Пробив веба

Перечисление пользователей

• Уро­вень опас­ности: сред­ний

На сай­те, который я тес­тировал, была воз­можность зай­ти в лич­ный кабинет. А на стра­нице вхо­да наш­лась воз­можность переби­рать поль­зовате­лей и смот­реть ответ сер­вера: в слу­чае если поль­зователь с вве­ден­ным име­нем сущес­тву­ет, сер­вер отве­чает ина­че.

Ес­ли ука­зыва­ем сущес­тву­ющую учет­ку, получа­ем сооб­щение «Вве­ден невер­ный пароль» либо «Пре­выше­но количес­тво попыток вхо­да с невер­ным паролем». Если же поль­зовате­ля с таким логином нет, то в отве­те сер­вера будет сооб­щение «Ваши дан­ные не най­дены в сис­теме. Про­верь­те пра­виль­ность ука­зан­ных дан­ных».

Я запус­тил авто­мати­зиро­ван­ный под­бор по сло­варю и нашел некото­рое количес­тво валид­ных логинов.

Спреинг паролей

• Уро­вень опас­ности: сред­ний

Даль­ше я нашел воз­можность под­бирать по сло­варю пароли най­ден­ных поль­зовате­лей — опять же по отве­ту сер­вера на вве­ден­ные дан­ные. Это ата­ка password spraying. Новые пароли я про­бовал каж­дые 30 минут, так как пос­ле каж­дого сле­дующе­го невер­ного вво­да учет­ных дан­ных пери­од бло­киров­ки не уве­личи­вал­ся. В ито­ге уда­лось подоб­рать пароли для трех поль­зовате­лей сер­виса.

Обход 2FA

• Уро­вень опас­ности: кри­тичес­кий

Сра­зу зай­ти в лич­ный кабинет не уда­лось из‑за того, что сер­вис про­верял вто­рой фак­тор аутен­тифика­ции и про­сил ввес­ти код из SMS.

Изу­чив код этой стра­ницы, я нашел инте­рес­ный параметр — mode4. Здесь он име­ет зна­чение sms.

Я переб­рал воз­можные зна­чения это­го парамет­ра и нашел нес­коль­ко таких, при которых нас не перенап­равля­ет обратно на стра­ницу вво­да логина и пароля.

Здесь инте­рес­нее все­го зна­чение mode4=registration, которое перенап­равля­ет на стра­ницу завер­шения регис­тра­ции в лич­ном кабине­те. Там поль­зователь зада­ет себе логин и пароль, но при этом уже задал и под­твер­дил номер телефо­на.

Вво­дим и под­твержда­ем пароль одно­го из получен­ных ранее поль­зовате­лей, и нам уда­ется зай­ти в лич­ный кабинет, минуя двух­фактор­ную авто­риза­цию. Так­же, если изме­нить логин на этой же стра­нице, он сох­раня­ется изме­нен­ным.

Похищение учетки

• Уро­вень опас­ности: кри­тичес­кий

Итак, мы вош­ли в сис­тему без регис­тра­ции и SMS. Но на этом мы, конеч­но же, иссле­дова­ние не прек­ратим и про­дол­жим копать.

Мое вни­мание прив­лекли cookie на стра­нице сме­ны пароля. Выяс­нилось, что содер­жимое стра­ницы не зависит ни от каких зна­чений, кро­ме UserStatus. А это зна­чение пер­манен­тно и уни­каль­но для каж­дого поль­зовате­ля.

Что будет, если под­менить UserStatus одно­го поль­зовате­ля ана­логич­ным зна­чени­ем дру­гого? Логин и пароль оста­вим преж­ними. Пос­ле отправ­ки зап­роса при­ходит ответ, что все прош­ло успешно. Спо­кой­но извле­каем из него новые cookie, логин, пароль и UserToken, но уже для сес­сии дру­гого юзе­ра — того, чей UserStatus исполь­зовал­ся. Так­же при­ходит редирект обратно на стра­ницу вхо­да. Если бы сме­на не была успешной, этим парамет­рам из cookie прис­ваива­лись бы зна­чения deleted и тоже про­исхо­дил бы редирект.

Те­перь можем вой­ти сно­ва — исполь­зуя новые логин и пароль. Нас опять попыта­ется оста­новить 2FA, то есть зап­рос кода из SMS. Но мы уже зна­ем, что делать в этом слу­чае, и без тру­да про­ника­ем в лич­ный кабинет поль­зовате­ля, UserStatus которо­го мы исполь­зовали.

Мы не зна­ем UserStatus для дру­гих поль­зовате­лей, но можем поп­робовать подоб­рать это зна­чение. Его дли­на — 40 бит. Это 2⁴⁰ вари­антов, то есть око­ло 1,1 трил­лиона зна­чений. Мно­гова­то для перебо­ра!

Но если разоб­рать любое извес­тное нам зна­чение UserStatus побито­во, то мож­но уви­деть, из чего оно сос­тоит. Полови­на каж­дого бай­та опре­деля­ет поле, а вто­рая полови­на — зна­чение это­го поля.

Те­перь мы можем под­бирать зна­чения лишь 20 бит. Чис­ло вари­антов сок­раща­ется до 2²⁰, то есть око­ло 1,05 мил­лиона воз­можных зна­чений перемен­ной UserStatus.

Ре­зуль­тат экс­плу­ата­ции: нес­коль­ко зах­вачен­ных акка­унтов, потен­циаль­ная воз­можность зах­вата всех поль­зователь­ских акка­унтов за чуть более чем мил­лион зап­росов.

Выводы

Итак, мы поняли, что есть воз­можность менять логины и пароли всех поль­зовате­лей, UserStatus которых содер­жит те же поля, что извес­тные нам. Затем мы можем прой­ти аутен­тифика­цию от име­ни этих поль­зовате­лей в обход 2FA. Во вре­мя тес­тирова­ния мне уда­лось зах­ватить нес­коль­ко акка­унтов и уста­новить, что мож­но получить дос­туп к любой учет­ной записи чуть более чем за мил­лион зап­росов.

Вот что я пореко­мен­довал сде­лать заказ­чику, что­бы устра­нить уяз­вимос­ти:

• Пе­речис­ление поль­зовате­лей: уни­фици­ровать ответ сер­вера при вво­де валид­ных и невалид­ных учет­ных дан­ных.
• Спре­инг паролей: каж­дый раз уве­личи­вать вре­мя бло­киров­ки учет­ных записей пос­ле вво­да невер­ных логина и пароля.
• Бай­пас 2FA: пос­ле того как поль­зователь про­шел регис­тра­цию, не редирек­тить его в лич­ный кабинет, а перенап­равлять на стра­ницу вво­да логина и пароля.
• По­хище­ние учет­ных записей: исполь­зовать связ­ку из нес­коль­ких парамет­ров, которые уни­каль­но иден­тифици­руют поль­зовате­ля.