Використання неправильно налаштованих обмежень швидкості для генерації access_token для користувачів, vk.com 2017 [BugBounty]

Мендіп Сінгх Капур

19 квітня 2017 · 3 хв читання

Незважаючи на те, що я мав досить великий досвід роботи в програмах винагороди за вразливість (або програмах помилок Bounty) у 2016 році, я очікував постійно нарощувати свої знання.

2017 рік розпочався з того, що я ділюсь сьогодні. Той, хто цікавиться InfoSec, знає такі платформи, як Hackerone & BugCrowd.

Vk.com - одна з публічних програм про хакерон, яка привернула мою увагу протягом IV кварталу 2016 року та починаючи з 2017 року. Отже, я почав працювати над їх Додатками, завантажив віртуальні машини, відригнув проксі з усіма додатками, які потрібно знати усі їх додатки та кінцеві точки api навиворіт. Потративши час на деякі низько звисаючі фрукти та звичайні помилки, не вдалося на початковому етапі у програмах vk.

My SetUp: Android на genymotion з проксі-сервером Burp, iPad Air 2 для iOS

Провівши деякий час на webApps, я перейшов до Android та iOS. Цікаво, що я помітив, що не всі кінцеві точки, які дозволяють параметри "Скинути пароль", відображаються у загальному місці.

Я маю на увазі те, що різні програми ВК [Android/iOS/мобільний домен) усі мали різні кінцеві точки для тієї ж мети. Як правило, це не стосується більшості заявок. Кінцева точка додатка Android при скиданні пароля цікаво вказує на api mail.ru, як вразливий запит нижче.

У цьому конкретному запиті відсутнє обмеження швидкості на стороні сервера, але все-таки в запиті був параметр підпису, який генерується динамічно, щоб запобігти фальсифікації запиту на всіх Api, якщо хтось досліджує всі API VK. Однак я вирішив перейти до аналізу параметра підпису .

? GET/FCGI-бен/спроба application_id = d139545f-c5e4-45cd-93d1-d67ff8045c08 і код = 1234 & code_source = user_input & ID = cd7feddbfbaa12eabecfc7434bfe255a і внутрішній = перевірити і мова = en_US і телефон = 919999034314 & обслуговування = vk_fast_restore & підпис = e473e0ead308d0537204XXXXXXXX HTTP/1.1 Підключення: закрити

User-Agent: Dalvik/1.6.0 (Linux; U; Android 4.4.4; Спеціальний телефон - 4.4.4 - API 19–768x1280 Build/KTU84P).

Зверніть увагу на підпис параметра = ““ .

Аналізуючи параметр Signature, я вважаю за краще швидко зробити лен (підпис) у підказці python, яка дає мені 32. Ні, це не MD5, як ми можемо думати спочатку, але що, якщо вони використовують просту сіль з MD5 ?

Подальше вивчаючи документацію API, я виявив, що параметр підпису для більшості запитів на API VK генерується за допомогою стандартної процедури, яка є MD5 (param 1 + param 2 + - - param (n-1) + param n + client_secret), де client_secret можна побачити у простому тексті у багатьох викликах API.

Але, що цікаво, цей запит не генерував підпис однаково, проте все одно був хешем MD5.

Навколо цього запиту не було встановлено обмеження швидкості на стороні сервера (що відповідає 429). Відтворюючи запит з різною кількістю значень коду, запит, що містить правильний код, повертає користувачеві access_token .

Відповідь (містить маркер доступу_):

HTTP/1.1 200 OK Сервер: nginx/1.9.2 Дата: чт, 02 лютого 2017 00:12:09 GMT Тип вмісту: application/json; charset = utf-8 Довжина вмісту: 367 Підключення: закрити, "modified_phone_number": "919999xxxx", "token": "3eeA28mbA-yyDC-11xx-B7D9-B9C3968CA444", "token_expiration_time": 3600, "app_check_id": "hdwWPQ8QXXXX + rs + w6 + 2J + 7C57rRAxxxxxephrtBVk ="

Звіт вирішено та нагороджено $ 400 USD. (я очікував вищого).