zoukankan      html  css  js  c++  java
  • 【JSONP技巧拓展】————1、JSONP注入解析

    前言

    JSONP注入是一个不太常见但影响非常广泛且极危险的漏洞,由于最近几年对JSON, web APIs以及跨域通信的需求增多,不得不引起我们的重视。

    什么是JSONP

    这里我们假设大家都了解JSON为何物,以此为基础我们来谈谈JSONP。JSONP全名为JSON with Padding,其存在的意义便有绕过诸如同源策略强制执行XMLHttpRequest(AJAX requests)。

    举个例子,我们的网上银行应用verysecurebank.ro,实现了以API调用返回当前用户的交易记录。

    向verysecurebank.ro/getAccountTransactions发起一个HTTP请求,在客户端上以JSON格式进行呈现:

    若我们另一个用于展示交易记录报告的站点reports.verysecurebank.ro需要获取详细的交易记录,由于受同源策略的限制(主机不同),AJAX是无法调用该页面的。

    为了解决该问题,于是JSONP就登上了历史舞台。由于跨域脚本包含(Cross-domain script inclusion,主要用于外部加载jQuery, AngularJS等JavaScript库)是被允许的,但我们并不推荐这么做,聪明一点的做法便是:预先以一个回调(callback)进行响应。
    注意:值得一提的是,当其中包含一个跨域脚本时,它会在包含应用的环境下运行,而非源环境下运行。
    向API响应增加一个回调函数,封装JSON格式数据,允许我们在script标签中加载该API响应并且能够通过我们自己定义的回调函数获取其内容进行处理。

    利用

    以下为较为常见的利用场景:
    在响应中回调函数被硬编码

    • 基础函数调用
    • 对象方法调用

    动态调用回调函数

    • URL完全可控(GET变量)
    • URL部分可控(GET变量),但是附加有一个数字
    • URL可控,但最初不会显示在请求之中

    基础函数调用

    如下即为一个常见的例子,myCallback回调函数被硬编码进响应中,混杂在JSON格式数据中:

    我们首先可以通过定义myCallback函数,之后在script标签中引用该API来进行简单的利用:

    注意:确保在包括响应之前已定义好该函数,否则就成了调用未定义的函数,无法抓取数据。当已经成功登录的用户访问恶意页面,我们就能抓取到他的数据。为了更简洁,在当前页面中我们仅显示了部分数据。

    对象方法调用

    此例与第一个例子几乎相同,另外可能会在ASP或是ASP.NET Web应用中遇到。在我们这个例子中,System.TransactionData.Fetch是作为一个回调函数放进JSON格式数据中的:

    接下来我们为System对象中的TransactionData子对象简单创建一个Fetch方法:

    由于最终结果都一样,所以从现在起也就不浪费篇幅继续粘贴截图了。

    URL完全可控(GET变量)

    这可能会是你会遇到的最常见的场景。回调函数出现在URL地址中,且我们能够进行完全控制。URL参数callback是允许进行修改的,于是我们将其修改为testing,然后看看返回的数据:

    我们依旧可以使用之前的利用代码。只是如果响应中包含了script标签时,别忘了增加callback参数。

    URL部分可控(GET变量),但是附加有数字

    在该场景中,回调函数名后面附件了一些其他字符(通常为数字)。大部分情况下,我们想获取类似jQuery后面加上类似12345的短数字,最终回调函数为jQuery12345

    从逻辑上来讲,仍然可以使用与上面相同的利用代码。我们仅仅只是在回调函数名后面填上12345,而非在脚本中添加。

    如果这个数字没有进行硬编码,如果这个数字是动态变化的且对每一个会话都不一样。如果只是一个相较而言较小的数字,我们能以编程的方式为每一种可能性预定义函数。现在我们假设追加的数字最大为99999,我们可以用编程的方式包含每种可能,忽略掉后面的具体数字。以下样例代码,以一个简单的回调函数来进行说明:

    这里发生了什么:我们对回调函数名jQuery进行硬编码,对函数后面追加的数字进行了一个限制。第一个循环用于在callbackNames数组中生成回调函数名,接着遍历数组并将返回的每个回调函数名加入global函数。请注意,为了缩短代码我仅仅只是弹出了交易中的金额:

    在我的机器上,仅仅只是花了大约5秒钟就弹出了jQuery12345。这也意味着在Chrome浏览器下5秒钟大约是能够创建超过10000条函数的,所以我可以方向大胆的说,这个利用是可行的。

    URL可控,但最初不会显示在请求之中

    最后一个场景涉及到API,表面上与回调函数无关,所以没有可见的JSONP。这通常发生在开发者留下的“隐藏”的用于软件向后兼容的情况,或是在重构时根本就没有删除代码。所以当看到一个没有回调函数的API,我们可以直接手动向请求中添加回调试试。
    如果有以下API调用verysecurebank.ro/getAccountTransactions,我们可以尝试去猜猜回调函数的变量:

    • verysecurebank.ro/getAccountTransactions?callback=test
    • verysecurebank.ro/getAccountTransactions?cb=test
    • verysecurebank.ro/getAccountTransactions?jsonp=test
    • verysecurebank.ro/getAccountTransactions?jsonpcallback=test
    • verysecurebank.ro/getAccountTransactions?jcb=test
    • verysecurebank.ro/getAccountTransactions?call=test

    虽然这些都是很常见的回调函数名,你也不妨大胆去猜猜其他的。如果我们的回调请求成功得到响应,接下来就能抓取数据了。

    基础数据抓取

    直到现在我们都还只是显示数据,接下来我们就将数据抓取回我们本地。以下为一个简单的JSONP数据抓取:

    在data参数中,向网页(交易数据)发起一个GET请求。
    注意:因为data是一个对象,所以请确保有使用JSON.stringify(),并且我们也不希望最终得到的仅是一个[object 对象]。
    注意:如果响应太长,由于HTTP GET长度限制你是无法获取完整数据的。这时你就得将其切换为POST方式。
    以下为grabData.php代码,将接收到的数据写入data.txt文件。

    常见问题

    在玩耍JSONP漏洞时,可能会遇到这样那样的问题。这里我们也分享一些较为常见的一些问题解决方法。

    Content-Type 与 X-Content-Type-Options

    如果在响应中API请求头X-Content-Type-Options被设置为nosniff,Content-Type必须设置为JavaScript(text/javascript, application/javascript, text/ecmascript等.)才能在所有浏览器中运行。这是由于在响应中包含回调产生的问题,这时候响应不在解析JSON而是解析JavaScript。如果你想了解你使用的浏览器会将哪种Content-Types解析为JavaScript,进入https://mathiasbynens.be/demo/javascript-mime-type 网页看看吧。

    在本例中,Content-Type被设置为application/json 和 X-Content-Type-Options: nosniff

    在Google Chrome,Microsoft Edge以及Internet Explorer 11的最新版本,是能够成功阻止脚本运行的。然而Firefox 50.1.0(当前最新版本)就不能。
    注意:如果没有设置X-Content-Type-Options: nosniff头,它能在所有的浏览器下工作。注意:由于X-Content-Type-Options是最近才引进的,旧版本的浏览器对于MIME类型检查不是很严格。看看Mozilla发布的浏览器兼容性:

    响应代码

    有时候我们会得到与200不同响应代码,特别是由于我们弄乱了响应。我在如下浏览器进行了测试:

    • Microsoft Edge 38.14393.0.0
    • Internet Explorer 11.0.38
    • Google Chrome 55.0.2883.87
    • Mozilla Firefox 50.1.0

    的确还有一些发现:

    即使我们没有得到HTTP200,在其他的浏览器该漏洞也是可能利用的。

    Referer检测绕过

    1、使用data URI方案
    如果这里有一个Referer检测,为了绕过检测我们可以选择不发送。怎么做呢?这就要引入Data URI了。
    为了构造一个不带HTTP Referer的请求,我们可以滥用data URI方案。因为我们正在处理的代码包含了引号,双引号,以及其他一些被阻止的语句,接着使用base64编码我们的payload(回调函数定义以及脚本包含)
    data:text/plain;base64our_base64_encoded_code:

    以下3个HTML标签允许我们使用data URI方案:

    • iframe (在src属性中) – Internet Explorer下不工作
    • embed (在src属性中) – Internet Explorer及Microsoft Edge下不工作
    • object (在data属性中) – Internet Explorer及Microsoft Edge下不工作

    我们可以看到在API请求中没有发送HTTP Referer

    2.从HTTPS向HTTP发起请求
    如果目标网站可以通过HTTP访问,也可以通过将我们的代码托管在一个HTTPS页面来避免发送HTTP Referer。如果我们从HTTPS页面发起一个HTTP请求,浏览器为了防止信息泄漏是不会发送Referer header。以上我们要将恶意代码托管在一个启用了HTTPS的站点。
    注意:由于mixed-content安全机制,在浏览器默认设置下是不会工作的。需要受害者手动允许浏览器发出的安全警告。

    然而,在旧版本的浏览器中能正常工作,并且也不会发送HTTP Referer header,如下图:

    解决方案

    最后来看看如何防止此类情况,最直接最有效的方法便是CORS(Cross-Origin Resource Sharing)

    1. 完全移除JSONP函数
    2. 向API响应添加Access-Control-Allow-Origin header
    3. 使用跨域AJAX请求

    所以可以在reports.verysecurebank.ro中嵌入以下代码向verysecurebank.ro/getAccountTransactions发起跨域AJAX请求

    API响应包括了Access-Control-Allow-Origin: reports.verysecurebank.ro:

    接着我们获得verysecurebank.ro/getAccountTransactions中的内容:

    总结

    尽管JSONP的使用在减少,但仍有大量的站点在使用或是支持。最后一个提示,在玩耍JSONP的同时也别忘了检测映射文件下载,以及映射跨站脚本漏洞。
    Happy pwning!

    转自:https://www.freebuf.com/articles/web/126347.html

    总会有不期而遇的温暖. 和生生不息的希望。
  • 相关阅读:
    springmvc两种非注解的处理器适配器
    springmvc两种非注解的处理器映射器
    java线程数据交换Exchanger
    java计数器CountDownLatch
    java路障CyclicBarrier
    java线程condition
    java模拟数据库缓存
    java中的递归
    面向对象
    全概率公式和贝叶斯准则
  • 原文地址:https://www.cnblogs.com/devi1/p/13486360.html
Copyright © 2011-2022 走看看