高级CORS漏洞利用技巧

前言

我之前看过linussarud和bo9om对于Safari未能正确处理特殊字符的利用的研究：

https://labs.detectify.com/2018/04/04/host-headers-safari/ 

https://lab.wallarm.com/the-good-the-bad-and-the-ugly-of-safari-in-client-side-attacks-56d0cb61275a

上述文章深入的剖析了safari在某些特殊的情况下会导致xss或者是cookie注入。希望本文能在这方面带给大家更多的思考和创造的空间。

 

简介

去年11月份，我写了一篇文章关于如何利用safari未能正确处理特殊字符实现绕过yahoo view同源配置。接下来的一段时间，我发现了有更多的技巧去绕过这些配置策略，在此我决定公开一些我使用的技巧。

在此假设你对于cors有些基础的了解，知道怎么去利用这些错误的配置。这里有一些文档你可以去了解相关知识：

http://blog.portswigger.net/2016/10/exploiting-cors-misconfigurations-for.html

https://www.geekboy.ninja/blog/exploiting-misconfigured-cors-cross-origin-resource-sharing/

 

背景知识：dns和浏览器

简介

域名系统就像是一个服务器的地址目录，它实现域名和ip之间的转换，使得互联网使用起来更方便。

当你尝试通过浏览器访问一个url时，dns完成了一次地址转换—>初始化一个tcp链接—->服务器响应syn+ack—->浏览器发送http请求—->渲染响应内容。

DNS服务器会响应任意请求，这样你可以在子域名发送任意字符，只要有响应的dns记录就会响应。

例如：dig A “<@$&(#+_`^%~>.withgoogle.com” @1.1.1.1 | grep -A 1 “ANSWER SECTION”

浏览器

我们已经知道dns服务器会响应这些请求，那么浏览器会怎么处理呢？大部分浏览器在发出请求之前会校验域名的有效性，例如：

Chrome

Firefox

Safari

注意我说的是大部分浏览器会校验域名的有效性，而不是全部，safari就是个例，它并不会校验域名的有效性，而是直接发送请求：我们可以使用不同字符的任意组合，甚至是不可打印字符：

,&'”;!$^*()+=`~-_=|{}%

// non printable chars

%01-08,%0b,%0c,%0e,%0f,%10-%1f,%7f

 

深入cors配置

大部分cors配置都会包括一个可访问的白名单信息，这个白名单通常用正则表达式来实现。

例如1：^https?://(.*.)?xxe.sh$

目的：匹配到来自xxe.sh和任何子域名的访问

攻击者要想从这里获取数据就必须有一个相关域的xss漏洞。

例如2：^https?://.*.?xxe.sh$

目的：和例1一样，匹配来自xxe.sh和任何子域的请求，但这个正则有个问题，会造成漏洞，问题存在于：.*.?

由于.*.并不是整体,?只对.之后的符号有影响，因此xxe.sh之前可以有任意字符。这也意味着攻击者可以发送任意以xxe.sh结尾的请求，实现跨域。这是一个非常普通的绕过技术，这里有一个相关案例：https://hackerone.com/reports/168574

例如1：^https?://(.*.)?xxe.sh:?.*

目的：匹配到来自xxe.sh和任何子域名的访问

你能发现问题吗？

和第二个例子一样，？仅仅影响：。因此只要我们在xxe.sh后加上任意字符都能被接受。

 

关键性问题

怎么利用safari对于特殊字符的不当处理，实现对cors配置不当漏洞的利用呢？

假设以下是apache的配置文件：   目的也是为了接受xxe.sh和子域的访问。

这个案例并不像先前的几个例子能够通过一样的技巧绕过，除非有一个子域的xss，但让我们再思考一下。

我们知道在xxe.sh后的任意字符(. – a-z A-Z 0-9)都不会被信任，那如果是一个空格呢？

可以看到我们成功了，但这样一个域名任何浏览器都不会支持。

由于正则表达式仅仅匹配ascii字符还有. –，那任何特殊字符都是可以被接受的。

这样的域名就能被safari浏览器支持了。

 

漏洞利用

事先准备：1.将dns记录指向你的主机 2.nodejs

和大多数浏览器一样，Apache和nginx也不支持特殊字符，因此用nodejs实现比较容易。

Serve.js  

同一目录下的cors.html:

通过nodejs执行如下命令：node serve.js &

和之前描述的一样，由于正则匹配的是ascii和. –，在xxe.sh后的特殊字符是被信任的。如果我们打开safari，访问http://x.xxe.sh{.<your-domain>/cors-poc，我们可以看到成功的获取到了数据：

令我注意的是不仅仅safari支持_，chrome和firefox也支持因此http://x.xxe.sh_.<your-domain>/cors-poc能被大多数浏览器支持。

 

实践

当记住这些特殊字符后，找出哪些域名会受影响就只是时间问题了。为了节约时间，我写了一个fuzz，用来找出这些问题，这个fuzz可以在我的github上找到—— https://github.com/sxcurity/theftfuzzer

审核人：yiwang   编辑：边边