近期,白帽汇安全研究院观察到hackerone公布了一批Uber的网站漏洞,共计五个。其中奖励最高的漏洞为用户帐户接管,8000美金;而最低的是不安全的对象引用漏洞,500美金。另外还有信息泄露,反射型XSS,子域名接管漏洞等。
漏洞详情如下:
1.central.uber.com网站的重定向导致的帐户接管(8000美金)
http://central.uber.com的OAuth2认证中的一个漏洞使得攻击者可以利用重定向来完全接管用户帐户。
当用户登录central.uber.com时,login.uber.com的状态参数中包含一个重定向位置,而且没有CSRF令牌。因此,攻击者可以修改state参数,让用户在点击伪造的central.uber.comURL后,重定向到攻击者控制的网站。最后使攻击者能在用户成功登录后窃取到OAuth访问令牌。
2.子域名http://signup.uber.com接管漏洞(3000美金)
域名http://signup.uber.com指向一个无人认领的Netlify(托管服务商)域名,攻击者可以直接接管该Uber子域。管理者可以通过从DNS中删除CNAME记录来解决此漏洞。
3.Uber用户的Facebook的Oauth令牌泄露(7500美金)
Uber在Facebook的OAuth方面存在配置不当:首先,该漏洞作者发现在https://auth.uber.com/login?*后面的可跟上next_uri参数进行任意url的重定向跳转。
其次,https://login.uber.com/logout这个链接会根据Referer请求头进行重定向。通过以上两者结合,就可以:
首先受害者进入http://facebook.com的OAuth授权流程
从Facebook重定向到https://auth.uber.com/login?next_url=https://login.uber.com/logout
再从auth.uber.com重定向至https://login.uber.com/logout
最后利用Referer头重定向到攻击者网站,以窃取令牌
将以上这些结合起来就是一个完整的帐户接管。
4.partners.uber.com上的反射型XSS(3000美金)
在partners.uber.com后面加上XSS的payload,就能产生弹框。
payload:
https://partners.uber.com/';alert('xss')//
5.不安全的对象引用(IDOR)导致的司机的UUID(识别号)泄露(500美金)
由于activateFuelCard(uber燃料卡)存在不安全的对象引用,攻击者可以枚举出大量司机的UUID。当输入连续的卡号时,会返回对应司机的UUID。攻击者可借此收集多个司机的UUID,方便在以后攻击中使用。
上文内容不用于商业目的,如涉及知识产权问题,请权利人联系博为峰小编(021-64471599-8017),我们将立即处理。