि यह कुछ दिलचस्प था, और कमजोरियां खुद मानक हैं। यह तथ्य कि टेलीग्राम सुरक्षा से संबंधित है और इतने वर्षों में किसी ने कमजोरियों का शोषण क्यों नहीं किया, बल्कि यह आश्चर्यजनक है। लेकिन जो कुछ नहीं करता है वह गलत नहीं है!



मई 2017 में वापस, kyprizel ने इस तथ्य पर ध्यान आकर्षित किया कि टेलीग्राम डेस्कटॉप अपने सर्वर tdesktop.com पर ज़िप अभिलेखागार अपलोड कर सकता है। जैसा कि यह बाद में पता चला, न केवल ज़िप, बल्कि अंदर आवेदन की दुर्घटना के बारे में जानकारी है, ताकि डेवलपर अध्ययन कर सके कि दुर्घटना किन परिस्थितियों में हुई। इसके अलावा, डेवलपर वेब इंटरफेस के माध्यम से उन तक पहुंच प्राप्त करता है, जो प्रमाणीकरण प्रपत्र द्वारा देखते हैं। मैंने नोट्स में होस्ट को जोड़ा और सुरक्षित रूप से भूल गया।



मुझे लगभग एक साल बाद उसके बारे में याद आया जब एक चैट में आगामी अध्ययनों पर चर्चा की गई थी। उस समय, रूट फ़ाइल error_log थी, जिसमें, जैसा कि आपने अनुमान लगाया होगा, त्रुटियों को लिखा गया था। कम से कम, पूर्ण फ़ाइल पथ थे, लेकिन इसके अलावा, पसंदीदा त्रुटि है "आपके SQL सिंटैक्स में कोई त्रुटि है"। लेकिन हम सभी आलसी हैं, और बग बाउंटी में मैं आम तौर पर भाग नहीं लेने की कोशिश करता हूं, इसलिए सब कुछ वैसा ही रहता है जैसा वह है।



एक और साल बीत गया, मुझे कज़ान में #PartyHack सम्मेलन में बोलने के लिए आमंत्रित किया गया। और जब आपके पास बोलने के लिए सामग्री नहीं है, तो आप नोटों को देखते हैं। हमारे पास वहाँ क्या है? टेलीग्राम पर संदिग्ध होस्ट।
चूंकि सर्वर ने PHP का उपयोग किया था, जैसा कि क्रैश.php द्वारा स्पष्ट किया गया था, मैंने इस एक्सटेंशन के साथ फाइलों को थोड़ा ऊपर जाने का फैसला किया, फिर मैं info.php पर आया, जहां phpinfo () फ़ंक्शन की सामग्री थी। पहली चीज़ जो मैंने देखी, वह अपाचे वेब सर्वर का उपयोग कर रही थी। ऐसा कैसे? पूरे टेलीग्राम nginx है, और यहाँ Apache है! और 2019 में अपाचे का उपयोग कौन करता है?



अपाचे सुनते ही सबसे पहले क्या ख्याल आता है? मुझे तुरंत mod_status के बारे में याद है, जो डिफ़ॉल्ट रूप से इसके साथ बनाया गया है। यह मॉड्यूल सर्वर की वर्तमान स्थिति, सिस्टम संसाधनों, सर्वर अनुरोधों और उनके प्रसंस्करण की गति के साथ एक पेज बनाता है। अधिकतर, इसका पथ / सर्वर-स्थिति, शायद ही कभी / स्थिति है। यह समझने के लिए कि यह प्रशासनिक गलती कितनी लोकप्रिय है, बस याद रखें कि यह apache.org वेबसाइट पर कई सालों से लटका हुआ है



कई वर्षों से मैं fuzz.txt प्रोजेक्ट में संभावित खतरनाक फ़ाइलों और निर्देशिकाओं के लिए पथ एकत्र कर रहा हूं, इसलिए सर्वर-स्थिति स्वाभाविक रूप से वहां थी।

सामान्य तौर पर, यह सर्वर-स्थिति में उल्लेखनीय है कि यह क्लाइंट के आईपी पते भी दिखाता है जो सर्वर को अनुरोध भेजते हैं। लेकिन इस मामले में, सभी अनुरोध 127.0.0.1 से वर्चुअल डोमेन preston-desktop.com के थे। मोर्चे पर Nginx ने स्थानीय अपाचे के सभी अनुरोधों को अनुमानित किया, इसलिए उपयोगकर्ता जानकारी का कोई खुलासा नहीं किया गया था। हालांकि, यह मॉनिटर करने के लिए सर्वर-स्टेटस डालने के लायक था, यहां घुटने पर बनी एक छोटी स्क्रिप्ट है जो साइक्लाइट डेटाबेस में अद्वितीय पंक्तियाँ डालती है। थोड़े समय के लिए, बहुत सारे अनूठे लिंक एकत्र किए गए थे, लेकिन मूल रूप से ये अपडेट के लिए अनुरोध थे (संस्करण को इंगित करते हुए), और लगभग कोई डाउनलोड नहीं थे। थोड़ी देर बाद मैंने एडमिन को देखा।



इस तथ्य के बावजूद कि हमारे पास एक सीमित रेखा लंबाई है, यह लॉग से देखा जा सकता है कि प्रशासक कभी-कभी आगे के विश्लेषण के लिए पतन लॉग डाउनलोड करता है, और अजीब पैरामीटर __login और __token वहां पारित किए जाते हैं। और स्क्रीनशॉट में पोस्ट अनुरोध मेरे हैं।
स्रोत को देखते हुए, आप दो दिलचस्प तरीकों को नोटिस कर सकते हैं।

पहला है query_report , जिसमें अतिरिक्त apiid, संस्करण, dmp और मंच विकल्प हैं। यह देता है कि क्या एप्लिकेशन के क्रैश के बारे में अधिक लॉग की आवश्यकता है, या यदि संस्करण पहले से ही ताजा है और त्रुटियां ज्ञात हैं। तंत्र बहुत अधिक नहीं प्राप्त करने के लिए बनाया गया था, लेकिन केवल वास्तविक को सही करने के लिए।



दूसरी खुद रिपोर्ट है। पहले से ही अतिरिक्त मापदंडों के बिना। यदि कोई शब्द पिछले अनुरोध पर वापस आ गया है जो डंप भेजने की आवश्यकता को इंगित करता है, तो फ़ाइल भेजी जाती है।



वहां आप देख सकते हैं कि डेटा को मल्टीपार्ट का उपयोग करके भेजा गया है, जहाँ फ़ाइल का नाम report.telegramcrash है, और इसका कंटेंट-टाइप एप्लिकेशन / ऑक्टेट-स्ट्रीम है।



इस प्रकार, आप अपनी फ़ाइलों को अपलोड करने और अनपैकिंग ज़िप और अन्य अपलोड-टुकड़ों से जुड़ी कमजोरियों का परीक्षण करने का प्रयास कर सकते हैं।



और मैं आगे कम से कम किसी तरह की भेद्यता को खोजने के लिए एक अलग लोड भेजने की कोशिश करूंगा, अगर एक चाल के लिए नहीं। यदि हम एक अन्य अनुरोध से प्रसिद्ध पैरामीटर नामों को प्रतिस्थापित करते हैं, जिसके मान्य मानों को हमने सर्वर-स्थिति से लिया है, रिपोर्ट विधि में, हम सभी वेब हैकर्स के एक गुप्त हमले का उपयोग करने का प्रयास कर सकते हैं।

प्लेटफ़ॉर्म पैरामीटर में मेगाज़र्ड (एकल उद्धरण) की शक्ति का उपयोग करते हुए, संसाधन के विषम व्यवहार का निरीक्षण करना संभव था।



एक उद्धरण चिह्न है - एक त्रुटि, कोई उद्धरण चिह्न - सब कुछ ठीक है। वैधता को सत्यापित करने के लिए, आप कुछ तार्किक अभिव्यक्ति लिख सकते हैं, उदाहरण के लिए मंच = mac 'और' a '=' a। इसका उत्तर पूर्ण हो चुका है, जैसा कि एक सफल फ़ाइल अपलोड के साथ है।

खैर, कोई आश्चर्य नहीं कि वे स्वचालन के साथ आए, इसलिए मैं sqlmap को डिकॉप कर रहा हूं, जो पहले से निष्क्रियता से धूल हो गया है। विरोधी सवालों का जवाब देना - बाकी सब कुछ अच्छी तरह से कॉन्फ़िगर किया गया था, DBMS में उपयोगकर्ता विशेषाधिकार प्राप्त नहीं है।



Security@telegram.org पर भेजा गया, थोड़ी देर बाद मुझे 30,000 डॉलर के पुरस्कार के बारे में प्रतिष्ठित पत्र मिला।
बस मजाक कर रहे हैं, sqli के लिए $ 2000, और phpinfo और सर्वर-स्थिति के लिए $ 500, जो भी अच्छा है। और भेड़िये सुरक्षित हैं और भेड़ें भरी हुई हैं, या इसके विपरीत।



मैंने उपयोगकर्ताओं को हैक नहीं किया है (आपका पत्राचार सुरक्षित है), मैं आगे हमले को विकसित नहीं कर सकता, यादृच्छिक उपयोगकर्ताओं के डंप के साथ एक सर्वर (जैसे कि टेलीग्राम, फोन, संदेश और चैट में पहचानकर्ता के बारे में जानकारी के बिना क्रैश डंप) एक संदिग्ध मूल्य है। सिद्धांत रूप में, दुर्घटनाओं को पंप करना और उनका अध्ययन करना और उनका दोहन करना संभव होगा। यह जानने के बाद कि टेलीग्राम कैसे गिराए जाते हैं, उन्हें पीड़ित से गिराना संभव था, और फिर उन सभी चीज़ों का अध्ययन करें, जिन्हें फॉल लॉग से निचोड़ा जा सकता है, यदि वे इस इंजेक्शन के माध्यम से डाउनलोड किए जा सकते हैं।

अद्वितीय मूल ।